観測・応用実装技術:アプリケーションセキュリティ

1. 情報セキュリティと標準化I
第１４回
WEB公開版のため
内容は大幅に抜粋・省略しています。

2. 前期：第１５回
1 情報セキュリティの概要：基本概念、実装技術と対策方法
2 情報セキュリティの概要：脅威リスクの分類と評価、その対策方法
3 技術的セキュリティの技術と実装
4 人的・物理的セキュリティと技術的セキュリティの関係
5 対称暗号技術：秘密鍵技術と実装（セキュアプログラミング）
6 非対称暗号技術：公開鍵技術と実装（セキュアプログラミング）
7 セキュリティ監査と管理:セキュリティ技術評価 評価方法、保証レベル
8 セキュリティ監査と標準化:セキュリティ評価基準と標準化
9 リスクの分析評価と管理対策：情報資産とリスクの概要，
リスク分析評価
10 情報セキュリティのマネジメントとセキュリティポリシー:
IMIS、関連法規
11 デジタル認証技術と標準化: デジタル署名、メッセージ認証、認証基盤
12 物理的認証技術と標準化:利用者確認、生態認証、関連標準化動向
13 観測・基盤実装技術:セキュアOS，セキュアプログラミング
14 観測・応用実装技術:アプリケーションセキュリティ
15 情報セキュリティ技術、分析評価方法、管理対策、標準化動向まとめ

3. 脅威の種類
• 破壊：データやコンピュータを壊す
• 漏洩：組織の機密情報や個人情報を外部に漏らす
• 改ざん：ホームページなどが改ざんする
• 盗聴：メールなどが盗み見される
• 盗難：コンピュータやUSBメモリなどが盗まれる
• サービス停止：組織が提供しているサービスが落とされる
• 不正利用：組織のネットワークやシステムが別の目的で不正に
利用される。
• 踏み台：他の組織の情報システムを攻撃する手段に利用される。
• ウィルス感染：ウィルス感染により組織の大事なデータが破壊さ
れる。
• なりすまし：パスワードを盗まれ、本人のアカウントが情報を盗ま
れたり、買い物をされる。
• 否認：文書がメールで送信した内容を、否定される。

4. リスク管理
高
高
低
低
低減
reduction
回避
avoidance
受容
Acceptance
移転
transference
発生
頻度
被害額

5. リスクのコントロールと監理
技術面での対
策
ファイアウォールの設置、WEBアプリの脆弱性対策、
ファイルや通信の暗号化、パッチ適用、
ウィルスソフトの導入
リスクコントロール
抑止、予防、検知、
回復
運用面での対
策
サーバの設定の見直し、情報収集、入退室管理、
管理記録、利用記録の徹底、定期的な研修、
マニュアルの作成
リスク管理
許容、低減、移転、
回避
抑止
外部委託（アウトソーシング）、不要なサービスの
停止、ホスティング、監視カメラ、契約書への
規則明記
予防
ファイアウォール設定、アンチウィルスソフト、
アクセス制御
検知 アクセス・利用ログの検査、ネットワークの監視
回復
バックアップ、復旧対策マニュアル作製、
予備機器の確保
許容 緊急時対応のコスト（予算、人員）の確保
低減
データの分散配置、管理者の多層化、モニタツール
の導入
移転
外部委託（アウトソーシング）、損害保険、クラウド利
用
回避 インターネットの利用の制限、不要サービスの停止
コントロール 管理

6. その他のセキュリティ対策
• 隠蔽：資産が存在する場所を多数にする。
• 不可視化：資産が見えないようにする
• 反撃：相手にコストやダメージを与える
• 陽動：相手の攻撃の焦点をずらす
• だまし：偽の資産を標的にさせる
• 逃走：相手の攻撃範囲から外れる
• 封印：攻撃の記録をする
• 複製：情報資産が盗難されても紛失しないようにする。
• 警告表示：防御反撃策の存在を示す
• 嫌悪感の喚起：情報資産の価値を下げる

7. 情報情報処理試験：
典型的な不正アクセスの手順
情報収集
侵入
占拠
撤収
アドレス・ポートスキャン
盗聴、ソーシャルエンジニアリング
脆弱性攻撃
パスワードクラック・トロイの木馬
情報の盗難・改ざん
スパムメールの送信
踏み台・ツールの設置
ログ消去 バックドアの設置
設定の変更など

8. アドレススキャン
ポートスキャン
バナー情報収集
WHOIS DB
WEB DNS調査
ソーシャル
エンジニアリング
盗聴
パスワード
クラック
トロイの
木馬
脆弱性
セキュリティホールを
利用した攻撃
情報を盗む 情報の改ざん スパムメールの発信
踏み台の作成 DDOSツールの設置
ログ消去
バックドア設置と偽装
情
報
収
集
侵
入
占
拠
撤
収

9. Underground systemと地下経済
ゼロデイ
マーケット
マルウェア
マーケット
攻撃者
ボットネット
マーケット
指令サーバ ボットネット
スキャンと
侵入
悪意のある
サイト
情報摂取
スパム
DDOS
サービス停止 株式詐欺 悪徳商法・広告
フィッシング
リダイレクト
攻撃したサイトを
ボット化
脆弱性利用
販売
レンタル

10. APT (標的型攻撃）と
ソーシャルエンジニアリング
攻撃者
従業員
従業員
従業員
従業員
SNS
Service
①事前調査
②１次攻撃
③マルウェア感染
④重要情報
の調査と発見
⑤攻撃者による
データ収集と外部への
流出
①事前調査と
②１次攻撃に
ソーシャルエンジニアリングを
使うことが多い。

11. 標的型攻撃の流れ
Gain Internet Access
Reconnaissance
Create Persistence
Theft
Goal
調査段階の特徴
SNS Facebook Twitter Messenger
検索エンジンなどを利用
ソーシャルエンジニアリングの利用
攻撃の初期段階
写真、勤務先住所などの入手
Messengerやメールなどで連絡
攻撃開始
クライアントPCが標的
悪用する脆弱性の選択
標的ネットワークへの持続的攻撃
遠隔操作ソフトの利用
ネットワークの掌握
パスワードの把握
接続元の隠蔽、匿名化
破壊工作

12. 物理的に狙われる
論理的に狙われる
人が狙われる
コンピュータ
が狙われる
どろぼう
破壊行為
テンペスト
無線LAN傍受
プロトコル
攻撃
スキャビンジング
（廃棄物盗用）
ショルダー
ハッキング
内部犯
標的型
攻撃 ロギング
経路情報
改ざん
クロスサイト
リクエストフォージェリ
なりすまし
辞書攻撃
権威
錯覚の利用
フィッシング
ボット 反射攻撃
アクセス飽和攻撃
DB攻撃
クロスサイト
スクリプティング パスワード
攻撃
スキャン
盗聴

13. サイバー
戦争
サイバー
テロ
サイバー
犯罪
戦争
政策
外交
交渉
軍事力
誇示
諜報
活動

14. 振り込め詐欺
ATM強盗オークション
詐欺
フィッシング詐欺
逮捕可能性低
深夜牛丼点
強盗
ひったくり
ゴルフ場
スキミング
コンビ二
偽造クレカ
銀行強盗
百貨店
偽造クレカ
コンビ二強盗
万引き
逮捕可能性高
儲け大
儲け小

15. 分類 脆弱性
セキュリティと直接関係
のないバグ
クロスサイトスクリプティング
SQLインジェクション
バッファオーバーフロー
HTTPヘッダーインジェクション
クロスサイトスリクエストフォージェリ
セキュリティ機能の
不備・欠落
ディレクトリトラバーサル
アクセス制御の不備
あった方がよいもの
なくてはならないもの
あってはならないもの
アプリケーション
要件
不完全だと
脆弱性になる
出力の
不備
処理の
不備
脆弱性（バグ）とは
コンピュータやネットワーク
などの情報システムにおいて、
第三者が保安上の脅威となる
行為(システムの乗っ取りや
機密情報の漏洩など)に
利用できる可能性のある
システム上の欠陥や仕様上の
問題点。

16. 入
力
値
検
証
入
力
値
処
理
アプリケーション
固有の処理
認証
許可
表示・HTML
データベース
外部コマンド
メール
ファイル
クロスサイトスクリプティング
SQLインジェクション
OSコマンドインジェクション
メールヘッダーインジェクション
ディレクトリトラバーサル
クロスサイトリクエスト
フォージェリ
認証不備
許可不備
WEBアプリケーションのセキュリティ分類 出力がおかしい
処理がおかしい

17. 旧来の攻撃（DDOS、マルウェア、パスワードクラッキング、ソーシャルエンジニアリング、脆弱性悪用）
主要サイトの改ざん（脆弱性悪用） サイト改ざん（マルウェア、サプライチェーン悪用）
情報漏えい（Winny, Share, USBメモリ紛失盗用、メール誤送信）
巧妙な手口（フィッシング・ソーシャルエンジニアリング＋サイ改ざん）
特殊なマルウェア（Conficker, Gumbler)
特殊な攻撃方法（SQLインジェクション、DNSキャッシュ）
大規模化DDOS
特殊なマルウェア（STUXNET)
２０００ ２００５ ２０１０
ブログ・掲示板
SNS
SNS2
IP電話

18. B 事務室 A サーバ室
C 応接室 C 受付 B 会議室
C:公開区画
A:アクセス制限区画（特定メンバのみ入室可能） B:業務区画（社員、派遣社員入室
可能） C:一般区画（訪問者、外来者の入室可能）
R1 Entry Node
R2 Middle Node
R3
情報サーバ
①R1はR2より先のことは知らない。②R2はR1からのデータをR3に中継したことしか
分からない。③R3はR2からデータが来たことしか分からない。
以前の犯罪組織
はお互いのこと
を知っている。
今犯罪組織はお
互いのことで知ら
ないことが多い。
匿名化と
区画化