不正侵入の発見 Windows 20050204

JPNIC・JPCERT/CC
Security Seminar2004

ホストレベル、セグメントレベル、企業レベル、
グローバルレベルでの不正侵入の発見手法とは？
(Windows版)
インターネットセキュリティシステムズ株式会社
セキュリティオペレーションセンタースーパーバイザー
シニアセキュリティエンジニア
守屋英一

2005年02月04日
© 2004 Internet Security Systems. All rights reserved. Contents are property of Internet Security Systems.

目次

はじめに
不正侵入の現状
不正侵入の発見手法
ホストレベル
セグメントレベル
企業レベル
グローバルレベル

2

トップ１０(2004年)
∼はじめに∼

3

現在も観測されるワーム
∼はじめに∼

想定される原因のひとつ
未管理サーバの存在不正侵入検知・防御（IDS/IPS）などセキュリティ
感染に気が付いていない対策がとられていない

ワーム発生日時

ISS東京SOC観測（2004年7月） 2004/5/01 Sasser_Worm
2003/8/22 Agobot_Worm
2003/8/11 Blaster_Worm
2003/1/25 Slammer_Worm
2001/9/18 Nimda_Worm
2001/8/04 Code_Rad II
2001/7/19 Code_Rad v2
2001/7/12 Code_Red v1

4

脆弱性の発見からワーム発生まで
∼はじめに∼

メーカ / セキュリティベンダ / 他公開活動攻撃側（非公開活動）

セキュリティ関連サイトで悪性プログラム作成
悪性プログラム作成
セキュリティホールの発見セキュリティ関連サイトで
情報交換情報交換
情報交換
情報交換
パッチの解析
パッチの解析
参照
メーカー等への通知脆弱性証明プログラム
非脆弱性証明プログラムワームの作成
ワームの作成
公作成
作成
開
亜
パッチの作成種
発
亜種の拡散生ワームの拡散
亜種の拡散サワームの拡散
イ
ク
パッチの未適用
パッチの未適用ル
サーバ
サーバ
ワームの改良
ワームの改良

パッチの適用 •ワーム作者、ハッカー
パッチの適用
•動機ある者

5

攻撃のサイクル
∼はじめに∼

攻撃側
メーカ / セキュリティベンダ / 他
セキュリティホールの発見情報交換
情報交換
パッチの解析
パッチの解析

メーカー等への通知侵入行為
非侵入行為
公攻
開撃
パッチの作成サ
イ
スキャン行為
スキャン行為ク悪性プログラムの
悪性プログラムの
次のターゲットへルダウロード
次のターゲットへダウロード

サーバ
サーバ
レジストリ修正
レジストリ修正
バックドア作成
バックドア作成

パッチの適用
•動機ある者
6

監視範囲
∼ホストレベル∼
REMOTE/MOBILE
- ActivePorts COMPUTING
- IRCR
- Tripwire
- Event log
REMOTE OFFICE

CORPORATE INTRANET
PARTNER EXTRANET

7

発見事例
REMOTE/MOBILE
- ActivePorts COMPUTING
- IRCR
- Tripwire
- Event log
REMOTE OFFICE

CORPORATE INTRANET ■環境
日時：2004年11月20日(0:00∼8:30)
PARTNER EXTRANET
OS：Windows2000(IIS)
IP：192.168.221.180
▼事例
ワーム感染(多重感染)事例

8

時系列

①
① ②
② ③
③ ④④
Webへの
Webへのログの確認
ログの確認ポートと
ポートとファイルや
ファイルや対応
対応
アクセスが
アクセスがプロセス
プロセスディレクトリ
ディレクトリ
が重い
が重いの確認
の確認のチェック
のチェック
(ActivePorts)
(ActivePorts) (Tripwire)
(Tripwire)
(IRCR)
(IRCR)

9

①セキュリティログでの確認

セキュリティログのイベントID
ID592：新規プロセスが作成された。
ID593：プロセスが終了した。

詳細：http://download.microsoft.com/download/technetpluscd/Update/100/NT5/JA/w2000msgs.exe(日本語)

10


2004年11月20日 0:01
ID592：新規プロセスとしてTFTP
が起動されている。
悪性プログラムがダウロードされ
た可能性がある。

11


2004年11月20日 0:01
ID592：新規プロセスとして、Msbb.exe
という不明なプロセスが起動されている。

12

ActivePortsによる解析

ActivePorts (http://www.protect-me.com/）
ポートとプロセス関連付けて表示する

13

②ActivePortsでの確認

ActivePortsで表示させた結果、
C:￥WINNT￥system32￥Winregs32.exeという
不明なプロセスを多数確認する。
Process State Path
Msbb.exe LISTEN C:WINNTSystem32Msbb.exe
Win32Fixr.exe CLOSE_WAIT C:WINNTSystem32Win32Fixr.exe
Win32Fixr.exe LISTEN C:WINNTSystem32Win32Fixr.exe
Winregs32.exe LISTEN C:WINNTSystem32Winregs32.exe
wilogon32.exe LISTEN C:WINNTSystem32wilogon32.exe

14

②IRCRによる解析

IRCR(http://www.Incident-reponse.org/IRCR.html）
TCT(The Coroner’s Toolkit)に類似した機能がある。
NETコマンド,ARPテーブルなどの各種情報を収集する。

15

②IRCRによる解析

TCP 192.168.221.180:3079 192.168.130.231:135 SYN_SENT
TCP 192.168.221.180:3080 192.168.131.105:135 SYN_SENT
TCP 192.168.221.180:3081 192.168.91.100:135 SYN_SENT
TCP 192.168.221.180:3082 192.168.248.26:135 SYN_SENT
TCP 192.168.221.180:3083 192.168.255.35:135 SYN_SENT
TCP 192.168.221.180:3084 192.168.112.178:135 SYN_SENT
TCP 192.168.221.180:3085 192.168.57.236:135 SYN_SENT
TCP 192.168.221.180:3086 218.18.21.232:135 SYN_SENT
TCP 192.168.221.180:3087 218.221.53.234:135 SYN_SENT
TCP 192.168.221.180:3088 192.168.139.85:135 SYN_SENT
TCP 192.168.221.180:3089 218.63.86.146:135 SYN_SENT
TCP 192.168.221.180:3090 192.168.126.37:445 SYN_SENT
TCP 192.168.221.180:3091 192.168.62.73:445 SYN_SENT
TCP 192.168.221.180:3092 192.168.222.141:445 SYN_SENT
TCP 192.168.221.180:3093 192.168.84.67:445 SYN_SENT
TCP 192.168.221.180:3094 192.168.108.118:445 SYN_SENT
TCP 192.168.221.180:3095 192.168.224.10:445 SYN_SENT
TCP 192.168.221.180:3096 192.168.122.46:135 SYN_SENT
TCP 192.168.221.180:3097 192.168.169.113:135 SYN_SENT

対象ホストから複数のホストに対
して、Port135,445へのアクセスを
確認する。

16

③Tripwireによる解析

Tripwire(http://www.tripwire.co.jp/）
ファイルやディレクトリの改竄を検知する
Tripwire 整合性チェックレポートバージョン 4.0.0
Tripwire(R) for Servers バージョン 4.5.0.178

レポート生成者 : Administrator
レポート作成日付 : 2004年11月20日 08:01:15
データベース最終更新日付 : 未更新

===============================================================================
レポート要約 :
===============================================================================

ホスト名 : ISS001
ホスト IP アドレス : 192.168.221.180
ホスト ID : S-1-5-21-1390067357-362288127-839522115
使用ポリシーファイル : C:¥Program Files¥Tripwire¥TFS¥policy¥tw.pol
使用設定ファイル : C:¥Program Files¥Tripwire¥TFS¥bin¥tw.cfg
使用データベースファイル : C:¥Program Files¥Tripwire¥TFS¥db¥database.twd
使用コマンドライン : tripwire -m c

17

③Tripwireでの確認

-------------------------------------------------------------------------------
セクション : Windows File System
-------------------------------------------------------------------------------

ルール名重要度レベル追加削除変更
--------- -------------- ----- ------- --------
* Critical System Startup files 1000 0 0 1
(C:¥)
* OS Support Files 35 0 0 1
* System32 Folder 100 15 0 15
* Network Configuration Files 100 0 0 2
Critical Drivers 35 0 0 0
System Folder 35 0 0 0
(C:¥WINNT¥System)
Program Files Folder 35 0 0 0
(C:¥Program Files)
* Tripwire for Servers Configuration Files System32 Folderの
1000 1 0 0
Tripwire for Servers Executables 下に新規に追加された
1000 0 0 0 15個のファイルを確認
Tripwire for Servers Log and Support Files
1000 0 0 0
Temporary Files Folder 15 0 0 0

スキャン済みオブジェクト総数 : 6,408
発見された総侵害箇所 : 35

18

③Tripwireでの確認

-------------------------------------------------------------------------------
セクション : Windows Registry
-------------------------------------------------------------------------------
Service Registry
ルール名重要度レベル追加削除変更 25個の追加を確認
--------- -------------- ----- ------- --------
Hardware keys 35 0 0 0
* Service Registry Keys 100 25 0 10
Critical Tripwire Registry keys 1000 0 0 0
* Critical Security Account Keys 1000 0 0 1
* Security Information keys 100 0 0 1
Local Admin Activity 1000 0 0 0
(HKEY_LOCAL_MACHINE¥SAM¥SAM¥Domains¥Account¥Users¥000001F4)
* Local Admin Login 1000 0 0 1
(HKEY_LOCAL_MACHINE¥SAM¥SAM¥Domains¥Account¥Users¥000001F4¦F)
Local Admin Password Change 1000 0 0 0
(HKEY_LOCAL_MACHINE¥SAM¥SAM¥Domains¥Account¥Users¥000001F4¦V) System Startup
* Guest Account Activity 1000 0 0 1 11個の追加を確認
(HKEY_LOCAL_MACHINE¥SAM¥SAM¥Domains¥Account¥Users¥000001F5)
* System Startup Executables 1000 11 0 0
Critical System Registry Keys 100 0 0 0
Software keys 35 0 0 0
Current User Registry keys 15 0 0 0
Class keys 35 0 0 0

スキャン済みオブジェクト総数 : 27,467
発見された総侵害箇所 : 50
19

まとめ

ホストレベルの場合は、影響が表面化し
た段階で発見される。

攻撃手法がわからない

20

監視範囲
∼セグメントレベル∼
セグメント単位 REMOTE/MOBILE
ID/PS
COMPUTING

- IDS/IPS

REMOTE OFFICE

ID/PS ID/PS
Management
ID/PS

ID/PS ID/PS

Firewall
Management

CORPORATE INTRANET
ID/PS
PARTNER EXTRANET
ID/PS
ID/PS

21

発見事例
ID/PS
COMPUTING
FW
- IDS/IPS

REMOTE OFFICE

ID/PS FW
ID/PS
Management FW
ID/PS

ID/PS ID/PS

Firewall
Management
FW

CORPORATE INTRANET ■環境
日時：2005年01月1日∼3日
FW
ID/PS
PARTNER EXTRANET
ID/PS OS：Windows2000(IISサーバ)
ID/PS IP：192.168.221.180
▼事例
Blasterワームの感染事例

22

IDS/IPS

SiteProtector(http://www.isskk.co.jp/product/SiteProtector.html）
ネットワーク、サーバ、デスクトップそれぞれに導入されている防御システムの管
理を一元化し、セキュリティ管理作業にすばやく優先順位をつけ、危険度が高く、
実際に影響があるイベント対応を最優先させることが可能な統合管理ツール

23

侵入検知システムによる確認

2005年1月1日∼3日間の侵入検知シ
ステムよる検知状況である。
不正侵入を発見するには、検知件数
が多く、判別が困難である。

24

不正侵入を発見するポイント

攻撃側
効率的に不正侵入を発見するには、悪性プログラム作成
情報交換
①∼④の挙動を確認する事が重要で
セキュリティホールの発見
パッチの解析
ある。確認するには、Analysis
Viewを利用すると良い。
メーカー等への通知 ①攻撃
非 ①攻撃
公攻
開撃
イ
ク ②悪性プログラム
②悪性プログラム
④スキャン
④スキャンルのダウロード
のダウロード

サーバ
③レジストリ修正
バックドアの作成

•動機ある者
25

Analysis Viewの活用

「Advanced Filter」の項目で、フィルタすべき条件項目を指定することをAnalysis Viewという。
カスタマイズの方法としてはSite Managerのメニューから[ Analysis ] --> [ Add / Remove Data Columns... ] を選択します。
表示している項目を更に追加／削除したり、フィルタイリングの条件を指定することができる。

Analysis View

26

①攻撃(Analysis View)

攻撃側
①のポイントでは、不正侵入が
成功したか判断できない。悪性プログラム作成
情報交換
判断するには、②∼④の挙動を
パッチの解析
確認する必要がある。
但し、監視ネットワークを送信
①攻撃
元とした攻撃が発生している場
メーカー等への通知
非
①攻撃
(ワーム)
(ワーム)
合は、既に不正侵入が成功した公攻
開撃
可能性がある。サ
パッチの作成
イ

サーバ

•動機ある者
27

①攻撃(Analysis View)

危険際の高い攻撃を確認するには、
Tag Nameに[*Bo][*Overflow]を追加する。

28

Analysis Viewによる表示

危険性の高い攻撃のみをレポートす
る事ができる。

29


監視セグメントが明確な場合は、
SourceIPの一覧を表示させる。
そして、リストの中に監視セグメントの
IPアドレスが含まれていないか確認を
行う。

30

ワーム(Analysis View)

ワームの活動を確認するには、Tag Nameに
[MSRPC_LSASS_Bo][SQL_SSRP_Slammer_Worm]
[MSRPC_RemoteActivate_Bo]などを追加する。

31


Source Countより、Target Countの方が
多く検知されている場合は、ワームなどに
感染した可能性がある。
その為、管理者がホストレベルでの調
査を行う必要がある。

32


33


攻撃側
情報交換
パッチの解析
②のポイントでは、脆弱性を利用さ
れ、任意のコマンドが実行された可
能性がある。非
公攻
開撃
イ
②悪性プログラム
のダウロード

サーバ

•動機ある者
34

②ダウロード(Analysis View)

悪性プログラムのダウンロードを確認するには、
Tag Nameに[FTP_Get][TFTP_Get]などを
追加する。

35


TFTP経由でダウロードが行われて
いる事がわかる。
現状では、TFTPを利用した感染が
一般的である。しかし、UNIX系の
侵入事例などでは、昨年からHTTP
を利用した事例が増えている。

36


攻撃側
情報交換
パッチの解析
③のポイントでは、不正アクセスが
既に成功した可能性がある。
非
公攻
開撃
イ

サーバ

•動機ある者
37

③バックドア(Analysis View)

バックドアなどのリモートからのアクセスを確認す
るには、Tag Nameに[*Request][*Response]
[SSH*][Telnet*]を追加する。

38

③バックドア(Analysis View)

リモートアクセスが実行されている場合
は、送信先、送信元について調査を行う
必要がある。意図した通信でない場合は、
管理者がホストレベルでの調査を行う必
要がある。但し、一般的に管理者がすべ
ての通信を把握している事は稀である為、
発見は難しい。

39


攻撃側
情報交換
パッチの解析
④のポイントでは、被害者か
ら加害者になる。ネットワー
非
ク回線が重いなど、影響が表
公攻
面化する。開撃
イ
④スキャン

サーバ

•動機ある者
40

④スキャン(Analysis View)

スキャン行為を解析するには、Tag Nameに
[TCP_Network_Scan][TCP_Service_Sweep]
[Telnet_Abuse]を追加する。

41

④スキャン(Analysis View)

Source Countより、Target Countの方が多
く検知されている場合は、送信元ホストで
ワームなどに感染した可能性がある。
その為、管理者がホストレベルでの調査を
行う必要がある。スキャンは、検知件数に
ピークが発生する為、安易に発見できる。
42

疑問

UNIXの場合はどうなの？
ワーム以外の攻撃は？

43

Case Study1
ID/PS
COMPUTING
- Firewalls
FW
- IDS/IPS

REMOTE OFFICE

ID/PS ID/PS FW
ID/PS
Management FW
ID/PS

ID/PS ID/PS

Firewall
Management
FW
■監視環境
CORPORATE INTRANET
日時：2004年12月21日∼28日
FW
ID/PS
PARTNER EXTRANET
ID/PS OS：RedHat(Apacheサーバ)
ID/PS IP：192.168.221.180
▼事例
攻撃からフィッシングサイト構築まで

44

Case Study1

2004年12月21日∼28日
の侵入検知システムに
よる検知状況である。

45

Case Study1(時系列１)

①攻撃
12/23 0:11∼0:13
経過時間 2分

②ダウンロード
12/23 0:14∼0:14
経過時間 3分

46

Case Study1(時系列１)
悪性プログラムが
保存されている
サイト

47

Case Study1(時系列２)

③バックドア
12/23 0:25∼
経過時間 14分

メール送信を確認
12/23 0:26∼0:26
経過時間 15分

48

Case Study1(時系列２)
ユーザのパスワード情報
などをフリーメールへ転送

49

Case Study1(時系列３)

④スパムメール
12/24 21:45∼
経過時間 45:34

50

Case Study1(時系列３)
フィッシングメール

51

実践偏

とりあえず発見手法を試してみよう

でも不安

52

Case Study1(①攻撃)

検知した攻撃は、監視セグメントの
IPアドレスは含まれていなかった。

53

Case Study1(②ダウロード)
悪性プログラムのダウロードを確認

3.txt 2.txt Pulamea.tgz Armand.tgz
電子メールルートキットフィッシングサイト
54

Case Study1(③バックドア)

このアクセスは、攻撃者がバックド
ア(SSH)へ接続している様子である。
Port121は、攻撃者によって作成され
たバックドアである。

55

Case Study1(④スキャン)

このアクセスは、攻撃者
が複数のアドレスに対し
て、メールを送信してい
る様子である。

56

まとめ

セグメントレベルの場合は、攻撃の初期
段階から発見することができる。

57

監視範囲
∼企業レベル∼
企業単位 REMOTE/MOBILE
ID/PS
COMPUTING
- Firewalls
- ID/PS 24×365
FW

REMOTE OFFICE

ID/PS FW
ID/PS
Management FW
ID/PS

ID/PS ID/PS

Firewall
Management
FW

CORPORATE INTRANET
FW
ID/PS
PARTNER EXTRANET
ID/PS
ID/PS

58

まとめ
∼企業レベル∼

脆弱性情報やワーム情報などの情報収集
が必要である。
攻撃の初期段階で迅速に対応する必要が
ある。
24時間365日の対応が必要である。

59

監視範囲
∼グローバルレベル∼
REMOTE/MOBILE
COMPUTING

REMOTE OFFICE

CORPORATE INTRANET
PARTNER EXTRANET

60

インターネット上の脅威分析
∼グローバルレベル∼
宣伝です

総合分析

社会動性
US SOC
テロや紛争などインターネットリスクレベル
GTOC X-Force Global Threat Analysis Center

分析情報配信
X-Force
監視・防御シグネチャを提供
SOC
新しい脆弱性の発見
世界 5 箇所のSOCで検知されたイベント状況により連動
新しい攻撃手法、ツール
X-FORCEは常に最新のシグネチャをリアルタイムに提供
ハッカーの動性
日本語・英語によるオペレータ対応ー海外拠点を持つ企業

High Risk Advisories 1998-2003
各国のSOC 61

不正侵入の発見 Windows 20050204

不正侵入の発見 Windows 20050204

Recomendados

Recomendados

Más contenido relacionado

Último

Último (8)

Destacado

Destacado (20)

不正侵入の発見 Windows 20050204