2013年度enPiT特設講義-iisec-2013-11-09-セキュアシステムのインターネットとSNS上での構築とその課題

1. 2013 年度　特設講義（情報セキュリティ運用リテラシーⅠ・Ⅱ）「セキュアシステムのインターネットと SNS 上での構築とその課題」　 WEB 公開版のため内容は修正・一部削除してあります。

2. 講師自己紹介情報通信研究機構　ネットワークセキュリティ研究所　セキュリティアーキテクチャ研究室　主任研究員政策・メディア博士（慶應義塾大学政策・メディア研究科）研究テーマ：ネットワークセキュリティ、オペレーティングシステム ■２０００年３月慶應義塾大学総合政策学部卒業 ( 国際政策コース） ■２００２年９月慶應義塾大学政策メディア研究科前期博士課程卒業（修士政策・メディア） ■２００６年３月慶應義塾大学政策メディア研究科後期博士課程卒業（博士政策・メディア） ■２００６年 - 現在独立行政法人情報通信研究機構主任研究員 ■２００６年 - 現在総務省一種技官 2

3. 講師自己紹介 (publication) 相見眞，安藤類央，水谷正慶，武田圭史「 WindowsOS 上での不正なファイルアクセスの検知・無効化処理における負荷低減手法」 , 情報処理学会コンピュータセキュリティシンポジウム２０ 10 ２０ 10 年１０月 Ruo Ando, Youki Kadobayashi, Youichi Shinoda, "Asynchronous Pseudo Physical Memory Snapshot and Forensics on Paravirtualized VMM Using Split Kernel Module", ICISC 2007, The 10th International Conference on Information Security and Cryptology, November 29-30, Seoul, Korea Ruo Ando, Kazushi Takahashi, Kuniyasu Suzaki,"Inter-domain Communication Protocol for Real-time File Access Monitor ofVirtual Machine",Journal of Wireless Mobile Networks, Ubiquitous Computing and Dependable Applications, March 2012 安藤類央 , 橋本正樹 , 山内利宏 : 仮想化技術による安全なファイルアクセスログ外部保存機構 , 情報処理学会論文誌 , Vol.54, No.2, pp.585-595, Feb. 2013. 「 A Measurement Study of Open Resolvers and DNS Server Version 」 , Yuuki Takano, Ruo Ando, Takeshi Takahashi, Satoshi Uda, Tomoya Inoue, インターネットコンファレンス 2013, 2013 年 10 月 3

4. 講師自己紹介 (presentation) ■PacSec Tokyo Novmber 2011, "Rapid and Massive monitoring of DHT: crawling 10 millions of nodes in 24hours" - Ruo Ando, Takayuki Sugiura ■DeepSec 2009, eKimono: detecting rootkits inside Virtual Machine , Nguyen Anh Quynh, Kuniyasu Suzaki,Ruo Ando, 2009/Nov/10. Vienna, Austria. ■AV-Tokyo 2009, Unified memory forensic toolset for Virtual Machine, Nguyen Anh Quynh, Kuniyasu Suzaki,Ruo Ando, 2009/Oct/31. ■FrHack 2009, Memory forensic and incident response for live virtual machine (VM), Nguyen Anh Quynh,Kuniyasu Suzaki, Ruo Ando, 2009/Sec/7 　 Besan Mon, France ■SysCan Singapole 2009, “Outspect: Live Memory Forensic and Incident Response for Virtual Machine”,Nguyen Anh Quynh, Kuniyasu Suzaki, Ruo Ando,2009/07/03 4

5. 第１回：概要  サイバーセキュリティの長期トレンドと短期トレンド  ハッカーと攻撃技術の分類  スマートグリッドと SCADA  攻撃のインセンティブと地下経済 • 攻撃技術 Return Oriented Programming DNS Attack 制御系システムへの攻撃観測・検出技術 Packet Monitor と NetFilter メモリ観測アクセス制御技術 Linux Kernel Module Trusted Computing

6. 第２回：概要  長期トレンド  新しい攻撃形態  検出技術とアルゴリズム  大規模データのフィルタリング  大規模観測技術 • 第二回攻撃技術 Socware と SocialBot 標的型攻撃ソーシャルエンジニアリング観測技術大規模データ収集技術機械学習を使った検出技術

7. 短期トレンド Google vs Facebook Market Share: 2010 May Google はすべてを WEB 上に置いて検索できるようにした。知っている人に訊けばいいやというのが Facebook の発想 http://outoftheoverflow.com/tag/weekly-market-share-of-visits-to-facebook-com-and-google-com/

8. インターネットとソーシャルネットワークの違いトポロジーラインリングバススター C/S （クライアントサーバ）モデル P2P モデル　トポロジー：スター型トポロジー：メッシュ型フルメッシュインターネットライン、スター、バスメッシュツリーソーシャルネットワークメッシュ、リング、スモールワールド

9. 短期トレンド１特殊なマルウェア（ STUXNET) 　 SNS2 IP 電話ネットワーク上のコミュニケーションの性質変化 Volume Velocity 大規模化 DDOS 　特殊な攻撃方法（ SQL インジェクション、 DNS キャッシュ）特殊なマルウェア（ Conficker, Gumbler) SNS 巧妙な手口（フィッシング・ソーシャルエンジニアリング＋サイ改ざん）ブログ・掲示板 Variety 情報漏えい（ Winny, Share, USB メモリ紛失盗用、メール誤送信）主要サイトの改ざん（脆弱性悪用）サイト改ざん（マルウェア、サプライチェーン悪用）旧来の攻撃（ DDOS 、マルウェア、パスワードクラッキング、ソーシャルエンジニアリング、脆弱性悪用）２０００２００５２０１０

10. ２種類の攻撃方法（データと制御）データを奪う暗号解読データ漏洩出力（通信データ）から入力（秘匿データ）を推測悪意のある入力悪意のある出力制御を奪う外部から機密データに不正アクセスするサイバーテロハッキング

11. 従来の攻撃と新しい攻撃従来の攻撃 マルウェア フィッシング スパム クロスサイトスクリプティングブラックリスト・境界防御である程度防げる新しい攻撃 •クリックジャッキング (LaaS) •De-anonymization ( 非匿名化） •SocialBot •Sockware •標的型攻撃ブラックリスト・境界防御は無効化される

12. 典型的な不正アクセスの手順情報収集侵入占拠撤収アドレス・ポートスキャン盗聴、ソーシャルエンジニアリング脆弱性攻撃パスワードクラック・トロイの木馬情報の盗難・改ざんスパムメールの送信踏み台・ツールの設置ログ消去　バックドアの設置設定の変更など

13. アドレススキャン情報収集侵入占拠ポートスキャンバナー情報収集脆弱性セキュリティホールを利用した攻撃情報を盗む踏み台の作成撤収 WHOIS DB WEB DNS 調査ソーシャルエンジニアリングパスワードクラック情報の改ざん盗聴トロイの木馬スパムメールの発信 DDOS ツールの設置ログ消去バックドア設置と偽装

14. 情報セキュリティ技術の分類 ( ツール）予防観測検出解析診断制御受動能動異常不正動的静的

15. 情報セキュリティ技術の分類（論文） ① ソースコード、バイナリに加えて設定の予防観測検出解析診断不備を検出制御 ②MAC, DAC より新しいアクセス制御受動 ③Honeypot, Darknet 能動 ④Crawler, active monitoring 異常 ⑤ 大量のデータから悪意を検出不正 ⑥Scalability のため関数型言語系を採用動的静的 ⑦Android の動的解析 ⑧Android の静的解析とデコンパイラ

16. ① ソースコード、バイナリに加えて設定の不備を検 Detecting BGP Configuration Faults with Static Analysis 出 in this paper they propose static analysis for detecting two class of faults of BGP routers; validity faults and path visibility faults. path visibility and route validity - are two high level aspects of correctness. path visibiity says that BGP will correctly propagate routes for existingm usable IP layer paths. route validity says that if routers attempt to send data packets via these routes, then packets will ultimately reach their intended destinations. Detecing BGP configuration faults poses several phases of challenges. first, defining a correctness specification for BGP is difficult. second, this high-level correctness specification should be used to derive a set of constraints which can be tested against the actual configuration. they analyze network wide configurations from 17 different ASes to detect nore than 1000 BGP configurations faults which had previously gone undetected by operators.

17. ②MAC, DAC より新しいアクセス制御 Capsicum: practical capabilities for UNIX capsicum is different from both MAC and DAC. Neither MAC and DAC was designed to enforce system of a single application processing many types of information on behalf of the user. Web browser could be good example. Current web browser must parse HTML, scripting languages, image and video from many untrusted sources, however, it acts with full privilege of the user, has access to all his resources. In this case, capability of web browser should be decomposed into several OS processes. unfortunately, these system vary by platform, but all require a significant amount of programmer's effort. -- Usenix Security 2010 Privman: A library to make privilege separation easy Privman (ATC 2003) is early work of privilege separation. One of the motivation of privman could be that general developers with little security awareness at least at that time. The contribution of privman is to facilitate a specific technique for writing secure software: partitioning applications between trusted and untrusted. In general, Linux is monolithic kernel and has coarse grained without any strict compartment. As well as capability based method, Privman provides privilege separation which is a technique that isolates trusted code, hence reducing the amount of code that needs to be carefully audited. -- Usenix Annual Tech 2003 http://code.google.com/p/privman/

18. ③Honeypot, Darknet DarkNOC: Dashboard for Honeypot Managemen we present DarkNOC, a management and monitoring tool for complex honeynets consisting of different types of honeypots as well as other data collection devices. DarkNOC has been actively used to manage a honeynet consisting of multiple subnets and hundreds of IP addresses. This paper describes the architecture and a number of case studies demonstrating the use of DarkNOC. Usenix LISA 2011

19. ④Crawler, active monitoring A Practical Attack to De-anonymize Social Network Users social networking sites such as facebook, linkedIn have been reporting expotential growth rates. in this paper it is shown that information about group memberships of a user in a single OSN is oft en sufficient to uniquely identify this user, or at least, to significantly reduce the set of possible candidates. this is called as de-anonymization attack. they leverage well-known web history stealling attack for determining the group membership of a user. browser history stealing. history stealing is a known attack in which a malicious website can extract the browsing history of a visitor. in experiment, they cope with Xing which is middle scale social netwworking with more than eight million members. their analysis suggest that 42% of the users that use groups can be uniquely identified, while for 90%, they can redice the candidate set to less than 2912 persons. SSP 2010

20. ⑤ 大量のデータから悪意を検出 DNS lookup patterns: Monitoring the initial DNS behavior of malicious domains We explore the behavioral properties of these domains from two perspectives: (1) the DNS infrastructure associated with the domain, as is observable from the resource records; and (2) the DNS lookup patterns from networks who are looking up the domains initially. Our analysis yields many findings that may ultimately be useful for early detection of malicious domains. By monitoring the infrastructure for these malicious domains, we find that about 55% of scam domains occur in attacks at least one day after registration, suggesting the potential for early discovery of malicious domains, solely based on properties of the DNS infrastructure that resolves those domain. Internet measurement conference 2010 BotMiner: Clustering Analysis of Network Traffic for Protocol- and StructureIndependent Botnet Detection this paper, we present a general detection framework that is independent of botnet C&C protocol and structure, and requires no a priori knowledge of botnets (such as captured bot binaries and hence the botnet signatures,and C&C server names/addresses). Usenix security 2008

21. ⑥Scalability のため関数型言語系を採用 Chimera: NSA's SQL support for stateful IDS [1] sidehijacking is a term used to describe the attack where a hacker steals a session token from an unencrypted HTTP cooie and them impersonates the legitimate user. [2] about malicious domains, they focus on a subnet of the DNS answer and TTL based features such as number of distinct IP addresses per domain and number of domains which share the sme IP address. [3] DNS tunnels: DNS protocol is designed to resolve information about domain names. however, it can also be used for covert communication by storing ata in the requsted domain name. Usenix Security 2012

22. ⑦Android の動的解析 TaintDroid: an information-flow tracking system for realtime privacy monitoring on smartphones TaintDroid provides realtime analysis by leveraging Android’s virtualized execution environment. TaintDroid incurs only 14% performance overhead on a CPU-bound micro-benchmark and imposes negligible overhead on interactive third-party applications. Using TaintDroid to monitor the behavior of 30 popular thirdparty Android applications, we found 68 instances of potential misuse of users’ private information across 20 applications. OSDI 2010 http://appanalysis.org/

23. ⑧Android の静的解析とデコンパイラ A study of android application security Android phone identifiers. they analyzed 21 million lines of 1100 which is recovered of their decompiler from popular android applications. they have design and implement a Dalik decompiler ded which has recovered 21 millions LOC retrieved from the top 1100 free aplications. the choice to decompile the Java source rather than operate on the DEX opcodes directly was grounded in two reasons. first, they wanted to leverage exsiting tools for code analysis. second, they required access to source sode to identify false-positives resulting in from automated code analysis. analysis specification is based on three aspects. 1) control flow analysis: control flow analysis imposes constraints on the sequences of actions executed by an input program P, classifying some of them as errors. 2) structual analysis: structual analysis allows for declarative pattern matching on the abstract syntax of the input source code. 3) semantic ananlysis: semantic analysis allows the specifiction of a limted set of constraints on the values used by the input program.

24. Attacker “leverages” … テコの原理技術進歩による①から⑤の攻撃者の能力拡大に共通しているのは、テコの原理による力の増大である。技術が進むと一回の攻撃で可能になることが増え、攻撃者が強くなる。クラスブレークを見つけると同じ種類のシステムならどれでも攻撃できるため、攻撃者が強くなる。自動化ができれば同じ弱点を何回でも攻撃できるため、攻撃者が強くなる。遠隔作用と情報集約が進めば標的が増えるので、攻撃者が強くなる。

25. 急激な技術進歩とセキュリティ  技術革新は大昔から攻撃者と防御者の力関係を変化させて来た。ローマ帝国の絶頂期、ローマ軍が負け知らずだったのはその装備重曹歩兵と訓練が圧倒的に優れていたからである。あぶみが発明されると、騎馬戦が発達し、中世の騎馬騎士の時代が訪れる。ところが石弓が発明されると、騎馬騎士など簡単に倒せるようになる。米国の南北戦争では、北軍に鉄道と電信の技術があったことが大きな不均衡だった。 → 　「セキュリティはなぜ破られたか」、ブルース・シュナイアー

26. 急激な技術進歩とセキュリティ ① クラスブレーク標準化が進むと、同じ機能を持つ部分すべてを破壊するクラスブレークが可能になる。大勢が同じオペレーティングシステムを使っていることで感染が大規模化する。 ② 非同期化（非逐次化）処理の順番が決まってきない非逐次処理の複雑なシステムが互いに密接に影響しあう。インシデントがドミノ倒しのようにすばやく広がり、抑制が難しい。例：２００３年１月韓国を襲ったコンピュータワームがシアトルの緊急電話回線をダウンさせた。 ③ 自動化クラスブレークを見つければ自動化して攻撃を繰り返すことで、成功する確率が非常に低い攻撃でも利益になる場合がある。例）攻撃側からすれば、スパムメールやソーシャルボットは一日数十件成功すればよい自動化により、小さな攻撃が無視できなくなった。 → 　「セキュリティはなぜ破られたか」、ブルース・シュナイアー

27. 脅威： Android マルウェアの増加マカフィーが 2013 年第 2 四半期の脅威レポト、 Android マルウェアが増加モバイルマルウェア全体の中では、被害者に気付かれずにデータを盗むバックドア型トロイの木馬や、銀行のログイン情報を取得するマルウェアが最大の割合を閉める。

28. APT ( 標的型攻撃）とソーシャルエンジニアリング ③ マルウェア感染 SNS SNS Service Service ① 事前調査攻撃者従業員従業員 ② １次攻撃 ① 事前調査と ② １次攻撃にソーシャルエンジニアリングを使うことが多い。 ④ 重要情報の調査と発見従業員従業員 ⑤ 攻撃者によるデータ収集と外部への流出

29. 標的型攻撃の流れ Reconnaissance Gain Internet Access Create Persistence Theft Goal 調査段階の特徴 SNS Facebook Twitter Messenger 検索エンジンなどを利用ソーシャルエンジニアリングの利用攻撃の初期段階写真、勤務先住所などの入手 Messenger やメールなどで連絡攻撃開始クライアント PC が標的悪用する脆弱性の選択標的ネットワークへの持続的攻撃遠隔操作ソフトの利用ネットワークの掌握パスワードの把握接続元の隠蔽、匿名化破壊工作

30. Underground system と地下経済ゼロデイマーケット販売攻撃者ボットネットマーケットスキャンと侵入悪意のあるサイト脆弱性利用リダイレクト攻撃したサイトをボット化情報摂取ボットネット指令サーバフィッシングレンタルスパム DDOS マルウェアマーケットサービス停止株式詐欺悪徳商法・広告

31. 防御方法

32. セキュリティ対策の実行上の基本原則プリベント（回避）レスポンド（対応）リカバリー（復旧）プロテクト（防御・防止）

33. リスク管理高低減回避受容移転 reduction avoidance 発生頻度 Acceptance transference 低低被害額高

34. リスクマップ（案）振り込め詐欺回避 avoidance オークション詐欺 SOCWARE 逮捕可能性低高 ATM 強盗低減 reduction 高ゴルフ場スキミングコンビ二偽造クレカ発生頻度 transference De-anonymization 銀行強盗逮捕可能性高 LaaS, SNS スパム低百貨店偽造クレカ SNS と連動するスマホマルウェアひったくり移転 SOCIALBOT 被害額フィッシング詐欺深夜牛丼点強盗儲け大コンビ二強盗儲け小低万引き受容 Acceptance

35. セーフガード：セキュリティ対策リスクコントロールリスク管理抑止発生しないようにする許容被害が小さければ OK 予防被害を最小にする低減発生頻度と損害額を小さくする検知脅威をすばやく発見する移転発生要因を外部に回復発生しないようにする回避発生要因を取る

36. 情報セキュリティ対策技術予防機能　抑止機能セキュリティポリシーと策定とポリシーによるネットワーク管理防御機能アクセス制御、認証（パスワード等）、暗号化、デジタル署名、ファイアウォール分析・予測機能脆弱性検査、バージョンのアップデート、パッチ適用、不要サービス削除検知機能検知機能ウィルススキャナ、ログ解析、侵入検知、監視カメラの設置回復機能　被害軽減機能セグメント化、サーバの切り替え、ルータの冗長化応急対応機能インシデント対応、コンティンジェンシプラン、ファイル修復再構築機能新たにリリースされたセキュリティ技術の対応、情報セキュリティ監査

37. 脅威、脆弱性、リスク脅威 ① リスク：なんらかの被害、損失を生じさせる事態や状況になる可能性のこと。また被害が発生した際の状況を分析した際の損失可能性（リスク因子）を示す。 ② プログラムや設定の不備などによるリスクを発生させる要因のこと。 ③ 脅威：脆弱性を利用してリスクを実際に発生させる手段のこと。脆弱性リスクセキュリティ対策脅威 ① リスクのコントロールあるいは回避リスク脆弱性 ② 脆弱性を修正・消去する ③ 発生した脅威の迅速な対処 ④ 被害にあった防御対象の回復

38. 脆弱性が発生する要因 ① 開発技術者が、脆弱性に対処または解消するための知識やノウハウ（セキュアプログラミング）などを充分に持ち合わせていない。 ② 通信の保全、データの秘匿などに加えて、双方向通信での悪意のある入力に対して、悪意のある出口を返すというコンセプトでシステムが開発されていない。 ③ アプリケーションの開発の自由度より、セキュリティ面での実装の一貫性を確保することが困難であり、共通した技術を用いない場合、包括的なセキュリティ対策が難しくなる。

39. 脆弱性が発生する要因 ④ システムの開発から運用にかけて、個別のアプリケーション開発者、システム構築と運用の間で適切な情報共有がされていないことから、どの段階や部分でどの程度のセキュリティ対策を実施すればよいのか不明確になる。 ⑤ システム開発の分業化が進んでいるため、アプリケーションのレベルでは安全でもネットワーク設定などの脆弱性を突いて最弱点公的が行われる場合が多くなる。 ⑥ セキュリティは非機能要件であるため、開発におけるコストを増加させる要因として認識される場合が多く、結果としてセキュリティの実装が行われないことが

40. リスクのコントロールと監理技術面での対策ファイアウォールの設置、 WEB アプリの脆弱性対策、ファイルや通信の暗号化、パッチ適用、ウィルスソフトの導入リスクコントロール抑止、予防、検知、回復運用面での対策サーバの設定の見直し、情報収集、入退室管理、管理記録、利用記録の徹底、定期的な研修、マニュアルの作成リスク管理許容、低減、移転、回避抑止外部委託（アウトソーシング）、不要なサービスの停止、ホスティング、監視カメラ、契約書への規則明記予防ファイアウォール設定、アンチウィルスソフト、アクセス制御検知アクセス・利用ログの検査、ネットワークの監視回復バックアップ、復旧対策マニュアル作製、予備機器の確保コントロール許容緊急時対応のコスト（予算、人員）の確保低減データの分散配置、管理者の多層化、モニタツールの導入移転外部委託（アウトソーシング）、損害保険、クラウド利用回避インターネットの利用の制限、不要サービスの停止管理

41. セーフガード：セキュリティ対策リスクコントロールリスク管理抑止発生しないようにする許容被害が小さければ OK 予防被害を最小にする低減発生頻度と損害額を小さくする検知脅威をすばやく発見する移転発生要因を外部に回復発生しないようにする回避発生要因を取る

42. 情報セキュリティ対策技術予防機能　抑止機能セキュリティポリシーと策定とポリシーによるネットワーク管理防御機能アクセス制御、認証（パスワード等）、暗号化、デジタル署名、ファイアウォール分析・予測機能脆弱性検査、バージョンのアップデート、パッチ適用、不要サービス削除検知機能検知機能ウィルススキャナ、ログ解析、侵入検知、監視カメラの設置回復機能　被害軽減機能セグメント化、サーバの切り替え、ルータの冗長化応急対応機能インシデント対応、コンティンジェンシプラン、ファイル修復再構築機能新たにリリースされたセキュリティ技術の対応、情報セキュリティ監査

43. その他のセキュリティ対策隠蔽：資産が存在する場所を多数にする。不可視化：資産が見えないようにする反撃：相手にコストやダメージを与える陽動：相手の攻撃の焦点をずらすだまし：偽の資産を標的にさせる逃走：相手の攻撃範囲から外れる封印：攻撃の記録をする複製：情報資産が盗難されても紛失しないようにする。  警告表示：防御反撃策の存在を示す  嫌悪感の喚起：情報資産の価値を下げる        

44. 多層防御：侵入検知ネットワーク通信トラフィックルータやファイアウォールログの確認、ネットワーク型モニタシステムなどの活用サーバログオンやログオフなどのシステムログログインやログオフなどのシステムログの確認、ホスト型モニタシステムの活用アプリケーション WEB などのアプリケーションログアプリケーションログの確認、 WEB 型トラフィクモニタシステムの活用データファイルアクセスなどのリソースへのアクセスログファイルなどのリソースのアクセスログの確認、ホスト型モニタモニタシステムの活用ネットワークモニタ WEB サーバ侵入検知 WEB アプリモニタデータベース侵入検知

45. 区画化と関門退館退室 ④ 持ち出し管理 ⑤ 退場確認入室入館 ① 申請許可 ② 持込管理 ③ 入場受 B 　事務室付 C 応接室 A サーバ室 C 受付 B 会議室 C: 公開区画 A: アクセス制限区画（特定メンバのみ入室可能）　 B: 業務区画（社員、派遣社員入室可能）　 C: 一般区画（訪問者、外来者の入室可能）

46. アクセス制御の種類 ● アクセス制御には、任意アクセス制御（ DAC ）、強制アクセス制御（ MAC ）、ロールベースのアクセス制御（ RBAC ）の 3 種類がある。 ① 任意アクセス制御（ DAC ）は、オブジェクトの所有者がアクセス権限を設定する ② 強制アクセス制御（ MAC ）は、あらかじめ設定されたレベル分けによって、強制的に読み取りや書き込みなどの権限が制限される ③ ロールベースのアクセス制御（ RBAC ）は、ロール（役割）によって実行できる操作が制限される

47. 多重（多層）防御 ① 物理セキュリティ入退室管理 ⑤ データセキュリティ暗号・アクセス制御 ② ネットワークセキュリティファイアウォール、侵入検知、暗号通信 ③ ホストセキュリティ OS 設定、脆弱性対策ファイアウォール ④ アプリケーショ、ン侵入検知セキュリティ脆弱性対策ファイアウォール

48. 多層防御：権限管理強制アクセス制御権限管理主体【人・装置・プログラム】アクセス条件の設定アクセス許可アクセス制御主体認証客体【情報・ファイル】 ID ・パスワードによる認証分類

49. 分類脆弱性クロスサイトスクリプティング SQL インジェクションセキュリティと直接関係のないバグバッファオーバーフロー出力の不備 HTTP ヘッダーインジェクションクロスサイトスリクエストフォージェリ　　セキュリティ機能の不備・欠落ディレクトリトラバーサル処理の不備アクセス制御の不備あった方がよいものなくてはならないものあってはならないもの脆弱性（バグ）とはアプリケーションコンピュータやネットワーク要件などの情報システムにおいて、第三者が保安上の脅威となる行為 ( システムの乗っ取りや不完全だと機密情報の漏洩など ) に脆弱性になる利用できる可能性のあるシステム上の欠陥や仕様上の問題点。

50. 匿名化と区画化情報サーバ R2 Middle Node 以前の犯罪組織はお互いのことを知っている。今犯罪組織はお互いのことで知らないことが多い。 R1 Entry Node R3 ①R1 は R2 より先のことは知らない。② R2 は R1 からのデータを R3 に中継したことしか分からない。③ R3 は R2 からデータが来たことしか分からない。 B 　事務室 C 応接室 A サーバ室 C 受付 B 会議室 C: 公開区画 A: アクセス制限区画（特定メンバのみ入室可能）　 B: 業務区画（社員、派遣社員入室可能）　 C: 一般区画（訪問者、外来者の入室可能）

51. セキュアプログラミング安全なソフトウェア開発設計設計設備で品質が悪いと完成した製品の品質が悪くなる。開発段階に移行してからの設計ミスの修正は非常に困難で、修正そのものが不可能な場合がある。このような場合、設計ミスによりソフトウェアの納品に重大な遅れが生じる。利用する各要素技術が完全に利用できる技術かどうかの認識は不可欠。実装実装段階で、バッファオーバーラン、 SQL インジェクションなどの既知の問題点に対応する必要がある。特に最近では、 WEB アプリケーションを利用したシステムで、セッションを適切に保持することなどが必要である。考慮しなければならない点として、利用者はミスをするという前提である。開発者が意図したとおりの操作ができるようなシステムを提供できるようにしなければならない。テスト設計段階、実装段階で安全に配慮したシステムを構築したとしても、利用者が安全に仕様できなければ意味がないので、意図した通り利用できるかの視点でシステムをテストしなければならない。運用ソフトウェアが実際に利用されてはじめて発見される問題点を修正する必要があるので、問題を修正するための体制を確立しておく必要がある。

52. 脆弱性検査個別システム

53. 脆弱性検査  個別システムの脆弱性検査ソフトウェアに（未知のものも含めた）バグがあるかどうかをチェックする。  ネットワークの脆弱性検査構成システムや設定に既知のバグがあるかをチェックする。

54. 脆弱性の発見と検証：個別システム攻撃ベクトルとデバッガーを用いる。セキュリティ関連の解析には多用される！ ① ホワイトボックステストソースコードレビューツールと自動化 ② ブラックボックステスト手動テスト自動テスト（ファジング） ③ グレーボックステストバイナリ検査自動バイナリ検査

55. 脆弱性検査ネットワーク

56. 脆弱性の発見と検証：ネットワーク  情報収集対象システムが外部に公開している情報（設定）などを収集する。  脆弱性試験　対象システム上で稼動しているサービスのバージョンや設定情報から、脆弱性を発見する。  侵入試験　実際に発見された脆弱性を用いて対象システムに侵入できるか試験し、成功後の可能な攻撃やセッションの継続などの情報を収集する。分類名称内容悪影響情報収集散発的に情報を収集ない脆弱性試験系統系に情報を収集ない侵入試験系統的に情報を収集後、検証を行う。殆どない本当の攻撃脆弱性を利用し、悪影響を与える。ある

57. 脆弱性の発見と検証：ネットワーク WEB サイトから最新の情報を入手 http://cve.mitre.org/ ネットワークの設定やソフトウェアのバージョンを洗い出す当該する脆弱性により攻撃可能か、攻撃後のセッションの振る舞いなどを解析。

58. 脆弱性試験、侵入試験環境設定例 Nessus はプラグインのインストールが煩雑なので Windows がオススメ。カーネルモードデバッガは、 Vmware （ホスト OS ）側で動かす。

59. 脆弱性試験ポートスキャナー開いているポートとフィルタリングポリシーを調査する。稼動しているサービスが判明脆弱性スキャナー開いているポートと稼動しているサービスのバージョンから、脆弱性を列挙する。脆弱性スキャナー Nessus のオープンソース版。

60. 侵入試験： Metasploit 多機能！ペネトレーションテスト脆弱性データベースアンチフォレンジクス POSTGRESQL インターフェースフロントエンド： msfconcole RUBY ペイロード、スクリプト Java ソケット、データベース

61. Metasploitable metasploit 用のディスクイメージ Metasploit 用のディスクイメージ。意図的に脆弱性と誤設定が入っている。 Nessus の対象としても利用可。 25216 (1) - Samba NDR MS-RPC Request Heap-Based Remote Buffer Overflow 11219 (8) - Nessus SYN scanner11011 (2) - Microsoft Windows SMB Service Detection 10150 (1) - Windows NetBIOS / SMB Remote Host Information Disclosure http://www.offensive-security.com/metasploit-unleashed/Metasploitable

62. 脆弱性解析：デバッガについて

63. デバッガの種類  ユーザーモードデバッガ API やシンボル情報、文字列や検索処理の機能が豊富。  カーネルモードデバッガデバイスドライバやカーネルモジュールのデバッグや検索に使う。  プロセスメモリエディタ起動後のアプリケーションにアーキテクチャタッチして利用。メモリの検索に使う。  自作する方法リアルタイム解析に、上記デバッガなどを自作する。 DLL インジェクション、フィルタドライバ

64. ユーザーモードデバッガ： OllyDBG レジスタウィンドウメモリダンプディスアセンブラその他のデバッガに比べて文字列の表示と処理に優れている（はず）

65. カーネルモードデバッガ： WinDBG ソースコードがある場合カーネルモードで動くため、デバイスドライバの排他制御などを扱うことができる！ソースコードがない、またはマルウェアなどの解析の場合、 OS を仮想化しリモートから接続して使う。（リモートカーネルデバッグ）

66. インサーキットエミュレータ ① インサーキット・エミュレータ (In-circuit emulator, ICE) はデジタル機器の開発装置の 1 つである。 CPU とも呼ばれるマイクロプロセッサの機能をエミュレートするハードウェアを主体としており、実際のマイクロプロセッサと同じ機能を実装し、さらにブレーク・ポイントといったプログラムの実行途中で一時停止するといったデバッグ機能を操作するためのソフトウェアと組み合わされた装置である。ソフトウェアデバッガでは実時間での処理が行えないので、デジタル機器類での組み込みシステムや BIOS といった入出力動作を確認する必要がある開発環境で使用される。 ICE （アイス）と呼ばれることが多い。 ②"In-Circuit Emulator" は、米インテル社の登録商標である -- wikipedia

67. IISEC Enpit 第二回

68. 第２回：概要  長期トレンド  新しい攻撃形態  検出技術とアルゴリズム  大規模データのフィルタリング  大規模観測技術 • 第二回攻撃技術 Socware と SocialBot 標的型攻撃ソーシャルエンジニアリング観測技術大規模データ収集技術機械学習を使った検出技術

69. クラウドコンピューティングとデータ主権

70. Challenges for cloud computing security

71. Cloud computing security Overview Cloud computing is extremely fat-server and thin-client system.

72. Cloud computing security Overview Cloud computing is Comprehensive system of many technologies.

73. Current situation of cloud computing cloud computing is becoming pervasive • Gartner predicts that by 2015, 40 percent of the security controls used within enterprise data will be virtualized, up from less than 5 percent in 2010. global cloud computing services revenue is expected to hit $148.8 billion come 2014 a dramatic 16.6 percent rise compared to 2009 cloud services revenue, which was $58.6 billion.

74. Current situation of cloud computing Security is top concerned issue Five security issues 1) Security about virtual machine environment 2) Security about data center 3) Legal issues about data in foreign server 4) SLA service level agreement 5) Security about management and operation Virtual machine attack T. Ristenpart, E. Tromer, H. Shacham, and S. Savage. “Hey, You, Get Off of My Cloud! Exploring Information Leakage in Third-Party Compute Clouds.” In S. Jha and A. Keromytis, eds.CCS 2009,

75. Classification of cloud computing security guidelines, standards and alliances The right to retain ownership, use and control one‘s own data ユーザーが保有するデータの管理と利用に関する所有権保持の権 The right to service-level agreements that address liabilities, remediation and business outcomes 負担、改善、業務上の成果の取り組みに関するサービスレベル契約の権利 The right to notification and choice about changes that affect the service consumers‘ business processes 利用者のビジネスプロセスに影響がある変化について、告知を受け選択する権利 The right to understand the technical limitations or requirements of the service up front 事前に技術的な制約や要件を理解する権利 The right to understand the legal requirements of jurisdictions in which the provider operates 事業者が則る法的管轄を理解する権利 The right to know what security processes the provider follows 事業者が行うセキュリティプロセスを知る権利 The responsibility to understand and adhere to software license requirements 適切なソフトウェアライセンスの要件を理解する義務 Gartner Global IT Council for Cloud Services Outlines Rights and Responsibilities for Cloud Computing Services

76. Outline: insider threat and data leakage Information leakage is one of the most serious damages caused by insider threat. In this talk, I will introduce some key issues about ex-post countermeasures of information leakage ①First, "Data lives forever" problem is introduced. Once sensitive information is leaked over Internet, we have no effective countermeasures to nullify it. Some topics such as advanced secret sharing and right to be forgotten will be noted. ②Second, I will talk briefly about "Data sovereignty" to provide a logical and technical basis for tracking spread information. PDP (provable data possession) could be one of solutions. Finally, I will present some actual cases about these problems.

77. Insider Threats and Information leakage LostTape 14% Incidents by Breach Type Stolen document 14% Attacks from outside by hacking is motivated for botNet, FaaS etc. Data Leakage is one of the main purpose of insider attack. Besides, this kind of threat causes retroactive disclosure. Disposal Document 14% Social Engineering And APT is sometimes So hard to be prevented Technically. 2012/11 http://www.datalossdb.org Data lives forever:Once sensitive data is released to network, it circulates forever. Information leak: retroactive disclosure Sensitive data could retrieved and retroactivated as offense.

78. Can retroactivation as offense be mitigated ? Is ex-post countermeasure possible ? Is it unstoppable even if we adopt domain seizure in Amazon EC2 ? 2012/08 Dropbox Confirms User Email Leaks – Adds Additional Protection DLP can protect sensitive data sent from SNS ? Top threats to enterprise security IDC’s survey 　 2010 Trojans, Virtuses, other malware 54 78 Spyware 48 74 Hackers 41 67 Employees exposing information 52 66 Equipment misconfiguration 41 61 Application Vulnerabilities 44 59 Spam Is it possible to prevent Uploading sensitive files ? 2008 39 58 Data stolen by trusted party 38 53 Insider sabotage 34 49

79. Japan’s case: information leakage via P2P networks 2008/03/22 National Bank of Japan leaks Confidential insider information 2009/04/02: Tokyo Rinkai Hospital – a list of 598 inpatients information 2005/06 Documents of nuclear power plant of Mitsubishi was leaked. 2009/01/08: National InformationTechnology Promotion Agency - a database of Ministry of Internal Affiars and National Patent Office 2010/10/30 Metropolitan Police Department taking charge of international terrorism splits a confidential list over P2P networks

80. Data Sovereignty in Cloud computing era Data Sovereignty :the coupling of stored data authenticity and geographical location in the cloud A Position Paper on Data Sovereignty: The Importance of Geolocating Data in the Cloud Zachary N. J. Peterson, Mark Gondree, and Robert Beverly. USENIX HotCloud 2011 However, as Cloud computing environment has become international, securing data sovereignty is harder and harder. Technology of geolocation could be cheated. PDP (Provable Data Possession) could be one of the solutions for this problem. Giuseppe Ateniese, Randal C. Burns, Reza Curtmola, Joseph Herring, Lea Kissner, Zachary N. J. Peterson, Dawn Xiaodong Song: Provable data possession at untrusted stores. ACM CCS 2007

81. "Data lives forever" problem • Wiki Leaks WikiLeaks is an international organization that publishes submissions of otherwise unavailable documents from anonymous sources and leaks. On July 25, 2010, WikiLeaks released to The Guardian, The New York Times, and Der Spiegel over 92,000 documentsrelated to the war in Afghanistan between 2004 and the end of 2009. • “Right to forget and delete” European Commission sets out strategy to strengthen EU data protection rules Nov 2010. “Controlling your information, having access to your data, being able to modify or delete it – these are essential rights that have to be guaranteed in today's digital world. “

82. P2P security VANISH: self destructing data Roxana Geambasu, Tadayoshi Kohno, Amit Levy, Henry M. Levy. Vanish: Increasing Data Privacy with SelfDestructing Data. In Proceedings of the USENIX Security Symposium, Montreal, Canada, August 2009. Technology: Secret sharing protocol and DHT In vanish system, shared file is disappeared from network in a fixed interval. Bob sends {C,L} to Alice. VANISH is implemented for Vuse DHT. {C,L} Data, timeout Data, timeout KN K2 RANDOM INDEXES (L) C=Ek(data) K1 RANDOM INDEXES (L) data=Dk(C)

83. P2P security UNVANISH: reconstructing data Defeating Vanish with Low-Cost Sybil Attacks Against Large DHTs Scott Wolchok, Owen S. Hofmann, Nadia Heninger, Edward W. Felten, J. Alex Halderman, Christopher J. Rossbach, Brent Waters, and Emmett Witchel, Network and IT Security Conference: NDSS 2010 UNVANISH mounts sybil nodes into DHT to replicate Ek hash to reconstruct data. {C,L} UNVANISH Data, timeout Data, timeout KN K2 RANDOM INDEXES (L) C=Ek(data) K1 RANDOM INDEXES (L) data=Dk(C)

84. 新しい攻撃形態

85. ソーシャルネットワークオープンストックフロークローズ

86. API による自動化と情報収集力の増加現在、ソーシャルネットワーク上で多様かつ高機能な WEB 　 API が提供されているが、これによりソーシャルボットやソックウェアが活性化するケースがある。

87. Socware, SocialBot の検出 1 MyPageKeeper:Efficient and scalable socware detection in online social networks mypagekeeper is a facebook application desinged for detecting malicious post in facebook. once a facebook user installs mypagekeeper, it periodically crawls posts from the user's wall and news feeds. 　 mypagekeeper is tested from the perspective of over 12K users who have installed myPageKeeper and their roughly 2.4 million friends. by this dataset, myPagekeepr turned out to be accurate (97% of posts flagged by it are indeed socware and it incorrectly flags only 0.005% of benign costs) and efficient (it requires 46 ms on averatge to classify a post). Security'12 Proceedings of the 21st USENIX conference on Security symposium 2 An analysis of socware cascades in online social networks online social networks have become a popular new vector for distributing malware and spam, which is called as socware. unlike email spam, which is sent by spammers directly to intended victims, socware cascades through OSNs as compromised users spread it to their friends. WWW '13 Proceedings of the 22nd international conference on World Wide Web

88. 攻撃のインセンティブと地下経済

89. 検出技術とアルゴリズム

90. システムセキュリティ  On-Line: 侵入検知、アクセス制御動いているシステムへの不正アクセス、攻撃トラフィックを検出する。稼動中のシステムへのリソースごとのアクセスを制御する。  Off-Line: コード解析、脆弱性検査、ぺネトレーションテストシステムに入ってくるコードに悪意がないかチェックする。システムに攻撃される箇所がないかチェックする。  フォレンジクス（侵入、不正アクセスがあった後に）、攻撃の証拠を発見、保存する。

91. コンピュータセキュリティのアルゴリズム  ネットワーク系侵入検知のデータマイニングトラフィックの中から攻撃パケットを検出する。  システム系侵入検知のデータマイニングリソースアクセス、システムコールのシーケンスの中から悪意ある挙動、禁止されている挙動を検出する。  コード解析系のアルゴリズムマルウェアの解析：どのような攻撃がされるのか解析する。防御対象のシステムに脆弱性がないか解析する。  フォレンジクス系のアルゴリズムファイルシステム、不揮発性のメモリのスナップショットなどから、攻撃や不正アクセスの跡を発見する。

92. 侵入検知とデータマイニング  異常検知通常状態、過去の履歴（プロファイル）からの乖離を用いて検出。  不正検知不正なシグニチャやパターンを照合して検出。

93. Introduction BACKGROUND: The rapid increasing of security incidents imposes a great burden on Internet users and system administrators. In this paper we discuss a parallel analysis for lightweight network incident detection using nonlinear adaptive systems. DEPLOYMENT: We run AID (anomaly intrusion detection) and MID (misuse intrusion detection) systems in parallel. Two detectors generate binary output misuse = {YES/NO} and $anomaly = {YES/NO}. Then, we can determine whether we need to perform network or security operation. ALGORITHMS: We apply clustering algorithm for AID and classification algorithm for MID. The nonlinear adaptive system is trained for running MID and AID in parallel. Proposed parallel system is more lightweight and simple to operate even if the number of incident patterns is increased. RESULT: Experimental results in the case where false positive is frequently caused show that our method is functional with a recognition rate of attacks no less than 10%, while finding the anomaly status. Also, performance evaluation show that proposed system can work with reasonable CPU utilization compared with conventional serial search based system. NPC 07

94. IDS (Intrusion Detection System) NPC 07 IDS is an alarm and logger IDS (Intrusion detection system) is kind of alarm deployed on computer system and network to detect activity called misuse, that is something unauthorized action such as leaking or compromising. Increasing the number of attacks Recent increasing of the number of attacks against computer systems is rapid enough to pare off the effectiveness of human response. Current requirement for IDS More effective, automated and intelligent detection method is researched in many fields to take some measures for the unseen incidents. Generally, researches are objective to construct a system treating attacks with automatic response.

95. Background: Increase of IDS signatures NPC 07 It is supposed that a large number of service and system will be connected to the internet. And the number of exposed security holes, flaws and vulnerabilities is increasing rapidly still now. On the other hand, the signatures of current intrusion detection system is increasing and its managing is becoming so complicated that administrators is required to spend much time to learn how to handle rules and maintain databases. Current IDS checks all internal and external packets and logs part of them according to signature rule set. With the complexity of managing signatures, there is matter of concern that increase in the number of signatures unnecessary impose the great burden to the system and worse, the improper setting of signature rule set drop the packets of coming attacks.

96. Anomaly and misuse detection profiles and signatures NPC 07 BACKGROUND Almost traditional IDS applies signature-based detection methods. Dataset of signatures is afforded manually by experts. Recently, manually black-list based cannot catch up with the rapid increase of network security incidents and attacks. Therefore, the extension and alternatives of matching based detection has been researched. Intrusion detection techniques are generally classified into two categories: anomaly detection and misuse detection. MISUSE DETECTION Misuse detection is performed by looking for the behavior of a known exploit scenario, which is usually described by a specific sequence or data. Current signature based methods is classified in misuse detection but lacks the scalability to extract features from attacks observed to detect even derivatives of conventional incidents by itself. Misuse learning algorithms on labeled data generally cannot detect new intrusion as it is. In addition, processing labeled data in order to find variation is usually so expensive. ANOMALY DETECTION On the other hand, anomaly detection is performed by the inspection for the state that deviates from the baseline or normal state defined before. Profiling algorithms for AID on unlabeled data is frequently causing false positive because the audit data can be very large. And the output of this method is inclined to depend much on the numbers and features of data to train. CHARACTERIZATION OF TWO METHODS AID takes advantage in sensitivity. MID takes advantage in singularity. Sensitivity = TP / TP + FN Singularity = TN / TN + FP TRUE POSITIVE FALSE POSITIVE FALSE NEGATIVE TRUE NEGATIVE

97. Data-mining and IDS Clustering for AID / Classification for MID NPC 07 [1] Clustering for AID Outputs the distance from normal (usual) status. Algorithms: Statistics / Clustering (Machine learning) Dataset: profile (representation of normal) Anomaly detection uses clustering algorithms because the behavior to find is unlabeled, with no external information sources. [2] Classification for MID Outputs the similarity from misuse cases. Algorithms: Statistics / Classification (Machine learning) Dataset: signature (representation of attack) Misuse detection adapts classification algorithm because the activity to analyze requires that detector know how classes are defined.

98. Clustering and classification: The tradeoff about the accuracy and range of detection NPC 07 There are two major data mining techniques applied for intrusion detection, clustering or classification. Clustering is the automated, unsupervised process that allows one to group together data into similar 　 characteristics. Classification is the method to learn to assign data to predefined classes. The tradeoff about the accuracy and range of detection exists between clustering and classification. Classification deal with predefined data, so it affords detection of weaker signal and figure out accurate recognition. But in some cases, it may be biased by incorrect data to train and it is not able to detect new type of attacks in the sense that the attack does not belong to any category defined before. Clustering is not distorted by previous knowledge, but therefore needs stronger signal to discover. At the same time it can deal with unlabeled attacks because the training doesn't specify what the detection system is trying to find while clustering go too far to perceive the activity that 　 is not included incident affair.

99. Experiment DoS attack or network trouble? NPC 07 In experiment, we test the case Where false positive is occurred Frequently. Burst traffic of specific packet Occurred by Network trouble Is often misrecognized as DoS Attack. In this case, Output of AID = YES Output of MID = NO Among anomaly burst traffic, State caused by attack or Malicious behavior is included. In this case Output of AID = YES Output of MID = YES

100. Android マルウェアの検出と解析  動的解析：実際に動作させて観測する。 Taint Droid: An Information-Flow Tracking System for Realtime Privacy Monitoring on Smartphones William Enck, Peter Gilbert, Byung-gon Chun, Landon P. Cox, Jaeyeon Jung, Patrick McDaniel, and Anmol N. Sheth. In Proc. of the USENIX Symposium on Operating Systems Design and Implementation (OSDI), October 2010 in Vancouver  静的解析：デコンパイルやソースコードの検査をする。 A study of android application security SEC'11 Proceedings of the 20th USENIX conference on Security Pages 21-21 William Enck

101. Android マルウェアの検出と解析 Dalvik VM interpreter Taint Droid: An Information-Flow Tracking System for Realtime Privacy Monitoring on Smartphones

102. Message level tracking 動的解析 Application code Application code MSG Variable level tracking Virtual machine Virtual machine Native system libraries Network Interface Secondary Storage Method level tracking File level tracking

2013年度enPiT特設講義-iisec-2013-11-09-セキュアシステムのインターネットとSNS上での構築とその課題

2013年度enPiT特設講義-iisec-2013-11-09-セキュアシステムのインターネットとSNS上での構築とその課題

Recommandé

Contenu connexe

Tendances

Tendances(7)

Similaire à 2013年度enPiT特設講義-iisec-2013-11-09-セキュアシステムのインターネットとSNS上での構築とその課題

Similaire à 2013年度enPiT特設講義-iisec-2013-11-09-セキュアシステムのインターネットとSNS上での構築とその課題(20)

Plus de Ruo Ando

Plus de Ruo Ando(20)