深刻化するサイバー攻撃...

深刻化するサイバー攻撃とその対策

2016年6月6日IoT環境におけるサイバーセキュリティ（40分）

総括講演

1

とその対策

東京電機大学未来科学部教授（サイバーセキュリティ研究所所長）

佐々木良一[email protected]

目次

１．サイバー攻撃の動向

２．日本年金基金からの年金番号漏えい事案

３．今後増えると考えられるより厳しい攻撃

2


４．主要な対応策と効果の推定

５．S/MIMEの普及に向けて

インターネットバンキングの被害

http://www.jiji.com/jc/graphics?p=ve_soc_network-bankfuseisoukin

サイバー攻撃の歴史＜セキュリティにとっての第一のターニングポイント＞2000年科学技術庁などのホームページの改ざん事件2000年不正アクセス禁止法施行2000年 JNSA発足（２００１年NPO化）2001年 Code Red、Sircumによる被害2001年電子署名法施行

4

2001年電子署名法施行2001年ＣＲＹＰＴＲＥＣ（暗号技術検討会）発足

＜セキュリティにとっての第二のターニングポイント＞2010年 Stuxnetの出現(遠心分離機への攻撃)2011年ウイルス作成罪施行2011年国際的ハッカー集団によるソニーネットへの不正侵入2011年三菱重工などへの標的型メール攻撃2015年日本年金機構への攻撃

科学技術庁ホームページ改ざん事件

5Reference：http://www.kogures.com/hitoshi/webtext/sec-husei-access/homepage.html

2000年1月


6



２つのターニングポイントの比較

第一次ターニングポイント（2000年ごろ）

第二次ターニングポイント（2010年以降）

攻撃目的面白半分多様化（面白半分、主義主張、お金儲け、国家の指示）

攻撃者ハッカー（クラッカー）ハッカー、ハクティビスト、犯罪者、スパイ、軍人

7

攻撃対象

攻撃パターン

WEBなどの一般ITCritical Information Infrastructureも＜Stuxnet＞

不特定多数標的型＜Stuxnet、ソニー、三菱重工、農林水産省＞

攻撃技術低ー中中ー高＜Stuxnet、ソニー、三菱重工、年金機構＞

従来の攻撃が風邪なら、新しい攻撃は新型インフルエンザ


8



目次




9




近の調査報告

１．日本年金機構不正アクセスによる情報流出事案に関する調査委員会「不正アクセスによる情報流出事案に関する調査報告書」平成27年8月20日https://www.nenkin.go.jp/files/kuUK4cuR6MEN2.pdf

２．サイバーセキュリティ戦略本部「日本年金機構における個人２．サイバーセキュリティ戦略本部「日本年金機構における個人情報流出事案に関する原因究明調査結果」平成２７年８月２０日http://www.nisc.go.jp/active/kihon/pdf/incident_report.pdf

３．検証委員会「日本年金機構の個人情報流出問題の検証委員会報告」平成27年8月2１日http://www.mhlw.go.jp/kinkyu/dl/houdouhappyou_150821-02.pdf

10

日本年金機構への標的型攻撃①標的型メール送信

（ウイルス付き）５月１８日から２２日 ② 添付ファイ

ルを開封など＝＞感染（ワクチンチェックをしても検知不能）

④感染の拡大

攻撃者

日本年金機構基幹システム

（社会保険オンラインシステム）

124通

4名

③C&C（約3１台）

港区海運業者サーバ（踏み台）

⑤ 個人情報の流出

年金加入者個人情報（約125万件：対象者は約101万人）

感染PC（データ保管）

感染PC

アクセス

抽出

C&Cサーバ

③C&Cサーバとのやり取り

ウイルスが作成された時刻分布

標準時間＋8時間

12

10:00AM付近を中心に午前中に作成された検体が多いようです

が、全体的に、だいたい一般的な民間企業や公的機関の労働時間に収まっているようです。

http://blog.macnica.net/.s/blog/2015/06/emdivi-201405-eea5.html

米国政府での情報漏えい

米連邦政府の人事管理局（ＯＰＭ）がサイバー攻撃を受けて職員らの個人情報が大量に盗まれた事件で、ＯＰＭは２０１５年７月９日、新たに政府機関の職員や契約業者ら計２１５０万人分の身元調査に関わる情報が盗まれていたと発表した。

13

した。

ＯＰＭは６月に約４２０万人分が盗まれたと発表している。米紙ワシントン・ポスト（電子版）によると、流出した情報には重複があり、２件のサイバー攻撃で合計２２１０万人分になるという。同紙は、米国政府史上でも深刻なサイバー攻撃被害だと指摘した。

http://mainichi.jp/select/news/20150710k0000e030169000c.html

ドイツ：連邦議会にハッカー攻撃…ＰＣ総取り替えへ

【ベルリン中西啓介】ドイツ連邦議会のコンピューターネットワークに大規模なハッカー攻撃が仕掛けられ、現在も情報流出が続いていることが2015年6月10日、分かったと独紙南ドイツ新聞（電子版）などが伝えた。

14

イツ新聞（電子版）などが伝えた。

スパイプログラムの除去は困難で、連邦議会のパソコンやソフトウエア全体を交換する必要があるという。被害額は数百万ユーロ規模になる可能性も出てきた。

http://mainichi.jp/select/news/20150611k0000e030179000c.html

被害は日本だけではない

目次




15




攻撃の拡大

１．被害形態の多様化

機密性の喪失＝＞完全性や可用性の喪失

２．攻撃対象の多様化

PCなどからIoTなどへ

３．攻撃組織の多様化

ハッカーから犯罪組織などへ

16

損害額が大きな例

Der Spiegelが入手したNSAの内部資料は、Edward Snowdenによるリーク情報によるもので、資料の中で中国は米国政府およびその関連企業にMalwareを使ったサイバー攻撃を仕掛けることで、50TB分にも及ぶ情報を入手と記述。（3000億ドルの資金をかけ開発したF-35

17http://www.businessnewsline.com/news/201501191050080000.html

を入手と記述。（3000億ドルの資金をかけ開発したF-35攻撃戦闘機の設計図を含む）

＜従来の機密性の喪失であるが損害額が大きい例＞

破壊型攻撃

2016年もサイバー攻撃は増加の予測、情報窃盗から破壊工作へ悪質さ増す 2015/12/24井上英明＝日経コンピュータhttp://itpro.nikkeibp.co.jp/atcl/column/14/346926/12210http://itpro.nikkeibp.co.jp/atcl/column/14/346926/122100406/

＜可用性の喪失＞

情報のCIAC: 機密性（Confidentiality）I: 完全性（Integrity）A: 可用性（Availability）

ランサムウエア

ランサムウェア（Ransomware）とはマルウェアの一種である。

これに感染したコンピュータはシステムへのアクセスを制限される。この制限を解除するため、マルウェアの作者へ身代金の支払いが要求される。

19

身代金の支払いが要求される。

数種類の形態のランサムウェアは、システムのハードディスクドライブを暗号化し（暗号化ウイルス恐喝）、また他の幾種類かは単純にシステムを使用不能にし、ユーザーに対して身代金を支払うようにそそのかすメッセージを表示する。

＜データの暗号化という意味では完全性の喪失データを使えないという意味では可用性の喪失＞

日本におけるランサムウエアの推移

20https://www.ipa.go.jp/security/topics/alert280413.html

身代金要求画面例

http://www.trendmicro.co.jp/cloud-content/jp/pdfs/doc-dl/ransomware-20160411-01.pdf

攻撃の拡大







22

主要なＩｏＴ装置

• 制御システム

• 自動車

• センサーネット

スマートメータなどスマートメータなど

• 組み込み系

情報家電

防犯カメラ

複合機

医療機器など23

電力会社へのサイバー攻撃で140万世帯が停電

2015年12月23日に、ウクライナ西部の都市イヴァーノ＝フランキーウシク周辺で140万世帯が停電しました。停電自体は

数時間のことでしたが、これが実はサイバー攻撃によるもので、「BlackEnergy」と呼ばれるマルウェアを用いたモノであることが明らかになっています。

これはウクライナのエネルギー省が明かしたもの。以前から、インフラを狙ったサイバー攻撃については警鐘が鳴らされていましたが、本件はサイバー攻撃が実際に成功した極めて珍しい事例です。

http://gigazine.net/news/20160106-blackenergy-trojan/



• 自動車



• 組み込み系

情報家電

防犯カメラ

複合機


自動車への攻撃の一例

不正者

無線増幅器

＜実際に起こった犯罪＞

26

車の持ち主

電子キー

無線増幅器

ノブにタッチしドアを開ける

http://wired.jp/2015/04/19/new-york-times-columnist-falls-prey-to-signal-repeater-car-burglary/

自動車への具体的攻撃例

• Blackhat2015でCharlie Miller氏とChris Valasek氏がジープのチェロスキーの遠隔操作法を発表

攻撃者は数マイル離れた自宅から

27

ハンドル操作ブレーキの無効化

高速走行中のエンジンの停止など

140万台のリコールに

https://blog.kaspersky.co.jp/blackhat-jeep-cherokee-hack-explained/8480/



• 自動車



• 組み込み系

情報家電

防犯カメラ

複合機


その他のIoTのセキュリティ

• 現在もWEBカメラ、家庭用ルータ、太陽光発電のコントローラなどが攻撃の踏み台に

• 今後はロボットなどのハッキングによる被害なども発生か

29

サプライチェーンにおける脅威

• 海外から調達した通信機器（中国の大手通信機器メーカー「ファーウェイHUAWEI」のルーター）がアメリカで深夜に勝手に動き本国にデータ送信の疑惑

• 中国のスマートフォンメーカーCoolpadが製造する多数のハイエンド向けAndroid端末にバックドア設置が発覚

30https://www.ipa.go.jp/files/000044089.pdf

攻撃の拡大







31

攻撃者

①ハッカーというと少年のイメージがあるが、不正者の組織化により、組織サイバー犯罪者の４０％以上は35歳超だという。

②先進的サイバー犯罪組織には、高経営責任者や高情報責任者だけでなく研究開発を行う部門やコンピュータウイルスの品質保証を行う部門もあるという衝撃的事実も紹介されている。

32マーク・グッドマン「フューチャークライムサイバー犯罪からの完全防衛マニュアル」青土社、2016、p193pp186-294

CaaS

CaaS (Crime as a Serves)

ダーククラウドを利用した

いろいろな不正サービスが

サイバー攻撃の請負

殺人などの請負も


ダークウエブ

Black Market Reloadedなど（Tor等を利用して匿名化）

① 海賊版コンテンツ

② ドラッグ

③ 偽造通貨

④ カードアカウント

⑤ 武器弾薬

⑥ 児童性的虐待画像

⑦ 人身売買

⑧ 臓器売買

⑨ ライブ児童レイプ


目次




35




標的型攻撃と対策案

初期侵入侵入の拡大

目的の遂行

標的型メールぜい弱性をついた攻撃

重要情報の盗み出し

攻撃法

36

ついた攻撃出し

不正メールの見極め/自動チェック機能

不正送出の検知・防止

① アクセス記録(ログ)の保管とモニタリングの充実による被害実態の早期把握と拡大の防止② CISOや組織内CSIRTの設置・活性化。セキュリティマネジメントシステムの充実

対策案

早期検知NWの切り離しセキュリティパッチ

CISO （Chief Information Security Officer）CSIRT（ computer security incident response team ）

不正メールの見極めによる感染の防止は可能か

非常に困難

（ａ）よくできた標的型メールが多い

37

（ｂ）やり取り型のように何回かやり取りして安心させてからウイルスメールを送る

（ｃ）だれか一人が添付ファイルを開封すると感染が全体に広がっていく

標的型攻撃用メールの一例① メールの受信者

が興味を持つと思われる件名② 送信者のメール

アドレスが信頼できそうな組織のアドレス③ 件名に関わる本③ 件名に関わる本文④ 本文の内容に

合った添付ファイル名⑤ 添付ファイルがワープロ文書やPDF ファイルなど⑥ ②に対応した組

織名や個人名などを含む署名

不正メールの見極めによる感染の防止は可能か

非常に困難

（ａ）よくできた標的型メールが多い

39

（ｂ）やり取り型のように何回かやり取りして安心させてからウイルスメールを送る

（ｃ）だれか一人が添付ファイルを開封すると感染が全体に広がっていく

1人でも標的型メールを開ける確率

Pin

１０

５０

１．００．１０．０１

１．０

１．０

０．６５０．０９６

１．００．３９

０．０３

０．２６

０．７８

40

５０

１００

５００

１．０

１．０

１．０

１．０

１．０

１．０

０．３９

０．６３

０．９９

n ：送付先の人数 Pi ： i 番目の人が開ける確率

０．９５

０．７８

１．０

Pt ＝１－Π（１－Pi )i=1

ｎ

1人でも標的型メールを開ける確率

Pin

１０

５０

１．００．１０．０１

１．０

１．０

０．６５０．０９６

１．００．３９

０．０３

０．２６

０．７８

41

５０

１００

５００

１．０

１．０

１．０

１．０

１．０

１．０

０．３９

０．６３

０．９９

n ：送付先の人数 Pi ： i 番目の人が開ける確率

０．９５

０．７８

１．０

Pt ＝１－Π（１－Pi )i=1

ｎ

入口対策だけでは効果に限界が

標的型攻撃と対策案

初期侵入侵入の拡大

目的の遂行

標的型メールぜい弱性をついた攻撃

重要情報の盗み出し

攻撃法

42

ついた攻撃出し

不正メールの見極め/自動チェック機能

不正送出の検知・防止

① アクセス記録(ログ)の保管とモニタリングの充実による被害実態の早期把握と拡大の防止② CISOや組織内CSIRTの設置・活性化。セキュリティマネジメントシステムの充実

対策案

早期検知NWの切り離しセキュリティパッチ

CISO （Chief Information Security Officer）CSIRT（ computer security incident response team ）

疑問と対応

入口対策だけではだめなのは確かで、多重防護が必要なのは確かだが、入口対策は本当に効果がないのだろうか

43

リスク評価の実施

（イベントツリー分析とディフェンスツリー分析の組み合わせ法）

イベントツリー分析

• 事象の発生から時系列順にどのような事象に発展するかを分析

44

ウイルスに感染

情報の流出

発生確率損害リスク（発生確率ｘ損害）

成功P1

失敗1-P1

成功P2

失敗1-P2

初期事象発生R1=P’1x M1

R2=P’2 x M2

R3=P’3 x M3

M1

M3

M2

P’1=P0(1-P1）

P’3=P０xP1 x P2

P’2=P0xP1 x (1-P2)

RT=R1+R2+R3

P0

ディフェンスツリー分析


ワクチンチェックが機能しないウイルスの利用

添付ファイルを開けさせる

頂上事象（問題）

下位事象（細かい原因）

• 攻撃に対しトップダウンにその要因を分析するアタックツリー分析に対策を加えたもの

アタックツリー

45

機能しないウイルスの利用けさせる

対策疑似標的型メール

送付訓練

ディフェンスツリー

アタックツリー＋対策

＝

対策ヒューリスティック機能を充実したワクチンプログラムの利用

AND記号

OR記号

対策効果／対策コスト

対策効果／対策コスト

（使い勝手など派生リスクを考慮する場合も）



46


情報の流出


成功P1

失敗1-P1

成功P2

失敗1-P2


R2=P’2 x M2

R3=P’3 x M3

M1

M3

M2

P’1=P0(1-P1）

P’3=P０ｘP1 x P2

P’2=P0ｘP1 x (1-P2)

トータルコスト=R1+R2+R3

P0

対策1はP1を１０％低減し、対策2はP2を１０％

低減する。コストが同じならばどちらの対策を採用すべきか



47


情報の流出


成功P1

失敗1-P1

成功P2

失敗1-P2


R2=P’2 x M2

R3=P’3 x M3

M1

M3

M2

P’1=P0(1-P1）

P’3=P０ｘP1 x P2

P’2=P0ｘP1 x (1-P2)

トータルコスト=R1+R2+R3

P0

入口対策はやっぱり重要＝＞S/MIMEの普及

目次




48




S/MIME普及に必要なこと

１．信頼の起点になるので本人確認は間違いなく

＝＞マイナンバーカードベースの公的個人認証を出発点とした認証の利用

２．一般の人にも使いやすく＝＞研究開始

３．組織での利用を効率的に

＝＞辻井先生グループの研究

49

ENDEND

50

プロフィール

昭和４６年３月東京大学卒業。同年４月日立製作所入社。システム開発研究所にてシステム高信頼化技術、セキュリティ技術、ネットワーク管理システム等の研究開発に従事。平成13年4月より東京電機大学教授。工学博士（東京大学）。平成１０年電気学会著作賞受賞。平成14年情報処理学会

51

平成１０年電気学会著作賞受賞。平成14年情報処理学会論文賞受賞。平成１９年総務大臣表彰など。著書に、「ITリスクの考え方」岩波新書2008年等。日本セキュリティ・マネジメント学会会長、内閣官房サイバーセキュリティ補佐官。

深刻化するサイバー攻撃...

Documents