エフセキュアブログ

THE FIGHT AGAINST CYBERCRIME

 みなさん、こんにちは。Rakuten-CERTの福本です。
ちょっと前の話です。今年6月の韓国でのFISRTカンファレンスで、とある方と情報交換をしてある気づきを得たのですが、今日はその話をしたいと思います。

 近年、僕らはインターネットセキュリティ対策に関する業務よりも、サイバー犯罪対応の業務のウェイトの方が多くなっているという事実を真剣に考えないといけません。実際、楽天でもその傾向が顕著に出ています。昨年末の沖縄のCyber3 Conferenceでインターポールの中谷さんも仰ってましたが、犯罪がフィジカルからインターネットに大きくシフトしています。中谷さんいわく、イギリスの(物理的な)銀行強盗は1992年に800件ほどあったそうですが、2014年には88件に減少したとのことです。一方で金融被害は飛躍的に増えていると。命をかけて刃物や拳銃で銀行を襲うよりも、国をまたいだインターネット経由の犯罪行為(不正送金マルウェアとか)の方が犯罪者としてはより安全なわけですから。

 楽天も、これまでの常識を遥かに超える数、いわゆるリスト型アカウントハッキングによる不正ログイン試行を観測しており、そのため楽天では数年前にサイバー犯罪対策室を設置し、不正ログイン試行や不正利用モニタリング、そして警察への対応を強化していて、サイバー犯罪の犯人逮捕にも惜しみない協力をしています。サイバー犯罪担当の警察官の研修受け入れについても、来年も積極的に実施する予定です。これまでは犯人逮捕というアクションはあまり力を入れてこなかったのですが、今は事情が全く逆です。警察側もサイバー犯罪は無視する事が出来ないものとなりかなり力が入っています。では、犯罪の温床を叩く意味について、2014年11月の中継サーバー業者の逮捕後の楽天での不正ログイン試行の状況を見てみましょう。(すいません、実数は非公開で・・)

login

 実際、不正業者の逮捕後は攻撃は激減しました。

 インターネットサービス企業において、セキュリティ技術や対策プロセス、人材育成と教育、という基本的なアプローチだけではもはや守りきれなく、事後対応能力も高めなくてはなりません。(注:プロアクティブセキュリティはきちんとやるのは大前提で)CSIRTの活動を通じた外部組織とのインシデント対応力だけではなく、犯人を追いつめて犯罪行為を牽制する力も必要です。何もしなければ犯罪し放題ですから。ですので、渉外対応やスレットインテリジェンス、Fraud分析あたりはこれから重要なキーワードになると思います。ちなみにSGR2016ではそのあたりのお話をさせて頂きました。

 また、最近では楽天を装った偽サイトは6000件、楽天を装ったフィッシングメールもかなり増えています。これらは別に新しい攻撃というわけではなく昔からあるユーザーを狙った金銭目的のサイバー犯罪ですが、激しさを増しているところに違いがあります。既にやっているユーザーへの啓発や注意喚起だけでは限界があり、大事なユーザーをどう守っていくか、それが今後のインターネットサービスの発展にとって重要な事であり、また業界全体で取り組む必要がある大きな課題なのかなと思います。さらに言うとこれがIoTの発展に伴ってサイバー犯罪は大きな問題となるはずで(特にランサムウェアはお金になりそうでやばい)、犯罪者にやりたい放題されないよう、インターネットの向こう側にいる犯罪者と戦っていかないといけないと、僕は思うのです。   

QuickPost: さらなる拡大を予感させるMirai Botnetの攻撃インフラ網

Mirai IoT Botnet に手を加えたと推測されるマルウェアが話題に挙っています。
攻撃を受けた際のログやマルウェアの検体解析などから、Miraiのソースコードを改造し、Metasploit moduleを組み込んだものとみられています。
すぐに根本的な対応ができるわけではありませんが、IoT機器を悪用した攻撃が本格化してきたなぁ、といった印象がありますね。

 (参考)

また、これらの動きに拍車を掛けそうなのが、ダークウェブでのレンタルBotnetサービス動きです。以前からこれらのサービスは確認はされていましたが、今回の一件でより人気(?)がでるかもしれません。そうなりますと、一般的なところではDDoS攻撃による脅迫行為の増加などが容易に想像ができますので、新たなサイバーギャングらが新たに登場するのでしょう。サイバー空間内の脅威が次代へ移り変わっていることをヒシヒシと感じられますね。


rent_iotbot

しばらく目が離せない脅威であるとともに、攻撃を受けた際の対応を改めて考えさせられる一件であるように思います。

ではでは。





未来のチカラ

 みなさん、こんにちは。Rakuten-CERTの福本です。
 世界的にセキュリティ人材が不足と言われている昨今、需給バランスの改善にはセキュリティ人材教育プログラムの充実、セキュリティ対策プロセスの標準化がますます重要になってくるかと思います。そんな背景もあり、楽天は昨年、産学連携のひとつのきっかけ作りとして東工大とセキュリティキャンプでの集中合宿を実施したのですが、そのセキュリティイベントは今年から東工大大学院の特別専門学修プログラムのコア科目であるサイバーセキュリティ攻撃・防御第二となりました。

  楽天株式会社は、オフィシャルに東工大のサイバーセキュリティ特別専門学修プログラムに協力しています。
 

123
こちらは会場の様子。某合宿会場にて、授業にも熱が入る。

4
夜も教授部屋に集まって、ヒントをもらいながらハンズオントレーニングの課題を解く学生たち。

 今年はWebサイトへの攻撃メカニズムを理解するためのハンズオントレーニングがメインでしたが、来年はセキュアコーディングなどディフェンス側のトレーニングコンテンツも充実出来ればと思います。(そしてその先はインシデント分析、ハンドリングまで将来的に拡張したい)最後合宿が終わって、多くの学生さんから楽しかったと言ってもらえてほんとうれしかったですし、また東工大の担当教員の方々からも多大なご支援を頂き、本当にありがとうございました。まだスタートしたばかりですが、継続することによっていつかこの活動がインターネットセキュリティを支える力となることを願っています。







マルウェアの歴史: CODE RED(コードレッド)

15年前(5479日前)の7月19日、Code Redが感染拡大のピークを迎えた。悪名高いコンピューターワームCode Redは、Microsoft Internet Information Server(IIS)の脆弱性を悪用して感染を拡げた 。

感染したサーバには、以下のメッセージが表示された。

検出ロジックの現状はどうなっているか

検出ロジックは、最新のエンドポイント保護ソフトウェアにおけるさまざまなメカニズムによって使用されている。また、サイバーセキュリティ業界では、多くの別の名前でも知られている。セキュリティ業界で「マルウェア」と呼んでいるものが、一般には、「ウイルス」という言葉で呼ばれている(技術的に言えば、「ウイルス」とは、別のプログラム、データファイル、またはブートセクタに自身のコピーを作成することによって拡散するプログラムを指す)のと同様に、検出ロジックは、「シグネチャ」から「フィンガープリント」、「パターン」、「IOC」まで、さまざまな呼び方をされてきた。誰かがウイルスの話をしていると思ったら、本当はマルウェアについての話だったということがよくある。そして、誰かがシグニチャの話をしていると思ったら、実は検出ロジックについての話だったということもたびたびある。もっとも、80年代や90年代に用いられたシンプルな検出ロジックが話題になっていたのだとしたら、話は別なのだが。
当社、エフセキュアでは、「detection logic(検出ロジック)」のことを、単に「detections(検出)」と言うこともよくある。 

ネットワークレピュテーションの現状はどうなっているか

ドライブバイダウンロード(より正確には、ドライブバイインストレーション)は、最も恐ろしい部類のインターネット上の脅威である。そうした振る舞いの基となるメカニズムを提供するのがエクスプロイトキットだ。ブラウザの種類とそのバージョン、インストールされているプラグインとそのバージョンといった、ブラウザの環境を調べることで,、ソフトウェアの脆弱な部分を探すのである。
エクスプロイトキットは、脆弱性を見つけると、それらすべてを利用して、システム上で直接コードを実行しようとする。ほとんどの場合、ユーザが気付かないうちに、マルウェアがマシンにインストールされて実行されることになる。最悪のケースでは、今さっき暗号化されたばかりのファイルを、たった数分後には、元の状態に戻すべく、身代金を支払う手順についての説明をじっと眺めているという状況に至る。
エクスプロイトキットは、インターネット上の数多くの場所に潜んでいる可能性がある。たとえば、次のような場所である。

全文はBusiness Security Insider 日本語版で。 

拡散状況はどうなってるか

エフセキュアラボでは、「拡散状況」という言葉をよく使う。だが、拡散状況とは何なのか?
実行可能ファイルの拡散状況は、当社の顧客ベース全体でそのファイルが見つかった回数として定義される。悪意のある実行可能ファイルは、時間とともに希少な存在になっていく傾向があり、ほとんどが生まれてはすぐに消えていく。したがって、バイナリを目にした回数は、そのバイナリが怪しいものであるかどうかの目安となり得る。当社の保護技術はクラウドに接続しており、機能する仕組みの一部としてクラウドを利用しているため、拡散状況を数量的に把握しやすい。
悪意のある実行可能ファイルがなぜ希少なのかを理解するために、遠い過去へと旅してみよう。
Floppies
もちろん、これらのフロッピーの中に、核ミサイル発射のコードなど入っていない。

全文はBusiness Security Insider 日本語版で。

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社 システムセキュリティ室 室長
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード