サイバーセキュリティ
インシデント対応時に対策側が把握すべき事は以下の4つのフェーズに分類できる:
以上の調査のため、下記のものを調べる必要がある:
感染の把握の有無や被害範囲を把握する目的で行う調査としては下記のものがある:
攻撃者は標的組織を偵察する際や、侵入後に横断的侵害を行う際、スキャンを行うことで、標的組織のネットワークの情報を得る。スキャンはホストスキャンとポートスキャンに大別でき、前者はネットワーク上にあるホストのIPアドレス等を行うために行われ、後者はホスト上で空いているポート番号を知るために行われる。ホストスキャンにはICMPプロトコルを利用したツールであるpingやtracerouteが用いられ、ポートスキャンには例えばnmapのようなツールが用いられる。
nmapは単にホスト上の空いているポート番号を特定するのみならず、ホストに送ったパケットに対する返答のフォーマット等の情報から、ホストで動いているOS、サービス、およびそれらのバージョン番号などを特定する機能も備えており、これらは攻撃者にとって有益な情報となる。この手法で動作しているアプリケーションを特定する事をバナーチェック、OSの種類やバージョンを特定することをTCP/IP スタックフィンガープリンティングという。
他にも下記のようなツールがある:
SING(Send ICMP Nasty Garbage) 、ICMPScan:nmapのようにICMPをプロービングするツール
Amap:アプリケーションのフットプリンティングを行うツール。通常とは違う場所で動作しているアプリケーションをも特定可能である。
httprint:Webサーバのフィンガープリンティングツール
xprobe2:OSフィンガープリンティングツール
このためサイバー空間の問題は、「単に技術的観点のみならず国際政治、市場権益(国際公共財)、知的財産、安全保障、軍事作戦、国の危機管理体制などの各分野に跨る問題の側面を合わせ持っている」。
一方、企業などの組織体にとってサイバーセキュリティ対策や情報セキュリティ対策は、企業などの組織の事業における(情報)セキュリティリスクを低減する事を主な目的とする。組織は災害リスク、事業環境リスク、戦略リスク、財務リスク、事故・故障リスク、情報セキュリティリスク、犯罪リスク、労務リスク、事業運営上のリスクといった様々なビジネスリスクを抱えており、情報セキュリティリスクはそれらビジネスリスクの一つに過ぎない。よって組織のセキュリティを担保するには、組織の経営への影響を加味した上で、ビジネス全体のリスク項目に基づき、網羅性と合理性を検討する必要がある。したがって経営という観点から見た場合、企業戦略として、サイバーセキュリティリスクを加味してどの程度のセキュリティ投資を行うかは経営判断になる。またサイバーセキュリティに関するガイドラインを策定するときは、リスク管理規程、危機管理規程、事業継続計画、IT-BCPといった既存のガイドラインと整合を取る必要がある。
タイムリーに復旧できるよう事前に復旧手順を定め、復旧の際にはその計画を実施する。システムの復旧を行うのみならず、広報活動を管理するなどして評判回復に努める。対応フェーズと同様、教訓を生かして復旧計画の更新も行う。
人員等のリソース管理
人材確保
対応の効果測定と品質改善
ネットワークやエンドポイントのセキュリティ機器の運用管理、分析基盤、アナリシスツール、業務基盤等の運用管理
ファイヤーウォールはネットワーク境界に設置して不正な通信を遮断する技術である。通信を許可・遮断するIPアドレスやポート番号をしていするタイプのファイヤーウォールをパケットフィルタリング型のファイヤーウォールという。パケットフィルタリング型のうち、管理者により予め決められたテーブルにしたがって通信の許可と遮断を行うものをスタティック型という。それに対しダイナミック型のパケットフィルタリングでは、ネットワーク境界内はネットワーク境界外より安全だという前提の元、境界内から境界外への通信が発生したときは、その返答が境界外から帰ってきた場合のみ例外的に通信を許可する。ステートフルパケットインスペクションはダイナミック型の特殊なもので、TCP/UDPセッションを認識して、正当な手順のセッションに属する場合のみ通信を許可する。
パケットフィルタリング型が通信の許可・遮断機能のみを持つのに対し、それ以外のファイヤーウォールは通信の中継機能を持つ。サーキットレベルゲートウェイ型ファイヤーウォールは、ファイヤーウォールを通過する際IPアドレスを付け替え、ネットワーク境界内のIPアドレスが境界外にもれないようにする。アプリケーションゲートウェイ型ファイヤーウォールはHTTPなどアプリケーション層のプロトコルを理解してプロキシとして振る舞う。コンテンツをキャッシュして通信速度を早くする他、有害なサイトのフィルタリングを行ったり、マルウェア対策ソフトを組み込んでファイヤーウォールをまたぐ通信に含まれるマルウェアを検知したりできる。
攻撃対象の組織からC&Cサーバ(コマンドアンドコントロールサーバ。C2サーバとも。攻撃者が攻撃対象の組織に不正なコマンドを遠隔で頻繁に送信する為に利用されるサーバの事)への通信(コネクトバック通信)の経路を確保する。なおC&Cサーバ自身も攻撃者に乗っ取られた外部組織のサーバであることもある。
コネクトバック通信にはhttpやhttpsを使うことが多いので、通信の特徴だけからコネクトバック通信を検知するのは困難である。なお、監視の目が行き届いたhttpやhttpsを使う代わりに、e-メール、DNSなどのプロトコルが使われる事もある。
ファイヤーウォールのフィルタリングルールが形骸化していたり、攻撃によく使われるCONNECTメソッドをプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう
トリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。
まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し、対応が必要だと判断した場合は対応計画を策定し、具体的な対応活動・攻撃の抑止措置を取る。この際必要に応じてIT 関連部署や外部組織と連携し、経営層と情報共有し、外部の専門機関等に支援を依頼する。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する。
調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する。
優先度の低いインシデントは電話やメールでリモート対応する。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う。なお詳細な分析に関してはディープアナリシスの節で記述する。
このフェーズでは、調査や訴訟のために証拠を保全する事を重要である。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある。
NCFTA(National Cyber-Forensics & Training Alliance、日本語では「米国サイバー鑑識・訓練協定」もしくは「全米サイバー犯罪科学訓練同盟」)は「サイバー犯罪に関する情報共有や捜査支援、被害防止のために設けられた、アメリカの非営利団体」。FBIを中心とする法執行機関、民間企業、大学による産学官連携組織である。サイバー犯罪の手口等をデータベース化して専門家が分析し、捜査員の訓練や捜査の技術支援に役だてる。
ワンクリック詐欺はウェブページ上の特定のアダルトサイトや出会い系サイト、勝手に送られた電子メールに記載されているURLなどをクリックすると、「ご入会ありがとうございました。」等の文字やウェブページが契約したことにされて多額の料金の支払を求める詐欺のことをいう。同様の手口でツークリック以上のものやノークリック(=全くクリックしない)ものも存在する。
ワンクリック詐欺のサイトでは、サイトに訪れたユーザのブラウザから環境変数を取得して表示するなどして、あたかもサイト側がユーザ個人を特定できているかのように装い、ユーザを脅迫することがある。(たとえばユーザがスマートフォンからアクセスした場合にユーザの位置情報を表示するなど)。
また詐欺サイトがユーザ端末にワンクリックウェアをインストールし、振込みを行うよう要求する画面を頻繁に表示させるという手口もある。
多層防御とは、様々な階層で複数のセキュリティ対策を施す事で、重要部への侵入前に攻撃の検知および対応を行う事で、軍事・戦闘の世界のDefense in Depth (縦深防御) を応用したものである。複数の防御壁を設けて、一つの壁を突破されても次の壁で阻止して、機密情報に到達されてしまう確率を下げる事を目的とする。
多層防御の手法として以下で述べる入口対策、内部対策、出口対策の3つを取り入れる組織内対策や、複数組織をまたがった攻撃連鎖を上流で断つ国レベルでの対策などがある。
DoDはサイバー司令部を持っている。サイバー司令部の司令官はNSA長官が兼務。
WAFを導入する主なケースとして、レンタルサーバ提供ベンダーや、複数のグループ企業を束ねている大手企業など、直接自分で管理していないウェブアプリケーションを保護したい場合、他社が開発したウェブアプリケーションを利用しているなど自分では脆弱性を防ぐことができない場合、事業継続の観点からウェブアプリケーションを停止できず脆弱性を行ったりパッチを当てたりできない場合等があり、根本対策のコストよりもWAFの導入・運用のコストのほうが安い場合にWAFを導入する。
WAFにはHTTP通信(リクエスト、レスポンス)を検査し、検査結果に基づいて通信を処理し、処理結果をログとして出力する機能がそなわっている。通信の検査は前述のようにホワイトリスト、ブラックリストを用いて行う。検査結果に基づいた通信の処理としては、そのまま通過させる、エラー応答を返す、遮断する、通信内容の一部を書き換えた上で通過させる、という4通りがある。またセッションのパラメータの正当性やHTTPリクエストの正当性を確認してCSFR等の攻撃を防ぐ機能、ウェブサイトの画面遷移の正当性を確認する機能、ホワイトリストやブラックリストを自動更新する機能、ログをレポートの形で出力する機能、不正な通信を管理者にメール等で通知する機能等がついている事もある。
なお、たとえばウェブアプリケーションの認可機能に問題があるが、HTTP通信自身には問題がないケースなどではWAFは異常を検知してくれないので別の対策が必要となる。
ISAC(Information Sharing and Analysis Center、セキュリティ情報共有組織)とは、重要インフラに対するサイバーセキュリティ上の脅威を収集し、民間部門と公的機関の間で双方向の情報共有を行うための非営利団体である。
ISACは歴史的には米国に端を発しており、大統領令63の1(クリントン大統領(当時)が1998 年5 月22 日に署名)において、重要インフラへの攻撃に備えるため、分野における脅威や脆弱性に関する情報を分野内で共有する専門組織の設立が推奨された事に呼応して設立されたものである。
米国では19のISACが活動している(2015年5月現在)他、National ISAC Council が「定期的に各ISAC の代表者を集めた会合を開催して、情報を共有しており、ウェブサイト上ではISACに係わる白書やテクニカルドキュメントを公表している」。