The Microsoft
Conference 2014
脅威の現状について
外部からの攻撃の変化と、内部からの攻撃への着目
最新 IT 環境における IT 基盤の課題
クラウド / スマート デバイス / BYOD などが与える、IT 基盤への影響
IT 基盤における対策の方向性
柔軟で堅牢な IT 基盤
むすび
7
ERP
(SAP ERP)
CRM
(Custom LOB App)
在庫・発注管理
(Custom LOB App)
ポイント管理
(Custom LOB App)
人事給与
(パッケージ)
グループウェア
(Notes)
社外向け
Web サーバー
既存社内システム
POS
(店舗サーバー)
社内クライアント
会社の持ち出し用 PC
個人所有の管理外デバイス
8
既存社内システムの問題点と対策
30+ years of computing & insecurity
1977
1978
1979
1980
1981
1982
1983
1984
1985
1986
1987
1988
1989
1990
1991
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
2004
2005
2006
2007
2008
2009
2010
2011
2012
2013
• Apple II • Commodore • Atari • TI-99 • TRS-80 •VAX-11/780 •1BSD •ORACLE•Xerox Palo Alto “blob” •Elk Cloner • FBI arrest “414s” Hacker Group • Ken Thompson • Fred Cohen’s VAX Viruses • Concept • Stealth virus •(Frodo/Whale)
• Robert T Morris fined $10K, 3 years probation • Melissa • I LOVE YOU • Solar Sunrise • CodeRed • Nimda • DDoS on DNS root • Slammer • Blaster • MyDoom • Sasser Standalone Systems
–
Disk/Diskette Sharing Client-server/PC-LAN NetworksInternet
Information Warfare Computer Crimes
Trusted Operating Systems (Orange Book) Trusted Network (Red Book) UK Green Book to BS 7799 to ISO 17799Common Criteria Insecure Default/Weak Security Techniques/Feature Misuse/Social EngineeringProtocol Weaknesses/Remote Buffer overflow
• SPAM Mails • Spyware • Phishing proliferated • Phishing (AOL) • “Cukoo’s Egg” Cyber Crimes • WiityWorm • Agobot • Sobig • Yahoo DDoS • Lotus 123 •Adobe •Sun-1 •Compaq •Symantec • IBM PC •MS-DOS •DOMAIN •4.1BSD • Macintosh •TRON • Windows 3.0 • Internet Explorer •Windows 95 • Windows 98
• Linux • MOSAIC•Netware •Check Point •NT3.1 • NT 4.0 • Net BSD •Free BSD • IBM PS/2 •OS/2 • Targeted Attack
• Huge Data Leak
•Win 2000
•Win XP •XP SP2 •Vista •Mac OS-X
• JP gov HP
• AT&T Janes • IIJ
• ADSL • テレホーダイ • Ping of Death • Yahoo •eBay • Google • Winny • Winnyよる流出が頻発 • Brown orifice
• Attack for JP Soft
• J3100
Worm as a Research
Virus via Media
• INN/phf • Back Orifice • statd, named,popd • 911 •省庁再編 •BSE
• IBM spy case
• Dynabook
•DDoS tools
Broad band Network
Virus via E-MailWorm communization Worm in the wild
Document / Local BO •ｱﾅﾛｸﾞ携帯電話 •2G携帯 • 神戸震災 •地下鉄ｻﾘﾝ •PHS •3G携帯 • スマトラ沖地震 •中越地震 • ｶﾄﾘｰﾅ •福知山線 •有珠山噴火 • FISC • ｽﾘｰﾏｲﾙ島 • C++ • ｽﾍﾟｰｽｼｬﾄﾙ
• ARPA Net IP化
• 御巣鷹山 • NTT民営化 • 天安門事件 •ドイツ統一 • 世界貿易 ｾﾝﾀｰ • LA地震 • JR民営化 • iMac • 不審船 •JCO臨界事故 •ﾄﾙｺ西部地震 •三宅島噴火 • iPod • Netscape •ISS • SARS •伊大停電 •米大停電 •WS 2003 • Wonk Worm
• Virus Creation Laboratory •MTE • Michelangelo • Netcat • Kevin Mitnick • GyaO • YouTube • Skype • Amazon.com • ﾁｪﾙﾉﾌﾞｲﾘ • 楽天 • mySpace • mixi • CISCO •Dell • 2ch • Blog • 新聞社のページ • ｵﾝﾗｲﾝﾒﾃﾞｨｱ • First SPAM • Perl • PHP • Java • JavaScript • Ruby • Real Player • PDF • tama
• Virus Book • Little Black Book
• NISC • NIRT PDCI DSS Cyber Espionage Passive Infection • 個人情報保護法 •SOX • Estonia • case • G-Map/Street View •iPhone •Win 7 •WS 2008
• Smart Phone Trojan • 四川大地震 •全国での豪雨 •リーマンショック •中国ソースコード • MPACK •IE7 •IE8 •IE6 •IE5 •Chrome • Auction • Scam
Under Ground Business(RBN, Rock Phish..)
•Android •Conficker •Azure • SNS Malware • US/Korea case • Zeus •Gumblar • G-book •iPad •Kindle • Aurora •G-Apps •Gmail • Wikipedia • salesforce •Amazon AWS •GAE • Twitter • FaceBook Botnet • J-SOX Wire & Wires less
• ニコ動 •郵政民営化 •年金問題 • Flash • .NET •Web 2.0 •©Brain Virus’ •Yale, Cascade, Jerusalem, Lehigh, etc. • Morris’ Worm
• 東日本大震災
•RSA
•Anonymous
HBGary, Sony, etc
• 遠隔操作ウィルス •Zeus上陸 • 標的型攻撃 •Flame •Stuxnet •Duqu •Diginotar case •IE10 •Win8 •IE9 Cloud •Open DNS •DNS Changer •ファーストサーバー
攻撃の傾向とインターネット経済
11
0 2 4 6 8 10 12 0% 10% 20% 30% 40% 50% 60% 70% 80% 90%19
78
19
79
19
80
19
81
19
82
19
83
19
84
19
85
19
86
19
87
19
88
19
89
19
90
19
91
19
92
19
93
19
94
19
95
19
96
19
97
19
98
19
99
20
00
20
01
20
02
20
03
20
04
20
05
20
06
20
07
20
08
20
09
20
10
20
11
20
12
20
13
日本におけるインターネット普及率とYahoo/Amazon（米国）の売上の推移
人口普及率 Yahoo売上推移 Amazon売上推移愉快犯
経済的目的
情報/工作 目的One Executable
Combined executables
with C&C
ハクティ ビズム
脅威の状況
A:標的型メール1
イントラネット
（社内ネットワーク）
悪意のあるサイト
(C&C、データ収集)
マルウェア配布サイト
B:標的型メール2
USB 128GC:Web 経由
侵入された正規のサイト
D:リムーバブル
メディア
秘
秘
秘
秘
秘
秘
秘
秘
海外への持出し
④ワーム
③書き込み、
持出し
②誤送信
①紛失、盗難
秘
秘
秘
USB 128G秘
秘
内部犯行への関心の高まり
権限外の情報
PC
PC
PC
サーバー
サーバー
ドメイン
コントローラー
秘
秘
権限を持った情報
秘
秘
U SB 128G秘
秘
• 専用のアクセス環境
• 専用のアクセス端末
• USB メモリ等の使用禁止
措置
• アカウントの分離
• アクセス ログ等の取得
U SB 128G秘
秘
PC
PC
PC
サーバー
サーバー
秘
秘
ドメイン
コントローラー
標的型攻撃におけるドメイン管理者権限の奪取 :
Pass the Hash
攻撃
攻撃者
PC
PC
PC
サーバー
サーバー
ドメイン
コントローラー
秘
秘
1
2
3
4
5
5
5
Admin:WTIPTOY-WIN8-01:DA812DBFCDB70D9E:2D09D7DFC9DF11C
PilarA:CORP:C9DF712D09D7DF1C:EEF71EAEE82D477
KevinK:CORP:27D477EEFAEE871E:FF1CD231144D77A8
内部からの侵害と外部からの侵害の推移
出典：Verizon : 2014 DATA BREACH INVESTIGATIONS REPORT
http://www.verizonenterprise.com/DBIR/2014/insider/
サイバー犯罪：オンライン バンクの不正送金
時事ドットコム
http://www.jiji.com/jc/graphics?p=ve_soc_network-bankfuseisoukin
不正送金：二要素認証の回避 (Zeus)
PC から口座情報
を詐取
・ファイル等からの詐取
・Key logger による詐取
銀行などの
ID 盗難の対策
・二要素認証
・乱数表
・ワンタイムパスワード
Man in the
Browser
Attack
二要素認証に
よるログイン
ログイン
Top Page
口座 A に
100 万円を送金
A
を
Ｂ
に
書換え
100 万円を送金
口座 B に
口座 B に
送金終了
口座 A に
送金終了
B
書換え
を
A
に
認証
認証の確立したセッションを利用して、トランザクションを改ざんすするため、二
要素認証でも攻撃を防ぐことができない。また、銀行から表示されるデータも改ざ
んされているため、この行為に気づくことは困難。
一般に、送金先は、Money Mule と呼ばれる運び屋の口座が利用される。
Zeus / Zbot、URLZone / Bebloh 等
二要素認証を使うオンライン バンクから
の金銭を詐取
脅威の類型
サイバー ウォーフェア
サイバー エスピオナージ (諜報活動)
サイバー テロ
サイバー クライム（犯罪）
愉快犯
Stuxnet, Flame
Operation Aurora,
官公庁、防衛産業
Anonymous, 韓国事例
Zeus, ZeroAccess, Bamital
CodeRed, Blaster, Slammer
増え続けるマルウェアとその背景
19
脆弱性に対する攻撃
コード (Shell code)
攻撃実行部分
ドキュメントを 取り扱うプログラム ドキュメント ファイル .doc, .pdf などドキュメントを使った攻撃
ドキュメントの読み込み プログラムの流れData Segment
1
2
Code Segment
難読化
展開ルーチン
圧縮 / 変換された
プログラムコード
展開ルーチン
圧縮 / 変換された
プログラム コード
プログラムの
実行コード
展開された
プログラムの
実行コード
難 読 化 実 行展開
a.exe
a’.exe
a’’.exe
a’’’.exe
・
・
・
PDF ファイルにマルウェアを埋め込むツール
検出されたマルウェア推移 (出典：McAfee 脅威レポート：2012 年第 1 四半期)マルウェア ジェネレーター
増え続けるマルウェア
最新 IT 環境における
IT 基盤の課題
現在の
IT
基盤 が持つ課題
社内ネットワーク
複雑化する
ID 管理
IT 部門管理下のサーバー
IT 部門管理下のクライアント
無料サービスの 方が便利で簡単正規の社外クラウド
その他のサービス
情報保護の
課題
すぐに新しい サーバーが必要未管理デバイス
ユーザー所有 デバイスの持ち込み 無線 LAN / WiFi社外のクラウド
ホスティング
ユーザーが独自に構築ID 管理の
複雑化
シャドー IT
メール / SNS Storage 公開サーバー 社内サーバー 自分のデバイスを 使いたい 社外で作業したい 情報がお金に なるかもしれない外部サービスの
無断利用
持込デバイス
持出デバイス
データ持出
モバイル ワーカー 在宅ワーカー パンデミック無料の社外サービス
ユーザーが独自に利用
データの持出し 固定的な IT 基盤・環境 無防備な デバイスへの攻撃 標的型攻撃 (APT)内部犯行
高度な攻撃
現在の
IT
基盤 が持つ課題
社内ネットワーク
複雑化する
ID 管理
IT 部門管理下のサーバー
IT 部門管理下のクライアント
無料サービスの 方が便利で簡単正規の社外クラウド
その他のサービス
情報保護の
課題
すぐに新しい サーバーが必要未管理デバイス
ユーザー所有 デバイスの持ち込み 無線 LAN / WiFi社外のクラウド
ホスティング
ユーザーが独自に構築ID 管理の
複雑化
シャドー IT
メール / SNS Storage 公開サーバー 社内サーバー 自分のデバイスを 使いたい 社外で作業したい 情報がお金に なるかもしれない外部サービスの
無断利用
持込デバイス
持出デバイス
データ持出
モバイル ワーカー 在宅ワーカー パンデミック無料の社外サービス
ユーザーが独自に利用
データの持出し 固定的な IT 基盤・環境 無防備な デバイスへの攻撃 標的型攻撃 (APT)内部犯行
高度な攻撃
ネットワーク レベルの
セキュリティの確保
認証レベルの
セキュリティの確保
デバイス (ノード) レベルの
セキュリティの確保
統制とモニタリング
データ レベルの
セキュリティの確保
必要とされるフレキシブルな
IT
基盤
社内ネットワーク
Private Cloud
Public Cloud との
安全な連携
認証基盤
データ保護
(暗号化)
柔軟で強靭な IT 基盤 / 環境
管理基盤
ネットワーク
保護
簡単で安心！ すぐに使える! 安全なサーバーが すぐに使える！ メール / SNS Storage 公開サーバー社内サーバーID 管理の
一元化
正規の社外クラウド
その他のサービス
データ保護の
実装
仮想化と
クラウド連携
ID の統合管理
統合デバイス管理
デバイス管理
の実装
Windows Server 2012 R2外部からの
安全な接続
社外でも安心して 作業ができる！高度な
攻撃の対策
安心して自分の デバイスを使える! モバイル ワーカー 在宅ワーカー パンデミック 不審なアクセスは すぐに警告される！モニタと検出
古典的な防御 (境界領域対策＋AV)
境界領域の強化
(コンテンツ フィルタ等)
古典的な防御
(境界領域対策＋AV)
境界領域の強化
(コンテンツ フィルタ等)
重要情報基盤
特権保護
PC統制
従来のセキュリティ対策の考え方
ツール
管理と
統制
スペシャ
リスト
APT
ツール
管理と統制
スペ
シャリ
スト
PC の統制
特権保護
APT
従来の対策モデル
必要とされる対策モデル
対策の方向性：サイバー攻撃対策 (主に標的型)
Strategies to Mitigate Targeted Cyber Intrusions the Australian Signals Directorate (ASD, formerly DSD)
26
http://www.asd.gov.au/infosec/top35mitigationstrategies.htm
オーストラリアの通信が対応した標的型攻撃の
最低でも 85% は
4 つの対策を実施するだけ
で防ぐことができたと分析した。
1.アプリケーション
ホワイトリストを適用する
•
マルウェアの実行を防止する
•
許可されていないソフトウェアの実行を防止する
2.アプリにパッチを適用する
•
PDF リーダー、Microsoft Office、Java、Flash
Player、Web ブラウザ等
3.OS にパッチを適用する
4.管理者権限を持つユーザーを
最小限にする
対策の方向性：サイバー攻撃対策 (主に標的型)
SANS: Twenty Critical Security Controls for Effective Cyber
Defense
27
20 Critical Security Controls - Version 4.1
•Critical Control 1:
許可 / 非許可のデバイスの一覧を作成する
(Inventory)
•Critical Control 2:
許可 / 非許可のソフトウェアの一覧を作成する
(Inventory)
•Critical Control 3: モバイル デバイス、ラップトップ、
ワークステーション、サーバーのハードウェアと
ソフトウェアを安全な設定にする
•Critical Control 4: 継続的な脆弱性検査と修正 (更新)
•Critical Control 5: マルウェアの対策
•Critical Control 6: アプリケーション ソフトのセキュリティ
•Critical Control 7: 無線デバイスのコントロール
•Critical Control 8: データ リカバリー能力
•Critical Control 9: セキュリティ スキルの検証と、ギャップを埋めるための適切なトレーニング
•Critical Control 10: ファイアウォール、ルーター、スイッチなどのネットワーク機器の安全な設定
SANS
Critical Security Controls for Effective Cyber Defense
http://www.sans.org/critical-security-controls/
日本語訳
http://www.sans-japan.jp/resources/20controls.html
米国 国務省は、これを実施することで 94% 以上のセキュリ
ティ リスクを減少させることができることを検証した。
INTERNET
IPsec
Corporate intranet
SecureNet
Important Servers
Boundary Machine
Infrastructure
D
NS
Wins
D
H
CP
DC
No Compliant
Machine
Mac
/*NIX
XB
O
X
LAB
Tabl
et
phone
Authorized
PC
Unauthorized
PC
対策例：IP に依存しないアクセス制御
28
A
CL
リモート アクセス環境におけるセキュリティ強化へのマイクロソフトの取り組み http://technet.microsoft.com/ja-jp/library/bb735234.aspx DirectAccess の機能: http://www.microsoft.com/ja-jp/server-cloud/windows-server/directaccess-features.aspxAuthorized
PC
IPs
ec
Unauthorized
PC
• 端末間、端末 / サーバー間の接
続を、IPsec を使ったロジカル
セグメンテーションで構築
• Authorized な端末間でしか、
接続ができない
• 無線 LAN の場合も、802.1x
を使い、証明書を利用し端末の
接続許可と排除を制御
• ユーザー認証の以前に、デバイ
ス レベルでネットワーク接続
の可否を制御
• 例外的な許可ルールが容易
• DirectAccess への展開により、
外部からの接続についても、イ
ントラネットと同様に制御が可
能
対策例：暗号化による情報保護
アクセス方法の制御
(ネットワーク / ローカル)
アカウントの認証
アクセス権限を持つアカウントから
データを流出させないための視点
USB 128M
CD/DVD
USB 128M
CD/DVD
USB 128M
CD/DVD
ディスクへの
直接アクセス
ネットワーク
経由の転送
リムーバブル
メディアでの
持出
29
権限のコントロール
ボリューム
保護
ファイル保護
データ保護
RMSによるデータの保護
（メール/ファイルサーバー）
メールシステムでのRMSの利用
暗号化による保護に加えて、メールの転送、保存、
印刷などを制御できる
添付ファイルにも同じ制御が適用される
メールや文書のクラスを明確にして、メール送信
ができる
万一、外部に漏れた場合でも、暗号で守られる
ファイルサーバーでの利用
ファイルサーバーやSharepointの特定のフォルダー
に保存したファイルを、自動的にRMSで暗号化す
ることができる
RMSの課題
実質的に、Microsoft Office以外のドキュメントは
対応してない（3
rd
Partyの実装に依存する）
30
対策例：最新システムの利用
31
Windows 8 の多層防御
Smart
Screen
S
ystem
領
域
Pro
gram
領
域
整
合
性
レ
ベ
ル
EF
S
Bi
tLoc
ker
RM
S
Windows
Firewall
S
ecu
re
bo
o
t
DEP
H
ea
p
Pro
tec
t
USB 128Gシステム境界
の対策
検知と
実行制御
脆弱性対策
権限管理
リソース
保護 / 管理
保護
OS
アプリケーション
Windows に限らず、
最新のシステムの多く
は、システム レベルで
の対策が進んでいるこ
とに加え、サンドボッ
クス機能など、アプリ
ケーションが、システ
ムや他のアプリケー
ションに影響を与える
ことを防ぐ仕組みが用
意されている。
No Autrun
UA
C
HE
A
S
LR
保護された
ビュー
Wi
ndo
w
s
Defend
er
A
ppLoc
ker
脆
弱
性
初
期
設
定
等
に
よ
る
対
策
OS ごとの感染率
Internet Explorer Enhanced Security Configuration
http://support.microsoft.com/kb/815141
マイクロソフト社内の展開例
IDとアクセス管理
ホスト
アプリケーション
データ
ネットワーク
物理的
管理・監査
33
BitLocker
EFS
RMS
Applocker
EMET
DirectAccess
SmartCard
Federation
必要とされるフレキシブルな
IT
基盤
社内ネットワーク
Private Cloud
Public Cloud との
安全な連携
認証基盤
データ保護
(暗号化)
柔軟で強靭な IT 基盤 / 環境
管理基盤
ネットワーク
保護
簡単で安心！ すぐに使える! 安全なサーバーが すぐに使える！ メール / SNS Storage 公開サーバー社内サーバーID 管理の
一元化
正規の社外クラウド
その他のサービス
データ保護の
実装
仮想化と
クラウド連携
ID の統合管理
統合デバイス管理
デバイス管理
の実装
Windows Server 2012 R2外部からの
安全な接続
社外でも安心して 作業ができる！高度な
攻撃の対策
安心して自分の デバイスを使える! モバイル ワーカー 在宅ワーカー パンデミック 不審なアクセスは すぐに警告される！モニタと検出
36
課題
クライアント管理の効率化
個人情報保護対策
情報漏えい対策
IT ガバナンス
クラウドアプリのパスワード管理
マイクロソフトのソリューションとその効果
サイバー攻撃対策
最新サーバーへの移行
クラウド
改善のための要件: クライアントインフラ担当 東野智子の場合
情報システム部の
クライアント インフラ担当
改善方法
サイバー攻撃対策
マルチデバイス管理
アカウントと認証管理
フェデレーション認証
ディスクやデータの暗号化
アカウントと
認証の管理
EMS :
Azure RMS
マルチデバイス管理
EMS :
Windows Intune
ID と認証の統合
EMS :
Azure AD Premium
EMS : Enterprise Mobility Suite
情報漏えい対策
BitLocker
37
課題
情報システムの維持管理コスト
圧縮
収益向上に寄与するシステムの
迅速かつ低コストでの展開
受発注システムに見直しに
よるコスト削減
VMware を利用している
部門がある
マイクロソフトのソリューションとその効果
コア コンピタンスへの集中
最新サーバーへの移行
クラウド
改善のための要件: サーバーインフラ担当マネージャー 小谷祐介の場合
情報システム部の
インフラ担当マネージャー
改善方法
プライベートおよびパブリック
クラウドの活用でシステムを
最適化
固定費の削減
コア コンピタンスへの集中
店舗 POS システム刷新
基盤の標準化
固定費の削減
• Lync
• SAP on Azure
POS システム
• Windows Server
• Hyper-V
ハイブリッド クラウド管理
• System Center
クラウド時代の管理ソリューション
人（ID）の管理
PCの管理
アプリケーション
の管理
マルチデバイス
BYOD
クラウドID
SaaSアプリ
シャドーIT
クラウド
サービス
データ
クラウド時代の
セキュリティの
境界
プライベート
データ
（個人情報、機密情報など）
IT Governance
クラウド時代に適した新たなセキュリティ境界の策定
むすび
• 攻撃者と利用者は待ってくれない
•
攻撃側は、企業や IT 部門の都合を待ってはくれません
•
利用者は、IT 部門に頼らなくても、高度な IT 利用が可能になっています
• セキュリティ製品に頼った対策では限界がある
•
PC、サーバー、デバイスそのものの安全性を高める必要があります
•
このためには、PC、サーバー、デバイスを合理的に管理する仕組みが不可欠です
•
脆弱性や対応について透明性が確保されていることが重要（特にアプライアンス系）
• ID 基盤の重要性が高まっている
•
社内でのサーバー等に加えて、クラウドなどの外部システムを利用が増えることは避けられません
•
外部サービスを含めて、入社 / 異動 / 退職などに応じた ID のライフサイクルを一元的に行う必要があります
•
加えて、攻撃を受けにくい、対処が可能な ID 管理を実現することが不可欠です
• 管理とセキュリティの軸になるアーキテクチャを構築する
•
技術的に出来る・出来ないではなく、基本となるアーキテクチャーを基盤とする
• 3 年後、5 年後をイメージして、今始めるべきことから実施
•
すべてのシステムを一気に変更することは難しいのが現状です
•
優先順位をつけて対策を進めてください
© 2014 Microsoft Corporation. All rights reserved. ●Microsoft、Serverロゴは米国Microsoft Corporationおよび、またはその関連会社の商標です。●本書は情報提供のみを目的としており、本書の内容について、Microsoftは、明示的あるいは非明示的ないかなる保証もい たしません。●本書に記載した情報は、将来予告なしに変更されることがあります。●本書を使用する場合のリスクまたは本書の使用による結果について、Microsoftはいかなる責務も負うものではありません。●本書に記載さ れている会社、組織、製品、人物、イベントの例は架空のものです。実在の会社、組織、製品、人物、またはイベントとの関連を示唆するものではありません。●適用する著作権法のすべてにお客様は準拠いただく必要がありま す。●著作権上の権利に限定されることなく、本書の一部または全部を無断で使用、複製することはできません。 ●その他記載されている、会社名、製品名、ロゴ等は、各社の登録商標または商標です。●本書の内容は、2014年 9 月現在のものです。
