本日学ぶこと
本日の授業を通じて
「マルウェア」「踏み台攻撃」など，日常生活におけるセキュリテ
情報セキュリティ
10大脅威
情報処理推進機構（
IPA）が公表
https://www.ipa.go.jp/security/vuln/10threats2016.html
第
1位：インターネットバンキングやクレジットカード情報の不
正利用
第
2位：標的型攻撃による情報流出
第
3位：ランサムウェアを使った詐欺・恐喝
第
4位：ウェブサービスからの個人情報の窃取
第
5位：ウェブサービスへの不正ログイン
情報セキュリティ
10大脅威
第
6位：ウェブサイトの改ざん
第
7位：審査をすり抜け公式マーケットに紛れ込んだスマート
フォンアプリ
第
8位：内部不正による情報漏えいとそれに伴う業務停止
第
9位：巧妙・悪質化するワンクリック請求
第
10位：脆弱性対策情報の公開に伴い公知となる脆弱性の
悪用増加
脅威は古い？新しい？
新旧さまざま．ただしこの1年で発生した脅威は見当たらない．
「基本的な仕組み」を知る．
まず我が身を守り，そして周囲に目をやる．
コンピュータウイルス
JIS X 0008における定義：自分自身の複写，又は自分自身
を変更した複写を他のプログラムに組み込むことによって繁
殖し，感染したプログラムを起動すると実行されるプログラム
主要な機能
自己伝染機能：自らの機能によって他のプログラムや他のシス
テムにコピー（感染）
潜伏機能：特定時刻，一定時間，処理回数といった条件により
発病するまで，症状を出さない
発病機能：ファイルの破壊やユーザの意図しない動作など
多くは
.exeや.comファイルだが，Excelなどのマクロに潜む
「
マクロウイルス
」や，ブートセクタに潜む「
ブートセクタウイル
ス
」もある
コンピュータウイルス対策基準：
http://www.ipa.go.jp/security/antivirus/kijun952.html
コンピュータウイルス
ウイルスでないもの（？）
ワーム：宿主となるファイルは不要．しかし自身を複製して他の
計算機に拡散し得るし，自己増殖機能も持つ
ボット：遠隔から制御可能なプログラム．主要な機能はウイルス
と同じ．ユーザに気づかれずにバックドアが作られ，攻撃の一
端を担うことも
対策：アンチウイルスソフトウェア（
Anti-Virus Software）を
導入し，監視させる
スキャンによって，ウイルスが見つかったら，駆除・隔離・削除
有償・無償や，ファイアウォール機能などを組み合わせたものも
更新を忘れずに
トロイの木馬
(Trojan horse)
セキュリティ上問題のあるプログラムをユーザが受け取り，
実行したときに，悪意のある動作が発生
データの破壊，外部への情報流出など
受動的攻撃を行う．自己増殖機能を持たない
語源はギリシア神話
「トロイアの木馬」「トロヤの木馬」とも
木馬の中にギリシア軍兵士らが入り，
隙を見てトロイア人を襲撃した
こんな攻撃，本当に成立するの？
2005年，日本国内でも，ネットバンキング
サービスのユーザへ，銀行と偽り
CD-ROMを
送りつけ，不正送金を実行させた事件が
発生した
キーロガー
(Keylogger)
キー入力を監視して記録するもの
ハードウェアでもソフトウェアでも実現されている
ユーザビリティ評価など研究でも用いられているが，
悪用すると，打ち込んだ内容が筒抜けになってしまう
通信を暗号化していても，知られてしまう！
ネットカフェや公共施設のPCに設置されていることも
通信の死角をついた，他の悪用
ショルダーハック：パスワードや暗証番号などの入力を肩越しに
盗み見ること
テンペスト：漏洩電磁波（電子機器から発生する微弱な電磁波）
を解析して，情報を盗み見ること
スパイウェア，アドウェア，ランサムウェア
スパイウェア
(spyware)
ユーザが使用する計算機の情報（キーボード・マウスの入力，
ブラウザ履歴，ファイル，画面など）を収集し，外部へ自動的に
送信するソフトウェア
アドウェア
(adware)
広告を目的としたソフトウェア．中でも，利用者に十分な情報提
供をせずにインストールされ，起動時に必ず表示されるものは
マルウェアとされる
ランサムウェア
(ransomware)
計算機に不具合（ファイルを暗号化してユーザが読めなくする
など）を引き起こし，解除に身代金を要求するソフトウェア
ソフトウェア使用の基本
脆弱性が報告されているソフトウェアはインストールしない
脆弱性が報告されているバージョンは使用しない
計算機やソフトウェアが，外部とどのような通信を行うかを
理解する
不明なソフトウェアは使用しない
「贈り物」にも注意を払う
セキュリティ対策ソフトウェアをインストールし，データを最新
版にする（使用期限にも注意）
OSのアップデートも忘れずに
計算機管理を怠ると
計算機管理を怠ると
…
ウイルスなどが蔓延する
秘密の情報を放出してしまう
踏み台攻撃の被害者になる
ソフトウェア面以外の対応は？
異変に気づけば，まずネットワークからの遮断・隔離
ＬＡＮケーブルを引っこ抜け！
無線をオフに！
あなた
踏み台攻撃のイメージ
で加害者
無線
LANの脅威と対策
脅威の例
無線LAN環境に侵入され，重要な情報を盗まれる．
無線LAN環境を無断で利用される．
通信データを盗聴される．
対策（ルータ設置時）
SSIDをデフォルトから変更し，可能ならMACアドレスフィルタリ
ングを行う
暗号化方式にはWEPやWPAではなくWPA2を使用し，認証の
ために安全なパスワードを設定する
対策（子機利用時）
暗号化方式にはWEPやWPAではなくWPA2を使用する
HTTPSやSSHなど，より上の層の暗号化を併用する
データ管理
情報流出（情報漏洩）の原因
リムーバブルメディア（USBフラッシュメモリなど）
P2Pソフトウェア（Winnyなど）
Web日記，SNS（Facebookなど），ミニブログ（Twitterなど）
データ管理の考え方
外部に出していい情報，いけない情報について，
ルールを定める．
研究成果は，公刊日まで，Webなどで報告しない．
情報の持ち主（≠収集者，保有者）を意識する
「便利だから」は流出のもと
運搬・伝送方法に応じて適切に暗号化
暗号化ZIP，PGP，SSH，SSL／TLSなど
「計算機の安全性」
「データの安全性」
「通信の安全性」
は異なる！
ソーシャルエンジニアリング
ソーシャルエンジニアリングの例
「ご利用のオンラインバンクですが，手違いでパスワードを消失
してしまいました．誠に申し訳ございませんが，
http://～～/ にて，
再登録をお願いします．」というメール
ソーシャルエンジニアリングを知らないと
…
機密情報やアクセス権限が奪われる
では，どうすればいいか？
善意を装った情報収集，情報操作には応じない
保護すべき計算機や情報を把握しておく
日々ニュースを見聞きする
Webならまず，セキュリティホール memo
http://www.st.ryukoku.ac.jp/~kjm/security/memo/
「エンドユーザの安全性」
標的型攻撃
攻撃者が，特定の組織に対して特定の目的（情報の窃取や
削除）のために行うサイバー攻撃の一種．
例えば，標的型メールを送りつけ，受信者が本文中のリンク
をクリックするか添付ファイルを開いたら，目的が達成できて
しまう．
Webサイト閲覧による攻撃もある．
ウイルス対策ソフトウェアでは検出できないことも．
