情報処理安全確保支援士 2022年 秋期 午後II 問題

共通の文章

脅威情報調査に関する次の記述を読んで,設問に答えよ。 L社は,従業員299名のセキュリティ関連会社である。L社の脅威情報調査部(以 下,Q部という)は,国内で流行しているマルウェアを解析したり,攻撃者グループ の攻撃手法を調査したりして,顧客にレポートを提供する事業を行っているほか, 四半期レポートを作成して公開している。0部が管理するネットワークの概要を図1 に,システムの概要を表1に示す。 ||ルータ|| |VPN-G ss上 —=)|L2SW:レイヤー2スイッチ ニーーーニーーーーーーーーーーゾごVPN-G:VPNゲートウェイ装置 図1ネットワークの概要 表1システムの概要 1解析環境マルウェアを実行して挙動を確認したり,マルウェアを簡易的に解析して 機能を確認したりする環境である。サンドボックス用の複数の仮想マシン で構成されている。各仮想マシンは,動的解析中だけ無線LANルータを経 申して,インターネットにアクセスできる状態にする。 2|Dシステム|自社開発したハニーポット用のシステムであり,0部の事業に活用してい る。小規模オフィスから大規模オフィスまでの,疑似オフィス環境(LY 下,OF環境という)10組などで構成されている。各OF環境は,PCのほ か,DHCPサーバ,メールサーバ,DNSサーバ,業務用各種サーバといった 仮想マシン(以下,OF機器という),及びルータで構成されている。必要 に応じて,L2SWを含むおこともある。各OF環境間の通信は全て禁止されて いる。 3|D-PC解析環境及びDシステムを操作する。Webブラウザを起動しDシステムに アクセスする。 |4|VPN-G|Q部ネットワークとDシステムの間を1Psec-VPNで接続する。 Dシステムの概要を図2に,Dシステムの構成要素の説明を表2に示す。 に2= ラァイァ|」|ルータovina| |OF環境—_1|| ||7 BE Ee!|| L3SW:レイヤー3スイッチ|Eee Se!| M2 Dシステムの概要 表2 Dシステムの構成要素の説明 構成要素 1 OF機器OF機器での始業時のログインや終業時のログアウトといった利用者の日常 的な業務を模した操作は,各0F機器上の専用プログラムによって自動的に 行われる。各OF機器ではログも取得され,ARPテーブルの状態,CPU使用 率といったシステム情報も定期的に記録される。スナップショット機能に よってOF機器は定期的にディスクイメージが保存されており,OF機器を 任意の保存時点の状態に戻すことができる。 2ファイルシ|D-PCと各OF機器との間で転送するファイルを一時的に保存するための仮 ェアサーバ|想マシンである。 3監査ログ保|OF環境内の,&OF機器で記録された情報,並びにルータ及びL2SWでキャ 存サーバプチャしたパケットを集約して保存する。保存した情報を監査ログと呼 U,解析業務などで利用する。 4管理Web+|D-PCからDシステムを操作するためのWebインタフェースを提供する。D ーバシステムの各構成要素に対して行える操作は次のとおりである。 OF機器:OF環境内の全部又は個別のOF機器に対する起動叉はシャットダ ウン,各0F機器へのログイン OF環境内のルータ:OF環境ごとのインターネット及びファイルシェアサー バとの通信制御の切替え ファイルシェアサーバ:D-PCとの間でのファイル転送 I監査ログ保存サーバ:監査ログの閲覧 [ 各OF環境内のルータには,“内部モード”と“公開モード”"の二つのモードがあり, 各モードでは,表3に示す通信制御のルールに従って各OOF機器とそれ以外との間で の通信制御が行われる。初期設定は内部モードである。 ー3一 表3 OF機器に対するモードごとの通信制御のルール 項番送信元宛先通信制御 |1|OF機器 。。。|インターネット|禁止。|許可| 監査ログ保存サーバ |6|インターネット|OF機器" 。|禁止。|許可| |8|息昌ebpサーバ[ome”|放可[ea| 監査ログ保存サーバ |9|ファイルシェアサーバ|OF機器(aa|e |19|0部ネットワーク|OF機器。|禁止。|禁止| 注記通信制御はステートフルパケットインスペクションで行われる。 [検体の解析作業〕 四半期レポートの作成チームのリーダーは0部のY主任であり,メンバーは新人ア ナリストのTさんである。Tさんは,現在国内で感染が確認されている3種類の検体 (以下,Mika,検体8,検体yという)の解析作業を担当する。Tさんは,3種類 の検体を解析環境で実行し,挙動を確認するようY主任から指示を受けた。Tさんは, 各検体を実行し,簡易的な解析を実施した。Tさんが確認した挙動と簡易的な解析の 結果を表4に示す。 表4 Tさんが確認した挙動と簡易的な解析の結果 検体名確認した挙動簡易的な解析の結果 検体@|C8Cサーバに接続し,プログラムコード|ダウンロードしたプログラムコードは,① をダウンロードした。ディスクには展開されずメモリ内だけに展 開される。このプログラムコードは,キー ボード入力を記録し,定期的にC&Cサーバ に送信するキーロガー機能をもつ。 検体8|PC上の特定の拡張子をもつファイルを|0Sの言語設定を参照する。(省略) 次々に暗号化した。暗号化完了後にデス クトップの背景を変更して終了した。 検体Y|自身のデータの一部を削除して,すぐに|自身が仮想マシン上で動作していることを 終了した。検知すると,システムコールを使用して自 身のプログラムコード中の攻撃コードを削 除した後,終了する。この機能は解析を回 避するためのものであると考えられる。 ーー4ーー Tさんは,これらの検体の挙動と解析の結果を報告書にまとめ,Y主任に報告した。 次は,報告後のTさんと主任の会話である。 TSA:今日は金曜日なので,解析環境の仮想マシンは帰宅前に全てシャットダウ ンして,週明けに改めて解析環境を使い,追加の調査をしようと思います。 YEE:近年の攻撃の傾向を考えると,②今日確認した検体wの挙動が,検体をを 週明けに再実行した時には,攻撃者による変更によって再現できなくなる 可能性がある。念のため,今の仮想マシンの状態を保存しておいてほしい。 その上で,週明けに改めて解析環境で検体wを実行してみよう。 Tさんは,指示に従って保存作業を実施した。週明け,Tさんが改めて検体wを実 行したところ,表4の挙動が再現できることを確認した。Tさんは,追加の調査を実 施し,Y主任に最終報告をした。その後の0部内の会議で,検体をはDシステムを用 いて詳細に解析すること,検体8は詳細な解析を見送ること,検体ヶは現在の解析 環境ではこれ以上解析できないので,③別の環境を構築して解析することが決定し た。Tさんが,検体々をDシステム上で実行し,インターネットとの通信を解析する ことになった。 (ファイル転送手順の改善 Q部では,Dシステムに検体を持ち込んで実行する手順が図3のとおりに定められ ている。 ーー 4,OF環境内の解析に使用するOF機器にログインし,圧縮した検体をファイルシェアサーバから 2.解析に使用するOF環境内のルータが内部モードであることを確認する。 3,圧縮した検体をD-PCからファイルシェアサーバに転送する。 6.OF機器上で,検体を取り出し,実行する。 5.使用するOF環境内のルータを公開モードに切り替える。 OF機器に転送する。 図3検体を持ち込んで実行する手順 ー5一 検体の実行によって生成されるOF機器上のログやファイルなどは,監査ログ保存 サーバでは収集されない。そこで,検体の実行後,図4に示すファイル転送手順によ ってD-PCに転送する。 1.D-PCでWebブラウザを起動し,管理Weibサーバにアクセスする。 2.使用したOF環境内のルータを内部モードに切り替える。 3.使用したOF機器にログインし,ログ自動収集ツール"が出力したファイル及び解析に必要な 任意のファイル(以下,2種類のファイルをあわせて解析ファイルという)を収集する。 4.解析ファイルをファイルシェアサーバに転送する。 5.使用したOF環境内の全部のOF機器をシャットダウンする。 6.ファイルシェアサーバ上でマルウェアスキャンを実行し.ファイルシェアサーバがマルウェ アに感染していないことを確認した上で,解析ファイルをD-PCに転送する。 注)ログ自動収集ツールは,同ツールを実行したPCやサーバの主要なログ情報を自動で収集し, ファイルとして出力する。実行から収集完了までには,およそ390分~て1時間を要する。 図4ファイル転送手順 TSAI,図4の手順では,OF環境で実行するマルウェアが,自律的に感染を広げ る機能をもっている場合,ファイルシェアサーバに感染が及ぶ可能性があると考え た。万一,ファイルシェアサーバがマルウェアに感染すると,他のOF環境での解析 作業に影響を与えてしまう。そこで,次の方針で新しい手順を作成することにした。 ・OF環境内のルータごとに1台の検疫PCを新たに設置する。 ・解析ファイルの転送は,必ず検疫PCを経由させる。 ・解析ファイルの転送では,検疫PCがマルウェアに感染していないことを確認する。 ・検疫PCは,表3の通信制御のルールについては,OF機器として扱う。 ・検体の実行後,検疫PC以外の0F HBC,ファイルシェアサーバとは直接通信させ ない。 ・検疫PCは,パーソナルファイアウォール(LAR,PFWという)の設定によって, 検疫PCと管理Webサーバとの間の通信だけを許可しておき,解析ファイルの転送 に必要な通信を転送時にだけ許可する。 Tさんは,検疫PCを用いた新しいファイル転送手順案を考案し,Y主任に説明し た。後日,Q部内の会議でこのファイル転送手順が,Q部の正式な手順として採用さ れた。新しいファイル転送手順を図5に示す。 —6= 1.D-PCでWebブラウザを起動し,管理Webサーバにアクセスする。 2.使用したOF環境内のOF機器にログインし,解析ファイルを収集する。 ーー a| 5.検疫PCにログインし,マルウェアスキャンを実行して検疫PCがマルウェアに感染していな いことを確認した上で,以降の手順に進む。 ーー a 8.ファイルシェアサーバからD-PCに解析ファイルを転送する。 (省略) 図5新しいファイル転送手順 〔模擬攻撃試験の受験〕 1 FR,Tさんは模擬攻撃試験を受けることになった。模擬攻撃試験とは,年1回 行われる社内試験である。2日間の試験で,初日は,受験者だけがアクセスできるD システム内に作られた試験用OF環境にインターネットから接続し,事前に与えられ たツール群とヒント情報を基に,秘密情報に見立てた文字列情報(以下,flagとい う)を8時間の間にできるだけ多く入手するという実技を行う。2日目の午前は, flagの入手過程で確認した脆弱性,実行した攻撃手法などについて試験評価者(以 下,評価者という)と討論する。午後は,flagの入手過程で確認した脆弱性につい て,運用面での改善提案を報告書にまとめ提出する。合否は2日間の総合成績によっ て決定する。L社ではこの試験の合格が重要な業務を担当するための要件の一つにな っている。 試験の初日は,試験用OF環境内のあるPC(以下,X-PCという)が遠隔操作可能な 状態から試験が始まった。Tさんは,X-PCのシステム情報,X-PCに残っていた電子 『メールなどを収集し,X-PCから試験用OF環境内を探索して,flagの入手を試みた。 初日の試験では,最終的にTさんは五つのflagの入手に成功した。試験2日目の討 am Cla,T SAIS,最初のflagの入手過程でARPスプーフィングを使用したことか ら説明を始めることにした。 [ARPスプーフィングの使用に関する説明〕 TさんはARPスプーフィングの使用に関して次のように説明した。 (1)与えられたヒント情報から,X-PCと同一セグメントにある別のPC(LAB,標的 PCという)が送信するパケットをARPスプーフィングによって盗み見できれば, 最初のflagを入手できると考えた。 (2)事前に与えられたツール群の中からARP関連のツールを探したところ,Aツール という広く流通する0SSのARPスプーフィングツールがあり,表5に示す三つの 機能をもつという情報を得た。 表5 Aツールの機能 機能詳細 プローブ機能OS標準の機能を用いて同一セグメント内にARP要求を出し,応答 を記録する。 2 ARPスプーフィン|標的の機器のIPアドレスを指定して実行すると,標的の機器が グ機能ARP要求を出した際に,正規のARP応答が戻ってくる前に,自身の MACアドレスを含んだ不正なARP応答を送る。 3中継機能ARPスプーフィング機能が成功した後,自身に送られてきたパケッ トを加工し,パケットの本来の宛先に転送する。 (3)ネットワーク内の機器の情報を得たいと考え,表5中の項番|e|の機能 を実行した。実行後のX-PCのARPテーブルは表6であった。 表6 X-PCのARPテーブル(抜粋) 注記XX-XX-XXは同一のベンダIDである。 —8— (4)X-PCのARPテーブル,X-PC内のメール情報などを基にして,図6に示すネット ワーク図を作成した。 (マンターネッ試験用OF環境、]IP:192.168.15.98 MAC:XX-XX-XX-f9-48-1b ファイアー1 IP:192.168.15,50 Lionel Fe MAC:XX-XX-XX-f b-44-25 i IP:192.168.15,51 MAC:XX-XX-XX-23-46-4a IP:192.168.16.22 ファイル|IP:192.168.16.23 サーバ 図6作成したネットワーク図 (5)ARPスプーフィング機能について,標的PCのIPアドレスを指定して実行した後, DNSサーバのIPアドレスを指定して実行し,標的PCからDNSサーバへの通信を 盗み見する準備を整えた。この時のX-PCのARPテーブルは表7,標的PCのARP テーブルは表8のとおりであった。 表7 ARPスプーフィング機能実行後のX-PCのARPテーブル(抜粋) 表8 ARPスプーフィング機能実行後の標的PCのARPテーブル(抜粋) 9とこ (6)ARPスプーフィングが成功している証拠を評価者に説明するために,監査ログ保 存サーバに記録されていた,L2SW-1を通過したパケットの記録を確認したとこ 4,表9に示すとおりであった。 表9パケットの記録(抜粋) [ws[ieee lm|にし|に ws ww lm[Tn|[Lo]| 注記1 ARPスプーフィングに関係するパケットだけを抜粋している。 注記2パケットは表中の上から順に送信された。 TOR,Tさんは,盗み見の成功から最初のflag入手までの流れを評価者に説明 した。評価者から幾つかの質問を受けたが,Tさんは問題なく受け答えできた。次に, Tさんは,2~4番目に入手したflagについても同様の流れで説明した。最後に,5番 BO flagの入手に使用した人事サーバのパスワード解読に関して説明した。 [パスワードの解読に関する説明〕 Tさんはパスワード解読に関して次のように説明した。 (1)ヒント情報には,5番目のflagを入手するためには,システム管理者の利用者 IDとパスワードを用いてWebブラウザから人事サーバにログインする必要があ ると書かれていた。 (2)ここまでのflag入手の過程で得た情報を図7のように整理した。 ー10一 1.ファイルサーバに保存されていた人事サーバの設計資料の情報 ・利用者IDに対してログイン失敗が5回連続した場合は,当該利用者IDによるログインを10 分間ロックする。 ・利用者が設定したパスワードは,Blowfish暗号を用いた,ソルトあり,ストレッチングあ りのハッシュ関数を用いて出力した文字列(以下,H文字列という)の形式で保存される。 例:$2b$95$AQHjx4ARKab2Drcdq08tjuF2PvpI5NR5Xv/xj L/gZq.Q79vYFOw7C” 2.人事サーバに用いられている0SSの既知の脆弱性を悪用して閲覧できたデバッグログの情報 ・デバッグログには,ログインした利用者IDごとの,セッション情報,H文字列を含む認証情 報,プログラムコードで用いられていると思われる関数名や変数の値などが出力されていた。 ・デバッグログを解析したところ,システム管理者が直近のログインに成功した時に入力したパ スワードに対して出力された1H文字列(以下,文字列7という)は次のとおりであった。 $2b$05$U/fzKvG0d//4E68fqvHJTOtrLcfj8LL5i70ziYaG8J51S.vDpLJFy 3.パスワードについての推測 ・ここまでに得た試験用OF環境に設置されているサーバのシステム管理者のパスワードは,い ずれも"Admin[数字5 HI”であり,[数字5桁|たはサーバごとに異なる数字が設定されてい た。このことから,人事サーバにおいても同じ形式のパスワードが用いられていると推測でき る。 SE)最初の7字はハッシュ関数のバージョンとストレッチング回数,その次の22字はソルト,そ の次の31字はハッシュ値を示す。 図7整理した情報 (3)図7の情報から,システム管理者のパスワードを得るための攻撃手法を最初に つ考えたが,いずれの手法も,表19に示すとおり,残りの試験時間内にパスワ ードを得ることは困難であると判断した。 表16攻撃手法と判断理由 攻撃手法困難であると判断した理由 1人事サーバに対して,ツールを用いて,ブルートフ|⑤ブルートフォース攻撃に対抗 ォース攻撃によるログイン試行をする。する機能があるから 2文字列Zに含まれるハッシュ値から平文を得るため|文字列Zの生成にはソルトが用 に,| p|攻撃を行う。いられているから (4)三つ目の攻撃手法を考えて試し,成功した。具体的には,図8に示すオフライン 攻撃の流れをプログラムとして実装し,実行することによってシステム管理者 のパスワードを解読した。 STEP1:整数型の変数nに0を代入する。 STEP2:⑥システム管理者のパスワードとしてn番目の候補となる文字列を生成する。人事サー バの設計資料に記載されていたハッシュ関数を実行する。関数への入力は,n番目の候 補文字列,文字列7の中に記載されたハッシュ関数のバージョン,ストレッチング回 数,。ソルトである。出力はH文字列である。 STEP3:STEP2で出力した文字列と,MERZとを比較し,一致していればn番目の候補文字 列を出力してオフライン攻撃を終了する。一致しない場合は,STEP4に進む。 STEP4:変数nが最大値の場合オオフライン攻撃を終了する。それ以外の場合は,変数nに1を 加え,STEP2に戻る。 図8オフライン攻撃の流れ 〔運用に関する改善提案〕 討論会を終えたTさんは,最後の試験課題である,報告書の作成に着手した。図9 ld,Tさんが作成した運用に関する改善提案の報告書である。 ARPスプーフィングの有力な対策方法は二つある。一つ目の方法は,一部のスイッチがもつ Dynamic ARP Inspection機能を有効化する方法である。二つ目の方法は,重要なPCや狙われや すいサーバについて,ARPスプーフィングが実行されていないか常時監視する方法である。例え ば,&PC及びサーバのARPテーブルを常時監視して,⑦ARPテーブルの不審な状態を確認した 場合には,システム管理者が当該PC又はサーバ,及びネットワークを調査し,ARPスプーフィ ングが行われていないかどうかを確認する運用が考えられる。 (省略) 5 BEBO flagの入手に使用したセキュリティ上の弱点を考えると,人事サーバについて,次の 点の改善が望ましい。 (1)脆弱性管理の観点 0SSに対して,最新の脆弱性修正プログラムを適用すること。具体的には(省略) (2)パスワードの観点 各サーバのシステム管理者のパスワードには推測可能なパスワードの設定は避けること。 具体的には(省略) (3)ログの観点 にa PC 図9運用に関する改善提案の報告書(抜粋) Tさんは報告書を完成させて提出した。数日後,試験の合格通知を受け取ったT「さ んは,今後はより重要な業務を担当できることになった。 ーー12ーー

共通の文章

インシデントレスポンスチームに関する次の記述を読んで,設問に答えよ。 K社は,従業員500名の輸入卸売業者である。拠点は,AH,営業所2か所,倉庫 1か所の計4か所である。K社のネットワーク及び機器並びに関連する規程の整備は, 情報システム課が担当している。K社のネットワーク構成を図1に,各サーバで取得 しているログの内容を表1に示す。 L3SW:レイヤー3スイッチ The L2SW:レイヤー2スイッチ ーバ= aファイル||プロキシquill Lewに<中ーーー」 NE BAe Pus ET ep 図1 K社のネットワーク構成(抜粋) 表1ログの内容(抜粋) ログに記録される項目 メールサーバイベントの発生日時,送受信メールの送信元メールアドレス,送受信メール の宛先メールアドレス,メール全体のサイズ,添付ファイルの名称,添付フ ァイルのサイズ ファイルサーバ|イベントの発生日時,アクセスされたファイルのパス名,アクセス元のIP アドレス,読込み書込みの種別 プロキシサーバ|イベントの発生日時,アクセス元のIPアドレス,アクセス先のURL,転送し たデータのサイズ,アップロードされたファイルのサイズ [マルウェアcの検知と対応〕 K社では,PCにマルウェア対策ソフトを導入しており,リアルタイムスキャンとス ケジュールスキャンを実施している。マルウェア対策ソフトの管理サーバはクラウ ドサービス上にある。マルウェア定義ファイルは,PCを起動したときに更新される。 スケジュールスキャンは,毎週月曜日の19:09に実施される。 ある月曜日,情報システム課のW主任がスケジュールスキャンの結果を確認したと ころ,10台のPCでマルウェアecが検出され,駆除されていた。W主任が,マルウェ アについてインターネット上で公開されている情報を調べたところ,次のことが 分かった。 ・マルウェアcは,8日前に発見された。 ・K社で利用しているマルウェア対策ソフトの定義ファイルにマルウェアaが登録 されたのは,昨日だった。 ・細工されたマクロ(以下,マクロ6Gという)が仕込まれている,表計算ソフト(LA 下,Vソフトという)のデータファイル(以下,。ファイルGという)を開いて,マ クロGを実行してしまうと,攻撃者のWebサーバからマルウェアwがダウンロー ドされ,起動される。 ・マルウェアeは,起動すると,PC上のメールフォルダにある電子メール(以下, 電子メールをメールという)を読み出して,攻撃者が用意したWebサーバにアップ ロードする。その後,0S設定を変更して,05ログイン時にマルウェアaが自動起 動されるようにする。 なお,K社で利用しているメールソフトでは,メールは1通が1ファイルとしてPC のメールフォルダ内に保存されている。 マルウェアewが検出されたPCのログと,プロキシサーバのログを調べた結果,こ れらのPCの中には,先週の水曜日以降,攻撃者のWebサーバのものと思われるURL にファイルをアップロードしていたPCがあったことが分かった。W主任は,調査の 結果を上司のM課長に報告した。 M課長から調査と対応の指示を受けたW主任は,K社に機器を納入している『社に 支援を依頼した。依頼に応じたP社の情報処理安全確保支援士(登録セキスペ)CH るU氏の協力を得て,WEES,アップロードされたファイルの特定並びにマルウェ アe及びファイルGの削除を進め,調査と対応を完了した。 〔定義ファイルに登録されていないマルウェアの検知〕 マルウェアゥgへの調査と対応が完了した後,W主任は,マルウェア対策ソフトの定義 ファイルに登録されていないマルウェアも検知したいと考え,どうすればよいかりU氏 に相談した。U氏は,その用途に使用可能な製品として,EDR(Endpoint Detection and Response)があることを説明し,製品Cを提案した。製品Cは,各PCに導入し, クラウドサービス上の管理サーバから操作する。製品Cの機能を表2に示す。 ー16一 表2製品Cの機能(抜粋) Seen 検知ルールの定義機能|特徴的なイベント又はその並びを,検知ルールとして登録する。複数の Cの製品出荷時に組み込まれている検知ルールを図3に示す。 PCで起きたイベントが検知ルールに合致したときは,管理サーバか ら,事前に登録したメールアドレス宛てに警告をメールてで送信する。 ス機能BEL,OS設定の変更又は05コマンドの実行を行う。 表3イベントの情報 ii較有cx ファイル操作プロセス名,操作種別(読込み,HAS,上書き,削除など),操作され ネットワーク動作通信相手先のIPアドレス,サービス,通信の方向,通信データのサイズ, たファイルのパス名・ファイルサイズ・タイムスタンプ・種別(0Sのシス oe通信相手先のURL,動作種別(ファイルのアップロード,ファイルのダウ ンロードなど),アップロード又はダウンロードされたファイルのサイズ 注記全てのイベントにおいて,発生日時及びイベントを起こした利用者IDも記録する。 SE?USBメモリの識別番号 ・検知ルールには,単純ルールと複合ルールの2種類がある。 ・単純ルールには,一つのイベント内の各イベントの情報を条件として複数組み合わせて指定で きる。条件として,値が一致するしない,範囲内であるない,列挙された値のいずれかに 一致するプいずれにも一致しない,文字列として含まれる/含まれないが指定できる。 ・複合ルールは,単純ルール又は複合ルールを組み合わせたものであり,次のようなルールを指 定できる。 -指定した複数の単純ルールに合致するイベント全てが,指定した時間内に発生した。 -指定した単純ルール又は複合ルールに合致するイベントが,指定した時間内に,指定した回 数以上発生した。 -指定した複数の単純ルール又は複合ルールに合致するイベントが,指定した時間内に,指定 した順に発生した。 ・複合ルール内で,複数のイベントの間でイベントの情報の値が一致することを条件として指定 GE Big Bl 2検知ルールの仕様 ルール1:0S設定である常駐ソフトのリストに,何らかのソフトウェアが追加された。 ルール2:0S設定である常駐ソフトのリストから,何らかのソフトウェアが削除された。 ルール3:06のシステムファイルが上書きされた,又は削除された。 ルール4:ログファイルが削除された。 ルール5:次の複合ルールが1時間以内に10回以上発生した。 -何らかのファイルが読み込まれた後,1分以内に,同一つのサイズのファイルがHTTPで アップロードされた。 図3製品Cの製品出荷時に組み込まれている検知ルール 例えば,マルウェアwは,PCで起きたイベントから製品Cを使って検知できる。 マルウェアewの特徴的なイベントは,同じサイズのファイルに対する①ファイル操 作のイベント及び②ネットワーク動作のイベント,並びにログイン時の自動起動に 関するOS設定の変更のイベントである。これらのイベントが,短時間のうちにこの 順序で発生したことを検知すればよい。 続けて,U Bld,P社が提供可能な,製品Cに関連するサービスを表4を示して説 明Ls 表4製品Cに関連するサービス(抜粋) ・PCのイベントを解析し,解析結果を報告する。 運用サービス・管理サーバを監視し,正常に稼働していることを確認する。 ・新たな攻撃手法に対応する検知ルールを登録する。 ・警告を監視し,明らかな誤検知及び重複を除いて直ちに顧客に連絡する。 W主任は,次の三つを軸としたEDR導入案をまとめ,M課長の承認を得た。 ・社内の全PCに製品Cを導入する。 ・製品Cを使ったマルウェアの検知及び対応のための体制(以下,E体制という)を 立ち上げる。 ・表4の解析サービスは必要に応じて利用するが,その他のサービスは利用しない。 3か月後,製品Cを全PCに導入し,E体制を立ち上げた。E体制のチームリーダは M課長,メンバーはW主任を含む情報システム課の課員3名である。 まずは,図3の検知ルールだけを用いて試験運用を開始した。 ims 18— (VIVO LP BORA) 製品C導入から6か月ほど経ったある日,マルウェア対策ソフトのスケジュールス キャンの結果を確認したところ,3台のPC(以下,PC1,PC2,PC3という)で同一の マルウェアが検知され,駆除に失敗していた。図4は,製品Cが記録したPCI~3の イベントのうち,PC1一3に共通しており,特徴的と思われたVソフト及びUSBメモ リに関するイベントを,0S5ログインのイベントとともに抜粋したものである。 PC1 PC2 PC3 5月19日(木)5月19日(木)5月19日(木) 14:27 05ログイン13:05 05ログイン09:57 05ログイン 15:03 USBメモリ装着13:15 USBメモリ装着10:10 V-開始 15:15ファイルコピー13:16ファイルコピー10:13 V-読込N:\file2.v E:\fitel.vつC:\file1.v E:\fi le3.vっC:\file3.v 10:25 V-書込N:\file2.v 15:16 USBメモリ取外し13:17 USBメモリ取外し10:35 V-読込C:\file4.v 15:18 V-開始16:47 V-開始10:40 V-終了 15:18 V-読込C:\file1.v 16:48 V-読込Ci:\file3.v 16:30 USBメモリ装着 15:18 V-読込N:\file2.v 16:49 V-終了16:35ファイルコピー 15:18 V-書込N:\file2.v 17:12 V-開始C:\file4.v一E:\file4.v 15:25 V-書込C:\file1.v 17:25 V-読込N:\file2.v 16:39 USBメモリ取外し 15:26 V-終了17:25 V-読込C:\file6.v 17:25 V-書込C:\file6.v 17:43 V-終了 5月26日(金)5月26日(金)5月26日(金) 動作記録なし11:14 0Sログイン13:32 0Sログイン 11:15 V-開始14:36 V-開始 11:15 V-読込C:\file6.v 14:39 V-読込N:\file2.v 11:15 V-読込C:\file8.v 14:39 V-読込C:\file4.v 11:15 V-書込C:\file8.v 14:39 V-書込C:\file4.v 11:15 V-終了15:03 V-終了 11:22 V-開始15:46 V-開始 11:24 V-読込C:\file3.v 15:48 V-読込C:\file7.v 11:43 V-終了16:23 V-終了 V-開始:"ソフトのプロセス開始V-終了:Vソフトのプロセス終了 V-読込つO:Vソフトでファイル〇〇を読込み V-書込へへ:Vソフトでファイルムムを書込み又は上書き 注記1 C:は,内蔵SSDに割り当てられたドライブ名である。 注記2 E:は,USBメモリを装着した場合に割り当てられたドライブ名である。 注記3 N:は,ファイルサーバ上の同じ共有フォルダに割り当てられたドライブ名である。 注記4ファイルの拡張子"vV"は,Vソフトのデータファイルの拡張子である。 注記5 PC1て3に装着されたUSB EV ld,それぞれ異なるUSBメモリである。 図4製品Cが記録したPC1一3のイベント(抜粋) W主任は,調査のため『P社に解析サービスを発注し,図4のイベントの解析を依頼 Liles P社は,推測した状況を表5のとおり報告した。 19— 表5 P社による推測 発生日時事象 順序 1|5月19日(木)ussメモリが,| b|に装着された。そのUSBメモリには, Coa)|[|。|というラファイルが存在していたが,そのファイルにはマル ウェア8という新種のマルウェアが潜んでいた。 (省略)|z]が[5 ocドライブにコピーされた。 3|(省略)Cドライブ上の| c|を開いて,マクロを実行したところ,マル ウェア8が起動した。その直後に,ファイル利用履歴の中から選ばれ たと思われる| d|というファイルが開かれ,マルウェア8が マクロとして埋め込まれた後,直ちに上書き保存された。 4|(eRe)[ec jit,利用者が|d|を開いて,マクロを実行した ので,| e|にも感染が広がった。 5月23日(月)|5月22日に更新されたマルウェア定義ファイルにマルウェアBが登録 10:00されたので,スケジュールスキャンによってPC1て3のCドライブでマ ルウェア8が検知された。(駆除失敗の理由については省略) P社の報告を受けたW主任は,③マルウェア8が埋め込まれたファイルの削除な ど必要な対応を完了した。P社がマルウェア8の検体を静的解析したところ,表5の 発生順序35の事象について裏付けが取れた。また,マルウェアBは,追加のマル ウェアをダウンロードする機能をもっていたが,ダウンロードに失敗していたこと も分かった。COR,U氏は,“P社の運用サービスでは,このような場合は,すぐに 検知ルールを作成し,登録します”とW主任に提案した。 [運用サービスの利用〕 K社は,マルウェアをより早期に検知するために有効かどうかを確認しようと考え, 表4のサービスについての当初の方針を変えて,3か月ほど試験的にP社の運用サー ビスと監視サービスを利用することにした。P tlt,まず,マルウェアBと同じ 手段による感染の拡大を検知するための検知ルールを作成して製品Cに登録した。そ の後2週間Vソフトの正常なデータファイルを開くといった,PCの通常利用に起因 する誤検知が起きないか確認を続けた。 サービス利用開始から1か月後,ある従業員がメールに添付されていたVソフトの データファイルを開いて,マクロを実行した直後にマルウェア8の亜種を検知する ことができた。さらに,E体制のメンバーが直ちに必要な対応を指示することによっ て被害の拡大も防ぐことができた。 〔運用体制の組替え]〕 試験期間が終了し,K社は,運用サービス及び監視サービスを正式に利用すること にした。それらに加え,インシデント対応を円滑に行うために,被害状況の把握及 び侵入経路の特定を行うP社のインシデント対応支援サービスも利用することにした。 インシデント対応支援サービスの利用には,インシデントレスポンスチーム(以 下,IRTという)の整備が前提となっている。M課長は,IRTの体制案をまとめ,経 営層の承認を得た。IRTでは,通常時は,1名が通報窓口の要員として対応する。招 集時は,情報システム課,営業所1,営業所2及び倉庫の従業員計19名が参加する。 M課長は,W主任にインシデント対応の流れを整理して,必要となる規程及び通報 窓口の要員が社内から通報を受けるための通報専用メールアドレスを整備するよう に指示した。また,規程を整備する際は,インシデントの重大さ(以下,レベルと いう)を定義し,レベルに応じて対応に必要な体制が変わちゃことに注意するように 付け加えた。 W主任は,レベルの判定の際に使用する基準の案を図5に,マルウェアによる情報 漏えいを想定したインシデント対応の流れの案を図6にまとめ,M課長に提出した。 M課長は,図5と図6の案を承認してIRTの活動を開始した。 1.レベルは,BB,BE,軽微の3段階とし,次の表によって判定する。 ||影響の深刻さ:大|影響の深刻さ:中影響の深刻さ:小 影響の広がり:大 影響の広がり:中 影響の広がり:小 2.影響の深刻さは,インシデントの事業への影響に基づいて判定する。 大:一部の事業が継続できない可能性がある。 中:一部の事業の継続に影響がある。 小:事業活動でよく起きる程度の影響である。 3.影響の広がりは,インシデントのシステムへの影響に基づいて判定する。 大:サーバ複数台,又はPC 39台以上が影響を受ける。 中:サーバ1台,又はPC 16台以上が影響を受ける。 小:PC 1台以上10台未満が影響を受ける。 図5レベル判定基準(案) —21— PCの異常な動作を発見し|g)通報窓口の要員が通報をし製品Cが警告メールを送 たときは,通報する。受け付ける。信したときは,異常があ るかを判断し,異常があ ae"のれば通報する。 i>ーーーーージ|容を確認する。 対応不要て,インシデント対応の対応要 にーーIRTメンバーを招集しwie 要否を判定する。 被害状況を把握する。 被害状況からレベルを判 定する。; レベルに応じた体制をと る。1) =侵入,情報漏えい |則合せに応じs。回一一<問合せを取り次ぐ。KKなどの経路,経緯の特定 Gute INT S.|SMし,実施す1 |を行う。 eS 注LAIARAOBAlS,IRT全員の体制とする。重要の場合は,RTメンバー5名の体制とする。 軽微の場合は,RTメンバー2名の体制とする。レベルが緊急の場合は経営層に報告する。 図6インシデント対応の流れ(案) [秘密ファイルの流出〕 IRTの体制が整った1週間後の9月29日,社内からの通報専用メールアドレス宛 てにある従業只からメールが届いた。そのメールの内容は,“S社が提供するオンラ インストレージサービスであるSサービスにおいて,K社の取扱商品の価格表(以下,年 、、、-3 ファイルNという)と思われるファイルが一般公開されていて,仕入原価も記載され ていると9月26日に取引先から連絡があった"というものだった。メールを見た通 報窓口の要員はIRT全員を招集して会議を開催しようとしたが,日程調整が難航し, 開催できたのは160月4日だった。10月3日には,営業部門から,"顧客から,St ービスで公開されているファイルについて苦情が来ているので対応を急いでほしい“" と,M課長に抗議が来ていた。 ーー22ーー 会議の中で,Sサービスで公開されているファイルが,秘密情報に該当するファイ ルNであることを確認した。ファイルNに含まれている商品の売上高は全社の売上高 の592%であった。TIRTでは,インシデント対応要と直ちに判断して,まずS社にファ イルの公開停止を依頼した。続いて,P社に解析サービスを発注してPCのマルウェ ア感染の調査を依頼した。1時間後,P社から,"製品Cの記録を確認したが,マル ウェアのものと思われるイベントは発見できない"”との報告があった。これらの状 況を基にレベルの判定を行おうとしたが,"影響の広がり”の区分のどれにも該当 しないので,とりあえず“RRM”と判定した。その後,インシデント対応支援サー ビスを利用して,ファイルNの公開の経緯の特定を依頼した。 最初にP社は,K社のほかのファイルがSサービスで公開されていないかどうかを 調査した。ファイルN以外に,価格表が幾つか公開されていたが,いずれも公開され ても差し支えないものであった。これらは,アップロード日時からファイルNと同時 にアップロードされたものだと推測できた。念のため,マルウェアa及びマルウェ ア8の再感染も調査したが,その形跡はなかった。その後,ファイルNが公開され た経緯として可能性の高いものを四つ,表6に示すとおりに想定して順に調査した。 R66ファイルNが公開された経緯の想定 公開された経紳調査方法 想定1|従業員が,攻撃者にだまされた結果,又は|メルサーバのログについて, 意図的に,ファイルNを攻撃者のメールア。ー ドレスに送信し。攻撃者が$サービスにア|*La|がファイルNとー和表す ップロードした。るものを洗い出す。 想定2|従業員が,攻撃者にだまされた結果,又は|プロキシサーバのログについて,ファイル 意図的に,HTTPで攻撃者のサーバにファイ|yの[|neが一致す ルNをアップロードし,攻撃者がSサービoi.[id i 5 EFut—SLるものを洗い出し,その|」|が信 頼できるサイトのものかどうか確認する。 想定3|ファイルサーバが不正アクセスを受けて,ファイルサーバのログについて,製品Cの 何らかの方法で攻撃者のサーバにファイル|記録と突き合わせて一致しないものを洗い Nが送信され,攻撃者がSサービスにアッ|出す。 プロードした。 想定4|従業員が,UBメモリにファイルNを書き|図7に示す調査計画に従って各PCを調査す 込み,社外に持ち出してからSサービスに|る。 アップロードした。 —23_ ァイルの書込み記録を洗い出す。 記録なし 記録を洗い出す。を洗い出す。 記録なし記録あり 注記詳細調査及び詳細調査8は,想定4が実際に起きたかどうかを確認するための調査で あり,PC内のファイルの調査及びログの突合せを行うものである。 図7想定4の調査計画 P社が調査を進めた結果,想定1一3の可能性は低いことが分かったので,想定4に ついて調査を進めた。 調査の中間報告のために,U氏がK社を訪問した。W主任はU Ric,図7で“詳細 調査5に進む"と判定されるのは,従業員がどのような操作をして,どのようなファ イルをUSBメモリに書き込んだ場合が考えられるか聞いた。U氏は,従業員がファイ ルを書き込む際に,という操作をして,ファイルNと同じ内容が含まれ るものの,及び| m|が異なるファイルへと変換した場合が考え られると答えた。 [原因の特定〕 図7に基づく調査では,従業員のJさんが使用しているPCだけが詳細調査Aに進 み,そのほかのPCは全て可能性は低いとの結果になった。P社から報告を受けたIRT では,Jさんに聞き取り調査を行った結果,公開可能な価格表ファイルを持ち出すた めに,個人所有のUSBメモリにファイルをコピーした時に,誤ってファイルNもコピ ーしてしまい,その後USBメモリを紛失していたことが分かった。 IRTでは,紛失したUSBメモリを手に入れた何者かが,ファイルNを含む幾つかの 価格表を$サービスにアップロードしたと推測した。今回のインシデントはこれ以上 被害が拡大することはないと考え,インシデント対応は完了とした。体制不足もあ り,取引先からの連絡から,インシデント対応完了までに12日間掛かった。 ー24一 [再発防止 M課長は,ファイル持出しに起因する同様のインシデントの再発を防止するために は,個人所有の外部記憶媒体の使用制限を含めた対策が必要であると考え,必要な 規程を策定するようにW主任に指示した。W主任は,規程案を図86のとおりにまとめ M課長に提出した。 [業務で使用するUSBメモリの指定] ・業務で使用する外部記憶媒体は,情報システム課が調達するUSBメモリに限定する。調達し たUSBメモリのUSB-IDは情報システム課が管理する。 ・USBメモリは,必要時に情報システム課から借用し,利用終了後速やかに返却する。 [秘密ファイルの指定] ・秘密情報に該当するファイルは,ファイル名の先頭に“(ABB)”又は“(CONFIDENTIAL)” の文字列を付加する。 [秘密ファイルの持出し] ・秘密ファイルを社外に持ち出す場合は,暗号化した上で,情報システム課から借用したUSB メモリに保存し,各部門で用意した秘密ファイル持出台帳に記録する。 ・暗号化には,表計算ソフトなどの暗号化機能,又はAESを使用したファイル暗号化ツールを 利用する。パスワードは十分な長さの推測困難なものを設定する。 ・秘密ファイル持出台帳は,電子ファイルとしてファイルサーバに保管する。 図8規程案(抜粋) M課長は,この規程案を承認するとともに,情報システム課が管理するUSB-IDをP 社に伝え,この規程に違反する持出しを製品Cで検知するように『P社に依頼した。P 社は,違反する持出し操作のうち製品Cで検知可能な操作について⑤新たな検知ルー ルを作成して,製品Cに登録した。一方,製品Cで検知できない操作については,別 の対策を提案した。 [事後評価] インシデント対応について,P社とK社が合同で見直しを実施した。この見直しの 結果を受けて,M課長は幾つかの修正をW主任に指示した。W主任は修正案を表7の とおりまとめた。 表7インシデント対応についての修正案(抜粋) a Fs= 窓口を見直す。 7[ences Sa 3インシデント対応の開始を早めるため|通報の受付時には,IRTメンバー全員の集合 を見直す。 5にめに.レベ で対応を開始するかどうかを決定する。 M課長は,これらの案を承認し,後日正式な規程とした。