サイバー・セキュリティ：リスクはどこにあるのか

サイバー•セキュリティ：リスクはどこにあるのか
制御システムを標的とする
stuxnetワームの分析
武田圭史，Ｐｈ．Ｄ．
慶應義塾大学
教授
Copyright © 2008 Keio University
2010/10/8
テロ対策特殊装備展(SEECAT) '10
サイバー•セキュリティ：リスクはどこにあるのか
１
サイバー戦争(Cyber War)の現実
・エストニアの事例分析
２
変化する状況
・Ghostnet
・Stuxnet
３
制御システムに対する新しい脅威
・Stuxnetの分析
４
まとめ
2
サイバー戦争(Cyber War)の現実
２０００年
日本省庁におけるWeb大量改ざん事件
２００１年
日本民間等におけるWeb大量改ざん事件
２００７年
エストニア、ソビエト兵士像移転に伴うサイバー攻撃
２００８年
グルジアにおけるサイバー攻撃
２００９年
米韓政府機関等サイトに対するDDoS攻撃
２０１０年
尖閣諸島領有権問題に関する日本サイトへの攻撃声明
3
エストニアの事例分析（1/2）
一般的な分析
このエストニアに対する攻撃は、かつてないほど進化したも
のであると同時に大規模なものであった。
個人や犯罪組織の能力をはるかに超えた規模の攻撃であり、
国あるいは大通信企業の協力なしには不可能だという。
（“サイバー戦争”に耐えたエストニア、国家の関与を
否定するロシア,藤田正美，Business Media 誠）
専門家の見解
「どこかの政府との関連についても、せいぜい噂になる程度
だった。にきびのできたティーンエージャーの仕業という説
が最も有力だ。」
サイバーテロであるが、インターネット暴動またはサイバー
暴動と呼ぶのが適当だ
（NATO、エストニアへのサイバー攻撃に過剰な
反応, Noah Shachtman, Wired, 2007/6/20）
ストニアを苦しめたのは攻撃者の群衆コントロールである。
インターネットを通じてオンライン・モブを扇動した。攻撃
者の戦略として、今後さらに注目されるだろう
4
（Black Hat USA 2007 - 初の"サイバー戦争
"!? 狙われたIT先進国エストニア, Yoichi
Yamashita,マイコミジャーナル,
2007/08/14）
エストニアの事例分析（2/2）
事態の結末
昨年4月のエストニアへのサイバー攻撃、エストニアの大学生が逮捕
昨年4月にエストニアで起きた大規模なサイバー攻撃を行ったとしてエス
トニア当局がエストニア国内の大学に通うドミトリ・ガクシュケビッチ
（Dmitri Galushkevich）（20）を逮捕していたことが24日、エスト
ニアの捜査当局によって明らかとなった。
ガクシュケビッチ容疑者は最大1万7500クローン（約18万円）の罰金
刑が下される見通し。
（昨年4月のエストニアへのサイバー攻撃、エストニ
アの大学生が逮捕, Technobahn 2008/1/25）
http://www.technobahn.com/cgibin/news/read2?f=200801252223
Russian youth movement claims to have carried out cyber
attacks on Estonia
"We taught the Estonian regime the lesson that if they act
illegally, we will respond in an adequate way," boasted
Goloskokov in the FT interview. They didn't do anything illegal,
he said. "We just visited the various internet sites, over and over,
and they stopped working."
5
(The H Security, Russian youth movement
claims to have carried out cyber attacks on
Estonia, 2009/03/12)
http://www.honline.com/security/news/item/Russianyouth-movement-claims-to-have-carriedout-cyber-attacks-on-Estonia740487.html
Ghostnet (1/2)
２００７年から２００８年にかけて、公的機関を装ったなりすましメールに不正なプログラムを添付して送りつ
けられる事件が多発している。米国内の組織に対しても同様の傾向が観測されている。
攻撃対象は幅広いが、攻撃者は政治、軍事、外交方面などに関心があるかこれらに関心を持つユーザに
関心がある模様。
送付対象が広い場合にこれを標的型攻撃と呼ぶか否かについては議論の余地はあるが、何らかの意図
を持って行われている可能性は高いと思われる。
From: 防衛省 <[email protected]>
Subject: 防衛省所管公益法人一覧
To:
Date: Mon, 14 Apr 2008 11:43:02 +0900
関係各位
お疲れ様です。
防衛省所管公益法人に異動事項がありましたので、
4月14日付の最新版を添付します
(attached file:0414.zip)
--------------------------Ministry of Defense
Tel: +81-3-5366-3111
Email: [email protected]
----------------------------
6
Archive: 0414.zip
Length
Date Time Name
-------- ---- ---- ---45568 04-14-08 10:13 0414.xls
45056 04-14-08 04:47 0414.exe
-------------90624
2 files
今日のウイルスメール (2008.04.14 ), 小島肇, セキュリティホール mem o
http://www.st.ryukoku.ac.jp/~kjm/security/memo/2008/04.html#20080414_vir
us
接続先： cyhk.3322.org
hi222.3322.org
「3322.org」は、中国の無料ホスト・サービスです。誰でも、
「3322.org」に自由なホスト名を登録することができ、そのホ
スト名を任意の指定したIPアドレスに向けるサービスです。
他にも、「8866.org」、「2288.org」、「6600.org」、「8800.org」、
「9966.org」など同様のサービスがあります。Eメールを入力
したWord文書の出先に疑いを感じる場合は、自社のゲート
ウェイ・ログをチェックし、どのようなトラフィックがあるかを
確認することを推奨します。
Ghostnet (2/2)
The Pentagon hadn't sent the e-mail at
all. Its origin is unknown, but the
message traveled through Korea on its
way to Booz Allen. Its authors knew
enough about the "sender" and
"recipient" to craft a message unlikely to
arouse suspicion. Had the Booz Allen
executive clicked on the attachment, his
every keystroke would have been
reported back to a mysterious master at
the Internet address
cybersyndrome.3322.org, which is
registered through an obscure company
headquartered on the banks of China's
Yangtze River.
The New E-spionage Threat, BusinessWeek, 2008/4/10
http://www.businessweek.com/magazine/content/08_16/b4080032218430.htm?chan=magazine+channel_t
op+stories
7
Stuxnetワーム
２０１０年６月に発見されWindows、Siemens（シーメンス社）の制御(SCADA)システ
ム、PLCを標的とした不正プログラム
３つのファイルにより構成、全体で1.2Mb程度のサイズ
マイクロソフト Windowsの４つの未知の脆弱性を利用して感染を拡大
（後に１つの脆弱性は既知のものであったことが判明、内２つは未だに解決されていな
い）
USBメモリを主な感染経路として利用（３回まで）
ルートキット機能により自身の存在を隠蔽(WindowsとPLCの両方)
感染時に台湾の半導体メーカー２社の電子署名を使用
CCサーバ接続およびP2P機能により自身をアップデート
初期型は２００９年６月頃より存在
8
Stuxnetワームの作成者プロファイル
Siemens（シーメンス社）の制御(SCADA)システムについての知識
Windowsの未公開の脆弱性を発見または利用する能力
Windowsにおけるカーネルレベルルートキットの開発能力
PLCについての知識
PLCルートキットを開発する能力
複数企業の電子署名秘密鍵が入手可能
ボットネットの開発および運用経験
１年以上にわたり開発を継続
9
感染PCの国別分布
対象：7/20〜9/29に観測された約１０万IPホスト
8/22以降イランからのアクセスは停止
Source: W32.Stuxnet Dossier version 1.0, Nicolas Falliere, Liam O
Murchu,
and
Chien, Symantec, September 30, 2010.
Copyright © 2008
KeioEric
University
Siemensソフトを持つ感染PCの国別分布
Source: W32.Stuxnet Dossier version 1.0, Nicolas Falliere, Liam O
Murchu,
and
Chien, Symantec, September 30, 2010.
Copyright © 2008
KeioEric
University
ブシェール (Bushehr) 原子力発電所
UPI, The Nuclear Issue in Iran, 2009
http://www.upi.com/News_Photos/Features/The-Nuclear-Issue-in-Iran/1581/2/
12
SIEMENS SIMATIC WinCC V7.0
13
SIEMENS Product Support,
まとめ
制御(SCADA)システムを対象とした不正プログラム
への脅威が現実に、早急な対応が必要
ネットでの暴動の扇動や情報操作、心理戦、非対称の
戦闘の様相に着目
継続的な状況把握・分析・対処活動を通じた情報・経験
の蓄積が必要
14
【お問い合わせ】
慶應義塾大学 環境情報学部
教授 武田圭史
[email protected]
15