サイバーセキュリティ
リダイレクトには、HTTPリダイレクト、HTMLのiframeタグや「meta http-equiv="refresh"」を使ったリダイレクト、JavaScriptなどのスクリプトのリダイレクトの3種類があり、これらが攻撃に利用される。このうちHTMLのiframeを使ったリダイレクトは、widthとheightを0にする事でフレームサイズを0にし、さらにstyle属性を"visibility:none"や"visibility:hidden"にする事で非表示化できるので、標的ユーザに気づかれる事なくリダイレクトできる。同様にstyle属性を"position:absolute"にし、フレームの位置のtopとleftとしてマイナスの値を指定することでも非表示化できる。
またスクリプトを使ったリダイレクトの場合、リダイレクトが閲覧時に初めて生成されるようにできるので、リダイレクトされている事がウェブ管理者に気づかにくい。
標的型攻撃は、2010年ころからサイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織、人、これらの持つ重要情報等を標的とした攻撃である。したがって攻撃の標的となる組織固有の情報(組織構成、事業内容、システム構成等)を事前に入手し、これを利用して攻撃を仕掛ける事も多い。
APTは標的型攻撃の一種に分類される事が多い攻撃形態の一分類であり、「先進的で(Advanced)」「執拗な(Persistent)」「脅威(Threat)」を指す 。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがある。
またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ、このような作戦活動を攻撃キャンペーンという。また攻撃キャンペーンは複数個の「一連の攻撃行動(オペレーション)」に分割できる。
ボットネットとはC&Cサーバのコントロール下にあるマシン(ボット)のネットワークで、攻撃者はC&Cサーバから命令を出す事で、ボットネットを様々なサイバー攻撃に利用する。ボットによる攻撃にあった被害者は、裏にいるC&Cサーバの情報を直接得る事ができないので、攻撃者を特定するのは困難になる。
攻撃者は1台のC&Cサーバから命令を出すことで多数のボットから同時多発的に攻撃をしかける事ができるので、低い運用コストでDDoS、スキャン、二次感染といった様々なサイバー攻撃の実行が可能になる。
C&Cサーバとボットとの通信には、IRC、HTTP、各種P2P接続などが利用される。特にHTTPはセキュリティに配慮した企業などであっても業務の関係上通信を遮断できないので、攻撃者は企業内のマシンをボット化できる。
ボットネットのネットワーク構造として最も単純なものは、1つのC&Cサーバに全てのボットがぶら下がっているスター型のネットワーク・トポロジーであるが、これだとその1台のC&Cサーバがダウンしたり当局に取り締まられたりするとボットネットが完全に停止してしまう。そこで様々な国に複数のC&Cサーバを立てて多重化する事で各国の取り締りにそなえたり、ボットの下にさらにボットをぶら下げる階層型の構造にしてボットネットの全体像を把握されにくくしたり、P2P通信によるランダムなトポロジーにする事でネットワーク耐性を上げたりする。
ソースコードセキュリティ検査は、開発中のソフトウェアのソースコードをチェックする事で、セキュリティ上の問題点を発見する検査であり、おもに実装工程で行われる。その目的は、脆弱性を引き起こしやすい関数をソースコードから抽出したり、構文解析により脆弱性であると思われる箇所を特定する事である。
検査は人間によるソースコードレビューにより行われることもあるし、何らかのツールやサービスを用いて自動的にソースコードを検査することもある。
なお、ソースコードセキュリティ検査は実装段階で混入する脆弱性を発見するものであるので、そもそもソフトウェアの設計そのものに脆弱性があってもそれを発見するのは難しい。
攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である。
SOAR(Security Orchestration Automation and Response、セキュリティのオーケストレーションと自動化によるレスポンス)はいわば「次世代SIEM」に位置づけられる製品群で、ガートナーの定義によれば、「セキュリティの脅威情報やアラートを異なる情報源から集める事を可能にするテクノロジーで、標準化されたワークフローに従って標準化されたインシデントレスポンス活動を定義し、優先度付けし、駆動するのを手助けするために、インシデント解析やトリアージが人間とマシンの協調を梃子にして行われるもの」の事である。
多くのSOAR製品はダッシュボード機能やレポート機能を持っており、インシデントレスポンスや脅威情報の機能を持っているものもある。また分析官の手助けをするために機械学習の機能を備えているものもある。
アクティブディフェンス(Active defense、能動的防御)は、実際の攻撃に先んじて脆弱性や攻撃方法を発見して予防策を積極的に構築する取り組みの事。攻撃者が防御技術を研究して回避・無効化する事で、対応が後手に回って攻撃側に主導権を握られるのを防ぐ。
アクティブディフェンスの基本的手法としては以下のものがある:
アノイヤンス(Annoyance):攻撃の労力を増加させる事。デコイサーバや偽のDNSエントリなど各種デセプション技術で攻撃者を騙し、時間を稼ぐ等。
アトリビューション(Attribution):攻撃者の属性(Attribution)を明らかにする事。攻撃されそうなサーバやファイルにウェブビーコンやマクロ等を仕込んで攻撃者のIPアドレスや位置情報を取得する等。
アタックバック(Attack Back):攻撃者に攻撃し返す事。
なおアタックバックはアクティブディフェンスに含まないとする意見もある。
フリーのアクティブディフェンスツールとしては、ADHD(active defence harbindger distribution)、Artillery、Nova (Network Obfuscation and Virtualized Anti-Reconnaissance)、BearTrap、Decloak、Honey Badgerなどがある。
日本セキュリティオペレーション事業者協議会(ISOG-J、Information Security Operation providers Group Japan)は、「セキュリティオペレーション技術向上、オペレータ人材育成、および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立」された団体。2018年12月25日現在、47社が参加。ISOG-JはJNSAを事務局とし、総務省と経済産業省をオブザーバーとする。
以下のワーキンググループを持つ:
2018年現在の最新版であるVersion 7の20個の評価項目は以下の通りである:
CSIRTに求められる主な機能の一つで、インシデントの発生確認、迅速な封じ込め、影響範囲特定とその文書化、全容解明、復旧といった技術より作業の他に、ビジネスやネットワークに及ぼす混乱を最小限にとどめ、インシデントに対する世間の認識をコントロールし、犯人に対する訴訟の準備をするといった作業も含まれる。
インシデントハンドリングは技術的な作業のみにとどまらないので、一般的に
何が発生したのかを判断して損害を評価する調査チーム
攻撃者を排除して被害者のセキュリティ体制を強化する修復チーム
何らかの形の(経営層、社員、ビジネスパートナー、一般に対する)広報活動
で構成される。インシデント管理責任者はCISO、CIO、もしくは彼らから直接任命を受けた人物がその任務にあたる。
CSIRTはインシデントと思しき情報をユーザやSOC、外部組織等から検知/連絡受付したら、その情報をトリアージし、対応すべきと判断したインシデントに対してインシデントレスポンスを行い、最後に報告/情報公開を行う。
脆弱性の情報源としては、各種ニュースサイト以外に、脆弱性情報データベース、ベンダアドバイザリ、注意喚起サイトがある。また攻撃情報の情報源としては、前述した脆弱性の情報源の他、攻撃コードデータベースがある。
ベンダや開発者のサイト、ブログ、アップデート情報、リリースノート等に自社製品の脆弱性情報やその対策情報が提供されている事があり、ベンダアドバイザリ、セキュリティアドバイザリ等と呼ばれている。ベンダアドバイザリは脆弱性情報の形で公開されない場合もあるので、注意が必要である。セキュリティ担当者は基本的には各製品のサイト等を参考にしてベンダアドバイザリ手に入れる必要があるが、各種脆弱性情報データベースに載らないベンダアドバイザリを収集している有償サービスも存在するので、こうしたサービスから情報を得る事も可能である。
悪性サイトにアクセスしてきたクライアントに応じて応答するウェブコンテンツを変化させる手法の事。例えば検索エンジンのクローラーがアクセスしてきたときは無害なコンテンツを表示し、標的ユーザがアクセスしてきたときのみ攻撃用のコンテンツを表示する。これにより攻撃用コンテンツをクローラーに発見される事なく、クローラー向けコンテンツに検索エンジン最適化を施す事で検索順位を上げる、といった事が可能になる。クローキングで表示するコンテンツを変えるための指標として、IPアドレス、ユーザエージェント、リファラの情報が利用される。
連邦捜査局(れんぽうそうさきょく、英: FBI、Federal Bureau of Investigation)は、アメリカ合衆国の警察機関の一つ。アメリカ合衆国司法省において、連邦法に関する事案の捜査を任務としている。
FBIに以下のサイバー対策部隊がある(2010年3月4日現在)
国内支局のサイバー担当官 (Cyber squads) - 1000人以上の捜査官、分析官を有する。ルーマニア、エストニア、オランダなど欧州の警察機関にも捜査官を派遣している。
機動サイバー隊(Mobile Cyber Action Teams) - 世界中のサイバー脅威に対応できる高度に訓練された捜査官、分析官のグループ。
国家サイバー合同捜査本部 (National Cyber Investigative Joint Task Force) - FBI主体で創設され、17の警察・情報機関と協力している。
また、全国ホワイトカラー犯罪センター(NW3C)と連携して米国インターネット犯罪苦情センターを運営している。
イギリスではGDPRを補完する法律としてData Protection Act 2018を定めている。
BASは仮想的な攻撃を行う自動化ツールであり、その概念はガートナーが2017年に提唱された。ガートナーの定義によればBASは「ソフトウェアのエージェント、仮想マシン、ないしそれ以外の手段を用いる事により、企業のインフラに対する (内部の脅威、ラテラルムーブメント、データ抽出(exfiltlation)を含む)全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す。
BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする。
ネットワークに侵入して横断的侵害を行う攻撃の手口の典型的パターンは
ipconfigやsysteminfoといったWindows標準コマンドで侵入した端末の情報を収集
net等のツールでネットワーク上の他の端末の情報、ドメイン情報、アカウント情報等を収集し、次に侵入する端末を選ぶ
mimikatzやPwDump等のパスワードやそのハッシュ値をダンプするツールで次に侵入する端末のユーザーのパスワード情報を入手
netやat等のツールを駆使して他の端末に侵入
というものである。
またプロキシやリダイレクタを使ってファイヤーウォールを突破する事で、侵入した端末からC&Cサーバや組織内の別の端末との通信経路を確立する。その他ファイル圧縮ツールやステガノグラフィーツールもデータ内容を隠蔽して送信する目的で使われる。
“防犯・防災・航空宇宙・サイバーセキュリティ”. イスラエル大使館 経済部. 2019年1月30日閲覧。:イスラエルのサイバーセキュリティ企業の紹介
中国は、ネットのセキュリティを強化するために中華人民共和国サイバーセキュリティ法(中国語:中華人民共和國網絡安全法)を制定している。