正しく恐れるクラウドのセキュリティ
•Transferir como PPTX, PDF•
2 gostaram•14,333 visualizações
cybozu.com conference 2015 講演資料
Recomendados
Mais conteúdo relacionado
Mais procurados
Mais procurados (20)
Semelhante a 正しく恐れるクラウドのセキュリティ
Semelhante a 正しく恐れるクラウドのセキュリティ (20)
正しく恐れるクラウドのセキュリティ
- 2. 自己紹介 ▌サイボウズでの経歴 2005年 ガルーン２開発責任者 2006年 開発本部長 2008年 最高技術責任者 2010年 cybozu.com 開発責任者 2014年 運用本部長（現任） ▌運用本部 社内の情報システムを管理する情報システム部と、 自社クラウドサービスを管理するサービス運用部からなる組織
- 4. 近年の セキュリティ事件
- 5. アカウント乗っ取り事件の多発 ▌Line, Twitter, Facebook 等々のア カウント乗っ取りが多発 ▌複数のサービスで共通のパスワードを 使っているユーザーが狙われる 「Stop! パスワード使いまわし」 https://www.jpcert.or.jp/pr/2014/pr140004.html ▌対策として、各社で二要素認証の実 装が進んだ 出典：http://matome.naver.jp/odai/2140265486676813001
- 6. サービスデスクにソーシャルエンジニアリング ▌2012年8月 ▌Apple と Amazon に電話をか けてアカウント乗っ取りに必要な情 報を入手 ▌サービスデスクの管理システムに 目をつけたもの 出典：http://fladdict.net/blog/2012/08/icloud-hack.html
- 9. SSL/TLS への相次ぐ攻撃 ▌2011年9月 BEAST攻撃 ▌2012年9月 CRIME攻撃 ▌2014年9月 POODLE攻撃 (SSLv3 廃止) ▌2015年2月 RC4利用禁止 (RFC7465) ▌2015年10月 SHA-1 Freestart Collision ▌… ▌SSL/TLS を常に最新のものに アップデートする体制が必要 出典：https://googleonlinesecurity.blogspot.jp/2014/10/this-poodle-bites-exploiting-ssl-30.html
- 10. 基盤ソフトウェアの脆弱性 ▌2014年4月 Struts 任意コード実行 ▌2014年4月 OpenSSL ▌2014年9月 Bash ShellShock ▌ゼロデイが相次いだ 脆弱性の改修方法が明確で ない状態で攻撃される状況 ▌Heartbleed は対策が遅れた 企業で情報流出の被害 公表が 4月7日 攻撃が 4月11日 ▌対応できないサイトの一時閉鎖 というケースもあった 出典：http://heartbleed.com/
- 11. ascii.jp への DDoS 攻撃 ▌2015年10月 ▌Anonymous による DDoS ▌６日以上の期間アクセス不能 ▌ASCII が狙われた理由が不明 出典：http://japanese.engadget.com/2015/10/22/ascii-jp-ddos-anonymous-it-ascii-jp/ 出典：http://it.srad.jp/comments.pl?sid=670583&cid=2907221
- 12. 脅威はどこにあるか
- 13. cybozu.com リスクマップ サービスデスク クラウド オペレーター サイボウズ株式会社 インターネット cybozu.com データセンター 専用線網 お客様 ソーシャルエンジニアリング 盗聴 ウィルスメール DDoS 内部犯行 盗聴 窃盗 ゼロデイ
- 15. 対策の基本方針
- 16. 原則 ▌インシデントは必ず発生する ゼロデイ攻撃や DDoS の完全防御は困難 ▌インシデント対策の目的は、被害の最小化 発生の予防、頻度の低下 発生時の早期検出、被害最小化 ▌リスクは変動する SHA-1 の危殆化等、外部環境の変化でリスクも変わる 常に情報を収集し、対策し続ける体制が必要
- 17. 方針 ▌インシデントの発生を前提に備える CSIRT (Computer Security Incident Response Team) 侵入検知・防止システムや全操作履歴の保管 ▌システムにアクセスできる人と権限を最小化する 多くの人がかかわるほど脆弱になる プログラムにも必要以上の権限を与えない ▌常に情報を収集し、対策を更新する 新たな攻撃手法やゼロデイ脆弱性を日々監視 自社だけでなく、他社や善意の第三者と協力して対応
- 20. 具体的な対策
- 24. 物理：ストレージ暗号化 ▌HDDには暗号化したデータを保存 aes-xts-plain64 + 512bit 鍵 ▌サーバーやHDDを盗んでも、データの解読は不可能 ▌ストレージ暗号化は順次展開中 2017年中には完了を予定 それまではHDDを物理破壊して廃棄
- 26. ネットワーク：SSL/TLS ▌Qualys SSL Labs A+ (最高評価) ▌最新のSSL/TLS技術を追求 HTTP Strict Transport Security (HSTS) Perfect Forward Secrecy (PFS) SHA-2 証明書 … 出典：https://www.ssllabs.com/
- 28. ネットワーク：DDoS 防御 ▌完全な DDoS 対策は困難 目をつけられないようにするのが一番という噂も… ▌バックボーン業者と連携して DDoS 防御機構を用意 一定の効果を期待
- 29. ネットワーク：ファイアウォール/WAF ▌通常のファイアウォールに加え、 HTTPトラフィックをモニタして攻撃をブロック可能 （Web Application Firewall / WAF） ▌自社製 L7 ロードバランサーにてルール追加 ▌Struts の脆弱性対応時に活用
- 30. ソフトウェア：緊急更新 ▌毎日脆弱性・ゼロデイ情報を確認 JPCERT/CC 等数多くの情報ソースを参照 ▌緊急性の高い脆弱性の場合、即座にシステムを更新 ベンダのパッチが間に合わない場合、 独自にパッチを展開する体制を整備 アプライアンスサーバー等のブラックボックスはほとんどない ▌実績 OpenSSL Heartbleed は認知から２時間半で対応完了 Struts も認知から２時間半で前述の暫定対応 その後も新たな攻撃パターンがでるたびに即時更新
- 33. ソフトウェア：外部 JavaScript の禁止 ▌外部 JavaScript の埋め込みは本質的に危険 代表例：Google Analytics 悪用されると、データを不正に操作可能 ▌インターネット接続の規制が厳しい会社ではブロックされる 製品が依存していると不具合になる 同様の理由で CDN も使いずらい ▌ログインが必要なWebサイトでは一切埋め込みを禁止
- 34. 人：内部犯行の特徴 ▌内部不正者のタイプ ▌期待できる対策への回答 タイプ 割合 一般従業員 85% 財務・会計スタッフ 22% 経営幹部・上級管理職 11% ヘルプデスク 4% システム管理者 3% ソフトウェア開発者 2% 不明・その他 2% 出典：IPA 「組織内部者の不正行為によるインシデント調査」報告書 対策 割合 操作の証拠が残る 54.2% アクセスが監視される 37.5% 同僚が処罰されたことがある 36.2% IDやパスワードの厳格管理 31.6% 罰則規定の強化 31.4% 管理者以外の操作が不能 29.2% … …
- 38. 監査：ISMS 認証 ▌ISMS (ISO/IEC 27001:2013) 認証を取得 ▌毎年、認証機関の監査あり 出典：http://www.isms.jipdec.or.jp/lst/ind/CR_IS_x0020_577142.html
- 39. 監査：情報公開 ▌詳細な情報を Web で公開 https://www.cybozu.com/jp/productsecurity/ ▌コンテンツ 脆弱性情報 セキュリティチェックシート 第三者監査結果
- 40. お客様に お勧めする対策
- 42. 製品機能：ストアでできる設定
- 45. 製品機能：監査ログ ▌重要レベルのログをメール送信 アカウントロックアウト等にいち 早く気づける ▌ログが多い場合、書き出し形式を XLSX から CSV (UTF-8)に Excel で開けないので…
- 46. まとめ
- 49. 質疑応答
Notas do Editor
- サイボウズで運用本部長を務めている山本と申します。 本日は「正しく恐れるクラウドのセキュリティ」と題して、cybozu.comなどのクラウドシステムを安全に運用する方法を解説いたします。
- まず初めに自己紹介から。 サイボウズでは１０年以上働いております。開発者とマネージャーの両方を務めてきましたが、 昨年からは運用本部長に就いています。こちらはいわゆる情シスと、自社クラウドサービスの運用とを任されています。 私は情シス部長も兼務しておりますので、クラウドサービスの提供側と利用者側の両面でセキュリティ対策をしています。
- 今日お話しする内容はこちらです。 まず、近年のセキュリティ事件についていくつか事例をご紹介します。 次に、cybozu.comのシステムのどこにリスクがあるかを分析し、 セキュリティ対策の原則と基本方針を解説します。 その後、具体的な対策を紹介したあと、お客様に気を付けていただきたいこともお話しします。 最後に時間があれば、質疑応答も受け付けたいと思います。
- では、近年のセキュリティ事件を振り返ってみましょう。
- まずは日々頻発しているアカウントの乗っ取りが挙げられます。 ・手口としては複数のサービスで。。。 ・去年は JPCERTにて Stop ...キャンペーンも実施されていました。 ・対策として... のですが、二要素認証を有効にしなければ効果はないので、安全に使うには必ず有効にしましょう。 サイボウズでも業務利用するクラウドサービスでは二要素認証を利用するルールになっています。
- 次に紹介するのは、Appleと Amazonに電話をかけて、Gmailのアカウントを乗っ取り、 最終的には T witter のアカウントを乗っ取った手口です。サービスデスクの本人確認 が簡素なのをついたソーシャルエンジニアリングという手法ですね。 サービスデスクというのは多少のシステム権限を持つものなので、こういう攻撃にも 注意が必要ということです。
- 次は 2013年に発生したエドワード・スノーデン事件です。 世界的な大事件でしたが、アメリカの政府機関である NSA職員による内部犯行で 大量の機密データが流出したものです。 政府機関といえど、内部犯行の抑止は難しいことを示したと。 また、NSAが Googleのデータセンター間の専用線を盗聴していることも 明らかになったりしました。
- お次は日本の、年金機構からの個人情報流出事件です。 こちらは外部からのウィルス付きメールを開封して、対応が遅れるまに被害が拡大したものです。 今はメールも感染源としては、ポピュラーな手段になっていますね。
- 次は SSL/TLSというプロトコルへの攻撃です。SSLというのは、インターネットの通信を安全にする 仕組みですが、これが破れると通信内容が盗聴されたりします。 2011年9月のBEAST攻撃や、2014年9月のPOODLE攻撃など、次々と新たな攻撃が 考え出されてきました。そのたびにブラウザやWebサーバーを更新して対策してくる 必要があったわけです。
- 広く使われているオープンソースソフトウェアの脆弱性も攻撃に利用されています。 2014年にはJavaのミドルウェアのStrutsや SSL実装のOpenSSL、あるいはBash といったソフトウェアに重大な脆弱性がみつかっています。これらは改修方法が広まる前に 攻撃が開始される、いわゆるゼロデイという状況が相次ぎました。 ゼロデイには一刻も早い対応が必要になるわけですが、OpenSSL の Hearbleed 脆弱性 の際は、速やかに対応できなかった一部の企業で情報漏えいの被害が出ました。 ・４日間対策できなかったら被害を受けたと ・対策ができない場合、サイトを一時閉鎖するところもありました
- 最後の事例ですが、これはつい先日、ascii.jpというサイトが DDoS攻撃というのを 受けて６日間つながらなくなっています。その後毎日新聞や東京オリンピックのサイトも 同じ攻撃を受けています。 DDoSというのは、世界中のコンピューターを悪用して過剰な通信で狙った Webサイトをつながらなくするという攻撃です。性質が悪いのは、しかけるのは 中学生でもできると言われているんですが、防ぐのは大変難しいんですね。 asciiの場合、anonymousが狙ったという話がありますが、狙う動機も曖昧で、 対応は非常に難しいですね。
- さて、一通り事例を見てきましたが、クラウドサービスにはどのような脅威があるかまとめてみます。
- これは cybozu.comのシステムとその周辺を図にしたものです。 cybozu.comのデータセンターがあって、それに専用線でつながっている サイボウズのオフィスや、インターネットでつながっているお客様のオフィス があります。これを悪い人が攻撃してきます。 まず最初に、インターネットというのはオープンなネットワークですから、盗聴が容易です。 なんの対策もないと、通信が盗聴されると。また先ほど解説した DDoSで cybozu.com につながらないようにしたり、ウィルスメールをサイボウズの社員に送って侵入したり、 サービスデスクに電話をかけてだましたり、あるいは政府みたいなところですと専用線を 盗聴したり、またサーバーや廃棄したハードディスクを盗んだり、ゼロデイな脆弱性を ついて侵入したりする可能性があります。 また、サイボウズの社員の内部犯行や、あるいはお客様での内部犯行もあるかもしれません。
- これらを分析しますと、攻撃経路はこのようにいろいろあるわけです。 どの経路も攻撃される可能性はありますが、アクセスしやすい経路、まあ インターネットですね、は攻撃の種類や回数が多いといえます。
- 以上の事例や分析を踏まえまして、サイボウズではセキュリティ対策の原則と方針を定めています。
- まず原則ですが、大きく３つあります。 一つ目が「インシデントは必ず...」なぜかというと、ゼロデイやDDoS のように完全に防御するのは困難なものがあるからです。 二つ目が「...」完全に防ぐってことではなく、発生を前提に、頻度を減らしたり早期に検出したりすることで、被害を最小化すると。 ３つ目が「...」事例で紹介したように、次々と新しい攻撃がでてきます。なので情報を収集して、対策を更新し続ける必要があると。
- この原則を踏まえた対策の基本方針がこの３つとなります。 一つ目が「... 」
- この原則と方針をまとめると、こうなります。原則に対応して、方針が決まっているのが分かるかと思います。
- で、実際にセキュリティ対策を検討したり実施したりする体制はこうなっています。 まずセキュリティ委員会というのがあって、全社的なセキュリティルールを議論する場となっています。 次に、サイボウズのCSIRTなので、Cy-SIRTというのですが、Cy-SIRTという組織があります。 Cy-SIRTは対外的な窓口になっていて、 社外のセキュリティ関係機関や、研究者の人と日ごろから 情報交換しています。また、ISMSというセキュリティの 認証のために、ISMS事務局があり、定期的に 監査を受けています。これに開発本部や運用本部が加わって、 全社的なセキュリティ体制となります。
- それでは、具体的な対策をいくつか紹介していきます。
- 対策もばらばら紹介するとわかりにくいので、６つのカテゴリーにわけて紹介していきます。 まず物理対策、これは窃盗や物理的な侵入の対策ですね。 次にネットワークの盗聴などの対策、ソフトウェアの脆弱性などの対策、 内部犯行などへの対策、セキュリティがしっかりしているかの監査、 そして製品機能での対策です。
- ここまでがサイボウズの対策ですが、ここからはお客様にお勧めする対策となります。
- 最後になりますが、監査ログという機能を紹介します。
- 本当に最後になりますが、ぜひこれは覚えて帰っていただきたいということで、原則と方針について再掲します。 この原則と方針はサイボウズに限らず、広く通用する考えだと思いますので、心にとめていただければ幸いです。 以上となります。
- それでは、残りの時間でご質問あれば回答したいと思います。 ご質問ある方は挙手を願います。