情報メディアとインターネット第７回情報セキュリティ学術情報基盤センター升屋正人「セキュリティ」＝安全・安心   ハードウェア、ソフトウェア、データについて以下の３つを守るのが情報セキュリティ 1. 機密性    2. 完全性    「アクセスを認可された者だけが情報にアクセスできることを確実にすること」（ISMS 2.0）盗まれない/流出しない「情報及び処理方法が、正確であること及び完全であることを保護すること」（ISMS 2.0）改ざんされない/壊れない 3. 可用性   2 「認可された利用者が、必要なときに、情報及び関連する資産にアクセスできることを確実にすること」（ISMS 2.0）止まらない情報セキュリティの三大脅威（リスク）  ①物理的脅威   ②人的脅威    侵入、破壊、故障、停電、自然災害、テロなど故意：持ち出し、不正行為など過失：誤操作、盗難、置き忘れ、ファイル交換ソフトなど ③技術的脅威  不正アクセス，盗聴，ウイルス，改竄，消去，DoS攻撃，なりすましなど  3 DoS＝サービス拒否／サービス妨害 ①物理的脅威の対策  侵入・破壊    施錠警備会社（セコムなど）との契約停電・故障    無停電電源装置（UPS）の導入機器の二重化（冗長化）設置環境の改善   空調機器の整備など自然災害・テロ  4 地理的に異なる場所にバックアップシステム ②人的脅威の対策  故意：持ち出し・不正行為  セキュリティポリシーの策定   データの操作記録を保存，電子メール・Webアクセスの内容を監視   鹿児島大学では→全通信を記録・分析過失：誤操作・盗難・置き忘れ・ファイル交換ソフト  教育の徹底     鹿児島大学では→「鹿児島大学情報セキュリティポリシー」鹿児島大学では→情報セキュリティ講習会データに対するアクセス権を適切に設定データの暗号化結果として「情報漏洩」が発生する  5 架空請求、恐喝、振り込め詐欺などの犯罪につながる持ち出し・不正行為による情報漏洩  京都府宇治市住民基本台帳漏洩事件（1999年）   大学院生が19万人分のデータを漏洩→無罪 Yahoo! BB事件（2004 年）  451万7039件の住所・氏名・電話番号が漏洩    660万件以上の可能性大情報入手者による恐喝事件２件阪急交通社事件（2004 年）    東京ディズニーランド・ディズニーシー年間パスポート情報漏洩事件（2005年）   6 62万5,300件，社員が名簿業者に名簿売却架空債権回収業者から請求 2001年秋以降の14万人分？振り込め詐欺未遂１０件(以上)・恐喝未遂ファイル交換ソフトによる情報漏洩の例  Winny/Shareを使用し，情報を漏洩させるウイルスに感染して情報漏洩する事件が後を絶たず    2010年4月、日本大学から内部文書・職員名簿、個人情報１万３千以上（Share）別のファイル交換ソフト(LimeWire)でも操作ミスによる情報漏洩の例あり学校などで「使用禁止」にしても効果は低い  若年層は「音楽や映像はファイル交換ソフトで無料で入手するのが当たり前」と考えている     なぜだめなのか理解していない・自分は大丈夫と思っている？こうした世代が社会に出るのはこれから→これからも流出は続く民間企業なら懲戒解雇ファイル交換ソフトの使用は，著作権法上は間違いなく違法  Winny/Shareでなければいいと思っている  7 Cabos/LimeWire，Perfect Darkならいい…わけではない振り込め詐欺  電話，葉書，メールで告知       インターネットの出会い系サイト料金サラ金の債権回収義援金エッチ系サイト入会金痴漢行為の示談金正常な判断力をなくさせる巧妙な手口 8  ターゲットは流出データ、流出名簿、SPAM メールへの返信などから    「登録解除」すると登録される！迷惑メールは「無視」しないとダメ架空口座を活用  最初のコンタクトでは口座は明かさない振り込め詐欺対策  予防     個人情報を安易に提供しない携帯のメルアドは時々変える相手に連絡してしまったら   対策   無視する（本当の裁判所からの呼び出し以外）絶対にこちらからは連絡しない   振り込んでしまったら  9 携帯のメルアドなら変えればよい 186で電話してしまったら、電話番号を変える電話の内容を録音して警察や消費生活センターに相談警察に届け出【参考】携帯メールアドレスの「.」  ドコモ    ソフトバンク     先頭は英文字のみご利用いただけます。最後に「.」（ドット）を使用することはできません。「.」（ドット）をアドレス内で連続使用することはできません。 au   「.」は「..」などのように連続で使用することや@マークの直前で使用することはできません。先頭文字は英文字にしてください。「.」をアドレス内での連続使用や「.」をEメールネームの最初/ 最後に使用することはできません。また最初に数字の「0」を使用することもできません。これらの注意を守らないとインターネットからメールが届かない  10 http://help.jp.msn.com/announce.aspx#20080810 ③技術的脅威の対策   不正アクセス（盗聴・改竄・消去・DoS）ウイルス（消去・DoS）  １．これらについて知る   ２．最新の情報を常に入手する    11 「知らなかった！」では済まされない３．対策には費用がかかることを理解する   「被害をうけると加害者になる！」場合がある当然の対策を行っていない場合には賠償責任が発生する場合も何かあった場合は莫大な費用と時間がかかる取り返しは絶対に付かないので，予防に全力をかけよう不正アクセスとは  【盗んだパスワードや、セキュリティホール（プログラムのセキュリティに関するバグ）を使って操作を許されていない情報システムを操作すること】  不正アクセス行為の禁止等に関する法律（不正アクセス防止法：平成１２年２月施行）  容易な侵入    多様な侵入者     12 セキュリティホール情報のインターネット・書籍などでの公開ブロードバンドの普及による常時接続機器の増加サイバーテロリスト興味本位の一般人内部の人間による業務妨害ウイルス（ワーム）何のために不正アクセスするのか  ウイルス（ワーム）による間接的不正アクセスが大半    現在の日本の法律では取り締まり不可能法制度化しても海外からのウイルスに対する抑止効果はなしウイルス作成者の目的  技術力の顕示・愉快犯   サイバーテロ   DoS攻撃のため迷惑メールの送信  13 以前は主流だったビジネスとして成立不正アクセスの典型的な方法  １．セキュリティホール（セキュリティ上の欠陥）を探す   ２．Exploitで侵入→パスワードを知る必要なし！   特定のソフトウェアのセキュリティホールを利用して，管理者権限などを奪取するプログラム．セキュリティホールごとに存在する。３．Rootkitを仕掛ける   ポートスキャン侵入したシステムを悪用しやすいように改変するツールの総称．裏口の作成，通信の盗聴，侵入の隠蔽などを行うため，発見されにくい．４．侵入した機器で１∼３を繰り返す 14 ポートスキャン対策  不要なポートを閉じる     ファイアウォール（ハードウェア・ソフトウェア） Windows XPには標準で搭載 ZoneAlarmなどのツールも利用できるグローバルアドレスにホストを接続しない   15 プライベートアドレスを使いNAPT ルータのファイアウォール機能を活用する Exploit対策   セキュリティ上の欠陥に対する修正プログラムを必ず適用する今すぐ！「Windows Update」  16 Mac OS Xなら「ソフトウェアアップデート」 Rootkit対策  ウイルス対策ソフト   パーソナルファイアウォール   すべてを検出できるわけではないのでほかの方法と併用外→内だけでなく，内→外の通信の監視が可能スパイウェア検知ソフト   17 スパイウェア・アドウェアとCookieを検知 Cookieは多く検出されるが，スパイウェアが侵入しているわけではないことに注意ウイルスとワーム  ウイルス（virus）    ワーム（worm）    他のプログラムに寄生するなどしてシステムの破壊や感染活動を行うプログラム寄生する対象を必要とする感染対象を必要とせず自己増殖するプログラム電子メールを介して感染を拡大するのはほとんどこのタイプ日本ではすべてを【ウイルス】と呼ぶ場合が多い 18 ウイルスの感染経路  電子メール    ファイル交換ソフト    映像・音楽に見せかけたウイルスが多数流通暴露ウィルスによる情報漏洩 USBメモリ    以前は主流添付ファイル少し前の主流自動実行の仕組みを悪用ホームページ閲覧   現在の主流ホームページ書き換えによりウイルスを仕掛ける  有名企業も被害に遭っている  19 トレンドマイクロなどのセキュリティ業者も電子メールによる感染の仕組み  「添付ファイル」としてウイルスが送られてくる  【実行】によりウイルスが作動・感染       ダブルクリックによる実行のほか，OutlookやOutlook Expressではセキュリティホールを利用されプレビューしただけで自動的に実行される場合も自分自身を添付したメールを大量送信自分自身を共有フォルダにコピー一見無害な画面などを表示しながらシステムを破壊サービス妨害（DoS）攻撃を行う場合もある【実行】しない限り，絶対に感染しない  20 Exploitによる遠隔実行もあるウイルス付き電子メールは当たり前…だった  鹿児島大学に来るウイルス付き電子メールは一ヶ月に３万通だったことも    一日平均では１０００通電子メールをホームページ上で公開していると必ず来る公開していなくても知り合いから来る   21 ウイルスはハードディスクからアドレス情報を収集差出人は詐称するので，Fromに書かれているアドレスは無関係であるのがほとんどファイル交換ソフトにおける感染の仕組み   圧縮ファイル・映像データ・音楽データに見せかけたウイルスがファイル交換ソフトネットワークには大量に流通している解凍・再生しようとすると感染する    感染に気づかないハードディスク内のデータをファイル交換ネットワークに放出回収不可能  22 同じファイル名・ファイルサイズで大量のデータを意図的に放出し，真のデータを埋もれさせる方法はある USBメモリによる感染の仕組み  感染PCに刺したUSBメモリに自動的にコピーされる   Windows VistaではUSBメモリを刺しただけでウイルスが実行される     標準で搭載されている「機能」 XPではUSBメモリドライブをダブルクリックで実行感染したウイルス本体はPC起動時に自動実行するようになるオンラインゲームのパスワードを盗む比較的無害なものからPCの破壊活動を行うものまで種類が非常に多い   USBメモリにウイルス本体とウイルス実行指示ファイル (autorun.inf)をコピー亜種が多く定義ファイルの更新が間に合わない場合も学内でも多く発生  23 発表会で使ったPCが感染し，被害が学科全体に及ぶケースもホームページ閲覧による感染の仕組み  セキュリティホールを利用した自動実行ウイルス   ホームページを閲覧しただけで感染するウイルスプログラムを画像ファイルに偽装   Flash，Acrobatのファイルに埋め込み   自動実行してしまうセキュリティホールを利用ウイルスプログラムそのものを巧みに実行させる   Webブラウザのセキュリティホールを悪用して感染させる「あなたのPCにウイルスが発見されました。駆除するには○○をダウンロードして…」最初に実行されるのはウイルスをダウンロード・インストールするためのプログラム  24 多数のウイルスに次々に感染最近のウイルスの特徴  感染したパソコンを遠隔操作するプログラムを組み込む  他のウイルスをダウンロード    偽セキュリティソフトや迷惑メール送信ソフトの場合も自分自身をアップデート「ボット」を構成する   複数の感染パソコンでボットネットを形成迷惑メール送信ビジネスに活用  「亜種」が多くウイルス対策ソフトで検知されない場合も活動しない時間が長く感染に気がつかない  少し前に流行したのは「Conficker(Downadup)」      USB＋ネットワーク型日本の被害では東京大学病院が有名数百万台以上のボットネットを形成→史上最大の並列計算機！？最近は「Gumblar」が流行中   25 Web感染型 FTPパスワードを盗んでWebサイトを書き換えるウイルス対策  ウイルス対策ソフトの導入・定義ファイルの更新   Windows Update     日本人から英語のメールが来てないか頼んでもいない添付ファイルではないかあやしげなサイトを見ない   「AUTORUN.INF」というフォルダを作っておくのが簡単で有効添付ファイルを開くときにちょっと注意する   Mac OS Xの場合はソフトウェアアップデート USBメモリを信頼できないPCに刺さない   鹿児島大学ではウイルス対策ソフトのサイトライセンスを取得している検索サイトの結果からも感染することがあるので注意ファイル交換ソフトは使わないいつでも「リカバリ」できるようバックアップをとる 26