Comments
Description
Transcript
情報セキュリティ - biocomputing.cc
情報メディアとインターネット第７回 情報セキュリティ 学術情報基盤センター 升屋正人 「セキュリティ」＝安全・安心 ハードウェア、ソフトウェア、データについて以下の３ つを守るのが情報セキュリティ 1. 機密性 「アクセスを認可された者だけが情報にアクセスできることを 確実にすること」（ISMS 2.0） 盗まれない/流出しない 2. 完全性 「情報及び処理方法が、正確であること及び完全であることを 保護すること」（ISMS 2.0） 改ざんされない/壊れない 3. 可用性 2 「認可された利用者が、必要なときに、情報及び関連する資産 にアクセスできることを確実にすること」（ISMS 2.0） 止まらない 情報セキュリティの三大脅威（リスク） ①物理的脅威 侵入、破壊、故障、停電、自然災害、テロ など ②人的脅威 故意：持ち出し、不正行為 など 過失：誤操作、盗難、置き忘れ、ファイル交換ソフト な ど ③技術的脅威 不正アクセス，盗聴，ウイルス，改竄，消去，DoS攻撃， なりすまし など 3 DoS＝サービス拒否／サービス妨害 ①物理的脅威の対策 侵入・破壊 施錠 警備会社（セコムなど）との契約 停電・故障 無停電電源装置（UPS）の導入 機器の二重化（冗長化） 設置環境の改善 空調機器の整備など 自然災害・テロ 4 地理的に異なる場所にバックアップシステム ②人的脅威の対策 故意：持ち出し・不正行為 セキュリティポリシーの策定 鹿児島大学では→「鹿児島大学情報セキュリティポリシー」 データの操作記録を保存，電子メール・Webアクセスの内容 を監視 鹿児島大学では→全通信を記録・分析 過失：誤操作・盗難・置き忘れ・ファイル交換ソフト 教育の徹底 鹿児島大学では→情報セキュリティ講習会 データに対するアクセス権を適切に設定 データの暗号化 結果として「情報漏洩」が発生する 5 架空請求、恐喝、振り込め詐欺などの犯罪につながる 持ち出し・不正行為による情報漏洩 京都府宇治市住民基本 台帳漏洩事件（1999 年） 大学院生が19万人分の データを漏洩→無罪 Yahoo! BB事件（2004 年） 451万7039件の住所・ 氏名・電話番号が漏洩 情報入手者による恐喝事 件２件 6 2001年秋以降の14万人 分？ 振り込め詐欺未遂１０件 (以上)・恐喝未遂 SONY PSN（2011年） 660万件以上の可能性大 東京ディズニーラン ド・ディズニーシー年 間パスポート情報漏洩 事件（2005年） 7700万件 氏名・住所等 史上最大 外部の犯行と見られる ファイル交換ソフトによる情報漏洩の例 Winny/Shareを使用し，情報を漏洩させるウイルスに感染し て情報漏洩する事件が後を絶たず 2010年4月、日本大学から内部文書・職員名簿、個人情報１万３ 千以上（Share） 別のファイル交換ソフト(LimeWire)でも操作ミスによる情報漏洩 の例あり 学校などで「使用禁止」にしても効果は低い 若年層は「音楽や映像はファイル交換ソフトで無料で入手するの が当たり前」と考えている なぜだめなのか理解していない・自分は大丈夫と思っている？ こうした世代が社会に出るのはこれから→これからも流出は続く 民間企業なら懲戒解雇 ファイル交換ソフトの使用は，著作権法上は間違いなく違法 Winny/Shareでなければいいと思っている 7 Cabos/LimeWire，Perfect Darkならいい…わけではない 振り込め詐欺 電話，葉書，メールで 告知 インターネットの出会い 系サイト料金 サラ金の債権回収 義援金 エッチ系サイト入会金 痴漢行為の示談金 正常な判断力をなくさ せる巧妙な手口 8 ターゲットは流出デー タ、流出名簿、SPAM メールへの返信などか ら 「登録解除」すると登録 される！ 迷惑メールは「無視」し ないとダメ 架空口座を活用 最初のコンタクトでは口 座は明かさない 振り込め詐欺対策 予防 個人情報を安易に提供し ない 携帯のメルアドは時々変 える 相手に連絡してしまっ たら 対策 無視する（本当の裁判所 からの呼び出し以外） 絶対にこちらからは連絡 しない 振り込んでしまったら 9 携帯のメルアドなら変え ればよい 186で電話してしまった ら、電話番号を変える 電話の内容を録音して警 察や消費生活センターに 相談 警察に届け出 【参考】携帯メールアドレスの「.」 ドコモ ソフトバンク 先頭は英文字のみご利用いただけます。 最後に「.」（ドット）を使用することはできません。 「.」（ドット）をアドレス内で連続使用することはできません。 au 「.」は「..」などのように連続で使用することや@マークの直前 で使用することはできません。 先頭文字は英文字にしてください。 「.」をアドレス内での連続使用や「.」をEメールネームの最初/ 最後に使用することはできません。また最初に数字の「0」を使 用することもできません。 これらの注意を守らないとインターネットからメールが届か ない 10 http://help.jp.msn.com/announce.aspx#20080810 ③技術的脅威の対策 不正アクセス（盗聴・改竄・消去・DoS） ウイルス（消去・DoS） １．これらについて知る ２．最新の情報を常に入手する 11 「知らなかった！」では済まされない ３．対策には費用がかかることを理解する 「被害をうけると加害者になる！」場合がある 当然の対策を行っていない場合には賠償責任が発生する場合も 何かあった場合は莫大な費用と時間がかかる 取り返しは絶対に付かないので，予防に全力をかけよう 不正アクセスとは 【盗んだパスワードや、 セキュリティホール （プログラムのセキュ リティに関するバグ） を使って操作を許され ていない情報システム を操作すること】 不正アクセス行為の禁止 等に関する法律（不正ア クセス防止法：平成１２ 年２月施行） 容易な侵入 多様な侵入者 12 セキュリティホール情報 のインターネット・書籍 などでの公開 ブロードバンドの普及に よる常時接続機器の増加 サイバーテロリスト 興味本位の一般人 内部の人間による業務妨 害 ウイルス（ワーム） 何のために不正アクセスするのか ウイルス（ワーム）による間接的不正アクセスが大 半 現在の日本の法律では取り締まり不可能 法制度化しても海外からのウイルスに対する抑止効果は なし ウイルス作成者の目的 技術力の顕示・愉快犯 サイバーテロ DoS攻撃のため 迷惑メールの送信 13 以前は主流だった ビジネスとして成立 不正アクセスの典型的な方法 １．セキュリティホール（セキュリティ上の欠陥） を探す ２．Exploitで侵入→パスワードを知る必要なし！ 特定のソフトウェアのセキュリティホールを利用して， 管理者権限などを奪取するプログラム．セキュリティ ホールごとに存在する。 ３．Rootkitを仕掛ける ポートスキャン 侵入したシステムを悪用しやすいように改変するツール の総称． 裏口の作成，通信の盗聴，侵入の隠蔽などを行 うため，発見されにくい． ４．侵入した機器で１∼３を繰り返す 14 ポートスキャン対策 不要なポートを閉じる ファイアウォール（ハードウェア・ソフトウェア） Windows XPには標準で搭載 ZoneAlarmなどのツールも利用できる グローバルアドレスにホストを接続しない 15 プライベートアドレスを使いNAPT ルータのファイアウォール機能を活用する Exploit対策 セキュリティ上の欠陥に対する修正プログラムを必 ず適用する 今すぐ！「Windows Update」 16 Mac OS Xなら「ソフトウェアアップデート」 Rootkit対策 ウイルス対策ソフト パーソナルファイアウォール すべてを検出できるわけではないのでほかの方法と併用 外→内だけでなく，内→外の通信の監視が可能 スパイウェア検知ソフト 17 スパイウェア・アドウェアとCookieを検知 Cookieは多く検出されるが，スパイウェアが侵入してい るわけではないことに注意 ウイルスとワーム ウイルス（virus） ワーム（worm） 他のプログラムに寄生するなどしてシステムの破壊や感 染活動を行うプログラム 寄生する対象を必要とする 感染対象を必要とせず自己増殖するプログラム 電子メールを介して感染を拡大するのはほとんどこのタ イプ 日本ではすべてを【ウイルス】と呼ぶ場合が多い 18 ウイルスの感染経路 電子メール ファイル交換ソフト 映像・音楽に見せかけたウイルスが多数流通 暴露ウィルスによる情報漏洩 USBメモリ 以前は主流 添付ファイル 少し前の主流 自動実行の仕組みを悪用 ホームページ閲覧 現在の主流 ホームページ書き換えによりウイルスを仕掛ける 有名企業も被害に遭っている 19 トレンドマイクロなどのセキュリティ業者も 電子メールによる感染の仕組み 「添付ファイル」としてウイルスが送られてくる 【実行】によりウイルスが作動・感染 ダブルクリックによる実行のほか，OutlookやOutlook Expressではセキュリティホールを利用されプレビューしただ けで自動的に実行される場合も 自分自身を添付したメールを大量送信 自分自身を共有フォルダにコピー 一見無害な画面などを表示しながらシステムを破壊 サービス妨害（DoS）攻撃を行う場合もある 【実行】しない限り，絶対に感染しない 20 Exploitによる遠隔実行もある ウイルス付き電子メールは当たり前…だった 鹿児島大学に来るウイルス付き電子メールは一ヶ月 に３万通だったことも 一日平均では１０００通 電子メールをホームページ上で公開していると必ず 来る 公開していなくても知り合いから来る 21 ウイルスはハードディスクからアドレス情報を収集 差出人は詐称するので，Fromに書かれているアドレスは 無関係であるのがほとんど ファイル交換ソフトにおける感染の仕組み 圧縮ファイル・映像データ・音楽データに見せかけ たウイルスがファイル交換ソフトネットワークには 大量に流通している 解凍・再生しようとすると感染する 感染に気づかない ハードディスク内のデータをファイル交換ネット ワークに放出 回収不可能 22 同じファイル名・ファイルサイズで大量のデータを意図 的に放出し，真のデータを埋もれさせる方法はある USBメモリによる感染の仕組み 感染PCに刺したUSBメモリに自動的にコピーされる Windows VistaではUSBメモリを刺しただけでウイル スが実行される 標準で搭載されている「機能」 XPではUSBメモリドライブをダブルクリックで実行 感染したウイルス本体はPC起動時に自動実行するように なる オンラインゲームのパスワードを盗む比較的無害なもの からPCの破壊活動を行うものまで種類が非常に多い USBメモリにウイルス本体とウイルス実行指示ファイル (autorun.inf)をコピー 亜種が多く定義ファイルの更新が間に合わない場合も 学内でも多く発生 23 発表会で使ったPCが感染し，被害が学科全体に及ぶケースも ホームページ閲覧による感染の仕組み セキュリティホールを利用した自動実行ウイルス ホームページを閲覧しただけで感染する ウイルスプログラムを画像ファイルに偽装 Flash，Acrobatのファイルに埋め込み 自動実行してしまうセキュリティホールを利用 ウイルスプログラムそのものを巧みに実行させる Webブラウザのセキュリティホールを悪用して感染させる 「あなたのPCにウイルスが発見されました。駆除するに は○○をダウンロードして…」 最初に実行されるのはウイルスをダウンロード・イ ンストールするためのプログラム 24 多数のウイルスに次々に感染 最近のウイルスの特徴 感染したパソコンを遠隔操作するプログラムを組み込む 他のウイルスをダウンロード 偽セキュリティソフトや迷惑メール送信ソフトの場合も 自分自身をアップデート 「ボット」を構成する 複数の感染パソコンでボットネットを形成 迷惑メール送信ビジネスに活用 「亜種」が多くウイルス対策ソフトで検知されない場合も 活動しない時間が長く感染に気がつかない 少し前に流行したのは「Conficker(Downadup)」 USB＋ネットワーク型 日本の被害では東京大学病院が有名 数百万台以上のボットネットを形成→史上最大の並列計算機！？ ちょっと前は「Gumblar」 25 Web感染型 FTPパスワードを盗んでWebサイトを書き換える 二次感染者には偽ウイルス対策ソフト ウイルス対策 ウイルス対策ソフトの導入・定義ファイルの更新 Windows Update 日本人から英語のメールが来てないか 頼んでもいない添付ファイルではないか あやしげなサイトを見ない 「AUTORUN.INF」というフォルダを作っておくのが簡単で有効 添付ファイルを開くときにちょっと注意する Mac OS Xの場合はソフトウェアアップデート Flash, Adobe Reader, Java, QuickTimeも USBメモリを信頼できないPCに刺さない 鹿児島大学ではウイルス対策ソフトのサイトライセンスを取得している 検索サイトの結果からも感染することがあるので注意 ファイル交換ソフトは使わない いつでも「リカバリ」できるようバックアップをとる スマートフォンの場合、正規の場所からアプリを入れる 26 ショートレポート ウイルス感染が確認された場合に行うべき措置につ いて１００字程度で説明して下さい