情報処理安全確保支援士 2018年 春期 午後II 問題

共通の文章

セキュリティ対策の評価に関する次の記述を読んで,設問1ユー4に答えよ。 R団体はある科学技術分野のノウハウを有する,職員数300名の一般社団法人であ る。特殊な用途に用いる精密機器のプロトタイプ製作,民間企業や教育機関への技 術情報の提供,安全基準の助言などを行っている。R団体とステークホルダとの関係 を図1に,ステークホルダの概要を表1に示す。 会員組織(民間企業,教育機関)審議会(民間企業,教育機関の代表者) 情報提供要件協議 プロトタイプ sora rem||プロトタイブ発和 製作パートナ(民間企業) 図1 R団体とステークホルダとの関係 表1ステークホルダの概要 会員組織R団体に入会を申請し,R団体が入会を認めた組織。会員組織は,自組織の活 動を有利に進めるために,R団体が提供する情報や貸し出すプロトタイプを活 用する。 審議会ー部の会員組織の代表者で構成される会議体。R団体に製作を要請するプロト タイプの要件を取りまとめる。R団体が要求仕様書や図面を作成するに当たっ て,R団体と打合せを行う。打合せは不定期にR団体の会議室で行われ,議事 録などは主に電子メール(以下,メールという)で共有される。 製作パートナ|要求仕様書と図面基に,プロトタイプを製作する業者。原則として,プロト タイプごとに公募され,入札で選ばれる。R団体と製作パートナとの契約後の EO>VIL Ik,R団体が運用するポータルサイト(以下,Rポータルとい う)で行う。 R団体の各部署の業務内容を表2に示す。 esの— 表2各部署の業務内容(抜粋) システム企|システム|R団体の情報システムの要件をまとめ,設計や構築を開発業者に依頼 画課企画する。 セキュリ|R団体全体のセキュリティ維持に次任をもち,情報システムのセキュ ティ管理|リティの見直しを行う。 システム運|Rポータ|システム運用課員が運用管理に利用するPC(以下,運用管理PCと 用課ルのサー|いう)からSSHでWebアプリケーションサーバ(以下,WebAPサー バ管理バという)やデータベースサーバ(以下,DBサーバという)にアク セスし,設定情報変更などを行う。 設計第1課|プロトタ|審議会と打合せを行い,要求仕様書や図面を作成する。製作パートナ イプ製作|と情報共有する場合,PCで作成した図面などのファイルを,Rポー タルのWebインタフェースを用いて,アップロードする。 人事総務課|人事サー|サーバセグメントに設置されている人事サーバのデータを更新する。 バ管理 プロトタイプ製作業務において扱う情報は全て機密性が高く,その中でも図面は 特に機密性が高い。 R団体では,一般業務用のPCが職員に1台ずつ貸与されており,Web閲覧,メー ル送受信,図面作成などに利用されている。各PCには固定TPアドレスが割り当て られている。PCにログインする際には各職員の利用者IDを入力する。R団体のネ ットワーク構成を図2に示す。 こインターネットつ|者セグメット| REA vam ea! ET中 FFE:ロー| !Sy) 1「Rポータル :an i人事サーバ| er eal per eas ir|ll |WebaP|:権威DNS|)||\(—paw HA weal! |サーバYTサーバパ!|サーバサーバpsサーバ| |>ll esr eee||名馬上ーーニーニニニーニーニニーーごニニニー ーーニーー||L3SW:レイヤ3スイッチ ーニーーニーニニーーーーーーーーーーーーーーー〕L2SW:レイヤ2スイッチ 図2 R団体のネットワーク構成 —3— Rポータルは,利用者の認証機能,利用者ごとに権限を定義できるアクセス制御機 HE,ファイルをアップロード及びダウンロードできる文書共有機能,問合せ内容や 回答の履歴を記録する掲示板機能を備えている。Rボータルの利用者IDは,職員, 会員組織,及び製作パートナに発行される。 また,Rポータルは,フロントエンドのWebAPサーバと,会員組織情報,BORE 様書や図面が保存されるバックエンドのDBサーバてで構成され,WebAPサーバとDB サーバはODBC(Open Database Connectivity)を用いて特定のポート間で通信して いる。R団体のセキュリティ対策基準にのっとり,DBサーバには,システム運用課 員によるログインと,WebAPサーバからの接続だけが許可されている。利用者セグ メントからDBサーバへのアクセスは,FWによって運用管理PCのIPアドレスから のアクセスだけが許可されている。 人事サーバ管理での人事データの更新には二つの方法がある。通常の更新は,A 事サーバのWebインタフェースを使用してPC上で行う。期初などの大量の人事異 動が発生するタイミングでは,PCからリモートデスクトップ機能を使い,一度,踏 み台サーバの利用者ID(以下,管理IDという)を用いて踏み台サーバにログイン後, さらに,踏み台サーバからリモートデスクトップ機能を使い,共通の利用者IDとパ スワード(以下,共通管理者アカウントという)で人事サーバにログインして,一 括で更新している。管理IDは職員ごとに異なっている。R団体では,踏み台サーバ を除き,サーバセグメントとDMZに置くサーバでは,運用負荷軽減の観点から,共 通管理者アカウントが設定されている。 サーバセグメント内のサーバでは,表3のアクセスだけを許可している。 ー4ォーー 表3サーバへのアクセス許可 アクセス制御方 1人事総務課の|踏み台サーバ管理IDとパスワードに|リモートデスクトップ 一部の職員のよる認証 PC 2|運用管理PC踏み台サーバ管理IDとパスワードに|リモートデスクトップ k SRE 3|踏み台サーバ|サーバセグメン|サーバの共通管理者アカ|リモートデスクトップを トの全てのサー|ウントによる認証含むおメンテナンス用のサ バービス 4利用者セグメ|サーバセグメン|IPアドレスによるフィル|職員に許可されている必 ントの全ての|下の全てのサー|タリング,又は職員の利|要最小限のサービス PCバ用者IDとパスワードに よる認証 踏み台サーバには操作記録機能があり,ログインした利用者のデスクトップ画面 が数秒間隔で画像データとして記録され,実行したコマンドやキーボード入力がテ キストで記録される。全てのサーバがアクセスログを取得しており,どの利用者ID によっていつログイン,ログアウトしたかの記録が残る。踏み台サーバの利用者管 理はシステム運用課が担当している。 FWのフィルタリングルールを表4に示す。 =5ーー 表4 FWのフィルタリングルール 1プロキシサーバインターネットHTTP許可 HTTP over TLS |6|AMR[Ae|SMTP|FAT |8|運用管理PC |9|運用管理PC|DBサーバパ 。|SSH aT 運用管理PC 18利用者セグメントプロキシサーバHTTP許可 HTTP over TLS | 注記1 FW'はステートフルパケットインスペクション型である。 注記2項番の小さいルールから順にマッチングし,最初に合致したルールが適用される。 注記3項番14ご29には,送信元がDMZの機器であり,PO,宛先がサーバセグメントの機 器であるルールは存在しない。 [セキュリティ対策の評価] 今年に入り,関連業界を狙ったサイバー攻撃が急増しているという話を聞き,RE 体の理事がセキュリティコンサルタント(以下,コンサルタントという)に相談し たところ,セキュリティ対策の評価を勧められた。そこで,図面及び会員組織情報 と,それらが保存されているDBサーバについて,セキュリティイ対策が適切か,コン サルタントによる評価を受けることにした。 さらに,R団体の理事は,かねてから付き合いのあるベンダに相談し,情報処理安 全確保支援土(登録セキスペ)OM氏に,R団体のシステム企画課に主任として出 向してきてもらい,同じシステム企画課のNさんとともに,コンサルタントの評価 結果への対応を検討してもらうことにした。評価では,検査ツールを用いたRポー タルの脆弱性検査や,職員へのインタビューを通しての秘密情報の取扱状況確認と, ぜい セキュリティ対策基準の妥当性確認などが行われた。 2が月後,コンサルタントは,評価結果を理事に報告した後,図3に示す評価結果 ae 6— の詳細を,M主任とNさんに説明した。 検出事項1:Rポータルの脆弱性検査を実施したところ,図4に示す2件のクロスサイトスクリ プティング(以下,XSSという)脆弱性が存在する。(省略) 検出事項2:踏み台サーバを除く全てのサーバの管理者用アカウントに,共通管理者アカウント が使用されている。(省略) 検出事項3:DBサーバは,利用者セグメントからのアクセスを運用管理PCからだけに限定し ている点は良いが,DMZに設置されている点が課題である。DBサーバは,DMZ よりも安全性の高いセグメントに設置することが望まれる。(省略) 検出事項4:製作パートナに貸与する図面の機密性の担保が,包括的な基本契約の中の守秘義務 条項だけであり,製作パートナが実施すべきセキュリティ対策の具体的内容が定め られていない。(省略) (省略) 図3評価結果の詳細GRE) 脆弱性1:図面を検索するページ(以下,検索ページという)に反射型XSSが存在する。(省 略) 脆弱性2:検索ページで使用されるスクリプトにDOML-based XSSが存在する。攻撃者が"#"から 始まるフラグメント識別子に攻撃コードを記述できる。 図4 2件のXSS脆弱性 理事から対応計画を策定するように指示があり,M主任とNさんは,それぞれの 検出事項について,一フーつ対応方針を検討することにした。 [検出事項1の対応方針の検討] 次は,XSS脆弱性についてのNさんとM主任の会話である。 Nさん:脆弱性1は,検索ページの一部のGETパラメタで起こるようです。今回の 脆弱性検査では,脆弱性1の検知には,攻撃コードとして,スクリプトに 相当する文字列を含めたリクエストをサーバに送信したときに,その文字 列がレスポンス中にスクリプトとして出力されるかどうかで判断する方法 (以下,検知方法1という)を用います。一般的にはWAFを導入すれば, 攻撃者が脆弱性1の有無を分析しようと攻撃試行すると,検知できます。 M主任:そのとおりだね。R団体では,WAFは導入していないが,もし導入してい て,DO,攻撃試行があったとしたら,攻撃試行を検和できていたかもし ーー7ニー れないな。 Nさん:では,脆弱性2は,検知方法1やWAFで検知できますか。 Nさんの質問に対して,M主任は次の二つを説明した。 ・①検知方法1では脆弱性2を検知できない。 ・WAFでも脆弱性2を検知できない。②Rポータルへのアクセスを繰り返すことな く,脆弱性2の有無を分析する方法がある。 次は,XSS脆弱性への対処についてのNさんとM主任の会話である。 Nさん:脆弱性1及び脆弱性2について,早急に開発業者に脆弱性の修正を依頼し ます。 M主任:Rポータルはセッション管理をCookieで実現しているので,XSS攻撃によ ってCookieを舌取されないようにする必要もある。⑧Rポータルの動作に 影響が出ないことを確認した上で,Cookieの発行時にHttpOnly属性を付与 するように修正した方がいい。 〔検出事項2 OM AH ORM) 共通管理者アカウントを用いてサーバにログインするプログラムも複数存在する ことから,共通管理者アカウントは,容易に変更できない。一方,③④共通管理者ア カウントが正しく利用されていることが確認できる証跡は取得している。共通管理 者アカウントの利用は,時間を掛けて共通管理者アカウントをやめ,個別のアカウ ントにする対策を検討することにした。 [検出事項3 OM IS HE ORB) M主任は,DBサーバをDMZとは別のセグメントに移動する案を検討するように Nさんに指示した。Nさんは,二つの案を検討した。 案1は,DMZ内に新たにL3SWを設置して,DBサーバ専用のセグメントを設け, L3SWでDBサーバへの通信を業務上必要なものだけに限定する案である。 案2は,DBサーバをサーバセグメントに移動し,表5に示すルールを追加するな ーg一 方法で図面を取り扱うことを技術的対策によって防止しようと考えた。M主任は技 術的対策の候補をDRM(Digital Rights Management)方式とコンテナ方式の二つに 絞り込んだ。 M主任が検討したDRM方式は,DRMに対応した図面編集用のアプリケーション ソフトウェア(以下,図面アプリという)を用いて,図面にセキュリティ情報を埋 め込んだ上で,図面を暗号化する方式である。暗号化した図面(以下,S図面という) lt,DRMに対応した図面アプリだけで開くことができる。市場に流通している図面 アプリのうち,一部のアプリだけがDRMに対応している。このDRM方式は,図面 へのアクセスを主にアプリケーションソフトウェアのレイヤで制御する。 一方,M主任が検討したコンテナ方式では,共有ファイルサーバ(UE,avs ナサーバという)上に図面を置く。コンテナサーバ上の図面は,PC上でコンテナ方 式専用ツソフトウェア(以下,CCという)を起動すると編集可能になるが,同時にロ ーカルドライブなど他のドライブや外部記憶媒体へのアクセスが禁止され,コンテ ナサーバ内から持ち出せなくなる。図面は,市場に流通している図面アプリの多く を使って開くことができる。このコンテナ方式は,図面へのアクセスを主にファイ ルシステムのレイヤで制御する。 DRM方式の利用イメージを図6に,コンテナ方式の利用イメージを図7に示す。 | と,PCとDRMサーバとの則で通信が行われ,認証ダイアログが表示される。DRMサーバ 人必パートナが図面をダウシロードして,PC上のDRM MOBI 7)-C s TEM は,R団体のDMZ上に設置され,利用者の認証機能や,利用者の図面へのアクセスを制御す る機能をもっている。認証ダイアログに,あらかじめR団体から与えられたS図面用の利用 者ID,パスワードを入力すると,S図面が正常に開く。 ・R団体はDRMサーバの設定によって,S図面ごとに,アクセス可能な利用者D,及びアク セス可能な利用者IDごとの,閲覧期限,印刷可否,編集可否を設定できる。 図6 DRM方式の利用イメージ ー10一 ・R団体は,DMZにコンテナサーバを設置し.そのサーバ内のフォルダに図面を保存する。 ・コンテナサーバには,CCのインストーラ(以下,CCIという)を生成する機能がある。プロ トタイプ製作の契約ごとに,R団体は,必要な数のCCIを製作パートナにメディアで渡す。製 作パートナに渡すCCIには,CCごとの識別情報が組み込まれている。 ・製作パートナのPCでCCIを実行すると,PCにCCがインストールされる。CCはPCのプロ セスとして常駐し,普段はPCの動作に影響を与えないが,機密モードログイン機能が起動さ れると認証ダイアログを表示する。認証ダイアログに,あらかじめR団体から利用者の人数分 だけ与えられたCC用の利用者ID,パスワードを入力すると,PCが機寄モードになる。機密 モード時は,コンテナサーバのフォルダが専用のドライブ(以下,コンテナドライブという) としてPCからアクセス可能になり,図面を,汎用の図面アプリで閲覧,編集,保存できる。 機密モードでは,PCに次の制限が掛かる。 (1)R団体が定めたアプリケーションソフトウェアだけが起動できる。 (2)PCはコンテナサーバだけにアクセスできる。それ以外のインターネット,ネットワーク SIF AFLACEAV, (3)PCはコンテナドライブ以外,つまりPCの他のドライブや外部記憶媒体にはアクセスで きない。そのため,PC利用者が編集した図面を保存できるのは,コンテナドライブ上だ けである。 機密モードからログアウトすると,コンテナドライブは切断され,機密モード時に編集した図 面にはアクセスできなくなる。また,クリップボードや一時ファイルなどの一時情報は,全て 削除される。 ・CCが,インストール後,最初にコンテナドライブにアクセスする際,CCの識別情報とPCの 端末情報の組がコンテナサーバに登録される。仮に製作パートナが,同一のCCを複数台の PCにインストールしても,そのうち最初にコンテナドライブにアクセスした1台だけがコン テナドライブにアクセスできる。 ・仮想デスクトップ環境にはCCをインストールすることはできない。 図7コンテナ方式の利用イメージ Rik,DRM方式とコンテナ方式についてのM主任とNさんの会話である。 M主任:まず製作パートナに事前に確認する必要がある事項について考えてみよう。 コンテナ方式では,製作パートナとの間で,DRM方式と比べてより多くの 事項を確認しておく必要があるね。 Nさん:第一に,製作パートナが使用している図面アプリなど,機密モードで起動 できるアプリケーションソフトウェエアを確認する必要があります。第二に, [ce|を確認する必要があります。 M主任:分かった。次に,肝心の図面の機密性の担保の面はどうだろうか。 Nさん:いずれの方式とも,製作パートナのPCで表示した図面をカメラで撮影し たり,手で紙に写したりされることは防げませんが,製作パートナの不正 による図面の流出防止に一定の効果はあると考えます。 M主任:どちらの方式がより効果があるか,掘り下げてみよう。仮にNさんが製作 パートナの従業員で,海外の第三者(以下,協力者という)に有効期限内 のS図面又は図面を渡すという不正行為を行おうとした場合,どのように するのか,それぞれの方式で考えてみよう。 Nさん:DRM方式の場合,受け取ったS MMe,まずはメールで協力者に送付しま す。その後,利用者IDとパスワードを電話などで伝えます。 M主任:確かに持ち出せるな。では,コンテナ方式ではどうかな。 Nさん:基本的にはDRM方式と同じですが,コンテナ方式の場合は,まずは します。その後,MAH IDとパスワードを電話で協力者に伝 REF M主任:コンテナ方式の方が,不正行為はより困難だといえるね。いずれの方式で も,このような不正行為への技術的対策としては,FWでの対策が効果的だ な。例えば,DRM方式であれば,FWで| g|ことができる。 M主任は両方式の比較結果をまとめ,理事に報告した。図面の流出防止の効果が 決め手となり,R団体は,最終的にはコンテナ方式を採用することにした。 M主任は,評価結果への対応方針をまとめ,対応計画を策定した。対応計画はR 団体の理事会で承認され,M主任は対応計画を実行に移すことになった。

共通の文章

Webサイトのセキュリティに関する次の記述を読んで,設問1ー6に答えよ。 A社は,従業員数1.200名のマスメディア関連会社である。A社では,提供するサ ービスごとにWebサイトを用意し,インターネット上に公開している。Webサイト には,情報提供サイトやショッピングサイトなど様々なものがある。Webサイトで は,Webアプリケーションソフトウェア(以下,Webアプリという)が動作し,そ の設計,実装,テスト(以下,この3工程を開発という)及び運用は,Webサイト ごとに情報システム子会社B社又は外部の業者に委託されている。多くのWebサイ トでは,キャンペーンなどのたびに,開発とりリリースを繰り返している。 [現状のセキュリティ施策〕 A社では,脆弱性を作り込まないようにするために,Webサイトのライフサイク ルの五つの工程(要件定義,設計,HR,TA,運用)に関するセキュリティガ イドライン(以下,Webセキュリティガイドという)を整備している。現行のWeb セキュリティガイド第1版を図1に示す。 (省略) 工程3.実装 Webアプリの実装時に,次の脆弱性について対策すること 1.クロスサイトスクリプティング(以下,XSSという) 2.SQLインジェクション (省略) 工程4.テスト リリース前にWebアプリの脆弱性診断(以下,診断という)を実施すること (省略) 図1 Webセキュリティガイド第1版 Webセキュリティガイドは,開発及び運用を委託している外部の業者にも順守を 義務付けている。 (Webサイトの運用について〕] A社のカスタマサポートサービス提供用のWebサイトXは,A社のデータセンタ Xに設置されている。WebサイトXは,B社に開発と運用を委託している。データ センタXとB社本社のシステム構成を図2に示す。 データセンタXてインターネットつ WeyイKKーー ipMz -!Ea Pt ーーー i||DBネットケサージ|ee 1 ae f DNS Jit]OB yo FW:ファイアウォール (eee eee)DBsデーペース 図2データセンタXとB社本社のシステム構成 WebサーバX上では,WebアプリXが稼働している。WebアプリX lk,Webアプ リケーションフレームワーク(UE,WFという)の一つであるWEKを使用して開 発されている。 WebサイトXとシステム構成が全く同じWebサイトYを,別のデータセンタYに 災害対策用として設置している。WebサイトX稼働時にはWebサイトYは,インタ ーネットに公開しておらず,ホットスタンバイの状態で運用している。 WebサイトXとWebサイトYのソフトウェアの脆弱性修正プログラム(以下,パ ッチという)lk,3か月ごとの定期メンテナンス日にB社運用チームのCさんが適 用している。Cさんは,新しいパッチが公開されているかを定期メンテナンス日の前 に確認し,もしあれば,まずWebサイトYにパッチを適用している。WebサイトY での稼働に問題がなければ,WebサイトXにもパッチを適用している。コンテンツ も,まずWebサイトYを更新し,問題がなければ,WebサイトXを更新している。 パッチ適用とコンテンツ更新は,B社PC-LAN上のCさんのPCから行っている。 なお,B社では,全従業員にPCが1台ずつつ貸与されており,そのECでWebサイ トを閲覧して情報を収集したり,電子メール(以下,メールという)を送受信した りしている。 [セキュリティインシデントの発生] HSA,WebサイトXの利用者から,WebサイトXのダウンロードページでファ イルをダウンロードしたところ,マルウェア対策ソフトが警告を表示したという連 ー15一 絡があった。Cさんがダウンロードページを確認したところ,あるダウンロードファ イルへのリンクが外部のURLに改ざんされていた。Cさんは運用チームのリータダで あるDさんに報告し,WebサイトYに切り替えるべきかを相談した。Dさんは,W り替えるとWebサイトYも改ざんされてしまうことを懸念して,WebサイトYには 切り替えないようCさんに伝えた。代わりに,DNSサーバの設定を変更して,メン テナンス中であることを表示するサーバに切り替えるようCさんに指示した。Dさ Alt,すぐにA社に連絡し,ファイルへのリンクが改ざんされたと伝えた。その後, A社のWebサイトX及びWebサイトYの担当部署の⑦Eさんがセキュリティ専門業 者に連絡して,今後の対応について相談することになった。 [セキュリティ専門業者による調査 セキュリティ専門業者の情報処理安全確保支援士(登録セキスペ)CHS F KA, 被害の状況を調査した。調査内容と調査結果を表1に示す。 表1『氏の調査内容と調査結果 1|外部のURLに改ざんされている|他に外部のURLに改ざんされているものはなかっ リンクが他にもあるかをWebサ|た。 ーバXの全ページについて調査 2|外部からの改ざんに悪用される|WEEKに脆弱性Kが存在する。そのため,特定の文字 既知の脆弱性がWebサイトXに|列を含むHTTPリクエストを送信すると,Webアプリ あるかを調査の実行ユーザ権限で任意のファイルの読出しと書込み ができる可能性がある(以下,この攻撃手法を攻撃手 法Kという)。 なお,脆弱性Kについては,WEKのパッチが提供さ れている。 3|WebサーバXのアクセスログに|ダウンロードページの更新日に当たる3日前のアクセ 攻撃手法Kの痕跡があるかを調|スログを確認したところ,WebサイトXへの外部から 査のアクセスがあったが,攻撃手法Kの痕跡は見付けら れなかった。ただし,攻撃手法Kに使われる文字列が WebサーバXの標準設定ではD①アクセスログに残らな WOT,脆弱性Kが原因である可能性は否定できな い。 DBサーバXとそのDBが改ざん|DBサーバXのコマンド履歴とDBサーバヌのDBの されているかを調査操作ログを確認したところ,改ざんされた痕跡は見付 けられなかった。 5|WebサイトYが改ざんされてい|アクセスログを確認したところ,外部からのアクセス るかを調査はなく,改ざんされた痕跡も見付けられなかった。 F氏は,DさんとEEさんに調査結果を伝えた。次は,その時のF氏,DXA,E さんの会話である。 F氏:脆弱性Kは,改ざんの3週間前に公表されたものです。 Dさん:EATIA,COMBE,認識していませんでした。すぐに確認して, パッチを適用します。仮に,認識していたとしてもパッチ適用は定期メン テナンス日,つまり,来週の月曜日にしていたと思うので,やはり改ざん されていましたね。 FR:ダウンロードページのリンク以外に外部のURLに改ざんされているページ はありませんでした。しかし,スクリプトを埋め込まれるなど,他の形で ページが改ざんされている可能性もあるので確認が必要です。 Dさん:分かりました。ページの改ざんは,実際にはどのように確認すればよいで しょうか。 FR:WebサイトXの全ファイルを| 。|]して確認すると漏れがなく,効率 も良いでしょう。 Dさん:なるほど。分かりました。 F氏:調査結果は以上です。 ESA:ありがとうございました。攻撃手法Kによって実際にWebサーバXを改ざ んできるかどうかを知りたいので,調査してもらえないでしょうか。また 他に脆弱性がないかについても調査をお願いします。 FR:人分かりました。 FRA,まず,WebサイトXに対して,攻撃手法Kによる攻撃を実施したところ, 実際にWebサーバXを改ざんできることが確認できた。 次に,他に脆弱性がないか,WebサイトYに対してB社PC-LANからOS RUS ドルウェア(以下,プラットフォームという)の診断並びにWebアプリXの診断を 実施した。 プラットフォームの診断では,メンテナンスで使っているSSHサービスに対して 辞書攻撃が容易に成功することが確認された。F RASCさんにセキュリティ上の問 題がないか確認したところ,“SSHサービスはB社PC-LANからだけアクセスできる ー17一 ように設定しているので問題はないと考えている"”とのことであった。F氏によると B社PC-LAN内に攻撃者が侵入できると,WebサイトYに不正にログインできる。 そこで,F氏は,②SSHの認証方式をパスワード誰証方式以外に設定するようDさ んにアドバイスした。また,この設定をしたとしても,メンテナンスに自分のPCを 利用するのはセキュリティ上の問題があるので,新たにメンテナンス専用PCを準備 し,それをB社運用チームだけが利用できるようにすることをアドバイスした。 次に,WebアプリXを診断したところ,XSSの脆弱性が5件検出された。 F氏の調査結果を基に,Dさんは,MSE Kに対するパッチ適用SSHサービス の設定変更,メンテナンス専用PCの準備,XSSが検出されたプログラムの修正及び WebサイトXの復旧を行うようCさんに指示した。Cさんは1週間で対応を完了し, Webサイトヌが再稼働した。 [全社のWebサイトのセキュリティ強化〕 セキュリティインシデントの発生及びF氏の調査結果を受けて,A社の情報シス テム担当役員であるG取締役は,全社のWebサイトのセキュリティを強化するよう, A社情報システム部長を通じて同部のH課長に指示した。H課長は,WR,プラット フォーム及びWebアプリの脆弱性について調査を開始し,対策を検討することにし た。 WE及びプラットフォームの脆弱性については,Webサイトの改ざんなどの被害に つながるので,全社のWebサイトについて脆層性への対応状況を調査した。その結 果,対応漏れがあるWebサイトが5サイト見つかった。漏れがあった理由を各Web サイト担当者にヒアリングしたところ,脆弱性が発表されていることを知らなかっ たとのことであった。 そこで,今後は情報システム部が一括して脆弱性情報を収集し,各Webサイト担 当者にその情報を提供することにした。それに先立って,効率的な情報収集ができ るよう,各Webサイト担当者には,|b|を報告させた。また,Webサイトの 更改などに伴って| b|に変更がある場合は,その都度報告させせることにした。 パッチ適用は従来どおり各Webサイト担当者に任せることにしたが,脆弱性情報 を提供するだけでは,パッチ適用の遅れによって被害が出ることも考えられるので, パッチ適用期限をWebセキュリティガイドに追加することにした。 ー18一 Webアプリの脆弱性については,EF,今回検出されたXSSを作り込んだ原因に DWT,B社にヒアリングした。その結果,Webセキュリティガイドの記載が抽象 的なので,誤った実装をしてしまったことが分かった。そこで,全ての担当者が正 しい実装方法を理解できるように,Webセキュリティガイドを改訂して具体的な実 装方法を追加することにした。改訂後のWebセキュリティガイド第2版を図3に示 os (省略) 工程3.実装 Webアプリの実装時に,次の脆弱性について対策すること 1.XSS Webページに出力する全ての要素に対して,エスケープ処理を施すこと. (省略) 2.SQLインジェクション ・SQL文の組立ては全てプレースホルダで実装すること (省略) 工程5.運用 ・Webサイトのメンテナンス用にメンテナンス専用PCを準備すること。メンテナンス専用 PCは,Webサイト担当者だけが利用できるようにすること ・運用しているWeb U1 bICHMSSM ASE S EB AIS,次の基準で対応すること -リスクが高の場合は,9日以内に対応すること -リスクが中の場合は,1か月以内に対応すること ェリスクが低の場合は,3か月以内に対応すること (省略) 注記第1版から追加された部分を破線の下線で示す。 図3 Webセキュリティガイド第2版 また,Webアプリの診断の実施状況について各Webサイト担当者にヒアリングし たところ,“Webサイトの開発スケジュールが短くて,診断をセキュリティ専門業者 に依頼するとリリースに間に合わないので,診断できずにリリースすることがある”" とのことであった。そこで,H課長は情報システム部が中心となって,いつでもす ぐに診断を実施できるように,A社内にWebアプリを診断できる体制を作ることを G取締役に提案し,採用された。 [自社による診断の実施検討] 的確な診断を実施できる体制を作るには,A社内で診断する項目(以下,A社診断 項目という)を定め,その項目の診断手順に診断員が習熟する必要があり,H課長 は,診断手順の作成と習熟には,1年は掛かると考えた。それを少しでも短くするた めに,診断経験があり,登録セキスペでもある部下のQさんと一緒にA社診断項目 と診断手順を検討した。 検討の結果,外部で公開されていた診断項目を参考にして,Webアプリに関する A社診断項目を図4のとおり定めた。 ・XSS ・SQLインジェクション ・OSコマンドインジェクション しーートータル |』リクェストフォージェリ ・セッション管理の不備 ・アクセス制御の不備や認可制御の欠落 |[し。ヘッダインジェクション ・メールヘッダインジェクション 注りセッションIDが推測可能,セッションIDをURL内に格納,HTTP over TLS通信で利用す るCookieにSecure属性がない,ログイン成功後にセッションを継続利用の4項目 図4 A社診断項目 診断方法には,自動診断ツールによる診断と手動による診断がある。A社では自動 診断ツールとして,自動診断ツール」を使う予定である。自動診断ツールによる診断 は効率的だが,ツールによっては診断できない項目もある。そこで,2人は両方の診 断方法を組み合わせることにした。それを踏まえて作成した診断手順書第1版を図5 に示す。 1.診断準備 (省略) 2.自動診断ツール」による診断 (省略) 3.手動による診断 ・診断項目 -|』|リクエストフォージェリ -セッションIDが推測可能 -セッションIDをURL内に格納 -アクセス制御の不備や認可制御の欠落 ・診断方法 ローカルプロキシを用いて通信ログを取得しながら診断する。必要に応じて,リクエスト中の パラメタの値を変更して,リクエストを送る。 (省略) 図5診断手順書第1 hk その後,A社の情報システム部のメンバ3名が,Qさんのトレーニングを受け,BD 断チームを結成した。しかし,トレーニングを受けただけでは,最初から精度の高 い診断結果を安定して出せないかもしれない。そこで,当初はセキュリティ専門業 者が診断を実施する際に同時に診断を実施することとし,両者の診断結果を比較・ 検証して,経験を積むことにした。 (WebサイトZに対する診断の実施] A社のある部署が,新規に構築したショッピング用のWebサイト2Zをリリースす るに当たり,セキュリティ専門業者に診断を依頼した。その際に,診断チームのメ ンバのLさんにも診断を担当させることにした。WebサイトZの開発は,外部の業 者のP社に委託しており,委託時にWebセキュリティガイドの最新版を渡している。 WebサイトZの画面居移図を図6に,画面誠移の仕様を表2に示す。 = ページPd Sis のーー=N [FB信 問合せ|商品一覧上Lon a a Aw 1 2) 限定商品|(え商品購入 一覧月ve)完了 注記1ログインページ画面以外からマイページ画面への画面遷移,エラー時の画面遷移,HOH 面に戻るための画面乱移などは省略している。 注記2全ての画面を同一ドメイン(wwwz-site.com)で提供している。 注りメール送信完了画面への遷移時に会員に送付されるメールに記載されたURLに利用者がア クセスすると表示される。 a有料会員の場合だけ表示する。 図6 WebサイトZの画面遷移図(抜粋) 表2 WebサイトZの画面遷移の仕様(抜粋) (あ)|操作例:利用者ID(例:nser0001)とパ|・利用者認証が成功した場合,新しいセッシ スワード(fil:9a8b7ced)を入力し,ョンID(JSESSIONID)とセッションオプブ “ログイン"ボタンをクリックする。ジェクトを取得し,マイペーツジ画面を表示 URL:https://www.z-site.com/loginする。それ以外の場合,セッションIDとセ POSTデータ:user id=user0001&passwッションオブジェクトは取得せず,エラー d=9a8b7c6d内容を記載したログインページ画面に戻 る。 ・セッションIDはCookieに格納する。 ・user idの値が有料会員の利用者IDの場合 には,マイページ画面に限定商品一覧への リンクを追加する。 (い)|操作例:検索画面でキーワード(Pl:|・keywordの値をDBから検索し,該当する New)を選び,“検索"”ボタンをクリッ商品を次画面に表示する。 クする。・該当する商品数がn件の場合,画面上部に URL:https://www.z-site.com/kensaku“該当商品数:n件"と表示する。 POSTデータ:keyword=New・該当する商品がない場合は0件と表示す る。また,キーワードが指定されていない 場合は全件を表示する。 (う)|操作例:商品一覧画面で商品を選び,|・codeの値でDBを検索し,該当する商品を “選択"ボタンをクリックする。カートに入れ,次画面に表示する。また, URL:https://www.z-site.com/kounyu codeの値をセッションオブジェクトに格納 POSTデータ:code=0001344する。該当する商品が存在しない場合はエ ラーを表示する。 (A)|操作例:有料会員の場合だけ表示される|・codeの値でDBを検索し,該当する商品を 限定商品一覧画面で商品を選び,“選カートに入れ,次画面に表示する。また, 択"ボタンをクリックする。codeの値をセッションオブジェクトに格納 URL:https://www.z-site.com/kounyuする。該当する商品が存在しない場合はエ POSTデータ:code=1000021ラーを表示する。 Lさんは,WebサイトZに対して診断を実施し,結果をとりまとめた。Lさんは, Lさんの診断結果と,セキュリティ専門業者の診断結果とを比較した。すると,両者 ともに検出したものが1件,セキュリティ専門業者だけが検出したものが3件あっ た。WebサイトZの診断結果を表3に示す。 表3 WebサイトZの診断結果 日P、セキュリティ専門業者の 項番|脆弱性の名称検出箇所Lさんの診断方法・結果|診断方法・結果 iM aN Lt ra3診q D・結_、 (ア)|SQLインジェ|検索画面からの|診断方法:表4に示す自|診断方法:(省略) クション乱移動診断ツールJの入出|診断結果:検出 力結果を基に判定 診断結果:検出 (イ)|XSS配達希望日を入|診断方法:自動診断ツー|診断方法:図8のURLを 力するためのカVJを利用アドレスバーに入力し レンタダ機能診断結果:未検出て診断 診断結果:検出 (ウ)|アクセス制御|商品一覧画面か|診断方法:(省略)診断方法:表5の方法で の不備や認可|5 OB診断結果:未検出確認 制御の欠落診断結果:検出 (=)[a jy商品購入情報入|診断方法:(省略)診断方法:(省略) クエストフォ|力画面からの遷|診断結果:未検出診断結果:検出 ーツジェエリ移 表4自動診断ツールJの入出力結果(抜粋) 注記診断時にDBには商品が100件登録されていた。 (イ)の脆弱性については,商品購入情報入力画面から,配達希望日を入力するため に起動するカレンダ機能で検出された。カレンダ機能を図7に示す。 ・次に示すURLにアクセスするためのポップアップウィンドウが開き,カレンダが表示される。| https://www.z-site.com/calendar?inputfieldid=haitatsukiboubi ・カレンダ上で利用者が任意の日付を選択する。 ・その日付が商品購入情報入力画面の配達希望日に設定される。 図7カレンダ機能 セキュリティ専門業者が脆弱性を確認するためにカレンダを開き,そのカレンダ が表示されているポップアップウィンドウのアドレスバーに入力したURLを図8に, 和弥告ダイアログに“NG”を表示させたレスポンスの該当箇所を図9に示す。 図8脆弱性を確認するためにアドレスバーに入力したURL <script type="text/javascript"> (省略) returnobj.value=selected date (省略) </script> 図9警告ダイアログに“NG”を表示させたレスポンスの該当箇所 なお,(イ)の脆弱性は,WebサイトZとは異なるドメインのサイトから,8の URLにアクセスさせられるような攻撃を受けた場合でも,現在普及しているWeb 7 ラウザの多くでは,スクリプトの実行時にエラーが発生し,攻撃が失敗する。しか し,Webブラウザの種類やバージョンによっては被害が発生するおそれがあるので, セキュリティ専門業者は修正することを提言した。 (ウ)の脆弱性は,有料会員だけが購入できることになっている限定商品を一般会員 が購入できてしまうというものであった。セキュリティ専門業者が確認した方法を 表5に示す。 表5(ウ)の脆弱性をセキュリティ専門業者が確認した方法 品一覧画面のURLにアクセスする。 表3の診断結果から,Qさんは脆弱性を作り込まないようWebセキュリティガイ ドに項目を追加した。さらに,XSSの脆弱性をよく作り込むおパターン,アクセス制 御の不備や認可制御の欠落及び|a|リクエストフォージェリについて,診断 手順書を改訂して,診断手順を追加した。改訂された診断手順書第2版を図10に示 す。 ー25— 1.診断準備 (省略) アクセス制御の不備や可制御の欠落を確認する場合には。事前にL_k|ァカッントを 用意し。emer. 2.自動診断ツール]による診断 (省略) 3.手動による診断 -診断項目と確認手順 (省略) [|a]リクエストフォージェリ WEEE GERI,次のいずれかを満たす場合に脆務性ありと判定する。 トークンなどのパラメタが存在しない。 ・トークンなどを削除しても処理が実行される。 トニクン文字列の推仙が可能である。 ・別の利用者のトークンが使用できる。 処理が実行されたかどうかは,。画面に表示されるメッセージなどから判断する。 -セッションIDが推測可能 -セッションIDをURL内に格納 -アクセス制御の不備や認可制御の欠落 Ck|]アカルントそれぞれについて,パラメタの値を変更するなどして。許可されてい ない操作ができる場合に脆憶性ありと判定する。 ・診断方法 ローカルプロキシを用いて通信ログを取得しながら診断する。必要に応じて,リクエスト中の パラメタの値を変更して,リクエストを送る。 (省略) 注記第1版から追加された部分を破線の下線で示す。 図19診断手順書第2版 WebサイトZで検出された脆弱性は,リリース前に修正するようA FLO Webサイ トZの担当者からP社に伝えた。Qさんが,脆弱性が作り込まれた原因をP社に確 認したところ,いずれも確認不足であるとのことであった。 [改善案の検討] Qさんは,各工程でのレビューポイントをWebセキュリティガイドに記載するこ とをWH課長に提案した。改訂されたWebセキュリティガイド第3版を図11に示す。 注意事項:各工程の最後にレビューを行い,作業の妥当性を確認すること 工程1.要件定義 (省略) レビューポイント:A社のセキュリティポリシ及び想定される脅威に対して,必要なセキュリ ティ要件が盛り込まれていること 工程2.設計 (省略) レビューポイント:セキュリティ要件が機能又は運用によって満足されていること 工程3.実装 (省略) レビューポイント:Webセキュユリティガイドに基づき,実装されていること 工程4.テスト (省略) レビューポイント:セキュリティ機能及びセキュリティに関する運用が設計どおりになってい るかがテストされていること,適切な診断が実施されていること,並びに検出された脆弱性が 修正されていること 工程5.運用 (省略) 注記第2版から追加された部分を破線の下線で示す。 図11 Webセキュリティガイド第3版 しかし,今回のように開発を外部の業者に委託する場合,11に従って開発され ていることを確認するには工夫が必要である。そこで,H課長は,③外部に開発を 委託する契約の検収条件に追加すべき記載内容を検討した。 H課長は,その後もWebセキュリティガイドの改善を続けた。迅速なパッチ適用 の効果もあり,A社では,今のところWebサイトへの攻撃による被害は起きていな VW,