サイバー攻撃の新たな攻撃手法と、地方自治体組織および公共サービス事業体における有効な情報セキュリティ対策の実践

「サイバー攻撃の新たな攻撃手法と、
地方自治体組織および公共サービス事業
体における有効な情報セキュリティ対策
の実践」

2013 年 2 月 28 日
独立行政法人情報処理推進機構
技術本部セキュリティセンター
研究員　大森雅司

Copyright © 2013 独立行政法人情報処理推進機構 1

目次

情報セキュリティを取巻く脅威
ウェブサイトを狙った攻撃
クライアントサイトを狙った攻撃
セキュリティ対策の考え方
ツールのご紹介


情報セキュリティを取巻く脅威
 情報システムを取巻く脅威
インターネット ( サイバー )
空間

外部脅威

内部脅威
脅威
情報資産パートナー組
織
組織内部

 組織が守るべきものは情報資産であり、様々な脅威から守る必要
がある
 内部脅威、パートナーに起因する脅威は、コンプライアンスなど
の人間の行動を制限する対策が一般的
Copyright © 2013 独立行政法人情報処理推進機構　　 3


情報セキュリティ事故とは？
 発生事象は３つ

Web サイト
への攻撃
標的型 DDoS 攻
メール攻撃
撃
サービス妨害
ソーシャル
情報窃取・流出フィッシエンジニアリ
ングング

攻撃者マルウェ
ハッキンア
グ不正アクセ
ス

インターネット空
間
情報破壊
( サイバー空間 )

情報セキュリティにおける脅威と
傾向
 情報侵害の要因

図 . 情報流出要因別図 . 業界別侵害レコ - ドの
出展：ベライゾンジャパン合同会社割合
http://www.verizonbusiness.com/resources/reports/rp_2012_Data_Breach_Investigations_Report_ja_
xg.pdf
 外部要因による情報流出が全体の 87% を占めている
 金融・保険業などの金銭に直結する業界が狙われる傾向に

情報流出が起る要因 (1)
 攻撃の分類と攻撃者の目的

図 . 攻撃種別の割合図 . 攻撃の動機別

出展：ベライゾンジャパン合同会社
http://www.verizonbusiness.com/resources/reports/rp_2012_Data_Breach_Investigations_Report_ja_
xg.pdf
 マルウェア、ハッキングは、情報窃取の常套手段として定着
 複数の手法を組合せた複合的な攻撃手法が用いられる
 攻撃者の動機の大半は、金銭または個人的利益が目的

情報流出が起る要因 (2)
 データ漏洩 / 侵害におけるハッキングタイプの割合

パスワード設定・管理不備を突くといった技術的に高くな
い攻撃手法による被害が多い事実

組織を狙った攻撃
～公開サーバ、クライアントサイドが狙われる～

システム管理者
が
守るべき領域

情報資産が保存
されているサー
バ


ウェブサイトを狙った攻撃

• ウェブサイトを狙った攻撃
– 昔から続いているセキュリティ脅威の一つ
– 個人情報の漏えいやウェブサイトの改竄により、一般利用者も被害
に遭う
– 攻撃者は、常に攻略しやすいウェブサイトを狙っている

Copyright © 2013 独立行政法人情報処理推進機構
10

ウェブサイトが狙われる背景
～攻撃者は様々な意図を持っている～

① 情報の流出 ② ウイルス配
③ ウェブサイト改
布サイトに改
ざん
変

情報窃取
攻撃の踏み台抗議の意図

• ウェブサイト攻撃による影響
– ウェブサイトの情報が盗まれてしまうことによる、様々な影響に波
及
– エンドユーザがウイルス感染してしまう
– ウェブサイト改ざんに伴う、信用の失墜

11

ウェブサイト攻撃被害状況
～統計データからみるウェブサイト被害状況～

出典元： JPCERT/CC

 2012/12 の 1 ヶ月で国内 206 のウェブサイトが改竄の被害に
 2012/12 の 1 ヶ月で国内 58 のウェブサイトがウイルス配布サ
イトに
報告されるのは氷山の一角！
ウェブサイトは常に攻撃にさらされて
いる
12

ウェブサイトを狙った攻撃
～攻撃者は常にウィークポイントを狙っている～
複数のソフトウェアの
脆弱性を悪用
・ OS の脆弱性
管理者に成りすまして・ Web サーバの脆弱性
、情報を盗んでやろ・ DB の脆弱性
う！・アプリケーションの脆
弱性

窃取
攻撃者
ウェブサイ
ト
 攻撃者は、設定面の不備／ソフトウェアの脆弱性を悪用す
る
 ハッキングの目的は、管理者アカウントの奪取
 脆弱性悪用は、不正にソフトウェアを操作すること
 攻撃により、データの「改ざん」、「消去」、「窃取」が 13

ウェブサイト攻撃被害状況
～統計データからみるウェブサイト被害状況～
解析対象のウェブサイト： JVN iPedia （脆弱性対策情報データベース）
解析したウェブサーバのアクセスログの期間： 2011 年 8 月～ 2012 年 7 月
攻撃があったと思われる件数：平均 21.9 件 / 日、攻撃が成功した可能性の高い件数： 0 件

（件）

2011 年 2012 年

ウェブサイト攻撃の検出ツール「 iLogScanner 」の解析事例

 1 日平均 21 件の攻撃が行われている
 多い月で 120 件 / 日の攻撃が行われている

攻撃者は、絶えず攻撃を仕掛けてい
る！
14

ウェブサーバー安全対策 ( 例 )
～攻撃される隙を作らないことが重要～

 システムデザインの考慮
 リモートメンテナンスにおけるアクセス元を管理者に限定
 ID ・ PW に代わるスマートカードによる管理者認証

 サーバのセキュア設定
 不要なサービスを停止する
 不要なファイル・プログラムの削除
 適切な ( 最小限の ) アクセス権限を設定する

 運用時の注意
 管理者パスワードを適切に管理する
 アカウントを適切に管理する ( 未使用のアカウントを作らない )
 脆弱性対策（セキュリティパッチの適用）
• OS/ データベース / ウェブサーバ / アプリケーション etc

組織を狙った攻撃
～公開サーバ、クライアントサイドが狙われる～

システム管理者
が
守るべき領域

情報資産が保存
されているサー
バ


クライアントからの侵入
～ウイルスは、あなたを踏み台に内部に侵入しようとしている～
 複数の感染 ( 侵入 ) 経路が存在
 自分自身が攻撃の入口になってしまう

組織内
メール経由添付ファイル開
く

ウェブサイト閲
覧

LAN
攻撃者組織ユー
ウェブサイト経
ザ
由窃取
PC 接続

外部デバイス経由

これらの攻撃は、標的型攻撃と呼ばれる

『標的型攻撃』の特徴①
～攻撃者によって、受信者がメールを開く状況が作り出されて
いる～
 メール偽装のテクニック
 時事ネタの転用・・・・・・・・・・・・「停電のお知らせ」、「子
ども手当」など
 内部情報の転用・・・・・・・・・・・「会議情報」、「○○のお知
らせ」
 実在メールの転用・・・・・・・・・・実在メールの返信、転送

 心理的なテクニック
 「至急」「緊急」等の用語を用いる・・・・見ないと自身が損を被る
可能性
 職位上位者、取引先からのメール・・・送付者に確認しづらい状況の
創出
 叱責、クレームメール・・・・・・・・・・・・・・対応しないと、
後が怖い・・・


『標的型攻撃』の特徴②
～ 99% 以上が既知の脆弱性が悪用されている～

 攻撃に使われたファイル種別と脆弱性種別

メールに添付されていた不正なファイルのドキュメント・ファイルを悪用する脆弱性
拡張子の割合
出展： IBM Security Services 「 2012 上半期 Tokyo SOC 情報分析レポート」
http://www-935.ibm.com/services/jp/its/pdf/tokyo_soc_report2012_h1.pdf

脆弱性対策をタイムリーに行っていれば、攻撃を
防げる可能性は高まる

業務端末のセキュリティ対策
～攻撃される隙を作らないことが重要～

 ウイルス対策ソフトを有効にする
 端末のウイルス感染を防ぐことが対策の第一歩。
 ウイルス対策ソフトをインストールし、自動更新を有効にする

 セキュリティ対策パッチを有効にする
 ウイルス感染は、ソフトウェアの脆弱性 ( セキュリティ欠陥 ) を突い
てくる
 Windows のセキュリティパッチを最新の状態にしておく
 Oracle Java , Adobe Reader , Adobe Flash Player を最新の状態にする

 所員のセキュリティ意識の向上
 不審なメールは開かない
 不審なウェブサイトにはアクセスしない


発注時のセキュリティ対応
～情報システムは時間が経つほどに危険な状態になっていく～

新たな攻撃手法や脆弱性の発見により、情報システムは時
間の経過と共にセキュリティも低下していく


発注時のセキュリティ対応
～契約時にセキュリティ対応を含めておくことが重要～
 システム開発時の契約で合意することが望ましい事例
 開発時の段階で見つけた既知の重要な脆弱性の対策は契約の範囲
に含まれるように調整する。
 納入前のウェブサイトに対し脆弱性検査を行い、脆弱性が見つ
かった場合にはその対策を施すことを契約に含める方向で調整す
る。
 ソフトウェア製品の既知の重要な脆弱性の対策に関する著しい認
識不足、ウェブアプリケーションに対する必要な設定漏れ、設定
ミスなど開発事業者の責に帰する場合は無償とする方向で調整す
る。

 保守・運用の契約で合意することが望ましい事項の例
 当該情報システムに関する深刻な脆弱性の情報が公開されたら連
絡してもらう方向で調整する。
 緊急事態時に発生する調査費用・対策費用の負担については、契
「地方公共団体のための
http://www.ipa.go.jp/security/fy23/reports/vuln_handling/index.html
約の段階で明確にしておく。
　脆弱性対応ガイド」

対策の考え方の整理
～セキュリティ対策は、脅威を低減することを目的に～
 有効に機能しないセキュリティ対策の一例

セキュリティ対策は、コストや労力を掛ければ強化され
るものではなく、効率・効果的な対策が求められる

MyJVN バージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/

 ソフトウェア製品の脆弱性対策状況をチェック
 利用者の PC にインストールされているソフトウェア製品の
バージョンが最新であるかを、簡単な操作で自動的に確認する
ツール
 チェックリストに基づき、バージョンが最新であるかどうかの
チェックを手作業ではなく、ツールにより作業を自動化する
。
 サーバーソフトやサーバ OS(Windows,Linux) でも動
Adobe Adobe
作可能 Reader Flash Player
最新古い

Firefo JRE
x 古い
最新

MyJVN バージョンチェッカ
～ PC のセキュリティ状況を簡易チェック～

• MyJVN の HP のトップページから起動し、チェックが可能です。

端末の脆弱性を解消することは、対策の基本で
あり、利用者に作業を定着させることが重要

5 分でできる！情報セキュリティポイント学習
ttp://www.ipa.go.jp/security/vuln/5mins_point/

1 テーマ 5 分でセキュリティ対策
を学習。
重要なセキュリティポイントを気軽
に学習できる時間設定 (1 テーマ 5
分)
IPA の「 5 分でできる！中小企業の
ための情報セキュリティ自社診断」
( 右下図および URL 参照 ) の診断項
目を基に学習。
職場の日常の 1 コマを取り入れた親
しみやすい学習テーマで、様々な業
種・業態・従業員の構成の中小企業
に対応。
2 業種 3 職位、全 105 の学習テーマ
http://www.ipa.go.jp/security/manager/know/sme-guide/
29

教育・研修用映像コンテンツの提
供
http://www.ipa.go.jp/security/keihatsu/videos/
・ YouTube の「 IPA Channel 」にて公開中
・ DVD － ROM 媒体の配布申込を受付中

1/31 公開 12/19 公開

ウイルスはあなたのビジネスもワンクリック請求のワナを知ろう !
プライベートも狙っている！（約～巧妙化する手口とその対策～（約
10 分） 10 分）

大丈夫？あなたのスマートフォンあなたの組織が狙われている！
～安心安全のためのセキュリティ対策～　～標的型攻撃その脅威と対策～　（約
（約 9 分） 10 分） 30

おわりに
IPA は、安心安全な情報システム、社会インフラ
の
実現を目指します

ご清聴 , ありがとうございま
した

独立行政法人情報処理推進機構　技術本部セキュリティセ
ンター
http://www.ipa.go.jp/security/index.html
http://www.ipa.go.jp/security/vuln/index.html


サイバー攻撃の新たな攻撃手法と、地方自治体組織および公共サービス事業体における有効な情報セキュリティ対策の実践

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a サイバー攻撃の新たな攻撃手法と、地方自治体組織および公共サービス事業体における有効な情報セキュリティ対策の実践

Similar a サイバー攻撃の新たな攻撃手法と、地方自治体組織および公共サービス事業体における有効な情報セキュリティ対策の実践 (20)

サイバー攻撃の新たな攻撃手法と、地方自治体組織および公共サービス事業体における有効な情報セキュリティ対策の実践

Notas del editor