O slideshow foi denunciado.
Utilizamos seu perfil e dados de atividades no LinkedIn para personalizar e exibir anúncios mais relevantes. Altere suas preferências de anúncios quando desejar.
ポートスキャンから
見えてくる脆弱性
~攻撃者目線で見る本当に危険な脆弱性とは ~
2020年2月21日
コンサルティング&ソリューション技術統括部
豊島 洋子
• 名前:豊島 洋子
• 業務内容:脆弱性診断、SIEMツールの活用(クエリやスクリプト作成)
• 勉強中:AWS、Python
• SNS:
自己紹介
2
テリロジー半公式エンジニアブログ
「増加し続けるメール攻撃」
https://teri...
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
テリロジーが考える
脆弱性対策の4ステップ
5
情報収集
STEP1
現状分析
STEP2
対策
STEP3
サイバー攻撃の
現状
• 脆弱性
• マルウェア
• ソーシャル
エンジニア
リング
• 攻撃グループ
6
情報収集
STEP1
現状分析
STEP2
対策
STEP3
脆弱性の発見と優先順位付け
• ポートスキャン
• 資産の重要性
• エクスプロイトキット
の有無
• 検出されてからの期間
7
サイバー攻撃の
現状
• 脆弱性
• マルウェア
•...
情報収集
STEP1
現状分析
STEP2
対策
STEP3
対策の実施
• 脆弱性管理製品の
導入
• 管理体制の見直し
• 対策の実施
8
脆弱性の発見と優先順位付け
• ポートスキャン
• 資産の重要性
• エクスプロイトキット
の有無
...
情報収集
STEP1
現状分析
STEP2
対策
STEP3
対策の実施
• 脆弱性管理製品の
導入
• 管理体制の見直し
• 対策の実施
9
脆弱性の発見と優先順位付け
• ポートスキャン
• 資産の重要性
• エクスプロイトキット
の有無
...
本講義のスコープ
情報収集
STEP1
現状分析
STEP2
対策
STEP3
脆弱性の発見と優先順位付け
• ポートスキャン
• 資産の重要性
• エクスプロイトキット
の有無
• 検出されてからの期間
10
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
脆弱性検査の実施状況
実施していない
定期的に実施
脆弱性検査実施
(ペネトレーションテスト)の有無
その他
62%26%
半数以上が
脆弱性検査を
実施していない!
12
警察庁サイバー犯罪対策プロジェクト、2019、
「不正アクセス行為対策...
問題点①:対策費用不足
13
警察庁サイバー犯罪対策プロジェクト、2019、
「不正アクセス行為対策等の実態調査、アクセス制御機能に関する技術の研究開発の状況等に関する調査報告書」
https://www.npa.go.jp/cyber/res...
問題点②:セキュリティ人材不足
14
出典:経済産業省「IT人材の最新動向と将来推計に関する調査結果」(平成28年6月)及びみずほ情報総研「ITベンチャー等によるイノベーショ
ン促進のための人材育成・確保モデル 事業 事業報告書 第2部 今後の...
問題点③:時間不足
15
出典:経済産業省「IT人材の最新動向と将来推計に関する調査結果」(平成28年6月)及びみずほ情報総研「ITベンチャー等によるイノベーショ
ン促進のための人材育成・確保モデル 事業 事業報告書 第2部 今後のIT人材需給...
問題 点まとめ
①対策費用不足
②セキュリティ人材不足
③時間不足
16
本当に危険な脆弱性を
対策する!
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
狙われると危険な脆弱性
18
Internet
DMZ
攻撃者
1位:任意のコード実行
2位:各種攻撃
(セッションハイジャック、DDoSなど)
3位:任意のコード実行
4位:各種攻撃
インターネット経由
侵入後
任意のコード実行の脆弱性とは
19
Step1
Step2
簡単に乗っ取られてしまう脆弱性のこと
• ファイル操作
• マルウェアの配送
• アカウントの削除
• 外部への攻撃メール送信
外部から任意のコード実行可能な脆弱性の例
20
ソフトウェア CVE番号 通称
Windows
リモートデスクトップ
サービスプロトコル
CVE-2019-0708 BlueKeep
Windows
SMB1.0(SMBv1)
MS17-010...
21
対策費用、人材、時間をかけず、
リモートコード実行などの脆弱性を持つ
端末への危険な攻撃を防ぎたい!!
Q,
22
ポートスキャンを利用した
脆弱性調査を
通して対策することが有効!!
A ,
S
ポートスキャンとは
FW 社内サーバ
ポートスキャン
ツール
• TCP/UDPの0~65535番までの全ポートの調査が可能
• スキャン対象の稼働サービス、サービスのバージョン
OSの情報収集
23
OSSのポートスキャンツール
• NMAP • TCP SYNスキャン(デフォルト)
・ターゲットにログが記録されない
• TCP接続スキャン
・ターゲットにログが記録される
• UDPスキャン
・処理に時間がかかる
・難易度が高い
・悪用可能...
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
攻撃の種類
• 標的型攻撃:特定のターゲットに狙いを絞り、
システムへの不正アクセスなどサイバー攻撃を実
施する
• 無差別攻撃:ターゲットを絞らず、不特定多数
のユーザーに対しサイバー攻撃を実施する
26
攻撃方法の種類
27
攻撃の入り口 説明
ポートスキャン+脆弱性調査
ポートスキャンで判明したソフトウェア
のバージョンをもとに脆弱性を調査し攻
撃する
メール攻撃
標的型攻撃メールやビジネスメール詐欺、
フィッシングメール詐欺など
ソーシャル...
攻撃のしやすさ
28
攻撃の入り口 必要なもの、情報
ポートスキャン+脆弱性調査 攻撃対象のIPアドレス、およびネット
ワーク、脆弱性情報
メール攻撃 メールアドレス
ソーシャルエンジニアリング 公開情報、SNSのアカウントなど
サイドチャネル...
攻撃対象のIPアドレスの調査
• 標的型攻撃
• 公式Webページなどでドメインを調べ、DNSを利用
してIPアドレスを調査するツールを用いて調査
• 無差別攻撃
• 全グローバルアドレスをスキャンできるツールを用
いてスキャン
29
IPアドレスの調査例
30
• Webサイトでの検索
• Recong-ngなどの検索ツールの利用
攻撃者の動き
31
DMZ
攻撃者
攻撃例)
1. ドメインから公開されている
IPアドレスを調査
Internet
攻撃者の動き
32
DMZ
攻撃者
Internet
攻撃例)
1. ドメインから公開されている
IPアドレスを調査
2. 公開されているIPアドレスに対して、
ポートスキャン+脆弱性調査を実施
3. 攻撃
攻撃例)
1. ドメインから公開されている
IPアドレス調査
2. 公開されているIPアドレスに対して、
ポートスキャン+脆弱性調査を実施
3. 攻撃
攻撃者の動き
33
DMZ
攻撃者
Internet
攻撃対策
攻撃例)
1. ドメインから公開されている
IPアドレス調査
2. 公開されているIPアドレスに対して、
ポートスキャン+脆弱性調査を実施
3. 攻撃
攻撃者の動き
34
DMZ
攻撃者
Internet
対策 攻撃
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
攻撃者について
• アウトサイダー:
組織や集団の外部・部外者・第三者のこと
• インサイダー:
組織や集団の内部の人間のこと
36
攻撃の目的
• 政治的な批判・スキルの誇示
• 先端技術情報の搾取
• 金銭の要求
37
先端技術情報の搾取
38
参考文献:国立研究開発法人科学技術振興機構研究開発戦略センター「中国製造2025」の交付に関する国務院の通知」
https://www.jst.go.jp/crds/pdf/2015/FU/CN20150725.pdf...
金銭が目的の場合
• ランサムウェア*に感染させ
直接金銭を要求
• 企業から情報を盗みDarkWeb
などで販売
ランサムウェア*
…ファイルを暗号化するマルウェア
39
Dark Webとは
• 専用のブラウザでアクセス
• 匿名で通信が可能
• 個人情報やカード情報、
武器、マルウェア作成キット
などが売買されている
• ほとんどの取引はBitCoinや
Moneroなどの仮想通貨が利
用されている
40
D...
DarkWeb上のサイト
41
投影のみ
DarkWeb上のコンテンツの価格
42
投影のみ
サイバー犯罪による収益
43
1.5兆ドル
Bromium Inc、2018、
「HYPER-CONNECTED WEB OF PROFIT EMERGES, AS GLOBAL CYBERCRIMINAL REVENUES HIT $1.5 ...
サイバー犯罪による収益の主な内訳
44
不法/違法なオンライン市場
企業秘密やIPの盗難
データの取引
8600億ドル
5000億ドル
1600億ドル
Bromium Inc、2018、
「HYPER-CONNECTED WEB OF PROF...
サイバー犯罪による収益の主な内訳
45
不法/違法なオンライン市場
企業秘密やIPの盗難
データの取引
8600億ドル
5000億ドル
1600億ドル
サイバー犯罪は
立派なビジネス
Bromium Inc、2018、
「HYPER-CONNE...
ここまでのまとめ
攻撃者には何らかの「目的」があり、
「サイバー犯罪をビジネスにしている」
攻撃者、攻撃集団と闘わなくてはいけない
46
ここまでのまとめ
攻撃者には何らかの「目的」があり、
「サイバー犯罪をビジネスにしている」
攻撃者、攻撃集団と闘わなくてはいけない
47
ビジネスとして
成立させない!!
攻撃しにくくする!
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
サイバーキルチェーン
武装 ・マルウェア作成、Exploit準備
配送 ・ターゲットへ接続、標的型メール、フィッシング
エクスプロイト ・脆弱性を悪用、不正コードの実行
ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査
侵入拡大 ...
2つの段階
武装 ・マルウェア作成、Exploit準備
配送 ・ターゲットへ接続、標的型メール、フィッシング
エクスプロイト ・脆弱性を悪用、不正コードの実行
ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査
侵入拡大 ・権限昇格...
サイバーキルチェーン
武装 ・マルウェア作成、Exploit準備
配送 ・ターゲットへ接続、標的型メール、フィッシング
エクスプロイト ・脆弱性を悪用、不正コードの実行
ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査
侵入拡大 ...
フェーズですること
1. 事前調査・・・組織情報、周辺情報など
2. ターゲット特定・・・資産、重要データの有無
3. 稼働サービス確認(ポートスキャンツール)
4. 脆弱性の調査 入り口探し
調査
52
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
Step5. エクスプロイト
53
攻撃デモ動画
54
攻撃ステップ
Step1. 事前調査・ターゲット特定
55
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
56
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
57
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
58
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
Step5. エクスプロイト
59
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
Step5. エクスプロイト
ポート
スキャン
60
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
Step5. エクスプロイト
ポート
スキャン
61
脆弱性調査
攻撃ステップ
Step1. 事前調査・ターゲット特定
Step2. 開放ポートとシステム調査
Step3. システムのバージョン調査
Step4. 脆弱性の確認
Step5. エクスプロイト
ポート
スキャン
62
脆弱性調査
攻撃
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
脆弱性対策の基準
脆弱性発見数
脆弱性優先順位付け
64
脆弱性対策の基準
脆弱性発見数
脆弱性優先順位付け
65
Openポートの発見
66
ポ
ー
ト
ス
キ
ャ
ン
で
発
見
し
た
open
ポ
ー
ト
攻撃 対策
Nmapでの調査結果は
攻撃者と同じ
脆弱性の発見
67
攻撃者 対策≦
ポ
ー
ト
ス
キ
ャ
ン
で
発
見
し
た
open
ポ
ー
ト
発
見
し
た
脆
弱
性
数
脆弱性の発見
68
攻撃者 対策≦
ポ
ー
ト
ス
キ
ャ
ン
で
発
見
し
た
open
ポ
ー
ト
発
見
し
た
脆
弱
性
数
脆弱性対策の基準
脆弱性発見数
脆弱性優先順位付け
69
優先順位付けの基準
• CVSSによる評価
• CVSSの各評価が考慮されているとより正確に脆弱性の
優先順位付けが可能!
• 脆弱性が発見されてからの期間
• 期間が長いほど、攻撃モジュールが増えてしまいより脆弱に!
• 攻撃モジュールの有無...
まとめ
71
• 攻撃者にとって攻撃はビジネス
• 攻撃の超初期段階で実施する、
ポート
スキャン
脆弱性調査 攻撃
まとめ
72
• 攻撃者にとって攻撃はビジネス
• 攻撃の超初期段階で実施する、
として実施することで多くの脆弱性を発見し、
適切な優先順位を付けて対策し、攻撃の投資利益率を下げる
ことで攻撃対象にならないようにすることが重要
ポート
スキャン...
1. 本セッションの位置づけ
2. 脆弱性検査の実施状況
3. 本当に危険な脆弱性とは
4. 攻撃方法について
• 攻撃の種類と攻撃方法
• 攻撃者の目的と人物像
• 攻撃段階と利用ツール
5. 対策方法について
• 対策基準
• サービス紹介...
ポートスキャンサービスのご紹介
74
ポートスキャンサービスとは?
当社脆弱性診断
システム
お客様環境
脆弱性
スキャンスキャン情報
脆弱性
スキャン
対象サーバ群
当社提供範囲
お客様ご担当者当社オペレータ
Internet
診断レポートご提供
診断結果ご報告
グローバルIPア...
スキャンツールのご紹介
76
 セキュリティベンダー大手、Rapid7社のInsightVM
を利用
WebApp
スキャンツール
セキュリティ
運用自動化
ペネトレーション
テストツール
SIEMツール
Rapid7社のご紹介
攻撃者や攻撃ツール(Metasploitなど)がターゲットとして
いるリスクの高い脆弱性情報を活用
77
ネットワークを対象にした脆弱性調査
世界中にハニーポットを仕掛けた攻撃者の調査
Metasploit コミュニティ...
脆弱性カテゴリ例
78
2018年2月15日時点(ver 6.5.5)
Active Directory Canonical Dnsmasq HTTP
Adobe CentOS Docker HTTP Response Splitting
Ad...
優先順位付けの基準
79
• 脆弱性のリスクスコアの計算方法
CVSSの各評価
攻撃モジュール
の有無
脆弱性が発見されて
からの期間
 攻撃者も使用するMetasploitの攻撃モジュールの有無も確認
 資産の重要度も加味したスコアリング...
サービスの利用用途
• 脆弱性対策はこれから・・・
?スキャンツール
優先的に対策すべき課題が明確に!!
80
サービスの利用用途
• 対策製品導入済み
スキャンツール
Before… After
外部から攻撃されるようなところはないか、再確認
81
サンプルレポート
82
ご清聴ありがとうございました。
83
Terminou este documento.
Próximos SlideShares
What to Upload to SlideShare
Avançar
Próximos SlideShares
What to Upload to SlideShare
Avançar

Compartilhar

ポートスキャンから見えてくる脆弱性 ~攻撃者目線で見る本当に危険な脆弱性とは~

攻撃者の攻撃方法から有効なセキュリティ対策についての講演資料です。攻撃者の攻撃方法を見直し、攻撃者の視点で脆弱性を確認することで、より、効果的な脆弱性調査が実施できます。

ポートスキャンから見えてくる脆弱性 ~攻撃者目線で見る本当に危険な脆弱性とは~

  1. 1. ポートスキャンから 見えてくる脆弱性 ~攻撃者目線で見る本当に危険な脆弱性とは ~ 2020年2月21日 コンサルティング&ソリューション技術統括部 豊島 洋子
  2. 2. • 名前:豊島 洋子 • 業務内容:脆弱性診断、SIEMツールの活用(クエリやスクリプト作成) • 勉強中:AWS、Python • SNS: 自己紹介 2 テリロジー半公式エンジニアブログ 「増加し続けるメール攻撃」 https://terilogy-tech.hatenablog.com/entry/2019/12/03/115341 SlideShare 「もう一度、標的型攻撃について」 https://www.slideshare.net/Terilogy-CnSTech/ss-120429521 「ホワイトハッカー養成講座①」 https://www.slideshare.net/Terilogy-CnSTech/ss-173261751 「ホワイトハッカー養成講座②」 https://www.slideshare.net/Terilogy-CnSTech/ss-173241725 技術統括部Twitter @TeriCnSTechJP
  3. 3. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 3 Agenda
  4. 4. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 4
  5. 5. テリロジーが考える 脆弱性対策の4ステップ 5
  6. 6. 情報収集 STEP1 現状分析 STEP2 対策 STEP3 サイバー攻撃の 現状 • 脆弱性 • マルウェア • ソーシャル エンジニア リング • 攻撃グループ 6
  7. 7. 情報収集 STEP1 現状分析 STEP2 対策 STEP3 脆弱性の発見と優先順位付け • ポートスキャン • 資産の重要性 • エクスプロイトキット の有無 • 検出されてからの期間 7 サイバー攻撃の 現状 • 脆弱性 • マルウェア • ソーシャル エンジニア リング • 攻撃グループ
  8. 8. 情報収集 STEP1 現状分析 STEP2 対策 STEP3 対策の実施 • 脆弱性管理製品の 導入 • 管理体制の見直し • 対策の実施 8 脆弱性の発見と優先順位付け • ポートスキャン • 資産の重要性 • エクスプロイトキット の有無 • 検出されてからの期間 サイバー攻撃の 現状 • 脆弱性 • マルウェア • ソーシャル エンジニア リング • 攻撃グループ
  9. 9. 情報収集 STEP1 現状分析 STEP2 対策 STEP3 対策の実施 • 脆弱性管理製品の 導入 • 管理体制の見直し • 対策の実施 9 脆弱性の発見と優先順位付け • ポートスキャン • 資産の重要性 • エクスプロイトキット の有無 • 検出されてからの期間 サイバー攻撃の 現状 • 脆弱性 • マルウェア • ソーシャル エンジニア リング • 攻撃グループ STEP4 確認 STEP1~3を 定期的・自動的 に実施
  10. 10. 本講義のスコープ 情報収集 STEP1 現状分析 STEP2 対策 STEP3 脆弱性の発見と優先順位付け • ポートスキャン • 資産の重要性 • エクスプロイトキット の有無 • 検出されてからの期間 10
  11. 11. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 11
  12. 12. 脆弱性検査の実施状況 実施していない 定期的に実施 脆弱性検査実施 (ペネトレーションテスト)の有無 その他 62%26% 半数以上が 脆弱性検査を 実施していない! 12 警察庁サイバー犯罪対策プロジェクト、2019、 「不正アクセス行為対策等の実態調査、アクセス制御機能に関する技術の研究開発の状況等に関する調査報告書」 https://www.npa.go.jp/cyber/research/h30/h30countermeasures.pdf(2020年1月31日アクセス)をもとに作成 脆弱性検査を 妨げている問題は?
  13. 13. 問題点①:対策費用不足 13 警察庁サイバー犯罪対策プロジェクト、2019、 「不正アクセス行為対策等の実態調査、アクセス制御機能に関する技術の研究開発の状況等に関する調査報告書」 https://www.npa.go.jp/cyber/research/h30/h30countermeasures.pdf(2020年1月31日アクセス)
  14. 14. 問題点②:セキュリティ人材不足 14 出典:経済産業省「IT人材の最新動向と将来推計に関する調査結果」(平成28年6月)及びみずほ情報総研「ITベンチャー等によるイノベーショ ン促進のための人材育成・確保モデル 事業 事業報告書 第2部 今後のIT人材需給推計モデル構築等 編」(平成28年3月)をもとに総務省作成 http://www.meti.go.jp/policy/it_policy/jinzai/27FY/ITjinzai_report_summary.pdf http://www.meti.go.jp/policy/it_policy/jinzai/27FY/ITjinzai_fullreport.pdf 出典:総務省「我が国のサイバーセキュリティ人材の現状について」、2019、 https://www.soumu.go.jp/main_content/000591470.pdf (2020年1月31日アクセス)
  15. 15. 問題点③:時間不足 15 出典:経済産業省「IT人材の最新動向と将来推計に関する調査結果」(平成28年6月)及びみずほ情報総研「ITベンチャー等によるイノベーショ ン促進のための人材育成・確保モデル 事業 事業報告書 第2部 今後のIT人材需給推計モデル構築等 編」(平成28年3月)をもとに総務省作成 http://www.meti.go.jp/policy/it_policy/jinzai/27FY/ITjinzai_report_summary.pdf http://www.meti.go.jp/policy/it_policy/jinzai/27FY/ITjinzai_fullreport.pdf 出典:総務省「我が国のサイバーセキュリティ人材の現状について」、2019、 https://www.soumu.go.jp/main_content/000591470.pdf (2020年1月31日アクセス)
  16. 16. 問題 点まとめ ①対策費用不足 ②セキュリティ人材不足 ③時間不足 16 本当に危険な脆弱性を 対策する!
  17. 17. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 17
  18. 18. 狙われると危険な脆弱性 18 Internet DMZ 攻撃者 1位:任意のコード実行 2位:各種攻撃 (セッションハイジャック、DDoSなど) 3位:任意のコード実行 4位:各種攻撃 インターネット経由 侵入後
  19. 19. 任意のコード実行の脆弱性とは 19 Step1 Step2 簡単に乗っ取られてしまう脆弱性のこと • ファイル操作 • マルウェアの配送 • アカウントの削除 • 外部への攻撃メール送信
  20. 20. 外部から任意のコード実行可能な脆弱性の例 20 ソフトウェア CVE番号 通称 Windows リモートデスクトップ サービスプロトコル CVE-2019-0708 BlueKeep Windows SMB1.0(SMBv1) MS17-010 EternalBlue Apache Struts2 cve-2016-3082 cve-2017-5638 cve-2016-0785 なし
  21. 21. 21 対策費用、人材、時間をかけず、 リモートコード実行などの脆弱性を持つ 端末への危険な攻撃を防ぎたい!! Q,
  22. 22. 22 ポートスキャンを利用した 脆弱性調査を 通して対策することが有効!! A , S
  23. 23. ポートスキャンとは FW 社内サーバ ポートスキャン ツール • TCP/UDPの0~65535番までの全ポートの調査が可能 • スキャン対象の稼働サービス、サービスのバージョン OSの情報収集 23
  24. 24. OSSのポートスキャンツール • NMAP • TCP SYNスキャン(デフォルト) ・ターゲットにログが記録されない • TCP接続スキャン ・ターゲットにログが記録される • UDPスキャン ・処理に時間がかかる ・難易度が高い ・悪用可能なサービスも多い 24
  25. 25. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 25
  26. 26. 攻撃の種類 • 標的型攻撃:特定のターゲットに狙いを絞り、 システムへの不正アクセスなどサイバー攻撃を実 施する • 無差別攻撃:ターゲットを絞らず、不特定多数 のユーザーに対しサイバー攻撃を実施する 26
  27. 27. 攻撃方法の種類 27 攻撃の入り口 説明 ポートスキャン+脆弱性調査 ポートスキャンで判明したソフトウェア のバージョンをもとに脆弱性を調査し攻 撃する メール攻撃 標的型攻撃メールやビジネスメール詐欺、 フィッシングメール詐欺など ソーシャルエンジニアリング ターゲットと直接連絡を取り合い、情報 を聞き出す サイドチャネル攻撃 暗号処理の機械の物理的な特性を外部か ら観察、測定することで情報を取得 製造工程での攻撃 ハードウェアの製造工程でマルウェアに 感染させる
  28. 28. 攻撃のしやすさ 28 攻撃の入り口 必要なもの、情報 ポートスキャン+脆弱性調査 攻撃対象のIPアドレス、およびネット ワーク、脆弱性情報 メール攻撃 メールアドレス ソーシャルエンジニアリング 公開情報、SNSのアカウントなど サイドチャネル攻撃 電磁波や音声などの解析機器 製造工程での攻撃 製造場所、製造工程など 間接 直接
  29. 29. 攻撃対象のIPアドレスの調査 • 標的型攻撃 • 公式Webページなどでドメインを調べ、DNSを利用 してIPアドレスを調査するツールを用いて調査 • 無差別攻撃 • 全グローバルアドレスをスキャンできるツールを用 いてスキャン 29
  30. 30. IPアドレスの調査例 30 • Webサイトでの検索 • Recong-ngなどの検索ツールの利用
  31. 31. 攻撃者の動き 31 DMZ 攻撃者 攻撃例) 1. ドメインから公開されている IPアドレスを調査 Internet
  32. 32. 攻撃者の動き 32 DMZ 攻撃者 Internet 攻撃例) 1. ドメインから公開されている IPアドレスを調査 2. 公開されているIPアドレスに対して、 ポートスキャン+脆弱性調査を実施 3. 攻撃
  33. 33. 攻撃例) 1. ドメインから公開されている IPアドレス調査 2. 公開されているIPアドレスに対して、 ポートスキャン+脆弱性調査を実施 3. 攻撃 攻撃者の動き 33 DMZ 攻撃者 Internet 攻撃対策
  34. 34. 攻撃例) 1. ドメインから公開されている IPアドレス調査 2. 公開されているIPアドレスに対して、 ポートスキャン+脆弱性調査を実施 3. 攻撃 攻撃者の動き 34 DMZ 攻撃者 Internet 対策 攻撃
  35. 35. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 35
  36. 36. 攻撃者について • アウトサイダー: 組織や集団の外部・部外者・第三者のこと • インサイダー: 組織や集団の内部の人間のこと 36
  37. 37. 攻撃の目的 • 政治的な批判・スキルの誇示 • 先端技術情報の搾取 • 金銭の要求 37
  38. 38. 先端技術情報の搾取 38 参考文献:国立研究開発法人科学技術振興機構研究開発戦略センター「中国製造2025」の交付に関する国務院の通知」 https://www.jst.go.jp/crds/pdf/2015/FU/CN20150725.pdf(2020/2/17アクセス)をもとに作成 ① 次世代情報通信技術 ② 先端デジタル制御工作機械とロボット ③ 航空・宇宙設備 ④ 海洋建設機械・ハイテク船舶 ⑤ 先進軌道交通設備 ⑥ 省エネ・新エネルギー自動車 ⑦ 電力設備 ⑧ 農薬用機械設備 ⑨ 新材料 ⑩ バイオ医薬・高性能医療器械
  39. 39. 金銭が目的の場合 • ランサムウェア*に感染させ 直接金銭を要求 • 企業から情報を盗みDarkWeb などで販売 ランサムウェア* …ファイルを暗号化するマルウェア 39
  40. 40. Dark Webとは • 専用のブラウザでアクセス • 匿名で通信が可能 • 個人情報やカード情報、 武器、マルウェア作成キット などが売買されている • ほとんどの取引はBitCoinや Moneroなどの仮想通貨が利 用されている 40 DarkWeb DeepWeb SurfaceWeb Tor Silkload Heros Government Records Financial Records
  41. 41. DarkWeb上のサイト 41 投影のみ
  42. 42. DarkWeb上のコンテンツの価格 42 投影のみ
  43. 43. サイバー犯罪による収益 43 1.5兆ドル Bromium Inc、2018、 「HYPER-CONNECTED WEB OF PROFIT EMERGES, AS GLOBAL CYBERCRIMINAL REVENUES HIT $1.5 TRILLION ANNUALLY」 https://www.bromium.com/press-release/hyper-connected-web-of-profit-emerges-as-global-cybercriminal-revenues-hit-1-5-trillion-annually/ (2020年2月11日アクセス)
  44. 44. サイバー犯罪による収益の主な内訳 44 不法/違法なオンライン市場 企業秘密やIPの盗難 データの取引 8600億ドル 5000億ドル 1600億ドル Bromium Inc、2018、 「HYPER-CONNECTED WEB OF PROFIT EMERGES, AS GLOBAL CYBERCRIMINAL REVENUES HIT $1.5 TRILLION ANNUALLY」 https://www.bromium.com/press-release/hyper-connected-web-of-profit-emerges-as-global-cybercriminal-revenues-hit-1-5-trillion-annually/ (2020年2月11日アクセス)
  45. 45. サイバー犯罪による収益の主な内訳 45 不法/違法なオンライン市場 企業秘密やIPの盗難 データの取引 8600億ドル 5000億ドル 1600億ドル サイバー犯罪は 立派なビジネス Bromium Inc、2018、 「HYPER-CONNECTED WEB OF PROFIT EMERGES, AS GLOBAL CYBERCRIMINAL REVENUES HIT $1.5 TRILLION ANNUALLY」 https://www.bromium.com/press-release/hyper-connected-web-of-profit-emerges-as-global-cybercriminal-revenues-hit-1-5-trillion-annually/ (2020年2月11日アクセス)
  46. 46. ここまでのまとめ 攻撃者には何らかの「目的」があり、 「サイバー犯罪をビジネスにしている」 攻撃者、攻撃集団と闘わなくてはいけない 46
  47. 47. ここまでのまとめ 攻撃者には何らかの「目的」があり、 「サイバー犯罪をビジネスにしている」 攻撃者、攻撃集団と闘わなくてはいけない 47 ビジネスとして 成立させない!! 攻撃しにくくする!
  48. 48. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 48
  49. 49. サイバーキルチェーン 武装 ・マルウェア作成、Exploit準備 配送 ・ターゲットへ接続、標的型メール、フィッシング エクスプロイト ・脆弱性を悪用、不正コードの実行 ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査 侵入拡大 ・権限昇格、内部感染拡大 目的遂行 ・情報窃取、システム破壊、事後処理 サ イ バ ー キ ル チ ェ ー ン 偵察 ・事前調査、ターゲット特定、稼働サービス確認、 脆弱性の調査 プロセス 具体的な活動 49
  50. 50. 2つの段階 武装 ・マルウェア作成、Exploit準備 配送 ・ターゲットへ接続、標的型メール、フィッシング エクスプロイト ・脆弱性を悪用、不正コードの実行 ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査 侵入拡大 ・権限昇格、内部感染拡大 目的遂行 ・情報窃取、システム破壊、事後処理 サ イ バ ー キ ル チ ェ ー ン 偵察 ・事前調査、ターゲット特定、稼働サービス確認、 脆弱性の調査 プロセス 具体的な活動 50 攻撃 調査
  51. 51. サイバーキルチェーン 武装 ・マルウェア作成、Exploit準備 配送 ・ターゲットへ接続、標的型メール、フィッシング エクスプロイト ・脆弱性を悪用、不正コードの実行 ベース構築 ・バックドア導入、C&Cとの外部通信、侵入環境調査 侵入拡大 ・権限昇格、内部感染拡大 目的遂行 ・情報窃取、システム破壊、事後処理 サ イ バ ー キ ル チ ェ ー ン 偵察 ・事前調査、ターゲット特定、稼働サービス確認、 脆弱性の調査 プロセス 具体的な活動 51 調査 キリトリ
  52. 52. フェーズですること 1. 事前調査・・・組織情報、周辺情報など 2. ターゲット特定・・・資産、重要データの有無 3. 稼働サービス確認(ポートスキャンツール) 4. 脆弱性の調査 入り口探し 調査 52
  53. 53. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 Step5. エクスプロイト 53
  54. 54. 攻撃デモ動画 54
  55. 55. 攻撃ステップ Step1. 事前調査・ターゲット特定 55
  56. 56. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 56
  57. 57. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 57
  58. 58. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 58
  59. 59. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 Step5. エクスプロイト 59
  60. 60. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 Step5. エクスプロイト ポート スキャン 60
  61. 61. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 Step5. エクスプロイト ポート スキャン 61 脆弱性調査
  62. 62. 攻撃ステップ Step1. 事前調査・ターゲット特定 Step2. 開放ポートとシステム調査 Step3. システムのバージョン調査 Step4. 脆弱性の確認 Step5. エクスプロイト ポート スキャン 62 脆弱性調査 攻撃
  63. 63. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 63
  64. 64. 脆弱性対策の基準 脆弱性発見数 脆弱性優先順位付け 64
  65. 65. 脆弱性対策の基準 脆弱性発見数 脆弱性優先順位付け 65
  66. 66. Openポートの発見 66 ポ ー ト ス キ ャ ン で 発 見 し た open ポ ー ト 攻撃 対策 Nmapでの調査結果は 攻撃者と同じ
  67. 67. 脆弱性の発見 67 攻撃者 対策≦ ポ ー ト ス キ ャ ン で 発 見 し た open ポ ー ト 発 見 し た 脆 弱 性 数
  68. 68. 脆弱性の発見 68 攻撃者 対策≦ ポ ー ト ス キ ャ ン で 発 見 し た open ポ ー ト 発 見 し た 脆 弱 性 数
  69. 69. 脆弱性対策の基準 脆弱性発見数 脆弱性優先順位付け 69
  70. 70. 優先順位付けの基準 • CVSSによる評価 • CVSSの各評価が考慮されているとより正確に脆弱性の 優先順位付けが可能! • 脆弱性が発見されてからの期間 • 期間が長いほど、攻撃モジュールが増えてしまいより脆弱に! • 攻撃モジュールの有無 • エクスプロイトキットなどの攻撃モジュールがあるとより脆弱に! 70
  71. 71. まとめ 71 • 攻撃者にとって攻撃はビジネス • 攻撃の超初期段階で実施する、 ポート スキャン 脆弱性調査 攻撃
  72. 72. まとめ 72 • 攻撃者にとって攻撃はビジネス • 攻撃の超初期段階で実施する、 として実施することで多くの脆弱性を発見し、 適切な優先順位を付けて対策し、攻撃の投資利益率を下げる ことで攻撃対象にならないようにすることが重要 ポート スキャン 脆弱性調査 対策
  73. 73. 1. 本セッションの位置づけ 2. 脆弱性検査の実施状況 3. 本当に危険な脆弱性とは 4. 攻撃方法について • 攻撃の種類と攻撃方法 • 攻撃者の目的と人物像 • 攻撃段階と利用ツール 5. 対策方法について • 対策基準 • サービス紹介 73
  74. 74. ポートスキャンサービスのご紹介 74
  75. 75. ポートスキャンサービスとは? 当社脆弱性診断 システム お客様環境 脆弱性 スキャンスキャン情報 脆弱性 スキャン 対象サーバ群 当社提供範囲 お客様ご担当者当社オペレータ Internet 診断レポートご提供 診断結果ご報告 グローバルIPアドレスに対して脆弱性スキャンを実施し、 どこにどんな脆弱性があるか明確にし、 どのように対処すべきかまとめた、診断レポートを ご提供します。 75
  76. 76. スキャンツールのご紹介 76  セキュリティベンダー大手、Rapid7社のInsightVM を利用 WebApp スキャンツール セキュリティ 運用自動化 ペネトレーション テストツール SIEMツール
  77. 77. Rapid7社のご紹介 攻撃者や攻撃ツール(Metasploitなど)がターゲットとして いるリスクの高い脆弱性情報を活用 77 ネットワークを対象にした脆弱性調査 世界中にハニーポットを仕掛けた攻撃者の調査 Metasploit コミュニティから得た情報の活用 攻撃に対しての幅広いナレッジ!
  78. 78. 脆弱性カテゴリ例 78 2018年2月15日時点(ver 6.5.5) Active Directory Canonical Dnsmasq HTTP Adobe CentOS Docker HTTP Response Splitting Adobe Acrobat/Reader CGI Drupal Huawei Adobe AIR Check Point EulerOS IAVM Adobe ColdFusion Check Point Firewall Exim IBM Adobe Digital Editions CIFS F5 IBM AIX Adobe Flash Cisco F5 BIG-IP IBM AS/400 Adobe Shockwave Cisco ASA Fedora IBM DB2 Alpine Linux Cisco IOS Fedora Core Linux IBM Lotus Notes/Domino Amazon Cisco NX-OS FFmpeg IMail Amazon Linux AMI Cisco PIX Finger IMAP Anti-Virus Cisco SAN-OS Fortinet Information Gathering Apache Cisco TelePresence Fortinet FortiAnalyzer Insecure Remote Access Apache HTTP Server Cisco UCS Fortinet FortiGate Intel Apache Struts Citect Fortinet FortiManager Intel AMT Apache Tomcat Citrix Fortinet FortiOS IPMI APC Citrix XenDesktop FreeBSD IPSEC Apple Conexant Systems FTP ISC Apple iOS CSRF Game ISC BIND Apple iTunes Custom Web Application General Remote Services J2EE Apple Java CVS Gentoo Linux Jenkins Apple Mac OS X Database Google Joomla! Apple QuickTime DCE/RPC Google Android jQuery Apple Safari Debian Linux Google Chrome Juniper Atlassian Default Account HP Juniper Junos OS Atlassian JIRA Denial of Service HP Data Protector Juniper ScreenOS Backdoor DHCP HP iLO LDAP Backup Directory Browsing HP System Management Homepage lighttpd Beanbag Review Board Directory Traversal HP Systems Insight Manager Linux Browsers DNS HP-UX Mail
  79. 79. 優先順位付けの基準 79 • 脆弱性のリスクスコアの計算方法 CVSSの各評価 攻撃モジュール の有無 脆弱性が発見されて からの期間  攻撃者も使用するMetasploitの攻撃モジュールの有無も確認  資産の重要度も加味したスコアリングが可能 質の高いスキャンツール リスク スコア Expo -sure CVSS(C,I,A) CVSS(AV,AC,Au) Malware Kits Exploit Ranking Time=
  80. 80. サービスの利用用途 • 脆弱性対策はこれから・・・ ?スキャンツール 優先的に対策すべき課題が明確に!! 80
  81. 81. サービスの利用用途 • 対策製品導入済み スキャンツール Before… After 外部から攻撃されるようなところはないか、再確認 81
  82. 82. サンプルレポート 82
  83. 83. ご清聴ありがとうございました。 83
  • ak_y0810

    Aug. 14, 2020

攻撃者の攻撃方法から有効なセキュリティ対策についての講演資料です。攻撃者の攻撃方法を見直し、攻撃者の視点で脆弱性を確認することで、より、効果的な脆弱性調査が実施できます。

Vistos

Vistos totais

691

No Slideshare

0

De incorporações

0

Número de incorporações

216

Ações

Baixados

0

Compartilhados

0

Comentários

0

Curtir

1

×