つながる時代におけるサイバー攻撃の潮流と企業におけるセキュリティ

(1)

(2)

(3)

“ネットセキュリティはCEOレベルで対処すべき事項”

*3

CEOの61%

ネット攻撃が増加することを心配

*4

内部監査担当者の65

%

「ここ1～2年のネットセキュリ

ティーリスクについて、役員の見方はどう変わりましたか？」との問い

に対し65%以上の内部監査担当はリスクに対する認識が高い、あるいは

高まっていると回答した

*5

• 日本の政府機関への不正アクセス約

508万件

*1

• 企業の

7割

はセキュリティ事故を経験

9割

は未知の脅威が

侵入済み

*2

• 米国納税者アカウント

10万人

米政府職員

400万人

の情報流出

*6

• 侵入から

発見

されるまで

242日

（中央値）

*3

サイバー攻撃の現状

企業の

9割

は脅威が侵入済み

• データ侵害に対する平均的なコスト

4.2億円

• 不正送金被害

29憶円

（企業の被害が増加）

• 漏洩したデータ

9億400万件

• 不正アクセスが原因で企業が

破産

*7

＊

セキュリティ問題

サーバールームから役員室へ

APAC CIO 調査

新しいテクノロジ採用に際しての最大の障壁

新しいテクノロジに

対する投資の不足

新しいテクノロジに

対するセキュリティ、

プライバシーやコン

プライアンスの懸念

ITに関する決定をする際

に、多くの利害関係者が

生まれ、意思決定が遅延

予算

81 %

信頼

79 %

採用に伴う

影響

72 %

被害

推定総額

360兆円

*3

サイバー攻撃

*1情報セキュリティ政策会議 2013年度データ *2 トレンドマイクロ IT Japan 2015 2015年07月

*3 McKinsey & Co. 高度ネットワーク社会で出来ることとそのリスク: 企業への示唆2014年1月 *4 PwC グローバル CEO 調査 2015年1月

*5 内部監査担当者 2014年動向調査より

*6 米内国歳入庁（IRS） 2015年5月人事管理局 2015年6月 *7オランダの認証局「DigiNotar」 2011年9月

(4)

“国防総省高官によれば、国務

省への侵入において、国防総

省内の機密を扱うメールシス

テムは影響を受けていない、

しかし、ハッカーはホワイトハ

ウスのネットワークへの侵入

のために（国防総省のシステ

ムを）利用した

"

(5)

マルウエア検出・感染＠マイクロソフト

5 マイクロソフトのIT環境

100 ヵ国＋

15万

人

60万

台+

AVの最新のリアルタイム検知適用率

99.85%

検出

80万

件

検出

2 .6

回

/年

感染

143 件

感染

1/

2

100 台

/年

2014年7月-12月

(出典SIR18)

(6)

(7)

攻撃指令 #2015-02-20

ハッカー宣言

• 目的のためには手段を選ばない

• できるだけ楽な方法で攻撃する

• 時間をかけることを厭わない

• CONTSO社が、ID-SEC社を買収する

と噂されている。

• この買収が実現した場合、ID-SEC

社の株価は間違いなく上昇する

• CONOTO社に侵入し、買収金額と、

発表の日程を盗み出せ

• 市場を混乱させるために、その情

報を社長名義のメールでメディアに

ばらまけ

攻撃にあたっての初期情報

• CONTSO社

• ITソフトの大手企業

• http://www.contoso.co.jp/

• ID-SEC社

• 認証技術に特化したITセキュリティベンダー

• ID-SEC者が販売する次世代認証技術は、市場を変えるといわれている。

• ネットワーク

• 外部から接続ができるのは、DMZのWebサーバーとメールだけである。

• 社内から社外に対する通信も、メールとWeb以外はすべてブロックされ

ている

• 標的リスト

• 社長

林櫂

• 人事部長

渋谷あきこ

• 総務部長

大黒俊英

• IT技術者

尾野里佳子

• サポート窓口 [email protected]

• 広報窓口

• メディア

• 読売新聞社会部

7 標的

ＰＣ

(8)

運

用

基

盤

必要とされる対策とその要素

対策のフェーズ・要素

Protect

対策

(ESAE)

Detect

検出

(MTDS)

Response

対応

(PADS)

Assessment

評価・検証

(MSRA)

Management and Monitor

管理・運用とモニター

(MOF/ATA)

Exercise

演習・訓練

(Workshop)

Recover

復旧

(ESAE)

不正アクセス

対策

統制の仕組み

具体的な設定

USCGB等

アプリ

APT対策

特権保護

Process

People

Product

(Technology)

ID管理

情報保護

情報の分類と

分離

暗号

アクセス管理

ボリューム

保護

ファイルの

保護

データの

保護

人とプロセスの

マネジメント

教育・啓発

ISMS

監査

運用手順

(Procedure)

ポリシー

スタンダード

モニタと計測

演習・訓練

事業継続（

B

CP

)

ネット

OS

セキュリティ

ツール

デバイス

（ハード）

人材・組織

(9)

Security Development

Lifecycle の概要

(10)

Security Development Lifecycleのコア要素

• SD

3 +C：SDLの基本コンセプト

• Secure by Design, by Default and in Deployment.

• Communications

• 脅威モデル（Threat modeling）

Threat modeling は、コードレビューでは見つけにくい、バグ以外の脅威を見つけ

るために有効.

• アプリケーションの分解と、

境界

の明確化

• 脅威の分析・定義と分類

• STRIDE 分析

• Spoofing, Tampering, Repudiation, Information disclosure, Denial of service ,

Elevation of privilege

• 攻撃手法の特定

• 脅威への対策

(11)

Security Development Lifecycle実施要素

設計

ｾｷｭﾘﾃｨに関するｱｰｷﾃｸ

ﾁｬと、設計要件の規

定

弱い暗号の禁止

ｿﾌﾄｳｪｱのｱﾀｯｸｻｰﾌｪｽの

ﾄﾞｷｭﾒﾝﾄ化

脅威のモデル化

設計上のﾘｽｸを軽減す

る

開発ﾂｰﾙと技術

静的なｺｰﾄﾞ分析ﾂｰﾙ

群

問題のあるAPIの禁

止

DiD ﾌﾟﾛﾃｸｼｮﾝでの

ﾋﾞﾙﾄﾞ (/GS,

HeapTerm,

/NOEXECUTE,

and ASLR)

XSS 対策ﾗｲﾌﾞﾗﾘの

利用

ﾃｽﾄの為のﾂｰﾙと技術

Fuzzing

ｱﾀｯｸｻｰﾌｪｽ分析

ｾｷｭﾘﾃｨｺｰﾄﾞﾚﾋﾞｭｰ

集中的なｾｷｭﾘﾃｨﾃｽﾄ

ﾍﾟﾈﾄﾚｰｼｮﾝﾃｽﾄ

ﾚｽﾎﾟｽの計画の立案

Security Push

出荷基準への準拠

Final Security

Review

ｾｷｭﾘﾃｨﾁｰﾑによる独

立したﾚﾋﾞｭ

SDL適応情報のド

キュメント化

出荷と導入

承認

ｾｷｭﾘﾃｨﾚｽﾎﾟﾝｽ

計画の立案と実施

開発に対するﾌｨｰﾄﾞ

ﾊﾞｯｸﾙｰﾌﾟ

原因の分析

教育とﾄﾚｰﾆﾝｸﾞ

セキュアな開発を

実施できるように

教育する

開始要件

ｾｷｭﾘﾃｨｱﾄﾞﾊﾞｲｻﾞの

配属

開発ﾂｰﾙと環境の用

意

ｾｷｭﾘﾃｨﾏｲﾙｽﾄｰﾝの設

定

要件定義

設計

実装

検査

出荷

対応・対処

(12)

SDLのISO/IEC 27034-1への適合宣言

今がそのとき。すべての当事者の最優先事項とすべきセキュリティ開発

• 国際標準化機構 (ISO) と国際電気標準会議 (IEC) は、セキュリティ開発プロセスに関す

る標準が必要であると認識し、ISO/IEC 27034-1を公開しました。この新しい国際標

準は、包括的なソフトウェアセキュリティプログラムの構築に必要なプロセスとフレー

ムワークに焦点を当てた初めての標準です。ISO/IEC 27034-1 は、セキュリティを正し

い方向に向かわせる重要な一歩であり、組織に多くの可能性をもたらします。マイクロ

ソフトはセキュリティ開発におけるこの重要なマイルストーンを認識し、本日、適合宣

言を通じて、マイクロソフトの SDL が ISO 27034-1 に適合していることを発表しま

した。この標準に公に適合することによって、マイクロソフトが、セキュリティ開発に

専心しようとする他の企業の見本となることを願っています。

• ソフトウェアを開発または販売する企業にとって、この標準は、セキュリティ開発プラクティスの共通の

評価言語を提供し、セキュリティ開発フレームワークを導入するための単純明快な概要を示し、市場で競

争力を持つための差別化要因となります。

• ベンダーからソフトウェアやサービスを購入するお客様にとって、この標準は、業界、プラットフォーム、

地域全体でのセキュリティ開発を要求する購入者の単一の「言語」を提供します。

12 http://blogs.technet.com/b/jpsecurity/archive/2014/07/31/the-time-is-now-security-development-must-be-a-priority-for-everyone.aspx

(13)

いかにして

SDLにたどり着いたのか

(14)

Windows Products and Security

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissa • I LOVE YOU • SolarSunrise • CodeRed • Nimda • DDoS on DNS root • Slammer • Blaster • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

Protocol Weaknesses/Remote Buffer overflow

• SPAM Mails

• Spyware • Phishing proliferated

Cyber Crimes • WiityWorm • Agobot • Sobig • Yahoo DDoS • Linux • MOSAIC • Net BSD •Free BSD •NetWare • Targeted Attack

• Huge Data Leak

•Mac OS-X • JP Gov. HP • AT&T Janes •IIJ • テレホーダイ • ADSL • Ping of Death • Yahoo •eBay • Google

• Winny • Winny Incident

• Brown orifice

• Attacks for JP Soft

Virus via Media

• INN/phf

• Back Orifice • statd,named,popd

•DDoS tools

Broad band Network

Virus via E-Mail

Worm communization Worm in the wild

Document / Local BO

• Netscape

• Virus Creation Laboratory • Michelangelo • Netcat • YouTube • Skype • Amazon • mySpace • mixi • Blog • First SPAM • Java • JavaScript • Real Player • PDF

• Little Black Book

• Windows 3.0 • Windows 95 • Windows 98

•NT3.1 • NT 4.0 •Win 2000

•Win XP SP2 •Win Vista •Win Server 2003 •Win XP •Win Server 2008 •Internet Explorer • Sasser

•ＯＳはシングルユーザであった

•このため、セキュリティ管理に対する要求はほと

んどなかった

•Windows NT 3.1 が最初のマルチユーザーＯＳとなる

•以下の項目に対して、特に配慮して設計された

•セキュリティ上の脅威への取り組み

•ユーザーを他のユーザーから守る

•アプリケーションを他のアプリケーションから守る

•プロセスを他のプロセスから守る

(15)

Windows Products and Security: 1998年以前

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissaz • I LOVE YOU • SolarSunrise • DDoS on DNS root • Slammer • Blaster • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

• CodeRed • Nimda

各製品チームが個別に対応していた …

コミュニケーション、対策のリリース

Windowsマーケティング部門が対応していた …

脆弱性に関するメディアや報道関係

(16)

Windows Products and Security:1990年代中頃

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissaz • I LOVE YOU • SolarSunrise • DDoS on DNS root • Slammer • Blaster • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

•脆弱性の発見と公表が日常的に行われるように

なる.

•攻撃コードが公開され、これによる事件が発生す

るようになる。 (Script Kiddy)

この傾向は一時的なものはないと判断

Microsoft は、これに対応するため、いくつ

かのステップを実施した。

インターネットの発展

(17)

SANS: 最も重要なインターネット上の脅威

The Top 10 Most Critical Internet Security Threats (2000-2001)

1 BIND weaknesses: nxt, qinv and in.named allow immediate root compromise.

2 Vulnerable CGI programs and application extensions (e.g., ColdFusion)

installed on web servers

3 Remote Procedure Call (RPC) weaknesses in rpc.ttdbserverd (ToolTalk),

rpc.cmsd (Calendar Manager), and rpc.statd that allow immediate root

compromise

4 RDS security hole in the Microsoft Internet Information Server (IIS)

5 Sendmail and MIME buffer overflows as well as pipe attacks that allow

immediate root compromise

6 sadmind and mountd

7 Global file sharing and inappropriate information sharing via NetBIOS and

Windows NT ports 135->139 (445 in Windows2000), or UNIX NFS exports on

port 2049, or Macintosh Web sharing or AppleShare/IP on ports 80, 427, and

548

8 User IDs, especially root/administrator with no passwords or weak passwords

9 IMAP and POP buffer overflow vulnerabilities or incorrect configuration

(18)

Windows Products and Security: 最初のステップ

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissa • I LOVE YOU • SolarSunrise • DDoS on DNS root • Slammer • Blaster • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

STF

MSRC

MSRCの設立

•脆弱性を受け付けるe-mailアドレス

•アップデートリリースの一本化

www.microsoft.com/security

•セキュリティに関するメディア対応

Internal Security Task Force

•脆弱性発生の本質的な原因の調査を実施し、改善

するための方策を推奨事項としてまとめる

STF 推奨事項

・経営陣の関与、技術者の啓発と教育

・Threat modeling、Code review, Security testing,

・Post-release security response process

・独立したセキュリティチーム、

(19)

過去のセキュリティ更新情報の検索

(20)

Windows Products and Security: Windows 2000

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

STF

W2K

P

en

-tes

t

P

REf

ix

MSRC

SWI(Secure Windows Initiative)

Pen-Test teamの設立

•独立した検査チーム。

•コードのチェックと、Pen-Testを実施

PREfixの導入

•自動化された、BRを見つける為のツール

Security issues were SHIP STOPPER

Windows 2000

多数のセキュリティ機能を実装

しかし、増加するバグレポートが大きな問

題となっていた

SWIの設立

•製品部門への教育と

•設計とコードのレビュー

•問題の修正

結果の評価

ある程度のセキュリティの向上を図ることができた

“SHHIP-STOPPER” は、経営陣の目に見えるコミットメ

ントとして有効だった

SWIは、Windows全体を見るには、小さすぎた

(21)

Windows Products and Security: Windows XP

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

STF

W2K

P

en

-test

P

REf

ix

XP

P

REf

ast

MSRC

SWI(Secure Windows Initiative)

確実なセキュリティの向上のため…

•技術者の支援を中心に移行

•魚（脆弱性）を釣る代わりに、魚の釣り方

を教える

•“Security Days” “bug bashes”: これを、確

実に実施するための施策

Windows XP

さらなる、効果的な取り組みが必要とされ

た security.

Security Day / Bug bash

2~4時間のセキュリティトレーニングで始まり、その

日の復習で終了する。

コードのレビューを行い、ペネトレーションテスト（侵

入テスト）や、その他のセキュリティテストを指導す

る。する、

“最高のセキュリティバグ賞”等を設置し、表彰を行

う。

発見と修正の記録

コードレビューと検査を続けるとともに、修正が確

実に行われるように、発見と記録を徹底した。

PREfirst, 二つ目のツール

モジュール単位での発見に優れた、

PREFirstの開発と導入

(22)

Windows Products and Security: Worms and TwC

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

TwC (Trustworthy Computing)

STF

W2K

P

en

-test

P

REf

ix

XP

P

REf

ast

.NE

T

MSRC

SWI(Secure Windows Initiative)

Se

cu

rity

Pu

sh

First Security Push .NET framework

TwCのラウンチ前に、.NET Frameworkに対す

るセキュリティプッシュを実施.

開発を停止し、すべてのエンジニアをSecurity

Pushへ投入

Result of this efforts

多数の問題を出荷前に対応

極めて防御的な機構をLRT とMicrosoft ASP.NETに

実装

Trustworthy Computing initiative

根本的に、Microsoft製品のセキュリティと品

質を向上させるための取り組み

セキュりティとプライバシーに取り組みため、

2002年にビル・ゲーツのメールでラウンチ

(23)

毎週水曜更新へ 2002年5月

逐次公開

毎週火曜に

まとめて公開

(24)

Windows Products and Security: Windows Server 2003

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissa • I LOVE YOU • SolarSunrise • DDoS on DNS root • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

TwC (Trustworthy Computing)

STF

W2K

P

en

-test

P

REf

ix

XP

P

REf

ast

.NE

T

MSRC

2003

SWI(Secure Windows Initiative)

Se

cu

rity

Pu

sh

+ Fi

n

al

Se

cu

rity

Rev

ie

w

• Slammer • Blaster

開発を停止し、Security Pushを実施

•8500人に及ぶ技術者へのトレーニングの実施

•脅威モデルに基づく分析と、分析に基づく設計

変更

•静的検査ツールの適用（PREfix, PREfast等）、

コードレビューの実施

•バッドパラメータを使った、セキュリティテストの

実施と、ペネトレーションテストの実施

Windows Server 2003 のチャレンジ

•予定された出荷日間近であった.

•.NETと比較して10倍の規模であった

•古いコードを多く含んでいた

•互換性の確保が必要だった

Security issues were SHIP STOPPER

Result of this efforts

成功裏に終えることができた

新たなMicrosoftの標準となった

(25)

毎月第2火曜へ 2003年11月

毎週水曜

第2火曜

緊急リリース

(26)

Windows Products and Security: never end story

1990

1991

1992

1993

1994

1995

1996

1997

1998

1999

2000

2001

2002

2003

2004

2005

2006

2007

2008

• Concept • Melissa • I LOVE YOU • SolarSunrise • DDoS on DNS root • MyDoom •NetSky •Bagle Client-server/PC-LAN Internet Computer Crimes

• SPAM Mails

• Huge Data Leak

• Brown orifice

Virus via Media

• INN/phf

•DDoS tools

Broad band Network

Virus via E-Mail

Document / Local BO

• Netscape

•NT3.1 • NT 4.0 •Win 2000

ADHOC /Product/Marketing

TwC (Trustworthy Computing)

STF

W2K

P

en

-test

P

REf

ix

XP

P

REf

ast

.NE

T

MSRC

2003

SWI(Secure Windows Initiative)

• Slammer • Blaster

Se

cu

rity

Pu

sh

+ Fi

n

al

Se

cu

rity

Rev

ie

w

SDL

Security Development Lifecycle

O F 20 03 SQ L 2K 3 EX C 2K -3 Etc ..

より、確実に効果的に行うため

•Ad hoc から、エンジニアリングプロセスへ

•以下のすべての製品は、SDLを適用しなければ

ならない

•日常的に、企業、政府、その他で利用されるプロ

グラム。

•日常的に、個人情報や他のセンシティブな情報

を扱うプログラム

•日常的に、インターネットに接続するプログラム

SDL (version 2.0)

•2004年7月1日に施行

•半数以上の技術者がトレーニングを実施

•正式なSDLの要求事項が、社内の公式WEBサイ

トに登録

•年に二回のペースで、SDL自体を更新（現在は、

4.0）

(27)

SDLに関して学んだこと

• セキュリティテストは、重要な要素だが、十分ではない

• セキュアコーディングは、重要な要素だが、十分ではない

• 脅威分析は、重要な要素だが、十分ではない

• エンジニアの啓発とトレーニングは、重要な要素だが、十分ではない

• 経営陣のコミットメントは重要な要素だが、十分ではない

• これらのすべては、個別に実施していたのでは効果的ではない

• 必要とされる要素を、効果的かつ安定したエンジニアリングとしてプロセ

スとする必要がある。

• 具体的な手法については、最初のページ “Security Development

Lifecycle Overview” を見てください

(28)

マイクロソフトの深刻度評価システム

価

定義

緊急

(Critical)

ユーザーの操作なしでコード実行の悪用が行われる可能性のある脆弱性で

す。これらのシナリオには、自己増殖性のマルウェア（例：ネットワーク

ワーム）、もしくは、警告やプロンプトが表示されずにコード実行が起こ

る、避けることのできない一般的なシナリオなどが含まれます。Web ペー

ジを閲覧する、あるいは、メールを開ける可能性があるということを意味

します。

マイクロソフトは、お客様が緊急の更新プログラムを早急に適用すること

を推奨します。

重要

(Important)

この脆弱性が悪用された場合、ユーザーデータの機密性、完全性または可

用性が侵害される可能性があります。または、処理中のリソースの完全性

または可用性が侵害される可能性があります。これらのシナリオには、ク

ライアントが、プロンプトの出所、品質、あるいはユーザビリティに関わ

らず、表示された警告やプロンプトを受け入れるという一般的に使用され

るシナリオが含まれます。プロンプト、もしくは警告を生成しない一連の

ユーザーアクションも網羅されています。

マイクロソフトは、お客様が重要な更新プログラムをできる限り早く、適

用することを推奨します。

警告

(Moderate)

脆弱性の影響は、認証要件、または、非デフォルト設定に対してのみ適用

性があるなどの要素によって、大幅に緩和されます。

マイクロソフトは、お客様がセキュリティ更新プログラムを適用すること

を検討することを推奨します。

注意

(Low)

脆弱性の影響は、影響を受けるコンポーネントの特性によって、包括的に

緩和されます。マイクロソフトは、お客様が影響を受けるシステムに対し

てセキュリティ更新プログラムを適用するか否か判断することを推奨しま

す。

セキュリティ情報の深刻度評価システム

http://technet.microsoft.com/ja-jp/security/gg309177.aspx

セキュリティ情報の深刻度評価システム

Exploitability

Indexの評価

簡単な定義

1 悪用コードの可能性*

2 悪用コードの作成困難**

3 悪用コードの可能性低***

* 以前の定義: 安定した悪用コードの可能性

** 以前の定義: 不安定な悪用コードの可能性

*** 以前の定義: 機能する見込みのない悪用コード

サービス拒否の

悪用可能性の評

価

定義

一時的

この脆弱性が悪用されると、攻撃が停止される、また

は想定外に停止して、自動的に回復するまでオペレー

ティングシステムまたはアプリケーションが一時的

に応答しなくなる可能性があります。攻撃が終了する

とすぐに、標的の機能性が通常レベルに戻ります

永続的

この脆弱性が悪用されると、手動で再起動する、また

は自動的に回復せずに想定外に停止するまで、オペ

レーティングシステムまたはアプリケーションが永

続的に応答しなくなる可能性があります。

悪用可能性指標

Microsoft Exploitability Index (悪用可能性指標)

(29)

(30)

(31)

セキュリティ企業

セキュリティ研究者

エラー情報

顧客対応など

CSIRT

(Ex. JPCERT/CC)

マイクロソフト

SCP

MAPP

ISP

GIAIS

各国政府機関

GSP

セキュリティ更新

プログラム

更新プログラム

マイクロソフト社

セキュリティ製品の対応

Smart Screen

Cyber

Crime

Center

各国法執行機関

ハッカーサイト等

＠マイクロソフト

• マルウエアの収集・解析（世界 5 箇所の MMPC ラボ）

• 1 日当たり 15 万ウイルス検体

• 感染データなどに基づいた脅威観測および解析

• 1 日当たり 1500 万テレメトリ観測

(32)

標準的な脆弱性への対応プロセス

MAPPによる

情報提供

セキュリティベンダーから対策の提供

（パターンファイルの更新等）

セキュリティ製品による

保護が期待できる

MAPP

Microsoft Active Protection Program

セキュリティ更新プログラムを公開前に、脆弱性に

関する詳細な情報を、セキュリティ関連企業に通知

することで、更新プログラム公開と同時に、セキュ

リティソフトによる利用者の保護を行うための取り

組み

通常の

ケース

脆弱性の発見

脆弱性の公表

更新プログラム配信

更新プログラム適用

公開情報を分析し、脆弱性を探し、

攻撃コードが開発されるため、公表

されたら、更新プログラム適用まで

の時間を、短くすることが重要

(33)

ゼロデイのケース

回避策の

適用

回避策の

公表

MAPP への

通知

セキュリティ

製品への反映

ゼロデイの

ケース

脆弱性の公表

更新プログラム配信

更新プログラム適用

公開情報を分析し、脆弱性を探し、

攻撃コードが開発されるため、公表

されたら、更新プログラム適用まで

の時間を、短くすることが重要

攻撃と未知の

脆弱性の発見

（ゼロデイ）

セキュリティ製品による

保護が期待できる

攻撃の状況について、様々

な手法でモニターをし、常

に状況の把握に努める

回避策により、攻撃を防ぐ

ことができる

(34)

Microsoft Active Protections Program(MAPP)

• MAPP for Security Vendors

• 現行のMAPPプログラムに、セキュリティ更新プログラムを事前に評

価を提供するMAPP Validationを追加

• 公表前日から３日前に情報を提供するように変更

• MAPPに参加したばかりのベンダーは、これまで通り１日前に提供

• MAPP for Responders

• 技術的な脅威情報（悪意のあるURL, ファイルハッシュ、検知ガイダ

ンス）と、傾向などを含んだより一般的な情報を共有するメカニズム

• MAPP Scanner

• Officeドキュメント、PDFファイル、URLに対するコンテンツベース

の攻撃をスキャンするクラウドベースのサービス

• 静的な解析に加えて、脆弱性の利用についての分析も行う

• 新しい攻撃を早期に発見することにつながることを期待

(35)

MAPP Partners with Updated Protections

35

(36)

攻撃が成功した際に

(37)

整合性レベルと保護モード

• 整合性レベル(IL: Integrity Model)

• プロセスとオブジェクト間にレベルを設け、プロセスが持つレベルよりも高いレベルへの書き込みを禁止す

る仕組み

• 特に、メッセージに関する制限を、ユーザーインターフェイス特権の分離(UIPI : User Interface Privilege

Isolation )と呼んでいる

• 整合性は、ACLの評価に先立って、評価される

高

中

低

中IL

プロセス

低IL

プロセス

高

中

低

他のプロセス

オブジェクト

読み取り

書き込み

Documents and Settings¥%USER

PROFILE%...

...¥Local Settings¥Temporary Internet

Files¥Low

...¥Local Settings¥Temp¥Low

...¥Local Settings¥History¥Low ...¥%USER

PROFILE%¥Favorites¥Low ...¥%USER

PROFILE%¥Cookies¥Low %USER

PROFILE%¥AppData¥LocalLow

一般のファイル、レジストリ等のオブジェクト

%SystemRoot%, %ProgramFiles%等の、

管理者権限が必要なオブジェクト

仮想化されたオブジェクトへの

リダイレクト（設定等による）

(38)

UACによるユーザー権限での実行

システム

プログラム

データ

テンポラリ

ユーザー権限

プロセス

管理者権限

プロセス

システム

プログラム

データ

テンポラリ

プロセス

1. 脆弱性を使ってShell Codeを動作させる

2. 任意のエリアへ、2段目のマルウエアをダウンロード

3. システムの情報を操作し、起動時の登録、ドライバー

の登録

4. その他

1. ダウンロードした2段目のマルウエア（本体）を起動

2. ドライバーとしての動作、システム起動時のマルウエ

アの起動等を任意に行うことができる。

3. これを起点に任意の動作を行う

1. 脆弱性を使ってShell Codeを動作させる

2. ユーザー権限で許可されたエリアへ、2段目のマル

ウエアをダウンロードする

システムエリアはダウンロードできない

3. システム情報の操作ができない

プロセス

1. 整合性レベルにより、プログラム領域、システム領域

に対する書き込みが出来ない

2. ACLにより許可をされている場合でも、整合性レベル

が優先されるため、書き込みが出来ない

3. Windows 8では、読み込みについても制限できるよ

うになった

Windows XPまでの

実質的な標準動作モデル

Windows Vista以降は

UACによりユーザー権限で実行される

起動

ダウンロード

操作

起動

ダウンロード

操作

(39)

ホワイトリストの利用

39

• マルウェアの絶対数が少ない時代には、マルウェアと判明

しているものを検出するだけで十分と考えられていた

• しかし、マルウェアの数は爆発的に増加しており、

MacAfeeのレポートによれば、2012年の第一四半期に

7,500万件以上の新しいマルウェアを検出

McAfee脅威レポート：2012年第1四半期

http://www.mcafee.com/japan/media/mcafeeb2b/international/japan/pdf/threatreport/threatreport12q1.pdf

• ブラックリスト（シグネチャ）による検出は限界に来ている

• マルウエアに着目した、シグネチャを使わない検出手法の重要性も増している

• 同時に、何らかの現実的な方法で、稼働を許可するプログラムを限定すること

も、現実的な選択肢となってきた

(40)

Officeの標的型攻撃対策

40 ドキュメントを開く

脆弱性への攻撃

Shell Codeの実行

XML化による攻撃コードを挿入する余地の減少

ファイル制限機能によるファイルのブロック

Active Contents

Active Contentsの無効化

危険なActive Xの無効化

Office 2010 のセキュリティの概要:

http://technet.microsoft.com/ja-jp/library/cc179050.aspx

Protected View in Office 2010: http://blogs.technet.com/b/office2010/archive/2009/08/13/protected-view-in-office-2010.aspx

保護されたビュー（サンドボックス）での実行

+ restricted token

（Write権限の削除等）

ファイル検証機能により疑わしいファイルをブロック

Buffer Overflow攻撃の対策

ALRも利用

SDLによる脆弱性/アタックサーフェスの削減

ドキュメント

単体

ドキュメント

＋Active

保護されたビュー 

定期更新による脆弱性の対応

• 定期更新による脆弱性の対

応はOffice 2003と共通

• XML化はOffice 2007と共

通

• 上記以外はOffice 2010か

ら

Office 2010では、ユー

ザーが、これらの対策を意

識しなくて済むように、イ

ンタフェースの工夫がされ

ている。

書き込み権限のないプロセ

スで、ドキュメントを閲覧

(41)

Windows 8.1：認証情報に対する対策のポイント

41 Virtual Secure

Mode (VSM)

Tr

u

stle

t

#1

Windows

Apps

Tr

u

stle

t

#2

Tr

u

stle

t

#3

Windows Platform Services

Hashes

Tspkg Wdigest Kerberos LiveSSP 3rdParty SSP LM NT Windows 8.0 Microsoft Account Local Account Domain Account Windows 8.1 Microsoft Account * * Local Account * * Domain Account * *

No password data in memory Password data in memory * Off by default Protected Users RestrictedAdmin RDP

• LSASSから、LMハッシュを削除

• ドメイン参加のためのプレインテキストと同等（暗号化済み）のパスワードを

LSASSから削除

• ログオフ時に認証情報を強制削除

• ローカルアドミニストレーター権限制限の促進

• リモートデスクトップ接続における、限定された管理者モード

• 再利用が出来ない認証情報を使ったリモートデスクトップ接続のサポート

• プロテクトユーザー

• ケルベロス認証だけを利用、4時間限定、デレゲーションの禁止

Windows 8.1

Windows 10:VSM

• 認証情報を、別のバーチャルマシン（Virtual Secure Mode)に移行

• プログラムが稼働するシステムの管理者権限が取得されたとしても、ッシュ

つながる時代におけるサイバー攻撃の潮流と企業におけるセキュリティ

“ネットセキュリティはCEOレベルで対処すべき事項”

*3

CEOの61%

ネット攻撃が増加することを心配

*4

内部監査担当者の65

%

「ここ1～2年のネットセキュリ

ティーリスクについて、役員の見方はどう変わりましたか？」との問い

に対し65%以上の内部監査担当はリスクに対する認識が高い、あるいは

高まっていると回答した

*5

• 日本の政府機関への不正アクセス約

508万件

*1

• 企業の

7割

はセキュリティ事故を経験

9割

は未知の脅威が

侵入済み

*2

• 米国納税者アカウント

10万人

米政府職員

400万人

の情報流出

*6

• 侵入から

発見

されるまで

242日

（中央値）

*3

サイバー攻撃の現状

企業の

9割

は脅威が侵入済み

• データ侵害に対する平均的なコスト

4.2億円

• 不正送金被害

29憶円

（企業の被害が増加）

• 漏洩したデータ

9億400万件

• 不正アクセスが原因で企業が

破産

*7

＊

セキュリティ問題

サーバールームから役員室へ

APAC CIO 調査

新しいテクノロジ採用に際しての最大の障壁

新しいテクノロジに

対する投資の不足

新しいテクノロジに

対するセキュリティ、

プライバシーや コン

プライアンスの懸念

ITに関する決定をする際

に、多くの利害関係者が

生まれ、意思決定が遅延

予算

81

%

信頼

79

%

採用に伴う

影響

72

%

被害

推定総額

360兆円

*3

サイバー攻撃

“国防総省高官によれば、国務

省への侵入において、国防総

プライバシーやコン