本日の資料 - stwww

重要インフラストラクチャへの
サイバー攻撃の脅威
香川大学(工学部・総合情報センター)
今井 慈郎
imai@eng.kagawa-u.ac.jp
最近(今年)の被害状況
• ソニープレイステーションネットワーク:個人情報
流出(2011年4月)
• 三菱重工の国内11拠点:サーバ45台とPC38台
がウイルスに感染し,国内外のサイトに不正接
続(2011年9月)
• 衆院議員の公務用PCや衆院内サーバが今年7
月以降,サイバー攻撃?を受け,ウイルスに感
染(2011月10月)
• 富士通のサーバーに攻撃 クラウドの安全対策
急務(2011月11月)
ソニープレイステーションネットワーク:個人
情報流出(1)
• ソニーのゲーム機プレイステーション3(PS3)と
プレイステーション・ポータブル(PSP)のネットワー
ク接続「プレイステーションネットワーク(PSN)」の
不正アクセス事件:7700万件にも及ぶ個人情報
流出事件が発生.
• 流出したと思われる個人情報:「氏名」「国と住所」
「メールアドレス」「誕生日」「性別」「プレイステー
ションネットワークのログインパスワード」「プレイ
ステーションネットワークのオンラインID」(個人
情報のほぼすべてが流出!?)
ソニープレイステーションネットワーク:個人
情報流出(2)
• 特にパスワードが流出したことは重大(通常,パ
スワードはハッシュ化という方法により直接読み
取ることはできない)
• 漏えいした可能性もある個人情報:「過去の買い
物履歴や請求先住所を含むプロフィールデータ」
「クレジットカード番号」「パスワードの照合質問」
• (クレジットカードの裏面に書かれている3桁のセ
キュリティーコードは流出していないとのこと)
ソニープレイステーションネットワーク:個人
情報流出(3)
不正アクセスの手口:調査の結果,判明.
• 根本的な原因:アプリケーションサーバの脆弱性
(外部からの不正なアクセスなどによって不正に
利用できてしまう問題点・欠陥)に対処していな
かったこと.
• プレイステーションネットワーク:アプリケーション
サーバと呼ばれるプログラムに既知の脆弱性が
存在(ここを犯人に突かれて侵入)
ソニープレイステーションネットワーク:個人
情報流出(4)
① まず犯人はアプリケーションサーバの脆弱性を
突き,通信ツールをプレイステーションネットワー
ク内に不正に導入(裏口の確保)
② 設置した通信ツールによって,個人情報が保管
されているデータベースサーバーへのアクセス
情報を入手
③ アクセス情報を使って,外部からデータベース
に不正アクセス.
④ 個人情報をダウンロード
ソニープレイステーションネットワーク:個人
情報流出(5)
• ファイアウオールやIPS(侵入防止システム)はあっ
たものの,それを通り抜けている.
• 正規の通信として,入って出てくる方法で脆弱性
を突かれている(そのため不正アクセスとして検
知できなった模様).
• 最大の問題:脆弱性に対処していなかったこと.
防衛産業を担う三菱重工業のPCやサーバ
へのサイバー攻撃!?が判明(1)
• 三菱重工:感染したサーバ,PCなど計83台の一部
が海外サイトに強制的に接続.IPアドレスなど同社
のネットワークシステム情報が流出(警視庁公安部
は不正アクセス禁止法違反や業務妨害容疑なども
視野に捜査する方針)
• 添付ファイルを開くとPCなどが感染し,情報が外部
流出する恐れのあるメイルが送信されていたことを
確認(主に防衛関連部署の社員らが対象)
防衛産業を担う三菱重工業のPCやサーバ
へのサイバー攻撃!?が判明(1)
• 米トレンドマイクロによると,三菱重工を含む世界
の防衛8社がサイバー攻撃を受け,ウイルス感染
したコンピュータを遠隔操作する画面に中国語が
使われていたケースあり.
• 防衛関連企業をターゲットにしていたことが明らか
に.国家の存立を担保する安全保障への脅威
防衛産業を担う三菱重工業のPCやサーバ
へのサイバー攻撃!?が判明(2)
• 警視庁は他国のスパイ活動「サイバーインテリジェ
ンス」の可能性もあるとみて攻撃元の特定を指
示
• 手口はいずれも「標的型メール」によるもの.実
在の会社幹部や社員を装って標的のパソコンに
メールを送り,ウイルスを仕込んだ添付ファイル
やURLを開かせ感染させる手法.
衆議院・外務省・国土地理院への攻撃(1)
標的型メイル攻撃を受けてウイルス感染した状況
• 衆議院側:32台のマシンで感染
• 添付ファイルを開き,感染した公務マシン:1台
• 感染した議員アカウントサーバ等:4台
• 運用管理端末:2台
• 外部サイトへ接続試行の形跡を確認(三次感染し
た公務PC:25台)
• 参議院側:感染PC(サーバ無し)
衆議院・外務省・国土地理院への攻撃(2)
送付された標的型メイル
• 送付先:衆議院議員 3人,参議院議員 7人(内1人
は防衛相・・省庁にも10月に送付されている模様)
• 送付元メイルアドレス:syoutenn_aguri@aol.jp
• 差出人名 週刊焦点 安栗弘子(あぐり・ひろこ) 記
者名を騙ったもの
• 添付ファイル名 Photo.zip
• 件名 お願い事
• 本文 「最新号の週刊誌にあなたの顔写真を掲載
することになりますがよろしいですか。」
衆議院・外務省・国土地理院への攻撃(3)
不正プログラムの機能
• キーロガー
• ドロッパー(不正プログラム自身が,活動のため,シ
ステム内に他の不正プログラムファイルをコピーす
る活動)
• リモート操作・ダウンローダ(接続先は3サイト)
• ステガノグラフィ(画像埋め込み)によるコマンド実行
• 時間差によるジョブ実行(ウイルスが動作してもそ
の時点は気付かない)
衆議院・外務省・国土地理院への攻撃(4)
• 外務省:一部の在外公館でシステムへの侵入を確認.た
だし,通常業務ネットワークと外交機密電文を扱うネット
ワークとは分離(実害はなし).
• 国土地理院:観測データ用のサーバが外部からサイバー
攻撃を受け,IDとパスワードが解析・不正侵入.情報窃
取を目的とした「標的型メール」が送り付けられ,不正侵
入.星からの電波を複数のアンテナで受信し、到達時刻
の差から距離を測定するVLBI(超長基線電波干渉法)
のコンピューターサーバが対象.このサーバを通じて攻
撃を受けた国内の研究機関と民間企業から情報提供が
あり発覚.
http://d.hatena.ne.jp/Kango/20111025/1319556641
クラウドサービスを提供するIT企業が攻撃
されると顧客への被害が一気に拡大(1)
• 富士通の事例:同社データセンターにある電子
申請システムのサーバに,複数IPアドレスから大
量アクセス(DoS攻撃).同社のサービスを利用
(電子申請サイトとして)している福島,千葉,静
岡,福岡などで一時サービスが使えなくなる障害
が発生(情報漏洩自体はなかった模様).
• クラウド型電子申請サービス(2006年頃開始)は,
自前での情報システム運用と比較し,「費用が3
分の1から半分で済む」という運用費の安さが売
り(今後のニーズも予測).
クラウドサービスを提供するIT企業が攻撃
されると顧客への被害が一気に拡大(2)
• 一般に,クラウドでは最新ウイルス対策が前提で
あり,自前システム運用よりセキュリティレベル
は高い.しかし,サービスが停止する事態となれ
ば影響大.DoS攻撃に対しては,対応も必要(富
士通では「サーバ増強やファイアウオール強化
などを検討」).
• その分コストアップに繋がり,クラウドの良さを損
なう可能性あり(IT企業は安全対策強化と価格
のバランスをどう取るか工夫が必要).システムト
ラブルなどでサービス不能となった場合,契約に
より顧客が損害賠償請求できるケースあり(企業
側の負担増)
日本経済新聞より
攻撃の分類
• セキュリティホールについて
• 外部からの攻撃
• 内部から(というか内部に侵入して)の攻
撃
• 感染経路に関する簡易分類
セキュリティホール(Security hole)(1)
• OSやソフトウェアにおいて,プログラム不具合・設計ミ
スが原因となって発生する情報セキュリティ上の欠陥
(抜け穴).「脆弱性」と表現される場合も
• セキュリティホールが残された状態でシステムを利用
し続けると,侵入や破壊工作への利用,ウィルス感染
などの危険性.
• 代表的なセキュリティホールとして,「バッファオーバー
フロー」(Buffer overflow)が良く知られている.
セキュリティホール(Security hole)(2)
• OSやアプリケーションソフトのプログラムが処理に利
用しているメモリのバッファ領域に入り切らない大量
のデータが書き込まれると,その対策が不十分な場
合(脆弱性が存在するという),予期せぬ動作の実行・
システム停止などの不具合あり.
• バッファオーバーフロー自体は,内部で利用するバッ
ファの適切な管理で解決可能.しかし,一部でも対策
を怠った場合,重大なセキュリティホールとなる危険
性あり.
バッファオーバーランによる攻撃(1)
• 典型的バッファオーバーラン:バッファがスタック領域
に割り当てられたものである場合(C言語の自動変
数ではバッファがスタック領域に割当てられる),は
み出したデータがスタック領域の当該バッファ割当て
部分よりも外の部分を書き換える.一方,スタック領
域にはサブルーチンからのリターンアドレス等が格
納されているため,そのリターンアドレスをバッファー
オーバーランしたデータで書き換えられてしまう
(Return-to-libc攻撃).
• 一般に市販OSの多くは,メモリ保護機能を持たない
ため,Return-to-libc攻撃に弱い点が問題の根底.
バッファオーバーランによる攻撃(2)
• クラッカは,Return-to-libc攻撃で,データ改竄・システ
ム損壊を目的とした操作を行う(通常,ワームウィル
ス等の不正プログラムを作成し,それにReturn-to-libc
攻撃を実行させる).
• 具体的には,バッファオーバーラン攻撃を行う場合,
①送信データに不正なプログラムのコード(シェルコー
ド)を挿入,②前述のスタック領域上のリターンアドレ
ス等を,この不正コードが存在するアドレスに書換,
③任意の不正なコードを相手のコンピュータにおいて
実行,④OS上の管理者権限を不正に奪取,
などの攻撃を実行する.・・ 代表的な攻撃手法
外部からの攻撃(1)
• DoS攻撃
DoS(Denial Of Service):システムが提供するサービス
の「妨害」や「機能停止」を図る攻撃.
サービス妨害の代表:(1)過負荷をかけるもの,(2)例外
処理ができないもの等.
• DDoS攻撃
DDoS(Distributed Denial Of Service):DoS攻撃を行うマ
シンが単独であれば,そのマシン(IPアドレスは既知)か
らのパケットを遮断することも可能.しかし,DoS攻撃を
行うマシンがネットワーク上に分散している場合をDDoS
と呼ぶ.これは防御が難しい攻撃手法の代表.
DDoS:千台〜数万台といった多数のホストから
「一斉攻撃」を受けるため,サービスやネットワークが
停止.しかも,DDoS攻撃の原因と攻撃したホストを特
定しようとしても,攻撃側は第三者のホストに操られ
ているだけで,特定が非常に難しい.また,「踏み台」
となったホストの管理者もDDoSのモジュールが埋め
込まれ踏み台にされていることを気づかない場合もあ
る(攻撃側の特定は困難).
出典
http://www.ipa.go.jp/security/fy14/contents/soho/html/chap1/dos.html
外部からの攻撃(2)
• ポートスキャン
本来の目的:管理者が,ネットワークで使用したいポートの
状態を確認する行為.・・実は某先生も「研究」として実施
クラッキング手法:サーバに対して多様な手段で接続を試
み,弱点を探して攻撃のためのデータを取得(パッケージ化
されたソフトが流通).
少しでもPCがポートスキャンを受けている恐れがある場合,
一般ユーザ:OSやアプリケーションの(既知の)脆弱性の問
題を悪用される前に,アップデートやアンチウィルスソフト導
入が必要.
システム管理者:ルータやファイアウォールといったネット
ワーク機器を適切な設定が必要. ポートスキャン後の被害
(の危険性)を低減することが望ましい.
外部からの攻撃を分類すると・・
① サーバやPCのサービスや操作(活動)を機能不
全に貶める目的の攻撃パターン
② サーバやPCへの侵入を目的として,その侵入経
路や対象を探る目的の攻撃(というより「斥候」or
調査)パターン
どちらも攻撃を受ける側は困難に直面するが,後者
は以下でも説明するように,より深刻なダメージを受
ける危険性が高い.特に後者は「侵入」されることの
危険性が問題.では「侵入」されると・・・
内部からの攻撃(1)
• トロイの木馬
被害者(となるユーザ)が自ら,ダウンロードしたプ
ログラム実行形式のファイル(Windowsであれ
ば.exe)を実行し,悪意ある動作を開始するプログラ
ム(自己増殖機能がない場合もあるので,ウィルス
とは呼ばない).
ギリシア神話に登場する「トロイの木馬」に由来.
「トロイの木馬」の物語
(出典:ギリシャ神話「岩波新書」)
ギリシャ軍はトロイ軍と10年間消耗
戦を続けてきたが、ある日、トロイ軍
がギリシャ軍陣地を見ると、ギリシャ
軍は巨大な木馬を残して全部退却し
てしまった(ように見えた)。
トロイ軍は自軍の勝利と思い込んで、
木馬を戦利品として城内に引き入れ、
盛大な戦勝の宴を催した。しかし、実
はこの木馬の中にはギリシャ兵が隠
れており、トロイ軍が酔い潰れた夜中
に木馬から出て城内からトロイ軍を
総攻撃し、かくてトロイは滅亡させら
れてしまったという。
2009年4月9日:音楽ファイルに寄生
するトロイの木馬.ネットにつながら
ない(ウイルス対策ソフトが出す警
告が消えない).
2009年9月7日:Firefoxを狙う偽
FlashPlayerが,実はトロイの木馬.
Flashだと思ってインストールすると,
ユーザがGoogleで検索した内容を
記録し,外部のサーバに送信する.
内部からの攻撃(2)
• バックドア型:被害者の認識を経ずインストール・実
行される遠隔操作のためのプログラム(ワーム).最
も危険なトロイの一種.RAT(Remote Administration
Tool)と呼ばれ,OSの管理者権限を有するかの振
る舞いで,比較的低い検知率.
• パスワード窃盗型:被害者のマシン上のあらゆる種
類のパスワード,IPアドレス,被害者のマシンの詳
細な情報などを収集.電子メイル等の通信手段を
用い,攻撃者へ送信.
内部からの攻撃(3)
スパイウェア(spyware):ユーザの行動や個人情報など
の収集,マイクロプロセサ空き時間借用(予め設定され
た)による計算実行などを行うアプリケーションソフト.
実行結果より取得データはスパイウェア作成元(マーケ
ティング会社や個人など)に送付.
内部からの攻撃(4)
狭義のスパイウェア:知らないうちに勝手にPCにインス
トールされ,スパイ活動を行うプログラム.スパイ活動
とは,PC内に存在する情報・アクセス情報・PCに対す
る操作の情報(パスワードなど)を許可無しに第三者に
送信する行為.
広義のスパイウェア(マルウェアという呼称あり):知ら
ない内に勝手にPCにインストールされ,ユーザに「害」
を与えるプログラム全般.ウィルス等も含む広義のス
パイウェア.
スパイウェア侵入(感染)経路
• 他の有用プログラム中に,スパイウェアコンポー
ネントを隠しておく方法:スパイウェア含有プログ
ラムは無料ダウンロード可能という場合も多い.
利便性をユーザにアピール.
• OSやブラウザのセキュリティホールを利用する
方法:ウェブサイト閲覧中に欠陥や安全上の問
題をついて,コンピュータ内に侵入.
• ウィルス・電子メイルに添付されたプログラムを
不注意などで実行,ダウンロード:配信元を匿名
とし,迷惑メイル中継機能など含む場合あり.