Comments
Description
Transcript
1.6 MB
SHIELD Security Reserch Center T A B L E O F C O N T E N T S ジェシー・マイケル + ミッキー・シュケトフ インタビュー …………………………… 3 SECCON 2014 札幌大会 + 大阪大会 レポート ……………………………………………… 7 Threat Scope ………………………………………………………………………………… 11 セキュリティ・カンファレンス CODE BLUE がまもなく開催 ! ………………………… 13 S.S.R.C.(ShieldSecurityResearchCenter) は、株式会社日立システムズセキュリティリサーチセンタが運営するセキュリティ情報公開サ イトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信しております。 本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注 意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい たことにより生じた損害につきましても、当社は一切責任を負いかねます。 本文書に記載した会社名・製品名は各社の商標または登録商標です。 本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承く ださい。 本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。 ©HitachiSystems,Ltd.2014.Allrightsreserved. 2 BadUSB は序章にすぎない !? USB に潜む真の危険性を 2 人組のセキュリティ研究者が指摘する !! ジェシー・マイケル + ミッキー・シュケトフ インタビュー ●インタビュー = 笠原利香 ●写真 + 構成 = 斉藤健一 2014 年の BlackHat で注目された講演といえば、間違いなくカルステン・ノール氏による「BadUSB」 だろう。USB の仕様上の欠陥を突く攻撃としてニュースなどでも大きく報じられた。しかし、今回 インタビューした 2 人のセキュリティ研究者によると、USB の危険性はこれだけにとどまらず、場 合によっては、USB ポートにデバイスを接続しなくても攻撃できるという。果たしてそんなことは 可能なのだろうか ? 早速話を伺ってみよう。 3 ティの研究はいまだ表面を引っ掻く程度にとど 多くの人の意識を USB に 向けさせるために まっています。 R：確かにおっしゃるとおりです。USB のセキュ 笠原利香（以下 R）：はじめまして。よろしくお願 リティ上の脅威というと、これまで話題になった いします。 のは、Windows の自動実行による接続時のマル ジェシー・マイケル（以下 J）＋ミッキー・シュ ウェア感染。しいていえば、USB メモリなどを使っ ケトフ（以下 M）：はじめまして。こちらこそよ た内部犯によるデータの窃取あたりでしょうか。 ろしくお願いします。 J：そうですね。これまでは、USB の仕様を本格 R：早速ですが、講演の内容を簡単に教えていた 的に研究しようとする人が少なかったと思いま だけますか ? す。USB-IF（USB Implementers Forum）が公開し J：わかりました。今回の DEFCON では「USB for ている仕様書は 600 ページを超えており、とても All」というタイトルで講演を行いました ※ 1。多 複雑です※ 3。多くの人がこれに恐れをなしていた くの人の意識を USB に対して向けさせたいという のかもしれません。 目的があったからです。 R：なるほど。 R：USB といえば、今年の BlackHat ではカルステン・ J：では、USB の仕様について説明しましょう。ネッ ノール氏による講演もありましたね※ 2。 トワークと同様、USB の通信も階層構造となって J：はい。彼は「BadUSB」という形で USB 悪用の おり、大きく 4 つに分かれています。下の階層か 危険性を示しましたが、私たちの講演はより汎用 ら順に「物理層」「リンク層」「プロトコル層」と 的なものです。USB の研究を始める人向けにツー なりますが、この 3 つは主にハードウェアが扱 ルなどを紹介しています。 う階層で、脆弱性を見つけるのは困難です。そこ R: わかりました。 で、私たちは最上位の「ホストのソフトウェアと J： 現 在 の コ ン ピ ュ ー タ ー・ プ ラ ッ ト フ ォ ー ム USB デバイスとの通信」を行う 4 つ目の階層に注 に お い て、USB の 技 術 は 幅 広 く 普 及 し て い ま 目して調査を開始しました。話は少しずれますが、 す。 例 え ば ノ ー ト PC で 考 え て み て も、 内 部・ USB への攻撃というと、PC の USB ポートにデバ 外 部 を あ わ せ れ ば 5 ～ 6 の USB コ ン ト ロ ー イスを接続する必要があると思いますよね？ し ラーがあるはずです。しかしながら、セキュリ かし、現在の PC では内部にも USB デバイスを持っ ているのです。Windows であれば、コントロー ミッキー・シュケトフ 某一流企業に在籍するセキュリティ研究者。ソフトウェ ア・ファームウェア・ハードウェアなど幅広い範囲を カバー。また、共同研究者のジェシー・マイケルを怒 らせることに多くの時間を費やしている。 ▲ ルパネルからデバイスマネージャーを開けばわか ります。 R: 確かにおっしゃるとおりです。 J：機種により内部のデバイスは異なります。例え ば指紋センサーだったり、Web カメラだったりと いう具合です。これらのデバイスにもそれぞれコ ントローラーやファームウェアがありますから、 攻撃対象になり得るのです。 つまり、 PC の USB ポー トにデバイスが接続されていないから安全という わけではないのです。 R: 盲点でした。驚きです。 J：次に USB のファームウェアについて説明しま ※ 1 USB for All!!1 https://www.defcon.org/images/defcon-22/dc-22-presentations/Michael-Shkatov/DEFCON-22-Jesse-MichaelMickey-Shkatov-USB-for-All!!-UPDATED.pdf ※ 2 BadUSB https://srlabs.de/blog/wp-content/uploads/2014/07/SRLabs-BadUSB-BlackHat-v1.pdf ※ 3 USB 3.1 Specification http://www.usb.org/developers/docs/ 4 在です。この USB ケーブルの製造メーカーはデー タシートを公開していました。仕様などがすべて わかりますから、ユーザー自身がコードを実行す ることも可能になるのです。 R：なるほど。攻撃はこの部分を悪用するわけで すね。 J：そのとおりです。例に挙げたメーカーのデータ シートには「ブート可能なコードは内部テストに ▲ ます。いわば小型のコンピューターともいえる存 10 位年以上のキャリアを持ち、現 RAM などがあり、ファームウェアをロードしてい ジェシー・マイケル ですが、内部にはプロセッサーやブート ROM・ 在 は 某 一 流 企 業 の セ キ ュ リ テ ィ 研 究 者 と し て 活 躍。 た。一見すると単なるケーブルとしか思えないの セキュリティ業界で データ通信を行う USB ケーブルを例に挙げまし ハードウェアのローレベルな脆弱性の発見やトラブル シューティングに多くの時間を費やしている。 す。講演では PC とフィーチャーフォンとの間で すると思いますが、Microsoft からこの認証を受 使用するものであり、通常の使用では使わない機 けるためには、USB でローレベルのデバッグが可 能です」と注意書きがありました。こういった文 能になっていることが条件になっているのです。 章を読むと私たちはワクワクしてしまうんですよ つまり、USB デバイスのファームウェアをアップ ね（笑）。 デートするのに USB の通信を使うのです。 R：ハッカーの本能ですね（笑）。 R：攻撃者からするとハードルが下がったように 思えますね。 USB の仕様上の欠陥とは ? J：最近では Wireless USB のように無線をサポー トするデバイスもありますから、なおさらのこと J： コ ー ド の 実 行 に つ い て、 も う 少 し 詳 し く お と思います。付け加えるなら、新たに策定された 話 し ま し ょ う。USB に は DFU（Direct firmware 「Media Agnostic USB」（直訳すれば、メディア非 Update）という仕組みがあり、仕様書も公開され 依存 USB）では「USB over Wi-Fi」といったこと ています※ 4。文字どおり、製品出荷後もファーム もできますから、攻撃の可能性はさらに広がると ウェアのアップデートを可能にするための仕様で 思います。 す。策定は 1999 年にまでさかのぼりますが、当 R：PC 内部の USB デバイスがターゲットになった 時はセキュリティについて全く考慮されていませ 場合、USB ポートにデバイスが接続されていなく んでした。コード署名などはなく、ファームウェ ても攻撃されている可能性はあるわけですね。 アが正しいかどうかを判断する 1 バイトのチェッ J：USB デバイスのファームウェアを乗っ取って クサムがあるだけで、回避も簡単です。 し ま え ば、「Hardware Reflected Injection」 と い R：BadUSB が話題になったとき、USB の仕様上の うハードウェア（ファームウェア）を経由した攻 欠陥が原因だといわれましたが、これを指すので 撃手法で、OS や BIOS に対しても攻撃が可能とな すね。 ります。この手法は、ジェフ・フォリスタル（Jeff J：そうです。以前であれば USB デバイスのファー Forristal）氏が 2012 年の CanSecWest で講演した ムウェアを書き換えるのに特殊な機器を使って 「Hardware Involved Software Attacks」 の 中 で 発 いましたが、現在では何も必要ではありません。 表されたものです※ 5。 USB デバイスの購入時に「Windows Compatible」 R：ここまで話を伺って疑問に思ったのですが、 や「Windows Certified」と書かれたマークを目に 今後さまざまな USB コントローラーやファーム ※ 4 Universal Serial Bus Device Class Specification for Device Firmware Upgrade http://www.usb.org/developers/docs/devclass_docs/DFU_1.1.pdf ※ 5 Hardware Involved Software Attacks https://cansecwest.com/csw12/Forristal.pptx 5 ウェアの解析が進めば、攻撃の危険性はさらに増 のですが、USB3.0 にも対応する予定なので期待が すということになるわけですよね。 持てると思います。さらに、BeagleBone Black と J：そのとおりです。だからこそ、USB に対して いう小型 Linux PC をベースにした USBProxy では、 多くのセキュリティ研究者が目を向けてほしいと USB 2.0 での中間者攻撃も可能になります※ 11。 願っているのです。講演の後半では研究に役立つ R：オープンソースでさまざまなハードウェアが ツールをいくつか紹介しました。 開発されているのですね。 J：はい。最後にソフトウェア関連も紹介します。 USB の研究に役立つツール群 ! ま ず は libusb で す ※ 12。C 言 語 の ラ イ ブ ラ リ で USB 関連の定番です。カーネルの変更や専用のド J：最初に紹介したのは、Total Phase 社の Beagle ライバーを必要としません。ユーザーが USB デバ 5000 と い う USB ア ナ ラ イ ザ ー で す ※ 6。USB3.0 イスにアクセスするためのソフトウェアを作ると にも対応しており、USB デバイスと PC との間に きに便利です。次にノール氏による BadUSB のデ 接続して PC 側で専用アプリケーションを起動す モにおいても使われた Phison PS2303 framework れば、Wireshark のように USB トラフィックをす です ※ 13。Phison 2303 とは、USB3.0 の NAND コ べてキャプチャーし、デコードもしてくれます。 ントローラーで多くの USB メモリで使われてい ただし、データを読むだけで、編集することはで ます。このツールは USB メモリを安価な USB 開 きません。とても高価で最上位機種だと 6000 ド 発プラットフォームにすることを目標に作られて ル ほ ど し ま す。Total Phase に は USB2.0 対 応 の います。そして最後に紹介するのは、私たちが開 Beagle 480 という製品もあります ※ 7。こちらも 発した Peach Publishers というツールです。USB データの編集はできませんが、1400 ドルほどで ファザーの一種で、libUsbDotNet という C# のラ 販売されています。他にも ITIC というメーカー イブラリを使用しています。ただし、このライ のプロトコルアナライザーがあります ※8 ブラリにはバグがあり一部動作しない機能もあ 。こち らは 700 ドル程度です。私たちは各都市にある りますが、検証用としてなら使えると思います。 HackerSpace にこれらの機器を設置してもらい、 DEFCON 会場で参加者に配布された DVD-ROM の 誰もが使えるようにすることを推奨しています。 中に収録されています※ 14。 R：それはよいアイデアだと思います。 M：講演では Peach Publisher を使ったデモも行 J：プロトコルアナライザーの他にもいろいろとあ いました。1 つは USB 接続の LAN アダプターの ります。Facedancer は自作の USB エミュレーター ベンダー ID とプロダクト ID を変更して、ケーブ です※ 9。オープンソースで開発されていて 30 ド ル を 接 続 し た と き に PC 側 で Microsoft Wireless ルほどで作れます。USB トラフィックを作ること キ ー ボ ー ト と し て 認 識 さ れ る も の で す。 先 の ができますから、ファザーとして使うことも可能 DVD-ROM には他のデモの素材もあります。 ですが、スピードが遅いのが難点です。また、同 R：わかりました。USB のセキュリティは今後も 様のエミュレーターで daisho というオープンソー 要注目ですね。ありがとうございました。 ス・プロジェクトもあります※ 10。現在開発中な ※ 6 Beagle USB 5000 http://www.totalphase.com/products/beagle-usb5000-v2-ultimate/ ※ 7 Beagle USB 480 http://www.totalphase.com/products/beagle-usb480/ ※ 8 1480A USB2.0 PROTOCOL ANALYZER http://www.internationaltestinstruments.com/products/97-1480a-usb-20-protocol-analyzer.aspx ※ 9 GoodFET（Facedancer）http://goodfet.sourceforge.net/ ※ 10 daisho https://github.com/mossmann/daisho ※ 11 USBProxy https://github.com/dominicgs/USBProxy ※ 12 libusb http://www.libusb.org/ ※ 13 Phison PS2303 framework https://bitbucket.org/flowswitch/phison ※ 14 DEF CON 22 Updated Hacking Conference CD（約 1.1GB） https://media.defcon.org/DEF%20CON%20Conference%20CD%20DVD/ 6 SECCON 2014 札幌大会＋大阪大会 レポート 取材・文・写真 = 斉藤健一 SECCON 2014 札幌大会 前号では、SECCON 2014 の全体的な概要と 9 このサーバー・クライアント間では、以下のよ 月に開催された長野大会を紹介したが、今回は、 うな UDP 通信が行われている。サーバーは一定 10 月の札幌大会と 11 月の大阪大会の模様をお届 時間ごとにクライアントに対してリクエストを送 けしよう。 信する。リクエストを受け取ったクライアントは、 そのペイロードを変更してサーバーにリプライを ARP Spoofing Challenge 返す。リプライを受け取ったサーバーは、ペイロー ドの中にある IP アドレスを見て対応するプレイ SECCON 2014 札 幌 大 会 は 10 月 25 日 ～ 26 日 ヤーのスコアを加算する。 にわたり開催された。会場は札幌市産業振興セン なお、リクエストとリプライのペイロードには、 ター。今大会には 13 チーム・計 36 名のエントリー 乱数で生成した ID 番号、宛先クライアントの IP があった。大会冒頭の自己紹介を聞いてみると、 アドレス、スコアの加算値、乱数で選択された合 前回の長野大会と同様、決勝大会への出場を目指 い言葉が含まれている。 す競技志向のチームというよりは、向学目的の参 プレイヤーが競技で優位に立つためには、他 加者の方が多いという印象を持った。 チームの通信を妨害したり、IP アドレスを改変し 今年の SECCON 地方大会ではそれぞれ特色のあ て他チームのポイントを奪ったり、スコアの加算 る競技が行われているが、札幌大会で行われたの 値を改変して大量得点を狙ったりすることが必要 は、パケットの改変をテーマにした ARP Spoofing となる。 Challenge という競技だ。 また、競技ルールによっていくつかの制限も設 ARP Spoofing Challenge は、競技用に設けられ けられている。例えば、プレイヤーの PC から送 た閉じたネットワークの中で行われ、各チームに 信できるパケットは 3 秒に 1 個しか中継されない 専用のサーバーとクライアントが用意される。 といったものや、プレイヤーの PC から送信され 会場の札幌市産業振興センター 7 競技運営を担当したチーム urandom のメンバー スコアサーバーには USB- 有線 LAN アダプターが多数接続される たパケットは、割り当てられた MAC アドレスが 行うのは困難だ。 送信元になっているもの以外破棄されるといった 彼 ら は SECCON 側 か ら 機 材 を 託 さ れ、3 週 間 具合だ。 ほどのテストを行ったそうだ。競技の特殊性から 競技が行われたのは、2 日目の午前 10 時から午 個々の有線 LAN ポートを細かく制御する必要があ 後 0 時までの 2 時間。開始直後から 1 時間ほどは り、スコアサーバーのマシンには無数の USB- 有 各チームのスコアに目立った動きはなかったもの 線 LAN アダプターが接続される。 の、後半に向けて徐々に動き出すこととなる。 運営で苦労した点について聞いてみると、諸般 の事情から各チームのスコア状況を表示するため 大学生チームが競技を運営 のプログラムを大会初日に急きょ作らなくてはな らなかったことだそうだ。 競技の結果は後ほどお知らせすることとして、 勝敗の行方は !? ここでは札幌大会の特色を紹介しよう。今回の ARP Spoofing Challenge は、筑波大学の学生チー ムである urandom が運営を行っている。SECCON 先に紹介したとおり、競技ネットワーク内では 実行委員長の竹迫氏は、大会を通じて運営側の人 各プレイヤーのサーバー・クライアントが一定間 材も育成していきたいという思いがあったと、そ 隔で通信を行っており、他チームからの妨害や攻 の理由を語ってくれた。 撃がなければ、順調にスコアを重ねるようになっ ちなみに、urandom は 7 月に行われたオンラ ている。しかし、競技の後半から少しずつ各チー イン予選で優勝し、すでに本戦への出場権を得 ムのスコアにばらつきが出始めた。 ている。また、彼らは、SECCON 札幌大会に先立 頭ひとつ抜けたのは 1 人チームの wasamusume ち開催された CSS 2014（コンピュータセキュリ で、それを僅差で追うのが 3 人で構成されるチー ティシンポジウム） ※ 1 に招へいされ、オンライ ム sstw（シシトウ）だ。競技中の wasamusume ン予選の参加報告を行う予定だったこともあり、 を見ると、会場に表示された各チームのスコア状 SECCON 実行委員会から競技運営の打診があった 況を見ながら定期的に PC のエンターキーを叩い そうだ。 ている様子。 ま ず は、ARP Spoofing Challenge と い う テ ー これは競技終了後に聞いた話だが、スコアが加 マについて聞いてみると、参加者が一堂に会して 算されるタイミングを見計らって、IP アドレス 行う競技ならば、インターネットではできないユ を自チームのものに改変したパケットを他チーム ニークなものにしたかったと、その理由を話して のクライアントに送り、スコアを奪う作戦を続 くれた。アイデア自体は SECCON 側で決めたもの けていたという。そして、この作戦が功を奏し、 だそうだが、確かにこの競技をインターネットで wasamusume が最後まで逃げ切り、見事に優勝 ※ 1 コンピュータセキュリティシンポジウム 2014 http://www.iwsec.org/css/2014/ 8 優勝したチーム wasamusume の三村氏 準優勝チーム sstw の senz 氏 を飾った。 がわかる。もしも、このプログラムが正常に動い 一方、wasamusume と最後まで接戦を演じた ていたら、競技結果はきっと違うものになってい sstw だが、パケットのスコア加点値を改変するプ ただろう。 ログラムを作ったそうだ。しかしながら、MAC ア ともあれ、優勝した wasamusume は決勝大会 ドレスの値を入力する箇所で誤って IP アドレスの への切符を手に入れ、地方大会は大阪へとその舞 値を入力するという手痛いミスを犯していたこと 台を移す。 SECCON 2014 大阪大会 員会が事前に行ったアンケート調査の結果を見て x86 Exploit Challenge も、C 言 語 を は じ め、Python、bash、Perl な ど、 参加者は何かしらのプログラミング言語を習得し SECCON 2014 大阪大会は 11 月 9 日にグランフ ているようだった。 ロント大阪内の慶應大阪シティキャンパスにて開 大会では競技に先立ち、岩村誠氏（NTT）によ 催された。今大会には当初の 10 チーム・40 名と る「x86 シェルコード作成の基礎」の講義があり、 いう定員をはるかに上回る応募があったため、急 その後、競技用のネットワークを使ってコードを きょ規模を拡大して 18 チーム・54 名で競技が行 実行する簡単な演習が行われた。 われることとなった。 競技は午後 2 時 30 分から 5 時 30 分までの 3 時 他の地方大会と比べて、参加者の競技志向は強 間。競技用ネットワークにはサーバーが設置され、 く、開会直後の自己紹介でも「決勝大会出場を 16 問の課題が用意されている。参加者は x86 シェ 目指す」という声が多く聞かれた。SECCON 実行 ルコードを実行して、このサーバーを攻略してい 会場となったグランフロント大阪・慶應大阪シティキャンパス 9 講義と競技の答え合わせを担当した岩村氏 優勝した tajima 氏 ラかるた」が使われた。 これは、x86 の 1 バイト命令を使ったかるたで、 読み上げられた命令に対応する 16 進数の機械語 コードが書かれた札をいち早く取るゲーム。例え ば「NOP」と読み上げられたなら「90」を選ぶと いった具合だ。1 対 1 の勝負で、PC の持ち込みも 可。読み上げられるのは 11 枚。より多くの札を取っ た方が勝つ。 ゲームは検索力の優劣を争う様相を呈し、勝負 は最後の 1 枚までもつれ込む。そして、6 対 5 と 同点決勝ではアセンブラかるたが行われた いう僅差で tajima が勝利を掴んだ。 く。しかし、課題が進むにつれ使える命令の数が 決勝大会は来年 2 月 ! 優勝チームにはDEFCON CTFのシード権も!! 限られるなど、シェルコードに制約が課され、難 易度が増していく。 同点決勝で行われたデジタルで アナログなゲームとは ? 今回紹介した大阪大会をもって SECCON 2014 の地方大会は幕を閉じたが、12 月 6 日～ 7 日に は海外からの参戦も可能な第 2 回のオンライン x86 Exploit challenge では、各チームの得点状 予選が開催された。開始前日の 12 月 5 日には、 況が会場に表示されることはなく、競技終了まで SECCON 決勝大会の優勝チームに、米国で来夏に 結果は全くわからない。 開催される DEFCON CTF へのシード権が与えられ 競技終了後には岩村氏による答え合わせと順位 るというニュースが流れ、世界各国の強豪チーム の発表が行われたが、参加者にとって難しかった が続々と参戦を決めた。 結果などの詳細は、SECCON CTF の Web ページ のか、半数以上のチームが正解 3 問以下という結 果に終わっている。そんな状況の中、正解 12 問 ※2 という優れた結果を残したのが、newbie（ニュー た チ ー ム に は、PPPwning、Shellphish、Samurai ビー）と tajima の 2 チームだ。特に 1 人の参加で など、DEFOCN CTF の常連も名を連ねている。 これだけの結果を出した tajima には驚きだ。 決勝大会は来年 2 月 7 日～ 8 日に東京電機大学 SECCON CTF 決勝大会へと駒を進められるのは で開催される。世界レベルの CTF 大会が日本で行 1 チームのみ。newbie と tajima で同点決勝が行 われるのはうれしい限り。日本チームがどこまで われることとなったが、その勝負には「アセンブ 健闘できるのか、今から興味は尽きない。 ※ 2 SECCON CTF 2014（競駆魂） http://ctf.seccon.jp/ 10 で公開されている。オンライン予選を通過し ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム Threat Scope #02 激化するサイバー攻撃と包括的な脅威対策の必要性 文 = エル・ケンタロウ 史上最悪の企業ハッキング事件が発生 !! 師走も迫った 11 月末、米国の大型休暇時期の ソニー・ピクチャーズ エンタテインメント（SPE） ▲ 感謝祭週末が明けた月曜日、ソニーの関連子会社 の社員が出社しオフィスの PC を立ち上げたとこ ハッキング事件を伝える ソニー・ピクチャーズの TheHackerNews の 記 事。 ろ、ハッカーグループ #GOP（Guardians of Peace/ 犯行グループによって書き 平和の守護者）によってハッキングされたという 換えられた画像も掲載され メッセージが表示された。 ている。 攻撃対象となったのは SPE の社内ネットワーク http://thehackernews.com/2014/11/Sony-Pictures-Hacked.html で、公開中の映画の動画ファイル、セレブのパス ポート画像、機密性の高い給与情報などを含む社 SPE を指していると、ロイターの記者に語ってい 内書類が大量に外部に流出した上に、社内ネット る。また、使用されたマルウェアと同様のものが ワークが数日間に渡り使用不能になるまでの事態 韓国や中東諸国でも発見されており、2013 年 3 へと発展した。 月に発生した韓国の銀行や放送局へのサイバー攻 匿 名 を 条 件 に The Next Web の 取 材 に 答 え た 撃や、2012 年 8 月にサウジアラビアの国営石油 SPE 社員は、1 台のサーバーが攻撃され、そのサー 企業であるサウジアラムコが攻撃された事件など バーを起点に社内ネットワークにマルウェアがま との関連性も取りざたされている。 ん延したと話す。また、ニュースサイトの Variety ソニー・ピクチャーズの事件も 一例に過ぎない !? によれば、社員は在宅勤務をするよう管理部から 命じられたとのこと。さらに、会社のネットワー クに接続しない、メールもチェックしない、すべ ての携帯端末の Wi-Fi をオフにするようにも指示 高度なエンドポイントの脅威検出を行っている されたそうだ。また、復旧には 1 日から数週間を Cylance 社は、イランの国家的支援を受けたハッ 要するという見込みも示された。 カーグループが 16 ヵ国において、重要機関イン SPE の事件を受けて米国の連邦捜査局（FBI）も フラ事業の航空・空港・電力・石油・ガス・通信・ 現在捜査を行っており、一部の特定企業に対して、 政府・大学機関など 50 の組織を攻撃。機密情報 新たなマルウェアが米国企業を対象に展開される の窃取にとどまらず、組織によってはネットワー とする緊急レポートを配信した。このレポートで クを完全に掌握し、常駐的にコントロールしてい は、発見されたマルウェアは PC のマスターブー るとのレポートを発表している。 トレコードを含む HDD 全体を改ざんし、PC を起 また、セキュリティ企業 FireEye によると、金 動できない状態にすると警告している。 融業界に詳しいハッカーグループが、世界金融市 レポートを読んだサイバー攻撃の専門家は、被 場で多大な影響力を持つウォールストリートの重 害に遭った企業名は伏せられているが、明らかに 役たちを狙い、インサイダー情報の入手を目的と 11 した高度なフィッシングを展開しているという。 包括的なサイバー脅威対策の必要性 従来のフィッシング詐欺とは異なり、犯罪者グ ループは 企業活動や買収情報を入手することで株 式市場での株価を操作、株取引することで利益を 先述のような状況において、対策は技術主軸で 得ようとしているとレポートは警告を発する。 はなく、脅威の包括的な情報収集・状況解析・監 視などを行い、予測や予防という観点も持つべき 技術だけでは守り切れない !! だろう。セキュリティ業界では以前から浸透して いた考え方ではあるが、セキュリティサービスを 振 り 返 っ て み れ ば 2014 年 に は、OpenSSL の 受けるユーザー企業にも広げていきたい。 脆弱性を突く Heartbleed、bash シェルの脆弱性 最新の脅威動向を定常的に監視、脅威犯罪グ ShellShock、SSL 3.0 の POODLE な ど、 イ ン タ ー ループの属性や行動学的な検知からの動機付け、 ネットの根幹を支える技術に相次いで脆弱性が見 地政学的なリスク分析などが必要とされるノウハ つかり、さまざまな攻撃手法が公表された。他に ウはサイバーという枠組みを離れ、従来では国家 も、全米流通大手の TARGET の店舗 POS システム の情報機関レベルで行われていた情報分析の領域 にマルウェアが感染し、米国全店舗からクレジッ へと達している。 トカード情報が不正に外部へ流出した事件や、日 今後、企業は活動全体において常にリスクを考 本国内においても業務委託先の社員によるベネッ え、対外的に接するすべてのコミュニケーション セの名簿情報の大量流出など、個人情報を狙った ポイントにおいて、外部の反応を予測し対応でき 事件が数多く発生している。 るように最大限の注意を払うことが求められる。 これらの事件が明らかにするのは、企業のサイ 脅威対策においても、リスクの完ぺきな除去は バー脅威対策の限界なのではないだろうか。これ 理想ではあるものの現実的ではなく、いかにして までの対策では、PC やサーバーにセキュリティ リスクを低減するかを考えるべきであり、リスク パッチを適用したり、ゲートウェイにファイア 管理を含めた組織の運営・対策作りなどが必要と ウォールを設置したり、ネットワーク内に IPS/ なる。 IDS を導入したりするなどが行われてきたが、す 経営と情報システム部だけでなく、企業の開発・ でにこれだけでは不十分ということだ。 営業・マーケティングなどすべての部署を含めた 攻撃対象になりうる接点は、インターネットの 企業活動において、個別のリスクを列挙・分析し 基礎技術、店舗の POS 端末、社内ネットワーク、 対策を講じるなどのプロセスが必要となる。ただ 企業の役員・従業員の活動など、社会生活のすべ し、個別のリスク対策ばかりに注力し、全体を俯 てに存在している。企業のサイバー脅威へ対策は、 瞰的に見渡す視点を欠いてしまうと、個別の対策 もはや技術的なシステム部だけの問題ではなく、 を組み合わせた時に、どこかに穴が生じてリスク 企業活動そのものへの脅威として捉え直す時期が が増す危険性があることも認識しておいた方がい 来ている。 いだろう。 ●参考 URL ・Exclusive: FBI warns of 'destructive' malware in wake of Sony attack http://www.reuters.com/article/2014/12/02/us-sony-cybersecurity-malware-idUSKCN0JF3FE20141202 ・Sony Pictures Targeted by Apparent Hack Attack to Corporate Systems http://variety.com/2014/biz/news/sony-targeted-by-apparent-hack-attack-to-corporate-systems-1201363734/ ・Sony Pictures hacked, entire computer system reportedly unusable http://thenextweb.com/insider/2014/11/24/sony-pictures-hacked-employee-computers-offline/ ・Coordinated cyber attacks on global critical infrastructure exposed http://www.net-security.org/secworld.php?id=17709 ・FIN4 Hacker Group Steals Insider Info from Public Companies http://www.esecurityplanet.com/hackers/fin4-hacker-group-steals-sensitive-data-from-public-companies.html 12 主催者に訊く講演の見所 ! セキュリティ・カンファレンス CODE BLUE がまもなく開催！ 文 = 斉藤健一 CODE BLUE とは ? 本年 12 月 18 日・19 日の 2 日間、東京お茶の 水にあるソラシティホールにおいて、情報セキュ リティ・カンファレンス「CODE BLUE」が開催さ れる。欧米の著名な研究者による講演が行われる とともに、日本やアジア各国の優れた研究を世界 へと発信する国際的なイベントだ。 東京オリンピックが開催される 2020 年には、 全 世 界 で 500 億 台 も の IoT（Internet of Things） デバイスが普及するとの予測もあり、ユーザーが 安全・安心に利用できる製品・サービス作りは、 CODE BLUE（http://codeblue.jp/2014/）を主催する篠田佳奈氏 焦眉の急といえる。 決定した」とのこと。 主催者の篠田佳奈氏は「CODE BLUE という言 講演のラインナップは次ページにある表のとお 葉は、医療の世界において緊急事態発生や関係者 り。基調講演は豪華な布陣だ。初日は、TED での 招集の意味で使われるが、インターネットの世界 講演経験を持ち、現在では世界各地のカンファレ においても、IT・セキュリティ業界だけではなく、 ンスを飛び回るケレン・エラザリ氏が、ハッカー さまざまな業種の人々が集まり、議論・交流がで こそが世界を救うヒーローであると、その役割と きる場が必要だ」といい、さらに「CODE（技術） 重要性を説く。2 日目も、マルウェア解析などで によって BLUE（海）を超える、つまり国が違う人々 世界中のエキスパートが愛用する IDA Pro の初期 をセキュリティ技術という共通の言葉でつなげた 開発者であり、Hex-Rays 社 CEO のイルファク・ い」と CODE BLUE に込めた想いを語る。 ギルファノグ氏が、セキュリティの現実やプログ 本年 2 月に開催された第 1 回目は、同種のカ ラムの脆弱性に対する考え方、さらに IDA Pro 開 ンファレンスと比較してリーズナブルな価格設定 発の歴史などについて真摯な想いで語るという。 （早期：3 万円～当日 4 万 5000 円）も手伝って、 現在のセキュリティ・カンファレンスにおいて、 400 名以上の参加者が集まった。第 2 目回となる 研究対象は PC に限らず IoT 全般へと拡大する傾 今回は、前回以上の規模拡大を目指しているとの 向にある。CODE BLUE の講演においても、自動車・ こと。では早速今回の見所について伺ってみよう。 施設などに設置されたキオスク端末・ドローン（ク アッドコプター）・家庭内のネットワーク家電な 多彩な講演が魅力 ど、さまざまなモノの危険性が調査されている。 しかも、多くの講演では、将来起こりうる推測で 篠田氏によれば「講演者の募集（CFP）に対し はなく、現在起きている問題を扱っている。 て世界各国から 40 ほどの応募があり、実行委員 篠田氏は「これらの多くの問題は、製品設計段 会のレビューボードが、革新性・オリジナリティ・ 階でのセキュリティへの配慮不足に起因すると指 技術力の高さなどの観点から審査を行い、講演を 摘。セキュリティ業界には、今後の製品開発に役 13 表 CODE BULE の講演ラインナップ 初日：12 月 18 日（木） 2 日目：12 月 19 日（金） 基調講演： 「サイバーセキュリティの 5 つの問題 - セキュリティ 基調講演：「IDA Pro の歩みとこれから」 イルファク・ギルファノヴ（Hex-rays） プロフェッショナルとハッカーが地球を救う」 ケレン・エラザリ 「TriCore で動作する自動車用 ECU ソフトの攻撃手法に関する 「ドローンへの攻撃：マルウェア感染とネットワーク経由の攻 検討と試行」松木 隆宏（FFRI）＋岡・デニス・健五（ETAS） 撃」ドンチョル・ホン（SEWORKS） 「BadXNU、イケてないリンゴ！」 ペドロ・ベラサ 「マイクロソフトの脆弱性調査 : ベンダーでありながら発見者 となるために」デイヴィッド・シードマン（Microsoft） 「物理セキュリティ：サイバーセキュリティがすべてではない」 ショートセッション： 「バグハンターの愉しみ」 インバー・ラズ キヌガワ マサト ショートセッション： 「マルウェアによる検出回避方法の解説」 篠塚 大志（シマンテック） 「日出ずる国の組込セキュリティ」 「サイバーエスピオナージを抑制するためにデバイスを無効化 ベン・シュミット + ポール・マコウスキー（Narf Industries） するハイパーバイザー "DeviceDisEnabler"」 須崎有康（産業技術総合研究所） 「自宅をハッキングしてみた」 デイヴィッド・ジャコビィ（Kaspersky Lab） 「Microsoft Application Compatibility Framework の積極的な 利用によるエクスプロイット」 ジョン・エリクソン（iSIGHT Partners） 立てるためにも、利用者の安全のためにも、業界 ガワ・マサト氏は、バグハンターとしての生活や、 の垣根を越えて問題を広く伝えていく役目があ 発見したバグの他、各企業の報奨金制度などにつ る」と話す。 いて話をする予定だ。 また、セキュリティ業界で話題になったトピッ これらの講演は普段は語られることのないバグ クといえば、企業が外部の力を借りて製品の脆弱 ハンターの活動を知る貴重な機会だといえるだろ 性を減らそうとする「報奨金制度」の試みが挙げ う。 られる。CODE BLUE では、脆弱性を探す「バグハ ンター」による講演が 2 本準備されている。 CODE BLUE の模様は、本誌の次号以降でお伝え Microsoft のデイヴィッド・シードマン氏は、社 する予定だが、読者の皆さまにはぜひとも会場で 内 の 脆 弱 性 調 査、MSVR（Microsoft Vulnerability 講演を聞き、他の参加者との交流を深めていただ Research）の活動を紹介する。また、日本のキヌ きたいと切に願っている。 14