Comments
Description
Transcript
情報セキュリティセミナー2007 基礎コース
情報セキュリティセミナー2007 基礎コース 本テキストのpdfファイルは http://www.ipa.go.jp/security/event/2007/isec-semi/kaisai.html よりダウンロードできます。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 1 本日の講演内容 1. 2. 3. 4. 5. 6. 7. はじめに ウイルス関連 不正アクセス フィッシング 情報漏えい 個人レベルの対策 終わりに Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 2 情報セキュリティとは何か ・企業等にあるいろいろな資産の内、 「情報資産」を「脅威」から守ること。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 3 情報資産とは ・第一義的には、企業等における財務情報、 人事情報、顧客情報等の資産をいう。 ・財務情報、人事情報、顧客情報等は、ハード ウェア、ソフトウェア、ネットワーク、データ ベース、ノウハウ等に形態をかえて蓄積され るため、これらをすべて含めて言うのが一般 的である。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 4 脅威(リスク)とは ・情報資産に 情報資産に危害(盗難 危害 盗難、 盗難、紛失、 紛失、破壊等)を 破壊等 を与える原因 える原因 ・外部からの危害の原因 ウイルス、不正アクセス 等 ・内部からの危害の原因 ソフトウェアのぜい弱性 セキュリティモラルの欠如 等 情報セキュリティでは企業等の外部と内部の 両面から脅威の原因を個別に検討することが重要 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 5 情報セキュリティ対策の意義 ○ 情報資産の保護 情報の価値は思っている以上に高い ○社会的責任 （個人情報の保護） 顧客データ等個人情報を守る社会的責任がある ○企業の社会的信用の向上、維持 情報の流出、加害者への加担は企業の信用を失墜させる ○セキュリティ対策はビジネス上必須に 情報セキュリティ対策に不安のある企業とは… … Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 6 ITにおける脅威の変遷 1990 2000 脅威 脅威 事象 事象 フロッピー感染型ウイルス 愉快犯的・限定的な感染被害 パスワード解読ツールの普及等 特定サイトに対する侵入 電子メール添付型ウイルス ネット上での攻撃ツールの 入手容易化等 2003 経済産業省の資料を基に作成 状況分析 状況分析 第１期 ・パソコンの パソコンの普及 ・愉快犯の 愉快犯の能力誇示 ・限定的被害 インターネットを介した広域感染 第２期 ・インターネットの インターネットの普及 ・被害の 被害の大規模化 ・攻撃側の 攻撃側の情報共有の 情報共有の進展 ホームページ書換え・ DoS※攻撃 第３期 ぜい弱性を悪用したウイルス・ ワーム※ インターネットの普及と相俟った 急速かつ大規模な感染、 被害の深刻化 スパイウェア フィッシング 経済的利得を目的とした 情報詐取等 ボット 組織化・分業化、 複合的な手法を用いた攻撃 2004 2005 Copyright © 2007 独立行政法人 情報処理推進機構 ・ソフトウエアぜい ソフトウエアぜい弱性 ぜい弱性問題 弱性問題 の顕在化 ・ウイルス・ ウイルス・ワームの ワームの機能 高度化 第４期 ・経済的動機 （なりすまし・ なりすまし・詐欺） 詐欺） ・攻撃側の 攻撃側の組織化・ 組織化・ 分業化の 分業化の進展 ・手口の 手口の高度化・ 高度化・複合化 情報セキュリティセミナー2007 7 2. ウイルス関連 ウイルスとは？ スパイウェアとは？ ボットとは？ ウイルス感染の原因 ウイルス被害対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 8 コンピュータウイルスとは 経済産業省の「コンピュータウイルス対策基準」によると、第三者のプログラムや データベースに対して意図的に何らかの被害を及ぼすように作られたプログラム であり、 次の機能を一つ以上有するもの、と定義されている。 ○自己伝染機能 自らの機能によって他のプログラムに自らをコピーし又はシステム機能を利用し て自らを他のシステムにコピーすることにより、 他のシステムに伝染する機能 ○潜伏機能 発病するための特定時刻、一定時間、処理回数等の条件を記憶させて、発病す るまで症状を出さない機能 ○発病機能 プログラム、データ等のファイルの破壊を行ったり、設計者の意図しない動作を する等の機能 注) 一般的には、「伝染」という言葉はあまり使用されず、 「感染」を使用することが多い。 最近では、広い意味で、スパイウェアやボットなども ウイルスと呼ぶ。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 9 ウイルスの届出状況 ウイルス届出件数の年別推移 件数 6 0 ,0 0 0 2006年 2006 年 に 引 き 続 き 、 Netsky 、 Mytobの Mytob の 届出が 届出 が 多数寄せられる 多数寄 せられる 5 0 ,0 0 0 52,151 5 4 ,1 7 4 4 4 ,8 4 0 Mytobが Mytob が 出現し 出現 し 、 2 ヶ 月余りで 月余 りで70 りで 70種類以上 70 種類以上もの 種類以上 もの 亜種が 亜種 が登場 依然として 依然 としてNetsky として Netsky の 届出が 届出が 多数寄せられる 多数寄 せられる 4 0 ,0 0 0 3 4 ,3 3 4 3 0 ,0 0 0 24,261 2 0 ,0 0 0 Netskyの Netsky の 亜種が 亜種 が 次 々 に 登場 セキュリティホールを セキュリティホール を悪用する 悪用 する亜種 する 亜種も 亜種 も 出現 20,352 17,425 1 1 ,1 0 9 1 0 ,0 0 0 1,127 668 755 1994 1995 1996 2 ,3 9 1 2 ,0 3 5 1997 1998 3,645 0 1999 2000 2001 2002 2003 2004 2005 2006 2007 年 独立行政法人 情報処理推進機構 セキュ リテ ィセンター( ィセンター( IPA/ IPA / ISEC ) 注)亜種 亜種とは 亜種とは、 とは、オリジナルの オリジナルのウイルスに ウイルスに機能を 機能を追加したり 追加したり、 したり、動作を 動作を変更したり 変更したり等 したり等の改変を 改変を加えたもの。 えたもの。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 10 ウイルス種類別届出件数 ウイルス別届出件数推移（2007年1月～12月） 800 700 W32/Netsky 600 W32/Bagle 500 W32/Mytob 400 W32/Mydoom 300 W32/Sality 200 W32/Stration 100 0 1月 2月 3月 4月 Copyright © 2007 独立行政法人 情報処理推進機構 5月 6月 7月 8月 9月 10月 11月 12月 情報セキュリティセミナー2007 11 届出状況から見た最近のウイルスの特徴 ・ IPAのウイルス届出状況を見ると最近のウイルスは、「トロイの 木馬」の機能をもったウイルスが半数以上を占めている。 例:Netsky、Mytob 等 ・ウイルスの基本的な特徴は、「他のプログラムやシステムに 自らをコピー 」、つまり増殖して感染することにある。 ・他のプログラムやシステムを利用しないで、自ら増殖して感染 するものを「ワーム※」と呼んでいる。 ・他のプログラムやシステムを利用せず、自らも増殖をしないで、 発病だけするものを「トロイの木馬※」と呼んでいる。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 12 代表的なウイルス Netsky(ネットスカイ) ○正式名称 W32/Netsky ○ウイルスの特徴 ・トロイの木馬型ワーム ・自分自身の複製をメールの添付ファイルにより拡散させる ○主な症状 ・不特定多数へ大量のウイルスメールを送信する（マスメール型） 注)「W32」とは、Windowsの32ビット版で稼動することを意味しており、対象は Windows 2000、XP、Vista などがある。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 13 代表的なウイルス Mytob(マイトブ) ○正式名称 W32/Mytob ○ウイルスの特徴 ・トロイの木馬型ワーム ・自分自身の複製をメールの添付ファイルにより拡散させる ・コンピュータをネットワークに繋いだだけで他のコンピュータに 感染する機能を持つ ○主な症状 ・不特定多数へ大量のウイルスメールを送信する（マスメール型） ・バックドア※を仕掛け、外部からパソコンを操作できるようにする ・ウイルス対策ソフトベンダー等のホームページの閲覧を妨害する 注)「W32」とは、Windowsの32ビット版で稼動することを意味しており、対象は Windows 2000、XP、Vista などがある。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 14 スパイウェアとは 利用者や管理者の意図に反してインストールされ、 利用者の個人情報やアクセス履歴などの情報を 収集するプログラム等 情報処理推進機構(IPA)と 日本ネットワークセキュリティ 協会(JNSA)スパイウェア 対策啓発WGによる共同定義 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 15 スパイウェアの代表例「キーロガー」 • WindowsなどのOSに入り込み、キー入力やマウス 操作などを監視 – 表向きは起動しているように見えない。 – タスクマネージャのプロセス画面にも表示されない場合 がある。 – レジストリ※を書き換えて、起動時に自動的に実行される。 • 盗聴した情報はファイルに保存 – しばらくの間、情報を収集した後に ファイルを回収 • あるいはネットワーク経由で送信 – 悪意ある人がリモートで収集 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 16 キーロガーによるID/パスワード盗難 銀行と悪人の「イタチごっこ」は続く 出典：情報セキュリティ白書 2006年版 http://www.ipa.go.jp/security/vuln/20060322_ISwhitepaper.html Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 17 キーロガーによるID/パスワード盗難 （事例） ネット銀行の不正引き出し ネット銀行の不正引き出しスパイウエアが原因 (2005年7月) オンラインショップの経営者へ商品の返品交換を要求する苦情メールが届いた。メールに添付され ていた商品の写真を開いたが、写真は存在しなかった。実はこの添付ファイルをクリックした際、本 人が気づかないうちに、キーロガーを悪用するスパイウエアがインストールされた。 このキーロガーは、ネット銀行などへのアクセスを監視し、口座番号や暗証番号を犯人に送信し、犯 人は、盗んだ情報を悪用して不正に引き出した。 ITmedia Enterprise 記事参照： http://www.itmedia.co.jp/enterprise/articles/0507/22/news089.html ECサイト運営者 写真ではなく、スパイウェア が添付されていた 悪意を 悪意を持つ人 お宅で買った商品が壊れていたので交換して ください。写真を添付したのでご確認ください！ Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 18 ボットとは コンピュータウイルスの一種で、コンピュータに感 染し、そのコンピュータをネットワーク(インター ネット)を通じて外部から操ることを目的として作 成されたプログラム 感染すると、外部からの指示を待ち、 与えられた指示に従って処理を実行 する。この動作が「ロボット」に似て いることから、ボットと呼ばれている。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 19 ボットネットワークの脅威 同じ種類のボットに感染したコンピュータが複数集まると、指令 サーバを中心とするネットワークが構成される。 これをボットネットワークと呼ぶ。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 20 ボットの状況 Telecom-ISAC-Japan(財団法人日本データ通信協会 テレコム アイザック推進会議)とJPCERT/CC(有限責任中間法人JPCERT コーディネーションセンター)がISP(インターネットサービスプロバ イダー)やセキュリティベンダーなどと連携し、ボットネットの本格 的な実態調査（2005年１2月）を行ったところ以下のようなボット ネットの実態が明らかになった 。 ・国内のISPユーザーのボット感染率は2～2.5％で、40～50人に1人が感染して いることが判明した。 ・対策をまったく施していないパソコンをインターネットに接続した場合、 平均4分で ボットに感染する。 ・現状では常時20種類程度のボットが感染活動を行っており、1日平均70種類以上 の亜種が確認された。 http://www.itmedia.co.jp/enterprise/articles/0512/15/news090.html Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 21 国のボット対策事業 総務省・ 総務省・経済産業省 連携プロジェクト 連携プロジェクト 主な活動内容 ・ISPと と連携した 連携した注意喚起活動 した注意喚起活動 ・ボットの ボットの駆除ツール 駆除ツール提供 ツール提供 ・感染防止のための 感染防止のための対策情報提供 のための対策情報提供 https://www.ccc.go.jp/ Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 22 ウイルス感染の原因 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 23 ネットワークに接続しただけで感染 ネットワークを介してコンピュータのぜい弱性 （セキュリティホール）をついた攻撃（アクセス）を 受けることによりウイルス感染 代表的ウイルス:MSBlaster、Welchia、Sasser 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 24 Webサイトの閲覧から感染 ・ウイルスが仕掛けられたWebサイトを閲覧する ことにより感染 （例：迷惑メールに記載されたリンクからWebサイト に誘導され感染） 代表的ウイルス:Nimda、Redlof、Fortnight 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 25 メールから感染 メールの開封やプレビューにより、ウイルス等 に感染した添付ファイルが自動的に実行され 感染 代表的ウイルス:Klez、Bugbear、Badtrans 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 26 ファイルのやり取りによる感染 ・Webサイトなどからダウンロードしたフリーソフト(無償プログラ ム)やシェアウェア(有償プログラム)にウイルスが仕掛けられて おり、 、 そのプログラムファイルをインストールすることにより感染 ・ファイル交換(P2P※)ソフト、IM※(インスタントメッセンジャ) サー ビス等により入手したファイルによる感染 ・コンピュータがネットワークに接続されていなくても、 CDやUSB メモリなどの外部媒体からファイルをやり取りすることにより感染 代表的ウイルス:Antinny、Exponny 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 27 ウイルス被害対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 28 ウイルスの感染症状 目に見える症状 ・システムやアプリケーションが頻繁にハングアップしたり、再起動を繰り 返すなどパソコンが使えなくなる。 ・いきなりインターネットに接続しようとしたり、反対にネットワークが停止 する。 ・ウイルス対策ソフト等のセキュリティ対策ソフトが使用できなくなる。 ・ファイルがなくなったり、見知らぬファイルが作成される。 ・タスクバー等に妙なアイコンが作成される。 ・直感的にいつもと何かが違うと感じる。動作が遅くなる。 等 目に見えない症状 ・他のコンピュータにサービス妨害攻撃※を仕掛ける。 ・大量のウイルス付きメールを送信する。 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 29 ウイルス感染した場合の対応 一般的に「目に見える症状」は、主に自分だけの被害であるが、「目に見えない症状」は、 主に内外のネットワークに接続されている人たちへも被害が拡大する。 特に「目に見えない症状」の場合は、ウイルスに感染したことに気がつかないでいると、 知らない間に自分のパソコン内のアドレス等を利用して、勝手にネットワーク上へ大量 のウイルスメールなどを送ったりしてしまい、自分がウイルス感染の被害者だと思って いたら、いつの間にか加害者になっているなどということもあり、自分だけの問題ではす まなくなる。 このため、ウイルス感染を発見した場合は、「目に見えない症状」が起きている可能性 を認識し、迅速なウイルス対策を行うことが必要 ウイルスに感染したと思われる場合 ・パソコンをネットワークから切り離す。 ・最新のウイルス対策ソフトで検査を行い、ウイルス名を特定する。 ・特定されたウイルスにあった適切な駆除を行う。 ・再発防止のための措置を行う。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 30 ウイルス対策ソフトの利用 各パソコンにウイルス対策ソフトを必ず導入する ウイルス対策ソフトは、パターンファイルによりウイルスを検知 するため、利用者は、パターンファイルを常に最新に更新する ことが重要 ウイルス対策ソフトの活用 ・ウイルス対策ソフトで定期的にパソコンをスキャンする。 ・メールの添付ファイルは、開く前にウイルス検査を行う。 ・ダウンロードしたファイルは、使用する前にウイルス検査を行う。 ・メールに添付ファイルをつける場合は、ウイルス対策ソフトで検査を行う。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 31 ぜい弱性を解消する ぜい弱性とは、情報システムのセキュリティ上の欠陥、セキュリティホール※とも 言う。 一般的には、セキュリティ問題を引き起こす可能性のあるソフトウエアの 欠陥をいうが、広義には、弱いパスワード等や設定ミスによるセキュリ ティ上の問題もぜい弱性と呼ばれることがある。 ぜい弱性の解消はセキュリティ対策として最も基本的対策 オペレーティングシステム(OS)やソフトウェア（Webブラウザ、メールソフト等）に ぜい弱性があると、 そこが侵入口となって、ウイルスに感染したり、その他の 攻撃を受ける。 ウイルス感染の原因の90%以上は、メール機能と ぜい弱性を悪用したもの Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 32 ぜい弱性の解消方法(Windowsの場合) 「スタート」ボタン ↓ すべてのプログラム ↓ 「Microsoft Update」 (ブラウザ、アプリケーションソフト等) または 「Windows Update」 (オペレーティングシステム) Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 33 ウイルス被害の復旧対策 ・ウイルス対策ソフトはウイルスを発見、駆除を行うためのもので ある。 ・ウイルスが破壊したデータは、ほとんどウイルス対策ソフトでは 修復できない。 ・破壊されたデータ等の復旧方法 ① バックアップデータを利用 ② システムの復元機能を利用 ③ パソコンの初期化(もっとも確実な方法) Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 34 3. 不正アクセス 不正アクセスとは？ 侵入行為 復旧対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 35 不正アクセスとは 不正アクセスとは、経済産業省の「不正アクセス対策基準」による と、システムを利用する者が，その者に与えられた権限によって許 された行為以外の行為をネットワークを介して意図的に行うこと、 と定義されている。 また、「不正アクセス禁止法」(2000年2月13日施行)の定義によれ ば、以下のような不正アクセス行為及び不正アクセスを助長するよ うな行為を言う。 ・コンピュータのOSやアプリケーションあるいはハードウェアに存在する脆弱性 (セキュリティホール※)を利用して、コンピュータのアクセス制御機能を迂回し、 コンピュータ内に侵入する行為(侵入行為) ・他の人に与えられた、利用者ID及びパスワードを、その持ち主の許可を得ず に利用して、持ち主に提供されるべきサービスを受ける行為(なりすまし行為) ・持ち主の許可を得ずに、その持ち主の利用者ID及びパスワードを第三者に 提供する行為 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 36 IPAへの不正アクセス届出状況 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 37 不正アクセス届出状況内訳(抜粋) Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 38 侵入行為 一般的に侵入行為により不正アクセスを行う場合の手順 不正実行 後処理 事前調査 権限取得 様々な 攻撃 ﾎﾟｰﾄｽｷｬﾝ※ ｼｽﾃﾑの 情報収集 アカウント名の 調査 (結果) ファイル 奪取 特権ユー ザ獲得 資源利用 裏口作成 証拠の隠滅 不正プログ ラム埋込 パスワード 推測 Copyright © 2007 独立行政法人 情報処理推進機構 一般ﾕｰｻﾞ 権限獲得 踏み台 情報セキュリティセミナー2007 39 侵入行為(事前調査、権限取得) ○事前調査 企業に侵入するための糸口を見つけるためシステムの情報を 取得する。 手段としては、システムが通信に使用しているポートを調べて、 開いているポート、提供されているサービス等を調べる(ポート スキャン※)。 ○権限取得 ツールなどを使用して、IDやパスワードを不正に入手して、情報 にアクセスする権限を獲得する。 特に特権ユーザの権限が取得されると、システムでのすべての 処理が実行できるので、あらゆる不正行為が可能となる。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 40 侵入行為(不正実行①) ○盗聴 ネットワーク上のデータ、保存データの不正入手(情報の漏えい、 パスワードの盗難等) ○改ざん データの書き換え(Webページの改ざん等) ○なりすまし 別の個人を装い、その者の振りをしたさまざまな行為 ・盗み出したID・パスワードを使い、正当なユーザに見せかけ て侵入 ・他人のクレジットカード番号を使用してショッピング 等 ○破壊 データやプログラムの削除、ハードディスクの初期化 等 ○コンピュータの不正使用 コンピュータの遠隔地からの操作、コンピュータの自動起動 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 41 侵入行為(不正実行②) ○不正プログラムの埋め込み ユーザの知らない間に情報を入手して外部へ送信したり、ファイルを破壊した りする等の不正プログラム(トロイの木馬※など)の埋め込み ○踏み台 不正アクセスを行う際の中継地点として、他人のコンピュータを使用 ・アカウントを不正使用し他のサイト攻撃の拠点とする。 ・スパムメール(迷惑メール※)の中継に利用する。 乗っ取 被害者 （加害者） 踏み台 ） り（侵入 （攻 撃 に荷担 ） 侵入者 第２の被害者 加害者の 加害者の立場へ 立場へ Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 42 侵入行為(後処理) 不正行為を行った後、侵入の形跡を消す証拠隠滅工 作を行う。 次回に侵入するのを容易にするため、管理者に気づ かれないように侵入経路として裏口(バックドア※)を作 成する。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 43 サービス妨害攻撃※ (Denial of Service：DoS攻撃) サーバに大量のデータを送って過大な負荷をかけ、サーバのパフォーマンスを極端に 低下させたり、サーバを機能停止に追い込んだりする攻撃 大量データ 大量メール 妨害者 Copyright © 2007 独立行政法人 情報処理推進機構 ディスク溢れ 処理不能 サーバダウン メールサーバ 情報セキュリティセミナー2007 44 分散DoS攻撃※(Distributed DoS) 関係のない多数のパソコンに攻撃プログラムを埋め込み、ターゲットを一斉に攻撃 踏み台 ターゲット 攻撃者 攻撃プログラム埋め込み (ツール、ワーム※等) Copyright © 2007 独立行政法人 情報処理推進機構 踏み台 大量データを一斉送 信(DoS攻撃)により システムダウン 情報セキュリティセミナー2007 45 不正アクセス被害の復旧対策 ○不正アクセス被害であることが判明した場合 まずはネットワークから切り離す ・原因の追及と影響範囲の確認 ログなどに不正アクセスの形跡が残っていないか確認する。 ・管理者や専門家に相談 類似した事例はないか相談する。 ・再発防止のための措置を行う 全ての被害原因を排除し、再発を防ぐ。 - 脆弱性の解消 - 場合によっては、初期化、再インストールやパスワードの 変更が必要 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 46 4. フィッシング フィッシングとは？ 事例 対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 47 フィッシング(Phishing)とは 金融機関（銀行やクレジットカード会社）などを装った電子メールを送り、 住所、氏名、銀行口座番号、クレジットカード番号などの個人情報を詐 取する行為 フィッシング詐欺 フィッシング詐欺 xx.xx.30.51 xx.xx.30.51 正規の 正規のサイト 偽のサイト メール 正規の 正規のサイトだと サイトだと思 だと思って利用者 って利用者ID 利用者 とパスワードを パスワードを入力してしまう 入力してしまう 正規の 正規のサイトにみせかけ サイトにみせかけ、 にみせかけ、偽のサイトに サイトに誘 導することで、 することで、利用者はだまされてしまい 利用者はだまされてしまい、 はだまされてしまい 、 重要な 重要な情報が 情報が漏えいしてしまいます。 えいしてしまいます。 Copyright © 2007 独立行政法人 情報処理推進機構 悪意を 悪意を持つ人 利用者 カード情報 カード情報などの 情報などの 重要な 重要な情報を 情報を得る 情報セキュリティセミナー2007 48 フィッシング事例（2007年3月） 「300万円まで即日ご融資のスピード審査」などいった融 資を持ちかけ、詳細についてはメールに書かれたURLに アクセスするよううながす内容の偽メールを送り、偽ペー ジに誘導して、住所・氏名等の個人情報を入力させる。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 49 フィッシングメールを防ぐ ○メールの送信元を安易に信用しない 送信元メールアドレスは、簡単に偽装されてしまう。必要に応じて、メール のヘッダ情報などを参照して、送信元をチェックすること。 ○メールの本文中にあるリンクを安易にクリックしない メール本文に書かれているリンクをクリックする前に、メールそのものが 信頼出来るものなのかどうか、チェックすること。 ○メールの内容を安易に信用しない フィッシングメールは、利用者の錯誤を誘うような内容になっており、実 在の企業名が使用されていたり、重要性や緊急性をアピールする文言 が使用されていても内容を安易に信じないこと。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 50 フィッシングへの対策 入力前に本物のサイトかどうか確認する。 ・アドレスバーに正しいアドレスが表示されているか確認する。 ・情報が暗号化されて送信されるSSL(Secure Socket Layer) で接続されていることを確認。 個人情報などの重要な情報を入力する金融機 関等のWebサイトではSSLを使用して通信を暗 号化するのが一般的である。利用者がSSLに よりWebサイトと接続されているときは、アドレ ス欄に「https://」と表示され、ブラウザの右下 の鍵マークがつながった状態で表示されてい ることを確認する。 ただし、これらの対策は絶対的な方法ではなく、これらをさらに偽装 する方法も出現しているので、正しいWebサイトに見える場合でも 過信は禁物。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 51 5. 情報漏えい 情報漏えいの原因 ファイル交換ソフトとは？ 情報漏えい対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 52 情報漏えいの影響 企業（組織）からの情報漏えいは、個人情報保護 法の施行以来、注目度がアップし、企業で働く社 員にとっても大きな脅威になっているが、企業に とっては以下のような影響を受ける。 ・社会的信用の失墜 ・業務停止 ・賠償被害 等 情報漏えい このような損失の他に、顧客対応費用、漏えい情 報の回収費用、マスコミ対応等の費用なども発生 する。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 53 情報漏えい事故の原因 ・情報漏えい事故のほとんどは･･･ 不注意から 「2006年度情報セキュリティインシデントに関する調査報告書」（JNSA） http://www.jnsa.org/result/2006/pol/insident/070720/index.html Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 54 なぜ情報流出が起きるのか ・秘密情報取り扱いのまずさ – 企業/組織の機密情報、個人のプライバシー情報 ・ファイル交換ソフトが元来持つ特性(危険性)の 理解が不十分な状態での利用 ・ウイルス感染に気づかない いずれかの一つでも、情報漏えいの 原因となり得る。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 55 ファイル交換ソフトによる情報漏えい事例 ・原発情報流出 ・警察の捜査資料が流出 ・銀行の預金者情報が流出 ・病院から患者の手術情報が流出 ・自衛隊の機密情報が流出 ・オンラインショッピングの顧客情報が流出 ・証券取引所のシステム情報が流出 ・空港の保安情報が流出 ・企業から顧客情報が流出 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 56 ファイル交換ソフトとは • インターネット上で、不特定多数のコンピュータ 間でファイル(データ)をやり取りできるソフトウェ ア • P2P※ (Peer to Peer) ソフト、とも呼ばれる • 1999年1月にUSAで誕生したMP3（音楽）データ 交換ソフト「Napster」が先駆け • 現在では数多くのファイル交換ソフトが存在 Winny※、WinMX、Ｓhare、ＢｉｔＴｏｒｒｅｎｔ、Ｃａｂｏｓ、ＬｉｍｅＷｉｒ ｅ、eDonkey、KaZaA、Morpheus、Ares、eMule、Grokster、 Bearshare、Gnucleus、Shareaza、Rapigator、などなど Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 57 ファイル交換ソフトの持つ危険性とは • ウイルス感染しているかどうかに よらず、ファイル誤操作によって データを流出させてしまう可能性 • 匿名性が高く、通信相手の特定が困難な ため、広く流出・拡散してしまうと、回収は 事実上不可能 • ファイル交換ソフトの機能を悪用するウイルス に感染すると、自分の意思によらず、データを 流出させられてしまう Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 58 Winnyとは • • • • • 「ファイル交換(共有)」するためのソフトウェア 主な機能は「検索」と「ファイル送受信」 2002年5月に初期のバージョンが公開 Windowsのみで動作する 従来のファイル交換ソフト「WinMX」の次 世代版という意味合いを込めて「Winny」と 名付けられたと言われている WinMX → Win M X → WinNY WinNY → Winny ↓↓ N Y Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 59 ファイル交換ソフト(P2P※)による情報が 漏えいする仕組み Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 60 Antinnyウイルスによる情報漏えい ・Winny※ネットワークを介してAntinnyが感染したパソコ ン内の特定の種類のファイル(画像、文書、表計算、 メール等)をWinnyの公開用フォルダにコピー Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 61 山田オルタナティブウイルスによる 情報漏えい ・2006年2月下旬に発見 ・Webサーバ機能を内蔵しており、感染したパソコ ンの内容をWebサイトという形式でインターネット の他のユーザから参照できるようにしてしまう。 ・また、感染しているパソコンのIPアドレスをイン ターネットの特定の掲示板に書き込む。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 62 山田オルタナティブウイルスに感染すると HDD内が覗かれる 外部から、あ たかもホーム ページを見る ように感染した パソコンの中 身を覗かれ る！ デスクトップ画面 が覗かれる 一般のインター ネットユーザ 感染者同士のリンク をたどられる Copyright © 2007 独立行政法人 情報処理推進機構 デスクトップ画面 が覗かれる 情報セキュリティセミナー2007 63 ファイル交換ソフトによる情報漏えいの防止 ファイル交換ソフトでの情報漏えい事件には、次のような 原因と対策が挙げられる。 ○予算の関係でパソコンの割り当てが不足していて、私有パソコン を使っていた。 →業務に必要不可欠なパソコンは支給する。 ○情報を持ち出さないルールはあったが、徹底されていなかった。 →社員教育を充実して、情報漏えいによる企業への被害を 理解させる。 ○ウイルスに感染していることに気づいていなかった。 →抜き打ちでスキャン結果のログを調べ、確実にウイルス スキャンが行われているかを確認する。 現状では、使わないことがベストな対策 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 64 6. 個人レベルの対策 ファイルの拡張子とは？ ファイルの見分け方 セキュリティレベルの設定 パスワードの設定・管理 電子メールのセキュリティ対策 迷惑メール※の取り扱い バックアップ Windows 98/Me パソコンの扱い Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 65 ファイル拡張子の意味 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 66 ファイル拡張子の表示 標準ではファイルの拡張子は表示されない設定になっているので、 コントロールパネル等の中の「フォルダオプション」を利用して拡張 子を表示するように変更する 「表示」タブをクリック チェックを外す Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 67 ファイル名・アイコン偽装例 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 68 ファイルの見分け方 ファイルのプロパティにより怪しいファイルを見分ける。 「ファイルの種類」が 「アプリケーション」と なっており、実行形式 ファイルのことである。 テキスト ファイルを 装っているが、二 重拡張子の指定で、 ある。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 69 ファイルの開き方 ファイルはできる限りダブルクリックで開かない。 文書や表計算等の ファイルを開く場合は、 右クリックでメニューを 表示させて、「プログラ ムから開く」を選び、そ の中からそのファイル を開きたいアプリケー ションソフトを選択する。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 70 ブラウザのセキュリティレベルの設定① ブラウザのセキュリティ設定を「高」にすることにより、 外部からの攻撃を少なくできる。 インターネットへ のアクセスに対 するセキュリティ レベルを「高」に 設定する。 Copyright © 2007 独立行政法人 情報処理推進機構 インターネットエクスプローラで 「ツール」 →｢インターネットオプション｣ →「セキュリティ」 情報セキュリティセミナー2007 71 ブラウザのセキュリティレベルの設定② ブラウザのセキュリティ設定を「高」にすると、Webサイト が正しく表示されない場合があるが、信頼済みサイトに 登録したWebサイトは通常通り表示される。 セキュリティレベルの設定に関係な く正しい表示で見たいサイトなどを 登録 インターネットエクスプローラで 「ツール」 → ｢インターネットオプション｣ → 「セキュリティ」 → 「信頼済みサイト」 → 「サイト」 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 72 ブラウザのセキュリティレベルの設定③ アクティブスクリプトとは、 Webサイトで音楽や動画を 実行するためのプログラム であるが、悪意のあるプロ グラムを埋め込まれたりな どして、ウイルス等の被害 に遭う可能性があるので、 音楽や動画などを利用しな い場合はブラウザのアク ティブスクリプトを無効に設 定することが望ましい。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 73 警告画面の確認① Windows では、ホームページに掲載された写真や動画をクリックすると、パソコン に既にインストールされている画像表示ソフトや動画再生ソフトが起動する。 しかし、写真や動画に見せかけてウイルス等の悪意あるプログラムが、ホーム ページに置かれていた場合には、その写真や動画をクリックすると、当該プログ ラムを実行するかどうかの警告画面が表示される。そのようなときは先には進ま ず「キャンセル」をクリックする。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 74 警告画面の確認② 「ダウンロード」のセキュリティ警告画面で「実行」をクリックすると、利用者のパソ コンにプログラムがダウンロードされて、そのプログラムを実行するかどうかの警 告画面が表示される。 Windows では、プログラムの発行元が正統なものであるかどうかを証明する仕 組みを活用しており、この警告画面で、「発行元」の欄をみれば、証明された発行 元であれば、その発行元の名称が表示される。 。 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 75 パスワード設定・管理 • 不適切なパスワード – – – – – – – 長さが不十分 辞書に載っている単語の利用 IDと同じ 自分・家族の情報 固有名詞 単純な数字や文字の並び 過去に使用したパスワードの再利用 等 • 適切なパスワード – 大文字・小文字・数字・記号の組み合わせ – 長いパスワード – 推測しづらく自分が忘れないパスワード(例えばパスフレーズによる設計) 等 • パスワード盗難対策 – – – – 定期的な変更 紙に書き留めない マシンに保存しない 人に教えない 等 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 76 パスフレーズ設定例 パスフレーズによるパスワード設定例 ・パスフレーズ 「ＨＡＲＵNO ＵRＡRＡNＯ SＵMIDＡGＡWＡ」 ・作成されたパスワード ＆S＄M＃ ＃DGW」 「ＨＲ＄N&＄RRN＆ 母音を以下のルールにより変換する A→無、I →＃ ＃、U→$、E→%、O →＆ ＆で置換 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 77 スクリーンセーバーのパスワード設定 スクリーンセーバーのパスワードを設定することにより、 パソコンから長時間離れても他人がパソコンを使うのを 防ぐことができる。 パスワードに よる保護 画面プロパティ (背景画面で右クリックメニュー) →スクリーンセーバー 例）スクリーンセーバのパスワードによる保護機能の設定例 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 78 電子メールのセキュリティ対策① (Outlook Express) 電子メールの本文がHTML形式(Hyper Text Markup Language： Webサイトなどの表示形式を利用したメール) の場合、 HTMLを実行できなくするとともに、ウイルスの 可能性がある添付ファイルを開かないようにする。 メール本文の HTMLを実行でき なくする。 ウイルスの可能性がある 添付ファイルは開かない Copyright © 2007 独立行政法人 情報処理推進機構 Outlook Expressで、 「ツール」→「オプション」→「セキュリティ」 情報セキュリティセミナー2007 79 電子メールのセキュリティ対策② (Outlook Express) 電子メールの本文を安全に読むためには、常に本文を テキスト形式で表示させることが望ましい。 メールの本文は全て テキスト表示 Copyright © 2007 独立行政法人 情報処理推進機構 Outlook Expressで、 「ツール」→「オプション」→「読み取り」 情報セキュリティセミナー2007 80 電子メールのセキュリティ対策③ (Outlook Express) 電子メールの内容の一部をメールソフトのウィンドウに 表示する(プレビュー)だけでウイルス感染するものがあ るので、必要がなければプレビュー機能オフにする。 プレビュー機能をオフ にする。 Copyright © 2007 独立行政法人 情報処理推進機構 Outlook Expressで、 「ツール」→「オプション」→「読み取り」 情報セキュリティセミナー2007 81 迷惑メール※の取り扱い 迷惑メールには絶対返信しない。 • Webサイトへの勧誘メール – 興味本位にブラウザ等で開かない – 不要ならばそのまま捨てる – 又は、自動振り分け機能などでゴミ箱へ直行 • 大量に送られてくる同一の迷惑メール – プロバイダや管理者へ連絡しメール削除を依頼 • チェーンメール – 転送はせずそのまま捨てる Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 82 バックアップ (Windowsの場合) 被害に遭っても迅速に復旧できるようにバックアップ をとる。 ・Windowsのバックアップ機能を利用して、データ等 のバックアップの作成と復元ができる。 「スタート」メニュー→「すべてのプロ グラム」→「アクセサリ」→「システム ツール」→「バックアップ」を選択 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 83 Windows 98/Meパソコンの扱い 今後、ぜい弱性が発見されても、修正プログラム※ は提供されない！ 攻撃 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 84 Windows 98/Meパソコンの対応策 対応策の一つとして「オープンソース」へ移行するという考え方が あり、今後オープンソースを利用する上で以下のような取り組みが 参考になると思われる。 ・IPAのオープンソースソフトウェアセンター(OSS)では、現在利用 されているOSをLinux等のオープンソースに移行したいと考えて いる利用者に注意事項や導入方法等を提言するための調査を 行っている。 http://www.ipa.go.jp/software/open/osec/2006/hp/koubo1.html ・コンピュータ教育開発センター(CEC)では、 OSSプラットフォーム を学校教育現場へ普及展開するための方向性を示すことを目 的として、「オープンソースソフトウェア導入プロジェクト」を実施 している。 http://e2e.cec.or.jp/osp Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 85 7. 終わりに Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 86 ウイルス被害について IPAセキュリティセンターでは、「ウイルス被害額算出モデル研究 会」を設置し、ウイルス被害額算出モデルを作成して、そのモデル を使いウイルスにより企業の重要システムなどの能力低下・停止 といったインシデント(脅威が現実化したこと)による被害額(2005年 の1年間)の算出を実施した。 算出項目は、「復旧に要したコスト」と「ウイルス被害による逸失売 上」である。 ○中小企業(従業員数300名未満) 被害発生企業数95社の平均被害額 約430万円/社 ○大企業(従業員数300名以上) 被害発生企業数110社の平均被害額 約1億3,000万円/社 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 87 不正アクセス等の被害について ウイルス被害額調査のほかに不正アクセスによるWebサイトへの 攻撃やWinny※ネットワークを介した情報漏えい等のインシデント による被害額の実態調査を行った。 実態調査は、2005年に不正アクセスの被害を受けたことが公表さ れている企業10社を対象にして、ヒアリング等を行った。 被害額は、「復旧に要したコスト」だけを推計したものである。 ○Webサイトへの攻撃(情報漏えい対応のコストは除く) 1企業あたりの平均被害額 約5,000万円～1億円/社 ○ Winnyによる情報漏えい (データの調査分析、対外説明、問合せ対応等の人件費) 1企業あたりの平均被害額 約100万円～2,800万円/社 Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 88 IPAの教材 http://www.ipa.go.jp/security/antivirus/shiori.html Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 89 IPAの教材 http://www.ipa.go.jp/security/y2k/virus/cdrom2/index.html http://www.ipa.go.jp/security/y2k/virus/cdrom2/school.html http://www.ipa.go.jp/security/publications/dokuhon/2006/index.html Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 90 IPAセキュリティセンターのホームページ http://www.ipa.go.jp/security/ 緊急対策情報 情報セキュリティ 情報セキュリティ認証 セキュリティ認証関連 認証関連 届出 ・届出ウイルス一覧 ・ウイルスの届出 ・不正アクセスの届出 ・脆弱性関連情報の届出 情報セキュリティ 情報セキュリティ対策 セキュリティ対策 ・ウイルス対策 ・新種ウイルス情報 ・不正アクセス対策 ・脆弱性関連情報の取扱い ・読者層別対策実践情報 暗号技術 ・JISEC ・JCMVP セミナー・ セミナー・イベント 資料・ 資料・報告書等 ・調査・研究報告書 ・海外セキュリティ関連文書 ・開発成果紹介 ・セキュリティ関連RFC ・PKI関連技術情報 公募 ・CRYPTREC Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 91 独立行政法人 情報処理推進機構 セキュリティセンター（IPA/ISEC） 〒113-6591 東京都文京区本駒込２－２８－８ 文京グリーンコート センターオフィス１６階 ＴＥＬ ０３（５９７８）７５０８ ＦＡＸ ０３（５９７８）７５１８ 電子メール [email protected] ＵＲＬ http://www.ipa.go.jp/security/ Copyright © 2007 独立行政法人 情報処理推進機構 情報セキュリティセミナー2007 92 用語集（基礎コース、マネジメントコース） BIOS パスワード パソコンが起動する時に、OS（Operating System）の立ち上げ前に実行される BIOS（Basic Input/Output System）において、パスワード認証を行うこと。ログイン認証は、一般的に は OS ログインのための利用者 ID とパスワードにより行われるが、 OS ログインを行う前に、 BIOS パスワードによる認証を行うこともある。 （BIOS パスワードを設定する場合、事前に BIOS パスワードを忘れた場合の対策を考えておく必要がある。 ） DoS（Denial of Service） 「サービス妨害攻撃」参照。 HDD パスワード HDD（Hard Disk Drive）へのアクセスをパスワード認証により管理するもの。HDD パスワー ドを設定している場合、HDD を取り出して別のパソコンでその中のデータを読み出そうとし ても、事前に設定されたパスワードが必要になる。なお、HDD パスワードを忘れた場合には、 パソコンメーカーの修理・保守でも対応できず、HDD の交換が必要となるため注意が必要。 IM（Instant Messenger） インターネットに接続したパソコン同士で、チャットやファイルのやりとりができるソフ トウェア。同じソフトを利用している仲間がインターネットに接続しているかどうかがわ かり、リアルタイムにメッセージを送ることができる。AOL Instant Messaging や MSN Messenger が有名。 PDA（Personal Digital Assistant または Personal Data Assistance） 情報携帯端末とも呼ばれる。スケジュール表、住所録、メモなどの管理を行う手のひらサ イズの小型端末で、リアルタイム OS を搭載しているため、電子手帳と異なりアプリケーシ ョンの追加による機能追加が可能である。携帯電話機能、インターネット接続による web 閲覧やメールの送受信機能を備える場合もある。 P2P（Peer to Peer：ピアツーピア） 従来のクライアント・サーバ型のように、サーバにあるデータをクライアントにダウンロ ードして利用するのではなく、不特定多数の個人間で、サーバを介さずに、直接データの やり取りを行うインターネットの利用形態。 SQL インジェクション データベースと連携した Web アプリケーションの多くは、利用者からの入力情報をもとに データベースへの命令文を組み立てている。この命令文の組み立て方法に問題がある場合、 1 攻撃によってデータベースの不正利用を招く可能性がある。この問題を悪用した攻撃手法 を一般に「SQL インジェクション」と呼ぶ。 SQL（Structured Query Language）は、リレーショナルデータベース（RDB)において、デ ータベースの操作やデータの定義を行うための問い合わせ言語。 Winny（ウイニー） インターネットを利用してファイルを交換する P2P 型のファイル交換ソフトウェアの 1 つ。 匿名性が高いという特徴を持っている。 アクセス権限 コンピュータシステムなどにおいて、ファイルやフォルダ、データベースなどを使用する 権限のこと。どのシステム、フォルダ、情報などにアクセスできるか、また、アクセスし た際に、何ができるか（読み、書き、実行など）という権限。 アクセス制御 正当な人、装置、プロセス、通信データ（ 「主体」と呼ぶ）にはネットワークや情報及び情 報システムにアクセスすることを許し、不当な主体のアクセスは拒否するような制御のこ と。 インシデント 情報セキュリティ分野において、情報セキュリティリスクが発現・現実化した事象のこと。 ウイルス（virus） 広義または狭義に定義される。 広義： 「コンピュータウイルス対策基準」 （経済産業省告示）においては、広義の定義を採 用していて、自己伝染機能・潜伏機能・発病機能のいずれかをもつ加害プログラムをウイ ルスとしている。自己伝染機能については、他のファイルやシステムに寄生・感染するか、 単体で存在するかを問わない定義になっているので「worm（ワーム） 」や「ボット」も含む ことになる。他のファイルやシステムへの寄生・感染機能を持たないがユーザが意図しな い発病機能をもつ「Trojan（トロイの木馬） 」や「スパイウエア」も、この広義の定義では ウイルスに含まれる。 狭義：PC 環境におけるコンピュータウイルスを念頭においた狭義の定義においては、他の ファイルやシステムに寄生・感染（自己複製）する機能をもつプログラムをいう。この場 合、システム中に単体として存在し、ネットワークを伝わって移動する「worm（ワーム） 」 や「ボット」は、ウイルスとは区別される。また、潜伏機能・発病機能しか持たない「Trojan （トロイの木馬） 」や「スパイウエア」もウイルスと区別される。 2 サービス妨害攻撃（DoS attack: Denial of Service attack） コンピュータ資源やネットワーク資源を提供できない状態に陥れる攻撃のこと。たとえば、 一般に入手可能なツールを使用して、インターネットサーバーが提供する各種サービスを 妨害する攻撃が行われている。このような DoS 攻撃には次の種類がある。 1) インターネットプロトコルの特性を悪用し、ネットワークに接続されたコンピュータに 過剰な負荷をかけ、サービスを提供できない状態にする攻撃。 2) ネットワークの帯域を渋滞させる攻撃。 3) サーバーアプリケーションの脆弱性を攻略し、サービスに例外処理をさせてサービスを 提供できない状態にする攻撃。 修正プログラム（bugfix、patch） セキュリティの脆弱性を除去するプログラムで、一般に「バグフィックス」または「パッ チ」と呼ばれる。ベンダーは、脆弱性の発見に対応して修正プログラムファイルを提供す る。ユーザは、これらのファイルをコンピュータシステムにインストールする必要がある。 情報セキュリティガバナンス 社会的責任にも配慮したコーポレート・ガバナンスと、それを支えるメカニズムである内 部統制の仕組みを、情報セキュリティの観点から企業内に構築・運用すること。 シンクライアント ユーザが使うクライアントには必要最小限の処理のみ行わせ、ほとんどの処理をサーバに 集中させる構成のシステムのこと。 脆弱性（vulnerability） 情報セキュリティ分野における脆弱性とは、通常、システム、ネットワーク、アプリケー ション、または関連するプロトコルのセキュリティを損なうような、予定外の望まないイ ベントにつながる可能性がある弱点の存在や、設計もしくは実装のエラーのことをいう。 オペレーティングシステムの脆弱性や、アプリケーションシステムの脆弱性がある。また、 ソフトウェアの脆弱性以外に、セキュリティ上の設定が不備である状態も、脆弱性がある といわれる。 脆弱性は、一般に、セキュリティホール（security hole）と呼ばれることもある。 近年ソフトウェアの脆弱性について、広い語感を与える vulnerability を整理し、予定さ れたセキュリティ仕様を満たさないものを狭義の vulnerability とし、仕様上のセキュリ ティの欠如を Exposure（露出）として区別する動きがある。 このほかにも、広義には vulnerability もしくは security hole と呼ばれながらも、ソフ トウェア自体の問題ではない論点には、弱いパスワード等の本人認証の回避問題、設定ミ スによる問題がある。 3 セキュリティホール（security hole） 情報セキュリティ分野における「脆弱性」は、一般に「セキュリティホール」と呼ばれて いる。 トロイの木馬（trojan horse） 便利なソフトウェアに見せかけて、ユーザに被害を与える不正なプログラム。感染機能は 持っていないので、感染増殖することはない。 トロイの木馬の内部に隠していたウイルスをパソコンに組み込む、パソコン内部の秘密の ファイルをインターネット上に送信する、ファイルやディスク内容を破壊するなど、さま ざまな被害をもたらす。 感染増殖はしないので、ワクチンソフトでは必ずしもトロイの木馬を検出できるとは限ら ない。信頼できないサイトに便利なツールとして掲載されていても、そのプログラムはむ やみにダウンロードして実行しないようにする。 「怪しいプログラムは実行しない」という 原則を守れば、トロイの木馬の被害を防ぐことができる。 バックドア（backdoor） コンピュータシステムへの侵入者が侵入後、そのシステムに再侵入するために準備する仕 掛け。 パッチ（patch） 「修正プログラム」参照。 分散サービス妨害攻撃（DDoS attack: Distributed Denial of Service attack） サービス妨害攻撃（DoS 攻撃）には、インターネットプロトコルの特性を悪用して、ネット ワークに接続されたコンピュータに過剰な負荷をかけ、サービスを提供できなくするよう な攻撃がある。このような DoS 攻撃の攻撃元が複数で、標的とされたコンピュータがひと つであった場合、その標的とされるコンピュータにかけられる負荷は、より大きなものに なる。このような攻撃を DDoS（Distributed Denial of Service：分散サービス妨害）攻撃 と呼ぶ。攻撃元は、攻撃者（人間）自身であるとは限らず、むしろ、攻撃者が事前に標的 以外の複数サイトに攻撃プログラムを仕掛けておき、遠隔から一斉に DoS 攻撃をしかける 手法が広く知られている。 ポートスキャン（port scan） 攻撃・侵入の前段階として、標的のコンピュータの各ポートにおけるサービスの状態を調 査すること。 4 迷惑メール（UBE： Unsolicited Bulk Email） 商用目的かどうかによらず、個人的、宗教的なものも含めて宣伝や嫌がらせなどの目的で 不特定多数に大量に送信されるメールのこと。一般に、spam メール（スパムメール）とも 呼ばれる。 レジストリ（registry） Windows 系 OS で、システムやアプリケーションソフトウェアなどの各種動作に関する設定 情報を記録したファイル。 Windows に付属しているレジストリエディタという専用のソフトウェアで編集できる。ただ し、むやみに設定内容を変えるとシステムが動かなくなる可能性があるため、初心者は、 レジストリの変更は避けた方がよい。 ワーム（worm） 通常のウイルスは感染対象のプログラムを必要とするが、ワームは、感染対象となるプロ グラムがなく、自分自身の複製をコピーして増殖する。 ネットワーク内を這い回る虫のように見えることから、この名称が付けられた。 5