日本、サイバー攻撃を受ける

6日より、サイバー攻撃を受ける

政府が運営するサイト「e―Gov（イーガブ）」がサイバー攻撃を受けた件を巡り、計4省庁23サイトと地方税のポータルサイト「eLTAX（エルタックス）」が一時閲覧できない影響が出たものの、復旧した

以前から心配していたが、予想通り、攻撃を受ける
日本はサイバー攻撃に対しては弱すぎる面が多い

今回はDDOS攻撃が中心

1.DDOS攻撃とは

サービス不能攻撃(Denial of Service)ともいう。サーバに大量の不必要な要求を送信することで,サーバやネットワークを高負荷状態にして,サーバが提供しているサービスを利用できないようにする。
DDoS(Distributed Denia1 0fService)攻撃は分散型DoS攻撃のことで,複数のマシンから一斉に攻撃して,サーバが提供しているサービスを利用できないようにする攻撃である

1.1.詳細について

ネットワークやサーバに過負荷を与える攻撃をDoS攻撃(Denlal of Service:サービス妨害攻撃)といいます。大量のパケットを送りつけて負荷を高める方法と,プロトコルの欠陥を突いてサービスを停止に追い込む方法があります。

マルウェア(主にボット)を利用して,攻撃用プログラムを拡散させ,大量の機器から同時にDoS攻撃を仕掛ける手法は,DDoS攻撃(Distributed DoS:分散型DoS攻撃)といいます。

また,システム停止によつて引き起こされる標的組織の経済的な損失を目論んで行われるDoS攻撃をEDoS(Economic DoS)攻撃といいます。
さらに,複数の種類のDoS攻撃を組み合わせた攻撃をマルチベクトル型DoS攻撃/マルチベクトル型DDoS攻撃といいます。

DoS攻撃を根本的に防ぐ方法はなく,サーバのlPアドレスを変更して攻撃の目をそらす,帯域制御の設定を細かく行う,パケットフィルタリングの設定を細かく行うなどの対症療法的な方法しかありません。

2.今回はどのような状況なのかは不明

政府関係や、JCBなどがターゲットされている

サービス不能だけではなく、何かのプログラムなどが侵入されていないか調査している状況と思われる

日本は弱すぎる、もっとセキュリティ面を強化しないと、いろいろと狙われる可能性が高い

情報セキュリティ対策：05-06

 5.６   侵入検知システム(IDS)

 5.6.1                  概要

IDSはIntrusion Detection Systemの略称で、不正侵入検知システムとも呼ばれます。

インターネットに公開するサービスでは、それに対する通信はファイアウォールでは接続許可の扱いとなるため、正常な通信と異常な通信は区別なくアクセスされることになります。

そこで、IDSを設置することで、通信を監視します。

また、もし異常があれば管理者へ通知することで、異常な通信をブロックするなどの対処をするきっかけ（トリガー）となります。

 

5.6.2.                 種類と主な機能

1.   ネットワーク型侵入検知システム(NIDS)

設置場所	·         バリアセグメントに接続 ·         DMZに接続 ·         内部セグメントに接続
検知の仕組み	·         シグネチャとのパターンマッチング ·         異常検知(アノマリ検知)
イベント検知後のアクション	·         通知・記録 ·         プログラム実行・停止 ·         ファイルやレジストリの復元（HIDSのみ） ·         セッション切断・接続制限機能 　⇒　TCPコネクションは切断可能、 UCP/ICMPには無効。 ファイアウォールと連携して、ACLを動的に変更するなど

  

2.   ホスト型侵入検知システム(HIDS)

主な検知項目

ログイン成功／失敗 特権ユーザへの昇格 システム管理者用プログラムの起動 特定ファイルへのアクセス 設定ファイルの変更 プログラムのインストール システムディレクトリに存在するファイルの書き換え／削除 Webコンテンツの改ざん

 

       「不正検出」は事前に登録されているシグネチャという検出ルールとマッチングすることで不正なアクセスを検出する方法です。

       「異常検出」はトラフィックや使用したコマンドを確認することで通常とは異なる振る舞いをした場合に異常と判断し、検出します。

ü  大量に発行されたコマンド

ü  プロトコル仕様に反したデータの流れ

ü  プロトコル支障に従っていないヘッダ情報を持つパケット

ü  異常な数の応答パケットなど

 

 5.6.3                  構成例

·         DMZと内部セグメントの監視

·         スイッチ接続(冗長化されたネットワーク環境)

·         TAP接続(TAPを利用した冗長化されたネットワーク環境)

·         LB接続(SSLアクセレータ付きLB)

 

 5.6.4                  導入上の留意点

 

 

 5.6.5                  機能上の限界および運用上の課題

1.   NIDS

◦   誤検知への対応

▪   フォールスポジティブ：不正ではない事象を不正として検知すること

▪   フォールスネガティブ：本来検知すべき事象を見逃してしまうこと。

◦   NIDSの処理能力不足によるパケットの取りこぼし

◦   アプリケーションに対する攻撃を検知できない

◦   暗号化されたパケットは解析できない（一部の高性能機種を除く）

◦   攻撃は検知できても侵入は検知できない

◦   不正アクセスを防御できない

◦   正当な権限者による内部犯罪の検知は困難

◦   ITの発展に合わせた機能拡張が必要

 

2.   HIDS

◦   あくまでOSの基本的な機能がベース

◦   1つのHIDSで監視できるのは1台のホストのみ

◦   導入によって監視対象ホストの性能や可用性に悪影響を及ぼす可能性がある

◦   攻撃の予兆を検知することは困難

◦   正当な権限者による内部犯罪の検知は困難

◦   ホスト環境でのリアルタイム検知の必要性は低い

 

 5.6.6                  拡張的な機能

·         独自シグネチャの登録機能

·         脆弱性検知による検知品質の向上

·         セッション情報の保存・分析による検知品質の向上

·         マルチインタフェースモニタリング機能

·         SSL/TLSによって暗号化されたパケットの複合

·         ハイパフォーマンス、ハイアベイラビリティ、マルチプロトコル対応など

情報セキュリティ対策：02

今回は
家に例えると、鍵をかけ忘れるという脆弱性により、空き巣など脅威が存在します。
では、情報セキュリティに対する脅威や脆弱性についての学習のポイントです。
基本書および学習などに関しては有料でお答えて致します。

情報セキュリティにおける脅威

1.脅威とは

脅威とは情報セキュリティを脅かし損失を発生させる直接の原因となるものがある。情報資産が存在すれば、そこには常に何らかの脅威が存在する。情報セキュリティにおける脅威は次のように分類できる。

脅威の種類		具体例
環境	災害	地震、落雷、風害、水害
	障害	機器の故障、ソフトウェア障害、ネットワーク障害
人間	意図的	不正アクセス、盗聴、情報の改ざん
	偶発的	操作ミス、書類や PC の紛失、物理的な事故

脅威が存在すればそれに対して対策を行うことが必要です。
ただし、企業にしてみれば費用対効果を生むものもありますが、相対的には費用が掛かります。経営的判断が求められることもあります。

1.1.例：災害への対策

    • 耐震設備・防火設備・防水設備などによって災害発生時の被害を最小限に抑える

    • 設備・回線・機器データなどのバックアップを確保しておく

    • 災害発生時の復旧作業手順を明確にして訓練を実施する

といった対策が考えられる。

また、情報システムの重要度によっては遠隔地にバックアップセンターを確保し、設備や回線、機器などの必要なリソースをホットスタンバイの状態で待機させておくことも必要になる。

しかし、一般企業がこうした設備を自社内で確保維持するのは大変であるため、必要な環境が完備された外部の IDC やクラウドサービスを活用するのが主流になっている。

2.サイバーセキュリティ情報を共有する取り組み

セキュリティで異常な検知があるものについては、情報を共有する必要があります

そのために存在します。

具体的には、IPAと各参加組織（あるいは参加組織を束ねる業界団体）間で締結した秘密保持契約（NDA）のもと、参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに集約。情報提供元に関する情報や機微情報の匿名化を行い、IPAによる分析情報を付加した上で、情報提供元の承認を得て共有可能な情報とし、参加組織間での情報共有を行っています。

サイバー情報共有イニシアティブ（J-CSIP：Initiative for Cyber Security Information sharing Partnership of Japan ）は、公的機関であるIPAを情報ハブ（集約点）の役割として、参加組織間で情報共有を行い、高度なサイバー攻撃対策に繋げていく取り組みです。

3.情報セキュリティの攻撃方法

情報セキュリティに対して攻撃や情報収集方法に対する対策を考える前に攻撃手法などを知っておく必要があります。
詳細については学習などで取得してください。
対策はインフラ系や、ネットワーク系、プログラム系など、様々です。

• ポートスキャン
• バッファオーバーフロー攻撃
• パスワードクラック
• セッションハイジャック
• DNSサーバに対する攻撃
• DoS攻撃
• Webアプリケーションに不正なスクリプトや命令を実行させる攻撃
• クロスサイトスクリプティング
• SQLインジェクション
• OSコマンドインジェクション
• HTTPヘッダインジェクション
• メールヘッダインジェクション
• ディレクトリトラバーサル攻撃
• マルウェアによる攻撃
  

情報セキュリティ対策：01

1.情報セキュリティの基本概念のまとめ

1.1.情報セキュリティとは

ISO/IEC27000ファミリー、JIS Q 27000ファミリーによると

「情報の機密性、完全性、及び可用性を維持すること」、

付加的特性として真正性、責任追跡性、否認防止、信頼性などがある。

1.2.情報セキュリティの三特性(CIA)

• 機密性(Confidentiality)
  アクセスを認められた者だけが、決められた範囲内で情報資産にアクセスできる状態を確保することです。
  
  具体的には、情報資産に対するアクセス権限をもつ者ともたない者を明確に区別し、アクセス権限をもつ者だけが許可された範囲内で使用できるように管理することを指します。
  
  
• 完全性(Integrity)
  情報資産の内容が正しく、矛盾がないように保持されていることです。完全性には、情報そのものが正しいことと、情報処理の方法が正しいことの二つを満たすことが要求されます。
  
  具体的には、データが処理される過程で、データの欠落や重複、改ざん、破壊などの異常が発生しないようにすることを指します。

• 可用性(Availability)
  アクセスを認められた者が、必要なときにはいつでも、中断することなく、情報資産にアクセスできる状態を確保すること（使用可能性）です。
  
  具体的には、システムの二重化や冗長化、構成機器のグレードアップ、重要データのバックアップ、定期保守や予防保守の実施などによって、システム障害が発生しないように管理することを指します。

1.3.情報セキュリティの付加的特性

• 真正性(authenticity)
  真正性を「ある主体または資源が、主張どおりであることを確実にする特性。真正性は、利用者、プロセス、システム、情報などのエンティティに対して適用する」と定義しています。
  
  例えば、利用者が本人であると主張したとき、その利用者が主張する身元の正しさを検証する手段を備えており、確実に本人だけを認証できることを指します。
  
  
• 責任追跡性(accountability)
  「あるエンティティの動作が、その動作から動作主のエンティティまで一意に追跡できることを確実にする特性」と定義しています。
  
  例えば、情報システムやネットワーク、データベースなどのログを体系的に取得しておき、どの利用者が、いつ、どの情報資産に、どのような操作を行ったかを追跡できるようにすることを指します。
  
  
• 否認防止(non-repudiation)
  否認防止を「ある活動又は事象が起きたことを、後になって否認されないように証明する能力」と定義しています。
  
  例えば、PKIを利用したディジタル署名やタイムスタンプを付与することによって、文書作成者が、その文書を作成した事実を後から否認できないようにすることを指します。
  
  
• 信頼性(reliability)
  信頼性を「意図した動作及び結果に一致する特性」と定義しています。
  
  例えば、ある条件下で情報システムを稼働させたとき、故障や矛盾の発生が少なく、指定された達成水準を満たしていることを指します。

1.4.情報セキュリティ対策

情報セキュリティ対策は、技術的セキュリティ、物理的セキュリティ、人的セキュリティ、組織的セキュリティの四つに分類されます。

この4つの分類でそれぞれ詳細な対策が行われます

1.5.情報セキュリティ対策の機能

セキュリティコントロール（security control）とは、組織の情報セキュリティを維持するために、組織体の内部や情報システムに組み込まれた仕組みのことです。セキュリティコントロールは、情報セキュリティ対策基準における具体的なセキュリティ対策（管理策）として具現化されます。

セキュリティコントロールの機能を大別すると、抑止、予防、検知、復旧の四つの機能に分類することができます。なお、抑止と予防を区別せず、予防、検知、復旧の三つの機能に分類する場合もあります。

•    抑止、抑制
•    予防、防止
•    検知、追跡
•    回復

•  抑止： セキュリティリスクを意図的に顕在化させようとする者に対し、そうした不正行為をけん制し、思いとどまらせること。
• 予防： 意図的であるか、偶発的であるかにかかわらず、セキュリティリスクが顕在化する原因を取り除くこと
•  検知： セキュリティリスクが顕在化していないかを監視し、顕在化したリスクを早期に検出し、通知すること
•  復旧： セキュリティリスクが顕在化した場合、発生した損害を局所化し、速やかに原状に復帰させること

1.6.情報セキュリティマネジメントの基礎

1.6.1.情報セキュリティマネジメントの概要

情報セキュリティマネジメント（Information Security Management）は、企業などの組織体において情報セキュリティ対策を計画し、それを確実に実践することで、情報セキュリティのレベルを維持・改善する一連の活動です。この情報セキュリティマネジメントを組織的に推進するための管理の仕組みを、ISMS（Information Security Management System、情報セキュリティマネジメントシステム）といいます。

1.6.2.マネジメントシステムとプロセスアプローチ

製品やサービスの品質の維持・向上を図るための活動を、検品や検査、テストといった最終プロセスだけに頼るのではなく、計画、設計、開発、製造などのプロセスごとに目的や役割を明確にし、各プロセス間の相互関係を整理し、有効に機能させることによって、製品やサービスの品質向上につなげていこうという考え方を「プロセスアプローチ（process approach）」といいます。プロセスアプローチでは、継続的な改善活動を行うことが前提となっているため、プロセスを管理するための方法としてPDCAサイクルを用いるのが一般的です。

今回の総括

情報セキュリティの基本概念の一部をまとめています。
ここから、技術的対策などにつながります。
セキュリティには法的なものや、必要とする仕組みなどがあります。
これらのことはIT技術者には必須のものになりつつあります。
基本をしっかり押さえましょう。