重要インフラストラクチャへの サイバー攻撃の脅威 香川大学（工学部・総合情報センター） 今井 慈郎 [email protected] 最近（今年）の被害状況 • ソニープレイステーションネットワーク：個人情報 流出（2011年4月） • 三菱重工の国内11拠点：サーバ45台とPC38台 がウイルスに感染し，国内外のサイトに不正接 続（2011年9月） • 衆院議員の公務用PCや衆院内サーバが今年７ 月以降，サイバー攻撃？を受け，ウイルスに感 染（2011月10月） • 富士通のサーバーに攻撃 クラウドの安全対策 急務（2011月11月） ソニープレイステーションネットワーク：個人 情報流出（１） • ソニーのゲーム機プレイステーション３（PS３）と プレイステーション・ポータブル（PSP）のネットワー ク接続「プレイステーションネットワーク（PSN）」の 不正アクセス事件：7700万件にも及ぶ個人情報 流出事件が発生． • 流出したと思われる個人情報：「氏名」「国と住所」 「メールアドレス」「誕生日」「性別」「プレイステー ションネットワークのログインパスワード」「プレイ ステーションネットワークのオンラインID」（個人 情報のほぼすべてが流出!?) ソニープレイステーションネットワーク：個人 情報流出（２） • 特にパスワードが流出したことは重大（通常，パ スワードはハッシュ化という方法により直接読み 取ることはできない） • 漏えいした可能性もある個人情報：「過去の買い 物履歴や請求先住所を含むプロフィールデータ」 「クレジットカード番号」「パスワードの照合質問」 • （クレジットカードの裏面に書かれている3桁のセ キュリティーコードは流出していないとのこと） ソニープレイステーションネットワーク：個人 情報流出（３） 不正アクセスの手口：調査の結果，判明． • 根本的な原因：アプリケーションサーバの脆弱性 （外部からの不正なアクセスなどによって不正に 利用できてしまう問題点・欠陥）に対処していな かったこと． • プレイステーションネットワーク：アプリケーション サーバと呼ばれるプログラムに既知の脆弱性が 存在（ここを犯人に突かれて侵入） ソニープレイステーションネットワーク：個人 情報流出（４） ① まず犯人はアプリケーションサーバの脆弱性を 突き，通信ツールをプレイステーションネットワー ク内に不正に導入（裏口の確保） ② 設置した通信ツールによって，個人情報が保管 されているデータベースサーバーへのアクセス 情報を入手 ③ アクセス情報を使って，外部からデータベース に不正アクセス． ④ 個人情報をダウンロード ソニープレイステーションネットワーク：個人 情報流出（５） • ファイアウオールやIPS（侵入防止システム）はあっ たものの，それを通り抜けている． • 正規の通信として，入って出てくる方法で脆弱性 を突かれている（そのため不正アクセスとして検 知できなった模様）． • 最大の問題：脆弱性に対処していなかったこと． 防衛産業を担う三菱重工業のPCやサーバ へのサイバー攻撃！？が判明（１） • 三菱重工：感染したサーバ，PCなど計８３台の一部 が海外サイトに強制的に接続．ＩＰアドレスなど同社 のネットワークシステム情報が流出（警視庁公安部 は不正アクセス禁止法違反や業務妨害容疑なども 視野に捜査する方針) • 添付ファイルを開くとPCなどが感染し，情報が外部 流出する恐れのあるメイルが送信されていたことを 確認（主に防衛関連部署の社員らが対象） 防衛産業を担う三菱重工業のPCやサーバ へのサイバー攻撃！？が判明（１） • 米トレンドマイクロによると，三菱重工を含む世界 の防衛８社がサイバー攻撃を受け，ウイルス感染 したコンピュータを遠隔操作する画面に中国語が 使われていたケースあり． • 防衛関連企業をターゲットにしていたことが明らか に．国家の存立を担保する安全保障への脅威 防衛産業を担う三菱重工業のPCやサーバ へのサイバー攻撃！？が判明（２） • 警視庁は他国のスパイ活動「サイバーインテリジェ ンス」の可能性もあるとみて攻撃元の特定を指 示 • 手口はいずれも「標的型メール」によるもの．実 在の会社幹部や社員を装って標的のパソコンに メールを送り，ウイルスを仕込んだ添付ファイル やＵＲＬを開かせ感染させる手法． 衆議院・外務省・国土地理院への攻撃（１） 標的型メイル攻撃を受けてウイルス感染した状況 • 衆議院側：32台のマシンで感染 • 添付ファイルを開き，感染した公務マシン：1台 • 感染した議員アカウントサーバ等：4台 • 運用管理端末：2台 • 外部サイトへ接続試行の形跡を確認(三次感染し た公務PC：25台) • 参議院側：感染PC（サーバ無し） 衆議院・外務省・国土地理院への攻撃（２） 送付された標的型メイル • 送付先：衆議院議員 3人，参議院議員 7人(内1人 は防衛相・・省庁にも10月に送付されている模様） • 送付元メイルアドレス：[email protected] • 差出人名 週刊焦点 安栗弘子(あぐり・ひろこ) 記 者名を騙ったもの • 添付ファイル名 Photo.zip • 件名 お願い事 • 本文 「最新号の週刊誌にあなたの顔写真を掲載 することになりますがよろしいですか。」 衆議院・外務省・国土地理院への攻撃（３） 不正プログラムの機能 • キーロガー • ドロッパー(不正プログラム自身が，活動のため，シ ステム内に他の不正プログラムファイルをコピーす る活動) • リモート操作・ダウンローダ(接続先は3サイト) • ステガノグラフィ(画像埋め込み)によるコマンド実行 • 時間差によるジョブ実行（ウイルスが動作してもそ の時点は気付かない） 衆議院・外務省・国土地理院への攻撃（４） • 外務省：一部の在外公館でシステムへの侵入を確認．た だし，通常業務ネットワークと外交機密電文を扱うネット ワークとは分離（実害はなし）． • 国土地理院：観測データ用のサーバが外部からサイバー 攻撃を受け，ＩＤとパスワードが解析・不正侵入．情報窃 取を目的とした「標的型メール」が送り付けられ，不正侵 入．星からの電波を複数のアンテナで受信し、到達時刻 の差から距離を測定するＶＬＢＩ（超長基線電波干渉法） のコンピューターサーバが対象．このサーバを通じて攻 撃を受けた国内の研究機関と民間企業から情報提供が あり発覚． http://d.hatena.ne.jp/Kango/20111025/1319556641 クラウドサービスを提供するＩＴ企業が攻撃 されると顧客への被害が一気に拡大（１） • 富士通の事例：同社データセンターにある電子 申請システムのサーバに，複数ＩＰアドレスから大 量アクセス(DoS攻撃)．同社のサービスを利用 （電子申請サイトとして）している福島，千葉，静 岡，福岡などで一時サービスが使えなくなる障害 が発生（情報漏洩自体はなかった模様）． • クラウド型電子申請サービス（2006年頃開始）は， 自前での情報システム運用と比較し，「費用が３ 分の１から半分で済む」という運用費の安さが売 り（今後のニーズも予測）． クラウドサービスを提供するＩＴ企業が攻撃 されると顧客への被害が一気に拡大（２） • 一般に，クラウドでは最新ウイルス対策が前提で あり，自前システム運用よりセキュリティレベル は高い．しかし，サービスが停止する事態となれ ば影響大．DoS攻撃に対しては，対応も必要（富 士通では「サーバ増強やファイアウオール強化 などを検討」）． • その分コストアップに繋がり，クラウドの良さを損 なう可能性あり（ＩＴ企業は安全対策強化と価格 のバランスをどう取るか工夫が必要）．システムト ラブルなどでサービス不能となった場合，契約に より顧客が損害賠償請求できるケースあり（企業 側の負担増） 日本経済新聞より 攻撃の分類 • セキュリティホールについて • 外部からの攻撃 • 内部から（というか内部に侵入して）の攻 撃 • 感染経路に関する簡易分類 セキュリティホール（Security hole）（１） • OSやソフトウェアにおいて，プログラム不具合・設計ミ スが原因となって発生する情報セキュリティ上の欠陥 （抜け穴）．「脆弱性」と表現される場合も • セキュリティホールが残された状態でシステムを利用 し続けると，侵入や破壊工作への利用，ウィルス感染 などの危険性． • 代表的なセキュリティホールとして，「バッファオーバー フロー」（Buffer overflow）が良く知られている． セキュリティホール（Security hole）（２） • OSやアプリケーションソフトのプログラムが処理に利 用しているメモリのバッファ領域に入り切らない大量 のデータが書き込まれると，その対策が不十分な場 合（脆弱性が存在するという），予期せぬ動作の実行・ システム停止などの不具合あり． • バッファオーバーフロー自体は，内部で利用するバッ ファの適切な管理で解決可能．しかし，一部でも対策 を怠った場合，重大なセキュリティホールとなる危険 性あり． バッファオーバーランによる攻撃（１） • 典型的バッファオーバーラン：バッファがスタック領域 に割り当てられたものである場合（C言語の自動変 数ではバッファがスタック領域に割当てられる），は み出したデータがスタック領域の当該バッファ割当て 部分よりも外の部分を書き換える．一方，スタック領 域にはサブルーチンからのリターンアドレス等が格 納されているため，そのリターンアドレスをバッファー オーバーランしたデータで書き換えられてしまう （Return-to-libc攻撃）． • 一般に市販OSの多くは，メモリ保護機能を持たない ため，Return-to-libc攻撃に弱い点が問題の根底． バッファオーバーランによる攻撃（２） • クラッカは，Return-to-libc攻撃で，データ改竄・システ ム損壊を目的とした操作を行う（通常，ワームウィル ス等の不正プログラムを作成し，それにReturn-to-libc 攻撃を実行させる）． • 具体的には，バッファオーバーラン攻撃を行う場合， ①送信データに不正なプログラムのコード（シェルコー ド）を挿入，②前述のスタック領域上のリターンアドレ ス等を，この不正コードが存在するアドレスに書換， ③任意の不正なコードを相手のコンピュータにおいて 実行，④OS上の管理者権限を不正に奪取， などの攻撃を実行する．・・ 代表的な攻撃手法 外部からの攻撃（１） • DoS攻撃 DoS(Denial Of Service)：システムが提供するサービス の「妨害」や「機能停止」を図る攻撃． サービス妨害の代表：(1)過負荷をかけるもの，(2)例外 処理ができないもの等． • DDoS攻撃 DDoS(Distributed Denial Of Service)：DoS攻撃を行うマ シンが単独であれば，そのマシン(IPアドレスは既知)か らのパケットを遮断することも可能．しかし，DoS攻撃を 行うマシンがネットワーク上に分散している場合をDDoS と呼ぶ．これは防御が難しい攻撃手法の代表． DDoS：千台〜数万台といった多数のホストから 「一斉攻撃」を受けるため，サービスやネットワークが 停止．しかも，DDoS攻撃の原因と攻撃したホストを特 定しようとしても，攻撃側は第三者のホストに操られ ているだけで，特定が非常に難しい．また，「踏み台」 となったホストの管理者もDDoSのモジュールが埋め 込まれ踏み台にされていることを気づかない場合もあ る（攻撃側の特定は困難）． 出典 http://www.ipa.go.jp/security/fy14/contents/soho/html/chap1/dos.html 外部からの攻撃（２） • ポートスキャン 本来の目的：管理者が，ネットワークで使用したいポートの 状態を確認する行為．・・実は某先生も「研究」として実施 クラッキング手法：サーバに対して多様な手段で接続を試 み，弱点を探して攻撃のためのデータを取得（パッケージ化 されたソフトが流通）． 少しでもPCがポートスキャンを受けている恐れがある場合， 一般ユーザ：OSやアプリケーションの（既知の）脆弱性の問 題を悪用される前に，アップデートやアンチウィルスソフト導 入が必要． システム管理者：ルータやファイアウォールといったネット ワーク機器を適切な設定が必要． ポートスキャン後の被害 （の危険性）を低減することが望ましい． 外部からの攻撃を分類すると・・ ① サーバやPCのサービスや操作（活動）を機能不 全に貶める目的の攻撃パターン ② サーバやPCへの侵入を目的として，その侵入経 路や対象を探る目的の攻撃（というより「斥候」or 調査）パターン どちらも攻撃を受ける側は困難に直面するが，後者 は以下でも説明するように，より深刻なダメージを受 ける危険性が高い．特に後者は「侵入」されることの 危険性が問題．では「侵入」されると・・・ 内部からの攻撃（１） • トロイの木馬 被害者（となるユーザ）が自ら，ダウンロードしたプ ログラム実行形式のファイル(Windowsであれ ば.exe)を実行し，悪意ある動作を開始するプログラ ム(自己増殖機能がない場合もあるので，ウィルス とは呼ばない)． ギリシア神話に登場する「トロイの木馬」に由来． 「トロイの木馬」の物語 （出典：ギリシャ神話「岩波新書」） ギリシャ軍はトロイ軍と10年間消耗 戦を続けてきたが、ある日、トロイ軍 がギリシャ軍陣地を見ると、ギリシャ 軍は巨大な木馬を残して全部退却し てしまった(ように見えた)。 トロイ軍は自軍の勝利と思い込んで、 木馬を戦利品として城内に引き入れ、 盛大な戦勝の宴を催した。しかし、実 はこの木馬の中にはギリシャ兵が隠 れており、トロイ軍が酔い潰れた夜中 に木馬から出て城内からトロイ軍を 総攻撃し、かくてトロイは滅亡させら れてしまったという。 2009年4月9日：音楽ファイルに寄生 するトロイの木馬．ネットにつながら ない(ウイルス対策ソフトが出す警 告が消えない)． 2009年9月7日：Firefoxを狙う偽 FlashPlayerが，実はトロイの木馬． Flashだと思ってインストールすると， ユーザがGoogleで検索した内容を 記録し，外部のサーバに送信する． 内部からの攻撃（２） • バックドア型：被害者の認識を経ずインストール・実 行される遠隔操作のためのプログラム(ワーム)．最 も危険なトロイの一種．RAT(Remote Administration Tool)と呼ばれ，OSの管理者権限を有するかの振 る舞いで，比較的低い検知率． • パスワード窃盗型：被害者のマシン上のあらゆる種 類のパスワード，IPアドレス，被害者のマシンの詳 細な情報などを収集．電子メイル等の通信手段を 用い，攻撃者へ送信． 内部からの攻撃（３） スパイウェア(spyware)：ユーザの行動や個人情報など の収集，マイクロプロセサ空き時間借用(予め設定され た)による計算実行などを行うアプリケーションソフト． 実行結果より取得データはスパイウェア作成元(マーケ ティング会社や個人など)に送付． 内部からの攻撃（４） 狭義のスパイウェア：知らないうちに勝手にPCにインス トールされ，スパイ活動を行うプログラム．スパイ活動 とは，PC内に存在する情報・アクセス情報・PCに対す る操作の情報(パスワードなど)を許可無しに第三者に 送信する行為． 広義のスパイウェア（マルウェアという呼称あり）：知ら ない内に勝手にPCにインストールされ，ユーザに「害」 を与えるプログラム全般．ウィルス等も含む広義のス パイウェア． スパイウェア侵入（感染）経路 • 他の有用プログラム中に，スパイウェアコンポー ネントを隠しておく方法：スパイウェア含有プログ ラムは無料ダウンロード可能という場合も多い． 利便性をユーザにアピール． • OSやブラウザのセキュリティホールを利用する 方法：ウェブサイト閲覧中に欠陥や安全上の問 題をついて，コンピュータ内に侵入． • ウィルス・電子メイルに添付されたプログラムを 不注意などで実行，ダウンロード：配信元を匿名 とし，迷惑メイル中継機能など含む場合あり．
© Copyright 2024 Paperzz
