5093308
This presentation is the property of its rightful owner.
Sponsored Links
1 / 183

インターネットセキュリティ中級 PowerPoint PPT Presentation


  • 64 Views
  • Uploaded on
  • Presentation posted in: General

インターネットセキュリティ中級. 株式会社リナックスアカデミー http://www.linuxacademy.ne.jp. 本講座の項目 . インターネットにおけるセキュリティ コンピュータウィルスとその対策 セキュリティホールとその対策 IP プロトコルに対するセキュリティ ネットワーク設計におけるセキュリティ対策 ファイアウォールの仕組み (1/2). 本講義の項目 . ファイアウォール構築実務 ネットワーク脆弱性調査 侵入検知システムの概要 侵入検知システムの構築 (1) 侵入検知システムの構築 (2)

Download Presentation

インターネットセキュリティ中級

An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -

Presentation Transcript


5093308

インターネットセキュリティ中級

株式会社リナックスアカデミー

http://www.linuxacademy.ne.jp


5093308

本講座の項目 

  • インターネットにおけるセキュリティ

  • コンピュータウィルスとその対策

  • セキュリティホールとその対策

  • IPプロトコルに対するセキュリティ

  • ネットワーク設計におけるセキュリティ対策

  • ファイアウォールの仕組み

  • (1/2)


5093308

本講義の項目 

  • ファイアウォール構築実務

  • ネットワーク脆弱性調査

  • 侵入検知システムの概要

  • 侵入検知システムの構築(1)

  • 侵入検知システムの構築(2)

  • ソーシャルエンジニアリング対策、個人情報の流出とその対策

  • (2/2)


5093308

1章 インターネットにおけるセキュリティ

  • ファイアーウォールによるセキュリティ設計- -

  • セキュリティ法整備- -

  • セキュリティポリシーの策定- -


5093308

ファイアウォールによるセキュリティ設計

  • 企業や、組織がインターネットに接続する場合に、情報資産を守る目的で、ネットワークを設計、構成

  • 内部ネットワークと、インターネットを隔離するための機器がファイアウォール

  • ルーターや、Linuxなどでも、簡単なファイアウォールを構成可能


5093308

図: ファイアーウォールによるセキュリティ設計


5093308

セキュリティ法整備

  • 情報セキュリティに関連する国内法規は、下記の通り(主なもの)- 刑法- 不正アクセス禁止法- 個人情報保護法- 著作権法- 特定商取引法- 民法- 電子署名認証法

  • 不正な行為、取引に対する処罰を定めたものと、電子情報に対する信用を定めたもの


5093308

刑法

  • 刑法が定めるのは、人間が他の人間に行った犯罪行為です(例、殺人、強盗、詐欺) 以前の刑法では、コンピューターを利用した破壊行為や、詐欺が取り締まれませんでした

  • 1987年 刑法改正- コンピュータ犯罪防止法 ・ コンピューターや電子データを破壊する行為 ・ コンピューターを利用した詐欺行為 ・ コンピューターを利用した業務妨害行為


5093308

不正アクセス禁止法

  • コンピュータ犯罪防止法では、立件要件が成立していない不正行為が取り締まれません (例、サーバーへの侵入など)

  • 2000年 不正アクセス禁止法施行- 下記の行為を禁止 ・ パスワードなどの窃盗 ・ 他人のパスワードの公開、および販売 ・ アクセス権のないサイトへの侵入 ・ アクセス権のないシステムの利用 ・ サイトの弱点を公にする行為(必要なセキュリティ対策を取っている事が条件)


5093308

個人情報保護法

  • 個人情報の保護に関する法律 企業や、組織から流出した情報を元にする犯罪行為が多発(オレオレ詐欺、悪徳リフォーム等)

  • 2005年施行- 対象: 事業者、個人、組織 ・ 半年間に、5千件以上の個人情報を持つものが対象 ・ 個人情報とは、名前以外のメールアドレス、性別、住所、電話番号、携帯番号など ・ 本人の同意を得ず個人情報を第三者への提供禁止 ・ 利用目的の告知義務 ・ 本人からのデータ開示への対応義務


5093308

著作権法・特定商品取引法

  • 著作物(手紙、書籍、レコード、放送内容)などに、著作権を定める。基本的に個人が対象(法人への規定も)(例、許諾なき修正・複製および配布の禁止)

  • 特定商品取引法(特定商取引に関する法律) ・ 訪問販売などに対して、制限を設ける目的で制定 ・ H21 改正 ・ 全ての商取引に適用 ・ 許諾ない相手への広告メールを禁止 ・ クーリングオフに関する規定を明確化 ・ 返品についての条項が明示ない場合にも返品が可能(通信販売、8日間)


5093308

民法・電子署名認証法

  • 民法 個人、法人間の売買契約や、債務不履行の場合の損害賠償、不法行為においての損害賠償について規定(例、サーバーの動作が異常であるのに、管理責任を放置した等)

  • 電子署名認証法 (電子署名および認証業務に関する法律) ・ 電子署名に、印鑑や署名と同じ効力を規定 ・ 電磁的記録(電子データ)は、本人の電子署名で、従来の署名に代替可能 ・ 電子署名に関して、認証業務に関する一定の水準を満たせば、国の認定を受けることが可能


5093308

セキュリティポリシーとは

  • 企業、組織などにおける情報資産の情報セキュリティー対策について、総合的、具体的に定めたもの ・ 情報セキュリティ基本方針 ・ 情報セキュリティ対策基準 (情報セキュリティ実施手順)

  • 情報セキュリティ基本方針- 組織において、情報セキュリティの対策についての考え方を定めたもの


5093308

情報セキュリティ対策基準と実施手順

  • 情報セキュリティ対策基準- 基本方針で定めた、遵守事項は判断についての基準を定めるもの ・ 何をしなければならないか ・ どこまでしなければならないか

  • 情報セキュリティ実施手順- 情報システムあるいは、業務において、具体的に、どのような手順で実施するのかを定めたもの


5093308

セキュリティポリシーの内容

  • どの情報は、誰にアクセスさせて、誰にはアクセスさせてはならないか

  • 外部からの侵入に対して、どのような対策をとるか

  • コンピューターウイルスなどについての対策をどのようにとるか

  • 以上の対策をどのように維持するか


5093308

セキュリティポリシーの継続的改善

  • PDCAサイクルと呼ばれる継続的改善を実施 ・ 策定 セキュリティポリシーを規定 ・ 導入 教育の実施、設備の導入など ・ 運用、監視 ポリシーを展開し、事態に対して対策を実施 ・ 評価、改善 情報システムの監査、実施状況を評価。ポリシーを改善


5093308

演習 経営者の視点


5093308

演習 経営者の視点(2)


5093308

1章のまとめ

  • 物理的な対策- ネットワークの設計- 必要な設備の導入

  • セキュリティ侵害に対する法規の知識- 不正アクセス行為 → 処罰- 国内法規では限界

  • 組織においてのセキュリティポリシーの展開- セキュリティポリシーの位置づけ- 被害があった場合にどうなるか


5093308

2章 コンピューターウイルスとその対策

  • コンピューターウイルスの分類・事例- 被害事例- ウイルスの分類

  • ウイルス対策実例- 対策の方法

  • ウイルス対策運用- セキュリティポリシーでの運用


5093308

コンピューターウイルスとは

  • コンピューターに取り付き、感染、増殖するプログラム、不正なサイトへの誘導や、ネットワークを停止させる目的で放たれることが多い

  • 誰が作れるか- セキュリティホールの知識があり、プログラムが作成できるもの- 面白半分に、感染が広がるのを楽しむ場合も多い


5093308

コンピューターウィルスの届出数(国内)


5093308

コンピューターウイルスの分類・事例

  • ウイルス- プログラムを書き換えて、そのファイルに侵入する機能を持つ

  • ワーム- ネットワークのセキュリティホールを利用して侵入するネットワークプログラム

  • トロイの木馬- プログラムの内部に、不正機能が含まれているもの

  • ロジックボム- 時限式、決められた時刻にシステムを破壊し、自滅するタイプ

  • ボット- 不正プログラムの機能を組み合わせたタイプ、新種


Code red

Code Red

  • - 2001年7月 発見- 作者不明- Microsoft IISサーバーに感染Microsoft IISのセキュリティホールを利用(セキュリティパッチは提供されていたが、あてていないサイトが多かった)- ワームが発信するトラフィックで、インターネットが麻痺(インターネットが麻痺したのは、この日のみ)- その後のウィルス対策導入のきっかけ


Nimda

Nimda(ニムダ)

  • - 2001年9月 発見- 作者不明- Windowsクライアント、サーバーに感染 ・ 電子メール ・ ファイル共有 ・ 感染したWebサイトへのアクセス ・ Microsoft IISのセキュリティホールを利用 ・ バックドア- 電子メールから感染するので、元がたどりにきくい(アドレス帳の全てのアドレスに対して送出)


Badtrans

Badtrans

  • - 2001年11月 発見- 作者不明- ウイルス、トロイの木馬の機能を持つ- Outlook/Outlook Express/IEの特定バージョンの組み合わせで動作- 電子メールをプレビューすると、IEのコードを実行して、さらにメール送信


Netsky

Netsky

  • - 2004年3月 発見- 作者不明- ウイルス、トロイの木馬の機能を持つ- 電子メールの送信失敗というメールを偽装添付ファイルを開くと、メールを送信しはじめるメーリングリストに送信されたウイルスメールがウイルス判定され、エラーメールが返るこのエラーがメーリングリストに送信され、メールシステムが渋滞


5093308

クライアントにウイルス対策

  • アンチウイルス ・ ファイルのダウンロード、メールの受信時に内容をパターンファイルと比較 ・ パターンファイルを最新にしないと無意味

  • 多機能なもの ・ Webのブラウジングもチェック ・ メールの送信 ・ Webブラウジング ・ ネットワーク接続 など、様々なチェックを装備


5093308

メールサーバーにウイルスチェック機能を実装

  • - LinuxのPostfixに、Clam AntiVirusを連携Linuxのアンチウイルスソフトウェア- Clam AntiVirus # yum install clamd –yPostfixで受け取ったメールを、amavisdを通して、Clam AntiVirusでチェック「ClamAV メールサーバー」で検索


5093308

ウイルス対策運用

  • 全てのクライアントにアンチウイルス導入- クライアントのリスト ・ 導入した記録を保存(紙/電子ファイル) ・ 導入日付

  • メールサーバーにアンチウイルスを導入- サーバー管理者に通知設定ウイルスを検知したら、記録に保存 → 対策が立てやすく


5093308

その他のマルウェア

  • スパイウェア- システムに対する不正はしないものの、入力情報や、アクセス情報を外部に送信

  • キーロガー- キーボードの入力を記録し、外部に送信破壊行為がないため、見つかりにくいが、一度仕掛けられると退治が難しい- ソフトウェアをユーザーにインストールさせない運用- インストールされたアプリケーションを報告するシステム


5093308

演習 被害想定と対策コスト


5093308

2章のまとめ

  • 21世紀に入って、コンピューターウイルスが、インターネットの安全な利用の重大な脅威となった

  • 無責任なコンピューターの利用がウィルスの温床

  • 2006年をピークに、届出件数は減っているものの、脅威が減ったわけではない

  • スパイウェアのような発見しにくい不正プログラムが増加

  • ウィルス対策の徹底と、運用管理が重要


5093308

3章 セキュリティホールとその対策

  • セキュリティホールの仕組み- バッファオーバーフロー攻撃- セキュリティホール・安全情報の取得

  • ソフトウェアのバージョンアップ- OSのバージョンアップ- アプリケーションのバージョンアップ- セキュリティパッチの適用

  • セキュリティホール・安全情報の取得- オープンリレーサーバーの利用- メールアドレスの収集- フィッシングサイトの作成


5093308

セキュリティホールの仕組み

  • ネットワークプログラムに含まれる脆弱性- バッファオーバーフロー ネットワークからのデータをバッファ領域にコピーする際に、サイズをチェックしていない- 想定していない操作で、任意のコードが実行可能なことも

  • Webアプリケーションに含まれる脆弱性- SQLインジェクション- クロスサイトスクリプティング(XSS) - その他多数


5093308

セキュリティホール・安全情報の取得

  • JPCERT/CC - 日本語での脆弱性情報の報告

  • CERT/CC - セキュリティ関連の情報がまとめられている(英語)

  • BUGTRAC - セキュリティ関連のメーリングリスト(英語)BUGTRAC in Japanese(日本語)

  • DOE-CIRC(米国エネルギー省)- 旧CIAC 脆弱性情報を報告


Jpcert cc

演習 JPCERT/CCからの情報収集


5093308

ソフトウェアのバージョンアップ

  • ソフトウェアのバージョンアップ区分


5093308

パッケージシステムによる更新

  • 更新が可能なパッケージを確認# yum check-update

  • カーネルも含めた一括アップデート# yum update

  • カーネルを除外する場合# vi /etc/yum.confexclude=kernel*


5093308

ソースコードからのアップデート

  • Linux Kernelwww.kernel.orgから、該当するソースコードを取得# mv linux-2.6.36.tar.bz2 /usr/src/ # tar jxvf linux-2.6.36.tar.bz2 # mv /usr/src/linux-2.6.36 /usr/src/linuxコンパイラと、必要なパッケージをインストール# yum install gcc ncurses-devel # cd /usr/src/linux


5093308

ソースコードからのアップデート(続き)

  • カーネルソースの初期化# make mrproper # make menuconfig (カーネルオプションの設定)# makeカーネルモジュールのインストール# make modules_install # mkinitrd /boot/initrd-2.6.36.img 2.6.36 # installkernel 2.6.36 arch/i386/boot/bzImage System.map # cat /boot/grub/grub.conf


5093308

事例研究(フィッシングサイトの構築)

  • フィッシングサイトがどのように詐欺行為を行うのか

  • どのように対策したらよいか考える


5093308

オープンリレーサーバー

  • メールサーバーの設定として、どこからでも転送可能な設定があるオープンリレーサーバーを探す手法 ・ アドレススキャン ・ ポートスキャン ・ 25番ポートがオープンであれば、メール送信 ・ メールが送られるかチェック


5093308

メールアドレスの収集

  • 目標となるネットワークのメールアドレスを収集メールアドレスの売買は違法だが、簡単に入手可能 ・ Webに公開されているアドレスを収集 ・ P2Pを利用する方法

  • フィッシングメールの作成- 目標となるアカウントと類似したメールアドレス- 興味を引くようなタイトル、本文- フィッシングサイトへのリンク


5093308

フィッシングサイトの作成

  • 本物そっくりのログインサイト

  • アカウント(ユーザ、パスワード)を奪取

  • フィッシングメールの送信- メール送信プログラムを実行


5093308

3章のまとめ

  • クラッカーは、ネットワークシステムの脆弱性を攻撃

  • 脆弱性が見つかったら、ソフトウェアのバージョンアップ

  • フィッシングと呼ばれる巧妙な詐欺行為も増加

  • フィッシングでは、オープンリレーサーバーを利用

  • スパムメールに反応しない

  • インターネットは危険であることを認識


4 tcp ip

4章 TCP/IPプロトコルに対するセキュリティ

  • TCPの仕様と攻撃方法- TCPの仕様- SYNフラッド攻撃

  • IPアドレスのセキュリティリスク- IPv4アドレス

  • サーバー侵入手順- 典型的な攻撃方法

  • TCPにおける不正アクセス技術

  • IPにおける不正アクセス技術


Tcp 1

TCPの仕様と攻撃方法(1)

  • TCP - IPネットワークで、1対1の接続を実現するプロトコル- セッションを単位に、上位のプロトコルの通信手順を実現(HTTP/FTP/Telnet/SSHなど)

  • 3ウェイ・ハンドシェイク- 要求元がSYNパケットを送信- SYNを受信したら、SYN ACKパケットを送信 (同時に、接続のための記憶領域を準備)- SYN ACKを受信したら、ACKパケットを送信


Tcp 2

TCPの仕様と攻撃方法(2)

  • もし、SYNパケットを大量に送信したらどうなるか- サーバーは、SYN ACKを返し、記憶領域を準備- ACKを待つ間、に、さらに、SYNパケットが届き、さらに記憶領域を準備- メモリー不足- 正規の接続への反応が遅くなる

  • DoS攻撃 → Denial of Service サービスを停止させる攻撃


5093308

IPアドレスのセキュリティリスク

  • IPv4のアドレスは、32bit - 2 ^ 32 = 4,294,967,296 = 43億弱

  • 外部にサービスするサーバーは、グローバル領域に置く必要がある

  • 次世代のIPv6では、128bit - 2 ^ 128 = 340兆の1兆の1兆倍

  • IPv6への移行スケジュールは目処が立っていない


5093308

サーバー侵入手順(1)

  • 目標を選定- アドレススキャン- ポートスキャン

  • サービスのバージョンを特定- バナーを表示 (例、BIND、Apache)- エクスプロイトコードで攻撃、侵入 (保安上の実証コードだが、悪用される事有り)

  • バックドア、rootkitを仕掛ける → 次ページ


5093308

サーバー侵入手順(2)

  • バックドア- 侵入専用の裏口プログラム 特殊なものではなく、通常のshellで代用可能 ログインの記録が残らない

  • rootkit - 侵入状態を知られない為の隠蔽プログラム 実行プロセスの隠蔽や、侵入の痕跡を消す目的で仕掛けられる

  • 上記のステップを繰り返し、複数のサーバーに侵入


5093308

図 複数のサーバーに侵入


5093308

TCPにおける不正アクセス技術

  • TCP上の代表的なプロトコルに対する攻撃- Telnetアカウントへの辞書攻撃および盗聴によるアカウント奪取- FTPアカウントへの辞書攻撃および盗聴によるアカウント奪取- SSHアカウントへの辞書攻撃


Smtp pop3 imap

SMTP/POP3/IMAP

  • SMTP SMTP Authのような認証のないサーバーに対するメール送信、および、暗号化されていない場合の盗聴行為

  • POP3アカウントへの辞書攻撃および、暗号化されていない場合、盗聴によるアカウント奪取

  • IMAPアカウントへの辞書攻撃、暗号化されていない場合、盗聴によるアカウント奪取


5093308

Land攻撃

  • Land 攻撃DoS攻撃の一種 攻撃対象アドレスを送信元アドレスとするTCPパケットを多数送信 → サービスが応答不能 (ルーターや、サーバーでパケットのフィルタリングで、回避可能)

  • SYN Flood DoS攻撃の一種 送信元を偽装したSYNパケットを多数送信


5093308

ICMPにおける不正アクセス技術

  • Ping of Death(PoD) IPパケットの最大サイズ65535を超えるPingパケットを送信→ 古いコンピューターで処理ができずクラッシュ(現在は、修正されている)

  • Ping flood DoS攻撃の一種複数のマシンからpingを繰り返し、多数送信 → 応答不能(対策: 一定時間に応答するICMP echoリクエストを制限)


Smurf

Smurf攻撃

  • Smurf攻撃 目標のネットワークのブロードキャストアドレスに対し、送信元(ターゲット)アドレスを偽装した、ICMP echoリクエストを多量に送信→ ネットワーク内のマシンが、同時にICMP echoリプライを返すため、ターゲットの応答が不能に(現在は、ブロードキャストアドレス宛のリクエストに応答しない設定が一般的)


5093308

送信元IPアドレスの偽装

  • TCPやUDPが使用するプロトコル IPスプーフィングとも呼ばれるDoS攻撃で利用される→ 根本的な解決策がない - IPソースルーティングIPパケットには、中継ルーターを指定する方法が可能(通常は指定しない) 送信元アドレス偽装と組み合わせて、DoSで使用されたり、プライベートネットワークに対する攻撃で使用される


Bgp irr

BGPとIRR

  • インターネットで使われる管理単位をつなぐルーティングプロトコル → 不正な経路情報を流し、混乱を引き起こす

  • IRRインターネットの経路情報と、優先順位のデータベース 経路情報の信頼性を確認する機能がある


Sobgp s bgp

soBGP/S-BGP

  • BGPに電子署名をつけ、経路情報の正当性を確保→ BGPから移行が可能(soBGPとS-BGPは互換性がない)普及が検討されている段階


5093308

4章のまとめ

  • TCP/IPネットワークは、元来、悪意のある攻撃者を前提としていない

  • そのため、不正アクセスに対して脆弱なプロトコルが使われてきた

  • 暗号化を始め、不正アクセスへの対策が必要

  • DoS攻撃のような大規模な攻撃も増加

  • サーバー、ルーターで可能な設定をしておく


5093308

5章 ネットワークセキュリティ設計におけるセキュリティ対策

  • セキュリティを考慮したネットワーク設計- グローバルサーバーが必要ない場合- グローバルサーバーが必要な場合- スクリーンド・サブネット・アーキテクチャ- スクリーンド・ホスト・アーキテクチャ

  • 検疫ネットワーク

  • ハニーポット


5093308

グローバルサーバーが必要ない場合

  • - 企業や組織のWebサイトをレンタルサーバーや、クラウドに置く場合- メールサービスを外部サービスに委託する場合→ ルーターでファイアウォールを構成


5093308

グローバルサーバーが必要な場合

  • 自社サーバーにWebサイトを置いたり、メールサーバーを設置する場合1. スクリーンド・ホスト・アーキテクチャ (一つのルーターで低価格なネットワーク構成)2. スクリーンド・サブネット・アーキテクチャ (二つのルーターもしくは一つのルーターで、より複雑なネットワーク構成)


5093308

スクリーンド・ホスト・アーキテクチャ

  • 一つのルーターで低価格なネットワーク構成- セキュリティが十分でない- ルーターの機能でパケットフィルタリング


5093308

スクリーンド・サブネット・アーキテクチャ

  • 二つのルーターもしくは一つのルーターで境界ネットワーク(DMZ)を構成- よりセキュリティの高い防御が可能- 必要最低限の複雑性


5093308

ネットワーク構成の設計に考慮すべきポイント

  • - グローバル領域にあるサーバーは侵入されることを前提 ← 未知のセキュリティホールを攻撃される可能性- 構築コスト、維持管理コスト- メールサーバーの設置箇所- 外部サービスのダウンタイム- ネットワークの規模


5093308

検疫ネットワーク導入のきっかけ

  • Blasterワーム- 2003年8月- Windowsの脆弱性MS03-026を攻撃- TCP 135番ポートに、特殊なデータを送信 - 感染が広がり、世界的な被害- Windowsが異常終了、ネットワークが麻痺

  • 外部で感染したノートパソコンが、内部ネットワークに接続した後、内部ネットワークのPCが感染

  • 従来のセキュリティ対策で防御できない

  • 性善説に立つセキュリティポリシーの盲点


5093308

検疫ネットワークとは

  • 性善説に立つセキュリティポリシーの盲点- 全員がウィルス対策ソフトを更新しているはず- 全員がパーソナルファイアーウォールを設定しているはず- ウィルス感染したPCが内部ネットワークに持ち込まれることはないはず

  • ウィルス感染したPCを接続させない仕組み

  • 検疫ネットワーク- 業務ネットワークから、隔離された検査用ネットワーク


5093308

検疫ネットワークで行う作業

  • 安全なPCかを確認- ウィルスに感染していないか- セキュリティパッチが適用されているか- ウィルス対策ソフトが更新されているか- パターンファイルが更新されているか- ウィルススキャンが実施されているか- 必要なソフトが動作しているか- 不必要なソフトが動作していないか

  • 外部からのPCの持込みには有効


5093308

検疫ネットワークの方式

  • 方式は4種類あり、条件によって採用


5093308

検疫ネットワークの方式(続き)


5093308

検疫ネットワークの弱点

  • 脆弱性に対するパッチがない場合、対応できない 脆弱性発見 → 対策パッチ作成 → 配布

  • ウィルス対策ソフトが対応していないウィルスには効果なし- Webサイトに埋め込まれているウィルスには、効果がない

  • コストが高い

  • 検疫ネットワークはセキュリティポリシーの人的弱点を補う機能を持つ


5093308

ハニーポットとは

  • 侵入者の習性を利用した囮サーバー- ユーザーが多そうなサーバー- 重要な情報がありそうなサーバー- メールを中継するメールサーバー

  • 監視ログを装備し侵入者の動きや位置をトレース

  • たくさんの種類があり、製品も多い


5093308

ハニーポットの方式


5093308

ハニーポットの方式(続き)


5093308

代表的なプロジェクト

  • The Heneynet Project - 1999年設立- インターネットセキュリティのための研究プロジェクト- 非営利プロジェクト- インターネットの攻撃対象、攻撃者像などの情報を配布- 監視ツールなどの開発


5093308

ハニーポットの注意点

  • 安易にハニーポットを設置すると不正アクセスを助長- 侵入されたサーバーから、外部ネットワークへの攻撃に使われる可能性

  • 構築に多大な労力が必要

  • 記録解析に、知識と経験が必要

  • 維持管理に労力が必要


5093308

ハニーポットの利点

  • 内部ネットワークに仕掛けた場合- 内部から不正な情報を入手しようと、不正アクセスを行っている内部犯行が発覚


5093308

関連図書

  • カッコウはコンピュータに卵を産む(上巻・下巻)クリフォード・ストール著、草思社- 1991年発売の古典的著作- 不正侵入に気づいた著者が侵入者を追いかけた事件に基づくドキュメント- 不正侵入犯罪というものを世間に知らしめた- 侵入者の心理をリアルに描いている


5093308

5章のまとめ

  • インターネット利用のリスクを踏まえ、

  • セキュリティを考慮したネットワーク構成を設計

  • ポイントは、規模と労力のバランス

  • 従来のセキュリティポリシーの弱点、外部から持ち込まれるウィルス感染したPC等のリスク

  • 各種の検疫ネットワークシステムが提供

  • 侵入者、スパマーの動きを追跡するため

  • ハニーポットという特殊な技術により、セキュリティ技術は向上が続く


5093308

6章 ネットワーク脆弱性調査と対策

  • ネットワーク脆弱性調査- ネットワークシステムの脆弱性の原因- ネットワーク脆弱性検証ツール

  • Webシステムの脆弱性調査- 主な脆弱性

  • 侵入が発覚した時の対処- おおまかな手順

  • 人事管理- おおまかな手順とポイント


5093308

ネットワークサービスの脆弱性

  • サービスを公開している以上、そのサービスの脆弱性を利用された侵入リスクが存在

  • 脆弱性の原因は、ソフトウェアのバグ、脆弱なパスワード設定、サービス設定の誤り、など

  • ほとんどのディストリビューションで、デフォルト設定のサービスが、必要以上に起動

  • 外部から起動しているサービスを検知する方法→ ポートスキャンツール


5093308

ネットワーク脆弱性調査の必要性

  • サービスに脆弱性があるか、実際にポートスキャンツールを使って知る → 開いているポート、脆弱性があるか

  • ポートスキャンは侵入・不正アクセス・攻撃のための調査か、正当な脆弱性評価か見分けがつかない

  • ※ 管理下以外のサーバーに、ポートスキャンをかけないこと → ネットワークを遮断される可能性あり


5093308

ネットワーク脆弱性調査の方法

  • nmap - Linux用ポートスキャンツール- TCP/UDP/TCP SYN/ICMPなどに対応

  • インストール# yum install nmap -y

  • 主な使い方# nmap サーバーのホスト名 or IPアドレス# nmap ネットワークの領域# nmap –v 自サーバーのIPアドレス


5093308

nmapのオプション

  • 主なオプション-O OSの種類を予測-p ポートの範囲指定-v 経過を随時表示

  • 演習内部ネットワークの一部のホストにポートスキャンをかける# nmap –v –O 172.16.1.1-255

  • ※ くれぐれも、グローバルインターネットには、ポートスキャンをかけてはいけません


Nessus

高機能スキャナNessusの紹介

  • nessusとは- 単なるポートスキャンではなく、擬似攻撃コードによる反応を調べて脆弱性を調べるツール- サーバークライアントシステムになっており、Linuxサーバーに、Windowsクライアント等からスキャン指示が出せる- アプリケーションのバージョンを報告- 脆弱性の深刻度を報告- 脆弱性の解決方法、バグ関連情報などを報告- HTML/Text/PDFでレポート作成


Nessus1

nessusのライセンス

  • 営利利用では1年更新の商用ライセンス

  • 当初、ソースコード公開であったが、現在は、バイナリーのみ公開に切り替わった

  • 個人利用では、無料で利用可能

  • TENABLE社のURL(英語) → http://www.nessus.org/nessus/

  • 演習Firefoxで、nessusのURLを調べる


5093308

Webシステムの脆弱性

  • ネットワークサービスの主要なものDNS(BIND)/SMTP(sendmail/Postfix)/Web(Apache)

  • 特にWebはサービス単体の上に、Webアプリケーションと呼ばれる動的コンテンツが作成されることがほとんど

  • Webアプリケーションでは独特の脆弱性が発生

  • コンテンツに依存するのでバリエーションも様々


5093308

Webサービス単体の脆弱性

  • 多くのWebがApacheで運用されている- なるべく最新版のバージョンを利用

  • ApacheにはC言語などで開発したモジュールを追加し機能を拡張することが可能- 拡張モジュールを作成する際は、セキュリティに十分気をつける

  • 公開ディレクトリの実行権限にも注意- 不用意に実行権限がついていると、アップロードされたファイルを実行される可能性


5093308

Webアプリケーションの脆弱性

  • Webアプリケーションには独特の脆弱性がある可能性

  • 代表的なもの- SQLインジェクション- OSコマンドインジェクション- クロスサイトスクリプティング- その他

  • パッケージ型Webアプリケーションには、インストール・設定スクリプトがあるものがある- 設定ファイルhttpd.confのScriptAliasを適切に設定


5093308

SQLインジェクション

  • 現象- フォームデータ、パラメータを処理する際に、意図しないSQL文が実行され、DBを操作される

  • 原因- フォームデータ、パラメータのチェックが行われていない

  • 対策- バリデーションコード(チェックコード)を実装- 適切なフレームワークを使う- DBのアクセス権の細かな設定を行う


5093308

OSコマンドインジェクション

  • 現象- フォームデータ、パラメータを使って、OSのコマンドを呼び出すプログラムで、意図していないコマンドが実行、処理されてしまう

  • 原因- フォームデータ、パラメータのチェックが行われていない、不十分

  • 対策- バリデーションコード(チェックコード)を実装- 適切なフレームワークを使う- Webサーバがアクセスするディレクトリのアクセス権を適切に設定


5093308

クロスサイトスクリプティング(XSS)

  • 現象- フォームデータ使って保存されたデータが、別のユーザーが表示したときに、任意のJavaScriptコードをブラウザ上で実行されてしまう

  • 原因- フォームデータのチェックが行われていない、不十分

  • 対策- バリデーションコード(チェックコード)を実装- 適切なフレームワークを使う- Webアプリケーション上でHTMLタグを利用可能にするかは、よく検討しなければならない


5093308

Webアプリケーションの開発においてのポイント

  • セキュリティに関して検討するのは- 設計段階から

  • 実装段階で重要なのは- どんな機能を実装する時、気をつけるべきは、どんなことであり- 何をすべきか、きちんと把握すること

  • 会社の中で、標準を定め、- 新しい攻撃に対し、標準を更新、- 開発者が常に意識するよう、徹底


5093308

侵入や不正アクセスが発覚した場合の対処

  • セキュリティ侵害についての対策の一歩目は- 計画を立てること

  • たいていの場合- ウィルス感染の発覚- サーバーの動作がおかしい- 顧客からのクレーム

  • あわてて、対応策を練ることが多い- セキュリティ対策を実施しているから安全(だと思い込む)


5093308

発覚当初のにすべきこと

  • ルール1 - うろたえるな- パニックを起こすな- 落ち着く

  • ルール2 - (事前に計画があれば)計画書を読む- 現状を把握する


5093308

対応策の初期段階

  • メモを取り始める- 細かくメモを取る用意をする- 侵入中であれば、ログが消される可能性もある → わかる範囲で記録を取る(事件化した時に、全て証拠になる)

  • 現状判断- 侵入されているかどうかを見極める ・ ログインユーザーを確認する ・ ディスクの使用量を調べる ・ ログを調べる ・ rootkitチェックツールなどを実行する(侵入時に仕掛けられるトラップを検知する)


Script

Scriptコマンド

  • 端末への入力/画面出力をログに取るコマンド$ script ログ名抜けるときは、exitコマンド

  • ログを見れば、より詳細に見るべき箇所や、詳細に調査すべき箇所が判断可能


5093308

分析と対応

  • 現状を分析する時には、ミスが許されません- 二人で作業する- 顧客対応は、専任者に任せる

  • 経営者・ユーザ・職員に知らせるかを判断- 出来る限り情報は共有した方が、後の被害が少ない- 法務・監査・広報・セキュリティの担当部署に通報する場合もある- 複数拠点の同時攻撃であれば、各拠点への防衛準備をさせる必要がある

  • スナップショットを取る(全データのバックアップ)


5093308

対応策への中期段階

  • 損害と損害の規模・箇所を特定した上- 対象範囲を隔離するか ・ ネットワークを遮断するか ・ 止めるとすればどの部分か- サービスを止めるか ・ どのシステムを停止させるか- サーバーを止めるか ・ サーバー全体を止めるか ・ どのサーバーを止めるか

  • バックアップを戻し、システムを復帰させる- 注意しなければならいのは、バックアッププログラムが改ざんされている可能性も


5093308

対応策への後期段階

  • 原因の箇所に対策を実施- セキュリティホールであれば、そのサービスの更新、パッチによる更新- 内部犯がパスワードを使って不正行為を行っている場合は、そのアカウントを停止

  • 法的対処を行うか判断- 損害保険に入っている場合には、保険に対する提出書類を揃える- 法的作業を行う場合、関係者に連絡- 被害報告を行う場合、関係機関に連絡


5093308

人事管理の重要性

  • 重大なセキュリティ侵害の多くが内部犯行- アクセス権を持つものが、不正な操作 タイプ1 – セキュリティについての知識が不足 タイプ2 – 意図的な不正操作

  • 人事管理の手順- 経歴調査- 初期訓練- 業務のチェック- アクセスの監査


5093308

初期訓練

  • セキュリティ実施手順- 文書化された手順を使って説明- 就業時間内の個人利用の取り決め- ソフトウェアのインストールの定め- 署名、捺印

  • 定期的な啓蒙活動- 最新の脅威- 標語- 点検日- 経費の予算計上


5093308

業務のチェック

  • 時間外勤務- 十分な休日と、休暇

  • 守るべき資源- 人的資源(正規ユーザー)- 情報資産

  • アクセスの監査- 定期的にログを監査することを告知 → 不正操作への抑止力


5093308

外部の人間

  • 顧客

  • 保守サービス担当者

  • ベンダー担当者- 社内機密にアクセス不可な仕組み- 入社エリアを限定- 会議室に内部ネットワークを接続しない


5093308

6章のまとめ

  • ネットワークサービスを提供/利用する以上、リスクを抱えることになることを認識

  • 必要なネットワークシステムの特性の脆弱性、Webシステムの特性と脆弱性について理解すること

  • 侵入・不正アクセスが発覚した場合には、直ちに、計画通り対処すること

  • 情報セキュリティを考慮した人事管理を実施すること


5093308

7章 ファイアウォールの仕組み

  • パケットフィルタリング- パケットフィルタリングとは- パケットフィルタリングで防げない攻撃

  • ファイアウォールとは- ファイアウォールの機能

  • プロキシーサーバー- プロキシーサーバーとは- パケットフィルタリングと組み合わせる

  • Squid - Squidとは


5093308

パケットフィルタリングとは

  • ルーターやファイアウォールに搭載されているパケットを通過させるか判断する仕組み

  • ネットワークに到達したパケットを、フィルタリングルールと呼ばれるルールによって、判断- 送信元アドレス- 送信元ポート番号- 送信先アドレス- 送信先ポート番号

  • 使用していないポートは通過させないよう設定しておく


5093308

外部ネットワークと内部ネットワーク


5093308

ファイアーウォールとは

  • パケットフィルタリングによるアクセス制御のためのネットワーク機器- パケットの種別、内容、送信元、送信先- フィルタリング(通過、破棄)の処理


5093308

ファイアーウォールの機能

  • パケットフィルタ型IPヘッダ、TCPヘッダを使用 送信元IPアドレス・ポート番号 送信先IPアドレス・ポート番号 プロトコル種別、パケットの方向

  • アプリケーションプロキシ型 アプリケーション層の情報を使用する 細かい設定が可能だが、処理負荷が大きい

  • ステートフルインスペクション型 過去に通過したパケットの状態を使用する


5093308

ファイアーウォールの限界

  • フィルタリングルールで許可したプロトコル上の攻撃は防げない(Webアプリケーションに対するSQLインジェクションなど)

  • 公開サービスのセキュリティホールを突く攻撃

  • サービス停止攻撃(設定によっては、ある程度防げる、一定時間に通過させるパケットを設定するなど)

  • 掲示板荒らし

  • ウィルスや、ワームに対しても限界 → アンチウィルスや、IDSと併用


5093308

スクリーンド・サブネット・アーキテクチャ


5093308

プロキシーサーバーとは

  • 内部ネットワークから外部ネットワークへのアクセスを代理するサーバー

  • プロキシーサーバーを設置する場合、内部ネットワークの一般端末は、直接外部ネットワークに接続することが出来ない

  • 内部からのパケットが外部に中継されないので、セキュリティが高まる


5093308

一般的なプロキシサーバー


5093308

スクリーンド・サブネット・アーキテクチャとプロキシサーバー

  • 外部ネットワークと内部ネットワーク

  • 外部へのアクセスにはプロキシサーバーで一元管理※UDPを使ったプロトコルは、プロキシサーバーで中継できない※内部メールサーバーを別途立てる必要があるなど管理作業は増加


Squid

Squid

  • Linuxで動作するプロキシサービス

  • 主にHTTPとFTPの代理サービスを提供

  • HTTPのコンテンツをキャッシュするキャッシュサービスの機能を持つ- 内部ネットワークからの接続量を抑える

  • SSL/TLS接続に対応

  • アクセス可能なクライアントを制限可能

  • 内部ネットワークから接続可能なURLを制限可能 → リダイレクタ


5093308

コンテンツフィルタリング

  • 接続内容(コンテンツ)によって、接続をフィルタリングする仕組み

  • Squidで連携可能なのは、ブラックリスト(URL)へのアクセスを制限可能

  • 内部ネットワークを守る

  • 学校や企業などで無制限なアクセスを禁止


5093308

演習 ネットワーク設計と残される脆弱性


5093308

7章のまとめ

  • ネットワーク機器に装備されているパケットフィルタリングの機能を確認

  • 内部ネットワークを守るためのファイアウォールの機能を確認

  • プロキシーサーバーの機能を確認

  • スクリーンド・サブネット・アーキテクチャと、プロキシーサーバーの組み合わせがセキュリティ上有効であることを確認

  • 残る脆弱性は何か、セキュリティポリシーに盛り込むべき項目は何か


5093308

8章 ファイアウォール構築演習

  • Linuxのネットワークセキュリティ- netfilterの機構- iptablesの用法

  • ファイアウォール構築演習


Netfilter

netfilterとは

  • Linuxのネットワークシステムのサブシステム- パケットをフィルタリングする機能- NAPT/SNATを構成する機能

  • netfilterを管理するコマンドは、iptables - iptablesで設定したルールは再起動でリセット- iptables-saveコマンドで保存- iptables-restoreで読み込み


Linux

Linuxのデフォルトチェイン


Iptables

iptablesの用例

  • チェインへのポリシーを設定書式iptables –P チェイン ターゲット例iptables –P INPUT DROP

  • ルールの一覧を表示書式iptables –L [チェイン]例iptables -L


Iptables1

チェインへルールを追加・削除(iptables)

  • チェインへルールを追加書式iptables –A チェイン ルール –j ターゲット例iptables –A INPUT –p tcp –s www.example.net --dport 80 –j ACCEPT

  • チェインのルールを削除書式iptables –D チェイン ルール –j ターゲット例iptables –D INPUT –p tcp –s www.example.net --dport 80 –j ACCEPT


5093308

特定のホストからのパケット拒否

  • 特定のホストからのパケットを拒否書式iptables –A INPUT –p all –s ネットワーク –j DROP例iptables –A INPUT –p all –s 172.30.0.100 –j DROP

  • チェインのルールを削除書式iptables –D チェイン ルール –j ターゲット例iptables –D INPUT –p tcp –s www.example.net --dport 80 –j ACCEPT


5093308

TCPのステータス、フラグの指定

  • TCPステータスの指定書式 ルールに、「-m state -–state」例iptables –A INPUT –p tcp –m state –-state NEW –-dport 901 –j ACCEPT(ポート901への新規接続を許可)

  • TCPのフラグの状態の指定書式 ルールに、「--tcp-flags」 SYN ACK FIN RST URG PSH ALL NONEを指定可能例Xmasスキャン(フラグを全部立てて、反応を探る)回避


5093308

不審なパケットの破棄

  • # iptables –A INPUT –s 10.0.0.0/8 –j DROP# iptables –A INPUT –s 169.254.0.0/16 –j DROP# iptables –A INPUT –s 172.16.0.0./12 –j DROP# iptables –A INPUT –s 192.168.0.0/16 –j DROP# iptables –A INPUT –s 224.0.0.0/4 –j DROP# iptables –A INPUT –s 240.0.0.0/5 –j DROP


5093308

必要なICMPパケットのみ許可

# iptables –A INPUT –p icmp -–icmp-type echo-reply –j ACCEPT# iptables –A INPUT –p icmp -–icmp-type destination-unreachable –j ACCEPT# iptables –A INPUT –p icmp -–icmp-type time-exceeded –j ACCEPT(サーバー側からのpingに応答は受け取れる)


5093308

  • -log-prefix

ログの出力

  • ログの出力- パケットの内容によってポリシーを選択する場合、ログが必要なことがある

  • ターゲットLOG - 特定のルールに対し、ターゲットLOGを適用

    例、# iptables –A INPUT –p tcp –j LOG -–log-prefix “TCP: “(カーネルのログ出力先に、syslogが記録)


Iptables2

演習 iptablesでの基本的な設定


5093308

演習 ローカルホストからを許可する


5093308

8章のまとめ

  • ファイアーウォールにLinuxを使うことが可能

  • Linuxのカーネルサブシステムのひとつがnetfilter

  • 外部向けサーバーでもnetfilterを使用

  • Linuxではデフォルトチェインを用意

  • netfilterの操作にはiptablesを使用

  • iptablesには様々な用法がある


9 ids

9章 侵入検知システム(IDS)の概要

  • IDSとは- IDSの歴史

  • IDSの分類- NIDSとHIDS

  • IDSの仕組み

  • IDS運用上の注意点


5093308

IDSとは

  • IDSとは ネットワークのパケット監視や、ホストのアクセスの監視を行い侵入を検知するシステム

  • IDSの歴史- 1980年 IDSの考え方の論文発表- 1983年~1990年代前半 米国軍、米国政府などでIDSの開発、導入- 1995年 商用のIDSが発売- 1999年~ IDSが本格的に普及


Nids hids

NIDSとHIDS

  • NIDS(Network base IDS)- ネットワーク上のパケットを監視するIDS- 侵入の試みを検知することが可能

  • HIDS(Host base IDS)- ホスト上のイベントを監視し、不自然な事象が発生したら報告するIDS- 侵入した結果を検知することが可能


5093308

ハイブリット型とIPS

  • ハイブリット型IDS- HIDSにそのホストに入ってくるパケットを監視する機能を付加したもの(HIDS)- HIDSに分類されることもある

  • IPS(Intrusion Prevention System)- HIDSにファイアウォール機能を付加したもの- 怪しいパケットの通過を阻止する機能


5093308

IDSの仕組み

  • 不正検知式(シグネチャー型)- 登録パターン(シグネチャー)と監視対象をチェック- 未知の攻撃は検知不可能- 運用コスト低

  • 異常検知式(アノマリー型)- 正常なパターンを登録、監視対象とチェック- 異常を検知すると報告- 何が正常なのかを把握する作業の工数大- 運用コスト高


5093308

IDSによって何から何を守るのか

  • 監視方法を決定する要因- 監視対象を決定- 監視する攻撃者を決定


5093308

IDSの設置箇所


5093308

NIDS設置上の注意点

  • スイッチングハブの機能- MACアドレスを認識してパケットを流す機能を持つ(全てのパケットがポートに出力されるわけではない)- ミラーポート付きのハブを使用 ・ NIDSはミラーポートに設置

  • シェアードハブの場合- 全てのパケットがポートに出力される


5093308

IDS運用上の注意点

  • 誤検知の可能性- 不正でないアクセスを検知し、報告してしまう → 監視ルールを適正に修正

  • NIDSの場合- ネットワーク負荷が高い場合、パケットの監視処理が追いつかない場合も → 高性能なネットワークアプライアンス型のIDSを導入検討

  • IDSがあることを知らせるかどうか


5093308

9章のまとめ

  • 侵入検知のシステムとして、IDSがある

  • IDSには、主に、NIDSとHIDSがある

  • ネットワークの適切な場所に、IDSを配置することにより、侵入・不正アクセスに対処できる

  • セキュリティーポリシーと適切なIDSの設置を組み合わせる

  • 環境によって、適切な製品を組み合わせる


10 snort

10章 侵入検知システムの構築(Snort)

  • Snortの仕組み

  • Snort構築演習


Snort

Snortとは

  • オープンソースのNIDS

  • ライセンスは、GPL v.2

  • 監視ルールは、別途非商用ライセンス- 個人での利用は無料- ただし、利用にはログインが必要

  • www.snort.org/snort/license/


Snort1

Snort構築演習

  • ソースコードをダウンロードし、コンパイル

  • Snortでは、別モジュールを利用している- そのモジュールは、tcpdumpの別のモジュールを利用している

  • libpcapの1.0.0モジュールが必要


Snort2

Snort構築演習(続き)


Snort3

Snort構築演習(続き)


Snort4

Snort構築演習(続き)


Snort5

Snort構築演習(続き)


5093308

10章のまとめ

  • NIDSのオープンソース実装としてSnortがある

  • Snortのソースコードは、オープンだがシグネチャファイルは、非商用ライセンス

  • 個人での利用は、無償

  • シグネチャルールをダウンロードする際に、ユーザ登録が求められる

  • RHEL5/CentOS5では、バイナリが配布されていないので、コンパイルする

  • MySQL/Apacheなどの連携も可能


11 tripwire

11章 侵入検知システムの構築(Tripwire)

  • Tripwireの仕組み

  • Tripwire構築演習


Tripwire

Tripwireとは

  • 1992年公開- HIDSの一種

  • 侵入検知というより、改ざんを検知する- 侵入していても検知は不可

  • Tripwire Inc.により、開発、販売

  • オープンソース版Tripwire - 2000年に公開されたソースコードを基にした、GPL版


Tripwire1

Tripwireの仕組み

  • 監視するファイルを特定し、このファイルをベースにしたハッシュ値をデータベースとして保存

  • ハッシュ関数- 異なる基のデータから、同じハッシュ値が作成されることはほとんどない- ハッシュ値とハッシュ関数が得られても、基のデータを計算できない

  • データベースと現在のファイルを比較することにより、改ざんが起きているか確かめる


Tripwire2

Tripwireの設置の手順

  • 公開サイトから、ソースコードをダウンロード

  • 設定ファイルを編集

  • ソースコードをコンパイル

  • 設定ファイルを編集


5093308

設定ファイル

  • twcfg.txt - Tripwireの動作を管理する設定ファイル- デフォルトの設定で、暗号化されtw.cfgが作成される

  • tw.cfg - 暗号化されたtwcfg.txtファイル


5093308

ポリシーファイル

  • twpol.txt - 監査する対象についての監査内容を設定する- 暗号化してtw.polを作成

  • tw.pol - 暗号化されたtwpol.txt


5093308

ポリシーファイルの書式

  • 書式(rulename= “ルール名”, severity = 重要度){オブジェクト -> プロパティ;}


5093308

プロパティ

  • - : チェックしない+ : チェックする

  • 主なタイプa : アクセス時刻b : ブロック数c : iノードのタイムスタンプg : 所有グループi : iノード番号l : ファイルサイズの増加m: ファイルの更新日時


5093308

予約されている変数

  • プロパティには、既にいくつかの設定が使えるようになっています

  • 主な変数ReadOnly : 読み取り専用Dynamic : 可変ファイルGrowing : サイズが増加するファイルIgnoreAll : 全ての属性を無視するIgnoreNne : 全ての属性を検査Device : デバイスファイル


5093308

コマンド

  • ベースラインデータベースの作成# tripwire –m i

  • 整合性チェック# tripwire –m c

  • レポートファイルの表示# twprint –m r –c tw.cfg –r レポートファイル名 –L ローカルキー


Tripwire3

Tripwire構築演習


Tripwire4

Tripwire運用演習


5093308

11章のまとめ

  • Tripwireを使えば、改ざんされたファイルの箇所を特定できるようになる

  • Tripwireでは、監視のポリシーをポリシーファイルで設定できる

  • 商用の利用では、商用版のTripwireが入手可能

  • ベースラインデータベースの作成、ファイルシステムのチェックには、負荷がかかるので、実行日時の設定が重要

  • Tripwireでは、リアルタイムの監視はできない


5093308

12 ソーシャルエンジニアリング対策、個人情報の流出とその対策

  • ソーシャルエンジニアリングとは- 対策- 事例

  • 個人情報流出の事例

  • 分析

  • 対策


5093308

ソーシャルエンジニアリングとは

  • システム管理者や、利用者から、会話、盗聴、盗撮などの社会的手段によって、セキュリティ情報を入手する手段

  • オフィスから出る書類の入ったゴミ箱を漁る- ガーベッジスキャベンジング

  • 権威者になりすます- 情報システム部になりすます- 警察から来たと名乗る- 役所から来たと名乗る


5093308

モニターやデスクトップに

  • 貼られたメモ

  • 手帳の後ろにメモされた情報

  • 外部者がアクセスできる端末

  • 電車の中で、書類を開く行為

  • CD-Rや、DVD-Rをそのまま捨てていないか

  • 情報を消していないHDDの破棄


5093308

典型的な手口

  • 権威者の権威を借りる

  • 期限を切って迫る

  • 同僚のふりをする

  • 専門用語を多用する- 相手を疲れさせる- 油断させる

  • アンケートを利用する


5093308

ソーシャルエンジニアリング対策

  • 守る対象と、アクセス権を決める- 顧客情報 ・ 顧客情報の窓口 ・ 顧客情報にアクセス可能な責任者 ・ 苦情処理の担当者- ネットワークの構成 ・ 情報システム部 ・ 基盤システム部- 社員情報 ・ 人事部 ・ 総務部 ・ 部門責任者


5093308

業務範囲を守る

  • 業務範囲を決めてもらう- 業務範囲外の質問には答えない ・ 個人情報 ・ 顧客情報 ・ システムの情報 ・ 人事情報

  • 電話: 改めて担当者宛にかけ直してもらう- 電話だと用件を済ませなければ、という意識が働くので、期限を切られたり緊急や重要というキーワードに反応しやすい


5093308

ガーベッジスキャベンジング対策

  • シュレッダ-にかける- ミリ単位に裁断するもの → 古いシュレッダーや、簡易タイプのものだと、復元される恐れ

  • ゴミ箱を複数に分ける- 回収する曜日を変える→ 破棄する際に、文書を複数のゴミ箱に分ける


5093308

個人情報の流出

  • 企業、組織から流出した個人情報を基に、架空請求する事件が続出 ← 情報が電子化され、共有化されていることが背景にあると考えられる

  • 判明している事件だけでも、規模、件数、また二次被害も相当数発生している


5093308

個人情報流出の事例

  • 自宅に持ち出したノートPCでP2Pソフトを利用した

  • 業務情報の入った、USBメモリーを紛失

  • 自宅に持ち帰ったノートPCを、電車に置き忘れた

  • 企業内に、セキュリティを通らない人物が入り込む

  • 旅行かばんの入った車が車上荒らしにあった


5093308

演習 事件化した個人情報流出


5093308

個人情報流出の対策

  • ノートパソコンを使わない

  • USBメモリーを使わない- 使う場合は、指紋認証付きのものを使う

  • ネットワークにすべての情報を置き、ローカルに情報を置かない(シンクライアントシステム)

  • ファイルの暗号化を行う(パスワードは、ディスクに残さない)

  • 個人情報を扱う場所を物理的に隔離- 入退室管理- 監視カメラ


5093308

内部犯行対策

  • 業務委託先との契約に個人情報管理に対する条項を設ける

  • 個人情報を扱う場合の規約を定め、

  • 処理が終った名簿はすみやかに回収- 回収する際に署名・捺印させる

  • 問題が発覚した場合には、速やかにコンプライアンス担当に連絡し、指示を仰ぐ


5093308

12章のまとめ

  • 情報セキュリティの1分野に、ソーシャルエンジニアリングがある

  • ソーシャルエンジニアリングでは、人間の弱さにつけこみ、様々な攻撃が行われる

  • ソーシャルエンジニアリングの中でも、個人情報流出が多数発生し、企業に被害を負わせている

  • 情報セキュリティポリシー設定の中で、十分時間をかけて、手順を定めることが必要

  • 情報システムの設計にも配慮が必要


5093308

科目「インターネットセキュリティ中級」のまとめ

  • 国内法規による処罰

  • 情報セキュリティポリシー作成によるセキュリティ対策の立案と実施

  • ファイアーウォールを使ったネットワーク構成

  • Linuxでの利用法

  • IDSについて

  • IDSを設置してみる

  • ソーシャルエンジニアリングについて

  • 個人情報流出について


  • Login