Skip to content

DNET_SecurityThreats

Jump to bottom
nishi_74322014 edited this page Sep 11, 2026 · 1 revision

SC：脅威

概要

先ずは、脅威を知る。

分類

災害

種類（災害）

  • 地震
  • 火事
  • 水害

対策（災害）

  • 防災設備

    • 耐震設備
    • 防炎設備
    • 防水設備

  • 災害復旧（ディザスタ・リカバリ）

    • 遠隔地の（地理的に離れた）IDCやクラウドを利用するのが一般的。
    • 耐震・防火・防水、冗長化・バックアップなどが提供される。

障害

種類（障害）

# 種類 具体例
1 設備障害 停電、瞬断、空調 / 入退館装置 / 監視カメラ 等の故障
2 ハードウェア障害 メモリ / ディスク / CPU / 電源ケーブル
3 ソフトウェア障害 OS、ミドル、アプリのバグ
4 ネットワーク障害 機器、配線、広域網の回線障害、通信事業者の問題

対策（障害）

基本は、保守と予備（バックアップ）の確保

# 対策 具体例
1 設備障害 設備保守、バックアップ設備の確保
2 ハードウェア障害 機器保守、予備機器の確保
3 ソフトウェア障害 バージョン最新化、パッチ適用、各種テストの実施
4 ネットワーク障害 機器保守、バックアップ回線の確保

  • システム障害と言う意味だと、

    • 保守
      上記の全項目の実施

    • 予備（バックアップ）

      • バックアップ・リストア
      • ディザスタ・リカバリ

だろうか。

人的

  • 可用性だけでなく、機密性や完全性も低下させる。

  • 特に、機密性については、人が最大の脅威

    • システム的に守れない物理的な持ち出しが可能なため。
    • この対策は、アクセス制御や暗号化になる。

分類（人的）

大きく分けて、偶発的と意図的に分かれる。

  • 偶発的

    • 操作ミス（オペミス）
    • 紛失、物理的事故
    • バグの造り込み
    • サイバー・セキュリティ系
      • マルウェア持込（からの各種攻撃）
      • インバウンド開放（からの各種攻撃）

  • 意図的

    • 侵入・持出
    • バグの造り込み
    • サイバー・セキュリティ系
      • システムへの侵入
      • 各種脆弱性に対する攻撃

影響（人的）

様々

  • 軽微
  • 甚大

対策（人的）

「不正のトライアングル」（の主に、機会・正当性）を成立させないようにする。

# 種類 具体例
1 偶発的 規程、マニュアルの整備、教育・訓練の実施、罰則の適用
2 意図的 ・外部の人的脅威
　入退館、アクセス制御、暗号化、監視、アカウント管理
・内部の人的脅威
　アクセス制御の実施、教育・訓練の実施、監査の実施
3 全体的 ・抑止、抑制、牽制
・委託先の信頼性、NDA（秘密・機密保持契約）

不正のトライアングル

「不正のトライアングル」理論では、
以下が揃ったときに発生するとされる。

  • 動機

    • 金銭トラブル
    • 金銭目的
    • 過剰なノルマ
    • 怨恨

  • 機会
    不正を実行可能にする環境

    • ずさんなルール
    • 対策の不備など、

  • 正当性
    良心の呵責を超えた、
    不正行為者都合の正当性。

情報共有

サイバー情報共有イニシアティブ

脆弱性情報データベース

CVE、CWE、CVSS 識別子

  • CVE(Common Vulnerabilities and Exposures)

    • 個々の製品に含まれる個々の脆弱性、名称と識別子
      • 業界標準的な名前を付ける。
      • CVE-西暦年-4桁の通番で表される。
    • 米国政府の支援を受けた非営利団体のMITRE社が採番している。
    • セキュリティ脆弱性対策ツールや
      脆弱性対策情報提供サービスの多くがCVEを利用する。

  • CWE (Common Weakness Enumeration)

  • CVSS (Common Vulnerability Scoring System)

    • 共通脆弱性評価システム

    • 脆弱性の深刻度をスコア表記で評価する。

    • 下記の三つの基準で評価する。

      • 基本評価基準 (Base Metrics)
        経年（変化しない）特性を評価する。

      • 現状評価基準 (Temporal Metrics)
        （対策情報次第）で変化する評価

      • 環境評価基準 (Environmental Metrics)
        （製品利用者次第）に変化する評価

JVN識別子

  • JVN(Japan Vulnerability Notes)識別子
  • CVE識別子の日本版で、以下の組織が共同運営している。
    • 情報処理推進機構（IPA）
    • JPCERT コーディネーションセンター（JPCERT/CC）

CybOX、STIX、TAXII

  • CybOX

    • Cyber Observable eXpression、サイバー攻撃観測記述形式
    • コンピューティングシステムとその動作に関わる
      • 観測事象を記述するための拡張性を備えた標準言語
      • 観測可能な属性の記述方法を規定する。

  • STIX

    • Structured Threat Information eXpression、脅威情報構造化記述形式
    • 脅威情報アイテムと脅威のコンテキストの詳細を記述するためのXMLベースの標準言語

  • TAXII

    • Trusted Automated eXchange of Indicator Information、検知指標情報自動交換手順
    • 脅威情報のセキュアな転送と交換を提供する技術仕様

人的な脅威

システムだけで完結しない人的な脅威。

フット・プリンティング

ネットワーク侵入準備のために、ネットワーク上に存在している

  • 個人や企業・団体
  • コンピュータやネットワーク

の情報（IPアドレス、システムアーキテクチャー
（使用OS等）、動作しているサービス）収集をすること。

調査する情報

  • ドメイン名、IPアドレスの登録情報、割当情報

  • DNSレコード（IPアドレス、FQDN名）

  • ネットワーク構成の把握

  • ポートスキャン、OSの識別

  • Webページ

    • メタデータの抽出
    • 通常ではリンクされていないWebページの発見

手法（使用ツール）

  • 等の公開データベースによる調査

    • Whois等

  • DNS検索

    • dnsmap
    • nslookup

  • ネットワーク経路

    • traceroute等

  • ポートスキャンとOSの識別

    • nmap等

  • 標的のWebページ
    Google検索のfiletype演算子やsite演算子を用い
    ドキュメントや非公開URLなどの取得を試みる。

ソーシャル・エンジニアリング

  • コンピュータやネットワークの管理者や利用者、また、その関係者をターゲットとし、
  • 「社会的」な手段によって、保安上重要な情報を入手する。
  • 人間の心理的な隙や、行動のミスによる。ある意味、オレオレ詐欺的な。

構内侵入

トラッシング

  • ゴミ箱をあさる
  • 郵便物を盗む（メールハント）

ショルダー・ハッキング

他人がパスワードや暗証番号を入力しているところを、肩越しに盗み見る。

なりすましによる聞き出し

  • 社員になりすます

  • 企業のエグゼクティブになりすます

  • プロバイダなどのシステム管理者になりすます

  • 話術

    • 緊急性を持たせる話し方
    • 大胆な行動・発言・表情

フィッシング系

フィッシング

フィッシング・メール

  • 典型的には、信頼されている主体になりすました
    Eメールによって偽のWebサーバに誘導することによって行われる。

  • 著名ウェブサービスの偽装サイトへのリンクし、

    • このアカウントはハッキングされています。
    • 支払い情報を更新してください。
    • , etc.

スピア・フィッシング（標的型攻撃）

フィッシングとの違いは、特定の企業の特定の人物や社員を標的にする。

ファーミング

クリック・ジャッキング

  • クリック・ジャッキング攻撃
    ユーザーを視覚的にだまして、
    正常に見えるウェブページ上のコンテンツを示し、
    実際は、別のウェブページのコンテンツをクリックさせる攻撃
    （SNSなどで「非公開」プライバシー情報を「公開」に変更）

  • タブ・ナビング攻撃
    クリック・ジャッキング攻撃に似たフィッシング攻撃
    背後のタブがいつの間にかフィッシング・ページに化ける
    （ココでのタブはタブ・ブラウザのタブを意味している）

標的型攻撃

１つ１つの攻撃が、≒オーダーメードなので検知が難しい。

標的型メール攻撃

  • 標的型のフィッシング・メール

  • 標的型攻撃の代表的手段

    • 後述の、各攻撃の起点となる。

    • 最近では情報漏洩事件の主要原因になっている。

    • 特定ターゲットに絞った業務メールに偽装して攻撃を仕掛ける。

  • ソーシャル・エンジニアリング的な技法を駆使

    • 送信者は公的機関、組織内の管理部門などを偽装

      • 文末に組織名や個人名を含む署名があるなど。
      • また、CCに実際の担当者のメアドを一文字変更したメアドを追加するなど。

    • 社会情勢や動向を反映した内容。
      （イベント、ニュース、注意喚起、報告書）

やり取り型攻撃

  • 窓口業務などを行う担当者を狙った攻撃。
  • 数回のやり取りを経て、実際の標的型メール攻撃が来る。

水飲み場型攻撃

ビジネス・メール詐欺

攻撃の手口

サプライチェーン攻撃

前述のビジネス・メール詐欺的な攻撃だが、
ポイントは脆弱性の多い中小企業から入り、本丸の大企業を攻撃する点。

マルウェア送付攻撃

  • マルウェア送付攻撃

  • 標的型攻撃で使用されるマルウェアは、亜種のため検知しにくい。

  • コンテキストに沿った文書ファイル
    （zip、exe、pdf、doc）を装ったマルウェアを添付。

  • マルウェアの偽装方法

    • アイコンによる偽装

    • ファイル名による偽装
      仁義なきキンタマの、
      「XXXX.doc ... .exe」的な偽装。

    • アラビア語による拡張子偽装
      XXXX.exe.doc → XXXX[RLO].cod.exe

ファイルレス攻撃

若しくは、ファイルレス・マルウェアなどと呼ぶ。

  • 添付ファイルのマルウェア的な方法を用いない攻撃。

  • 実際は、ドロッパ的なスクリプト・ファイルなどでスクリプトを実行させ、
    DBDでマルウェアをダウンロードしてインストールまでしてしまう。

  • 対策

    • スクリプト・ファイルの実行制限
    • DBDの脆弱性の対策

  • 補足

    • .lnkファイルとpowershellの組合せなど。
    • 他にも、以下が考えられる
      • .vbsとVBScript
      • .jsとJScript
      • .xlsmとVBA

持続的標的型攻撃

  • APT攻撃 : Advanced Persistent Threat attack

  • IPA定義では「新しいタイプの攻撃」と呼ぶ。

  • 標的型攻撃のうち
    長期間にわたりターゲットを
    分析して攻撃する緻密なハッキング手法

    • 発展した / 高度な（Advanced）
    • 持続的な / 執拗な（Persistent）
    • 脅威（Threat）

対策（標的型攻撃）

  • リテラシ向上と注意喚起、情報収集と指示

  • 基本的に「マルウェア対策」と同じ。

  • 入口・出口対策

    • 入口対策
      困難

    • 出口対策
      従って、重要性を増す。

技術的な脅威

アドレス・スキャン

（pingスイープ）

ポート・スキャン

影響（ポート・スキャン）

後述のバッファ・オーバーフロー（BOF）に繋がる。

攻撃手法（ポート・スキャン）

  • UDP, TCP（SC：基礎 の該当節）リスニング・ポートを確認する。

    • ポートスキャナを使用する。有名なポートスキャナーにはnmapがある。
    • スタック・フィンガー・プリンティングによるバナー表示
      • 特定のデータを送信して、それに対応する応答を調べサービスも特定可能。
      • OS、ミドルウェアを特定し、脆弱性がある場合、攻撃を仕掛けることが出来る。

  • TCPコネクト・スキャン
    コネクション確立によるスキャン

  • ログを残さないステルス・スキャン

    • UDPスキャン
      標的ポートが"ICMP port unreachable"という
      メッセージで応答したポートがなければ稼動している。

    • TCPハーフ・スキャン
      コネクションの確立はされない。
      RSTパケットを見て、稼働と見るスキャンが多い、
      TCP SYNスキャンだけRST/ACKパケットになっている。

      • TCP SYNスキャン
        ・"RST/ACK"パケットを受信するとき，対象ポートは閉じている。
        ・"SYN/ACK"パケットを受信するとき，対象ポートが開いている。

      • TCP FINスキャン
        RSTが返ったら標的サービスは稼働していない。

      • TCP Nullスキャン
        全てのフラグが「0」のパケットを送信
        標的サービスが稼働してなければRSTパケットを返す。

      • TCP クリスマスツリー・スキャン
        FIN、URG（緊急確認）、PUSH（プッシュ）パケットを送信
        標的サービスが稼働してなければRSTパケットを返す。

対策（ポート・スキャン）

  • 予防・防止

    • ポートを閉じる
      インターネット公開すべきではない
      サービス（インバウンド・ポート）の例

      • telnet 23
      • tftp 69
      • pop3 110
      • sunrpc 111
      • epmap 135
      • netbios-ns 137
      • netbios-dgm 138
      • netbios-ssn 139
      • snmp 161
      • snmptrap 162
      • microsoft-ds 445
      • rexec 512
      • rlogin 513
      • rsh 514
      • syslog 514
      • ms-sql-s 1433
      • ms-sql-m 1434
      • nfs 2049

    • F/Wによって遮断

    • バナー表示をOFF

    • セキュリティ・ホールを塞ぐ、パッチ適用

  • 検知・遮断
    IDPS：検知（IDS）・遮断（IPS）

    • ネットワーク監視型 IDS
    • ホスト監視型IDS、IPS
    • F/Wログから検知
    • ホストのログから検知

※ IDPSではステルス・スキャンも検知できるが、
　　間を空けたランダムな攻撃の場合は検知が困難になる。

バッファ・オーバーフロー（BOF）

影響（BOF）

  • 乗っ取り
  • 漏洩、改ざん
  • プロセス停止（失敗時）

攻撃手法（BOF）

スタックのリターンアドレスを書き換え、

  • 既存のプログラム
  • データ中の攻撃用コード

を動作させる攻撃方法（別名、スタック・オーバーフロー）。

※ 単にバッファをオーバーフローさせても
　意味が無いので、スタックと組み合わせる。

※ 一般的には、サービスのポートなどから攻撃を投入する。

対応（BOF）

  • 予防・防止

  • 検知・追跡

    • ポートスキャンと同じIDPS
    • ログ（改ざんされていなければ）。

  • 回復
    乗っ取り後の

    • パッチの適用など、脆弱性チェック
    • 設定変更、漏洩・改ざんなどのチェック
    • 場合によっては、クリーン・インストール

DNSサーバに対する攻撃

影響（DNSサーバ）

攻撃手法（DNSサーバ）

対策（DNSサーバ）

セッション・ハイジャック

影響（セッション・ハイジャック）

  • 正規のクライアントもしくはサーバを装い、
    サーバやクライアントを騙し不正行為を働く。

  • 例

    • サーバ（クライアント）になりすまし

      • クライアントを誘導したり、機密情報を盗む。
      • サーバへ侵入・攻撃したり、機密情報を盗む。

    • 中間に入りセッション・コントロールを行う。
      （ManInTheMiddleAttack：中間攻撃）

攻撃手法（セッション・ハイジャック）

  • 以下の脆弱性を突いて、セッション・ハイジャック。

    • プロトコルの仕様上の脆弱性
    • プロトコルの実装上の脆弱性（OS、ミドル）
    • アプリケーション（セッション管理）の脆弱性

  • プロトコル毎のセッション・ハイジャック

対策（セッション・ハイジャック）

マルウェア

データ消去、漏洩、改ざん、バックドアなど、盗取・破壊活動を行う。

ウィルス

  • 定義

    • 生物に感染するウィルスと同様、宿主に感染、潜伏、発病の機能を持つ。
    • コンピュータからコンピュータへと拡散できる悪質なプログラム
    • ただし、人による操作（感染したプログラムの実行など）がなければ拡散できない。

  • 対策

ワーム

  • 定義

    • ウイルスと似ていて、ウイルスのサブクラスとみなされる。
    • コンピュータからコンピュータへと拡散できる悪質なプログラム
    • ネットワーク感染型ワームなど、人の手を借りずに自身で移動できる。

  • 対策

    • 基本的対策
    • 外部持ち出しによる外部ネットワーク接続に注意。

ルートキット

トロイの木馬を送り込む前段に仕込むと強力。

  • タイプ
    ルートキットは大別して二種類がある。

    • カーネルレベルのルートキット
      検出困難なので特に危険

      • マルウェアの侵入を露見し難くするために用いられるツール群
      • カーネルに新しいコードを追加することによって行なわれる。
      • 例えば、
        メモリ管理コアのページテーブルを操作して隠蔽したり、
        不正プログラムが表示されないよう細工されたpsコマンドなど。

    • アプリケーションレベルのルートキット

      • 普通のアプリケーションをトロイが仕込まれた偽物に置換
      • 既存のアプリケーションの振舞いをフックなどで改造したりする。

トロイの木馬

  • 定義

    • ウイルスとは異なり、自身を複製しない。
    • 正規のアプリケーションに見せかける。
    • 何らかのトリガにより破壊活動を開始する。

  • 攻撃方法
    以下に分類される。

  • RAT
    バックドア型でリモート・コントロール
    が可能なトロイの木馬プログラムの総称。

    • 例
      • Back Orifice
      • SubSeven

  • 対策

悪意のあるモバイルコード

  • 定義
    クライアントにダウンロードされ動作する
    プログラムのうち悪意のあるもの。

    • JavaApplet
    • ActiveX
    • JavaScript

  • 対策

スパイウェア

  • 定義

    • ユーザに知られずこっそりと情報を収集することを主な目的としている。
    • ユーザに関する情報を収集、情報収集者に自動的に送信する。

  • 例
    キーロガー等に代表される

  • 対策

ボット

  • 定義

    • ワームの一種
    • 外部から遠隔操作するためのバックドア型不正プログラムの一種
    • ボットネットワークを構成しC&C（指揮統制）サーバの指示に従う。
    • これにより、DDoSなどの統率の取れた攻撃を行うことが出来る。

  • 攻撃方法
    遠隔操作による以下の様な攻撃に利用される。

    • プロトコル

      • IRC (Internet Relay Chat)
      • IM (Instant Messaging)
      • P2P (Peer to Peer)

    • 踏み台

      • スパム、DoS
      • DDoS（ボットネット）

    • 盗取・破壊活動

      • 脆弱性の調査、スパイ活動
      • 情報の削除、漏洩、改ざん

  • 対策

ランサムウェア

  • 定義

    • 感染したコンピュータは、HDD暗号化などでアクセス制限される。
    • 解除のため、身代金（ransom）を仮想通貨で支払うよう要求する。

  • 攻撃方法

    • 基本的にはトロイの木馬と同じ。
    • WannaCryはワーム的に拡大し、
    • HDDやファイルの暗号化などを行う。
      • ランダムな共通鍵と固定の公開鍵によるハイブリッド暗号
      • 高速な共通鍵で暗号化し、共通鍵を公開鍵で暗号化する。
      • 金銭が支払われると、秘密鍵が提供され共通鍵の復号、データの復号。
    • 暗号化だけではなく、
      金銭を要求するためにファイルを盗む事も行う。

  • 対策

    • 基本的対策（特に回復のためのシステムのバックアップ）
    • トロイの木馬に似ているものであれば、トロイの木馬対策と同じ。
    • ワームに似ているものであれば、ワーム対策と同じ。

ドロッパ

  • 侵入専門のマルウェアで、侵入後、マルウェア本体を送り込む。

  • マルウェアを内包する場合、
    マルウェアはパッキング（暗号化、難読化）されている。

  • マルウェアを内包しない場合、

    • ボットの様に動作して、マルウェアを送り込むか。
    • ドライブバイダウンロード（DBD）で、マルウェアを送り込む。

  • 対策

ガンブラー

  • 定義

    • Gumblar（ガンブラー）、別名でGENOウイルス（ジェノウイルス）
    • 「Webサイト改ざん」と「Web感染型ウイルス」を組み合わせ感染する。

  • 攻撃方法（代表的）
    FTPのアカウントを盗んで、Webサイトを改ざんする。

    • 攻撃サイトのリダイレクト
      DBDでマルウェアをダウンロードしてインストールまでしてしまう。

    • マルウェアが、FTPのアカウント情報を盗む。
      （レンタルサーバなどはFTPが多いので）

    • このアカウントを使用してWebサイトを改ざん
      （そして、そのサイトも攻撃サイトに改ざん）

  • 対策

マイニング・マルウェア

  • 仮想通貨のマイニングを行わせるマルウェア
  • クリプト・ジャッキングと言う悪意のあるモバイルコードのものも。
  • クラウド環境などで実行されると、
    EDoS（SC：脅威 - DoS攻撃 の該当節）になる可能性もある。

PUA (Potentially Unwanted Application)

  • マルウェアに該当するような悪質さはないものの、適切とも言いがたく、
    多くの人にとっては不要であり排除した方が好ましいアプリケーションの総称。

  • 別名

    • 不要と思われるアプリケーション
    • 潜在的に迷惑なアプリケーション
    • おそらく不要なアプリケーション

  • 次のようなものがある。

    • アドウェア（アドは広告のアド）
    • ダイヤラ（マルウェアにより、高額の国際電話料金を発生させられる）
    • リモート管理ツール（マルウェアに、いろいろと悪用され得る）
    • ハッキングツール（マルウェアに、いろいろと悪用され得る）

  • マルウェアに近いアドウェアも存在する。

    • 軽微な危険

      • ポップアップ広告型（ブラウザ未使用時にも広告表示）
      • リンク乗っ取り型（TOPページ、リンク、バナーの差替）
      • ゴーストクリッカー（勝手に広告をクリック）

    • 非常に危険

      • 個人情報を収集して送信する。

対策（マルウェア）

  • 入口・出口対策

    • 入口対策
      感染前の防御など、通常通り行う。

    • 出口対策
      感染後の攻撃や、ワーム的拡散があるので、出口対策も重要。

  • 対策

    • 通信経路上

    • エンドポイント（クライアントOS）

    • マネジメント面

      • 感染の防止
        OS、AVバージョン最新化、パッチ適用
        FOSS利用申請（業務に無関係なソフトの使用禁止）
        ファイル送受信時のウィルス・チェック

      • 感染後の対策
        連絡体制、対応手順、回復手順の明確化と周知

DoS攻撃

アプリケーション脆弱性

パスワード・クラック

影響（パスワード・クラック）

  • 固定式のパスワードを使用する認証システムが対象
  • 攻撃者にパスワード・クラックされたアカウントでログインされる。

攻撃手法（パスワード・クラック）

  • オンライン攻撃とオフライン攻撃

    • オンライン攻撃
      ユーザストア・ファイルが手元に無い場合
      動作中のオンライン・サービスに認証情報を送って調査する手法

      • パスワード推測
        アカウントの特徴から
        パスワードを推測して（IDに似ているか、生年月日）
        ログインを試みる手法。

      • リバース・ブルートフォース攻撃
        ログインに関する力技の総当たり攻撃
        パスワードを固定したID総当りなので、オンライン攻撃が可能
        （アカウント・ロックなどのログイン制限が効かない）。

      • パスワード・リスト攻撃
        他のサービスから漏洩した情報を使用してログインを試みる。

    • オフライン攻撃
      ユーザストア・ファイルが手元に有る場合（ハッシュ保存が前提）
      ハッシュ・アルゴリズムなどを想定して、パスワードを割り出す。

      • ブルートフォース・アタック（総当たり攻撃）
        ログインに関する力技の総当たり攻撃
        IDを固定してパスワードを総当りなので、オフライン攻撃が一般的。

      • 辞書攻撃
        あらかじめ利用され易いパスワードを、ハッシュ化し、
        ハッシュ値をDBに格納しておく。
        次に入手したパスワードのハッシュを、このDB上で検索すると、
        元のパスワードを引く事が出来る。

      • レインボー・テーブル
        辞書攻撃とは異なり、利用され易いパスワードと異なる、
        ハッシュ化された文字列を平文に復元できる技術
        大量の領域が必要になるハッシュ版の辞書を
        還元関数によりチェーンさせることによって、圧縮する。

対策（パスワード・クラック）

  • 予防・防止

    • アカウントのロックアウト

    • パスワード...

      • ...の、強度を上げる。
      • ...を、定期的に変更する。
      • ...が、盗まれないようにする。

    • パスワード以外の利用

      • 生体認証

    • 多要素認証

      • ワンタイム・トークン
      • FIDOなどTPM＋α

  • 検知・追跡

    • IDPS
    • ログイン・ログオフの監査（失敗の監査）

  • 回復
    乗っ取り後の

    • 設定変更、改ざん・漏洩などのチェック
    • 場合によっては、クリーン・インストール

HTTPセッション・ハイジャック

影響（HTTPセッション・ハイジャック）

クライアントになりすましサーバへ侵入・攻撃したり、機密情報を盗む。

攻撃手法（HTTPセッション・ハイジャック）

様々なアプリケーションの脆弱性を攻撃し、
HTTP Sessionを識別するSessionIdを入手して、
相手のHTTP Sessionを乗っ取る。

  • 攻撃方法（脆弱性）

    • 単純な推測による。

    • HTTPの盗聴による。

    • Url中に含まれるSessionIdが、Referrerに漏洩。

    • セッションID固定化攻撃（ある種、インジェクション）
      自分が正規に得たSessionIdを他者に送り込むことで、
      他者のSession情報などを攻撃者が参照できるようになる攻撃。

対策（HTTPセッション・ハイジャック）

  • 基本

    • セッションID固定攻撃防止のため複雑なSessionIDを使用する。
    • SessionIDダケでなく、認証、リクエスト・チケットを併用する。

  • SessionIDの漏洩防止

    • SSL/TLSで、盗聴を防止する。
    • XSSの脆弱性対策を行う
    • ログイン前にSessionIDを返さない。
    • URLリライティングを使用しない
      （SessionIDをQuery Stringに入れる方式）

インジェクション系

インジェクションすることで、予期せぬ動作＋情報漏洩をさせる。

OSコマンド・インジェクション

  • 攻撃方法
    OSコマンドにインジェクションすることで、
    情報の改ざん・漏洩、システムをクラッシュさせるなど。

  • 対策

    • OSコマンド呼び出し可能な関数を実行しない、
    • データのチェック（エスケープはしない）
    • ユーザ入力を持って行かない。
    • WAF

ディレクトリ・トラバーサル

OSコマンド・インジェクションで、不正な相対パスを入力することで、
親ディレクトリへの横断 (traverse)を起こし、意図しないディレクトリのファイルを操作する。

SQLインジェクション

  • 攻撃方法
    SQLにインジェクションすることで、
    情報の漏洩・改ざん、システムをクラッシュさせるなど。

  • 対策

    • バインド変数を使用する。
    • エスケープ（';%+）
    • アクセス権限設定
    • 詳細なエラー・メッセージを返さない。
    • WAF

Mailヘッダ・インジェクション

  • Mailヘッダ（メール の該当節）・インジェクション

  • 攻撃方法
    Mailヘッダの「To: メアド」辺りにインジェクションすることで、
    「CC: メアド」「CC: メアド」などにアドレスを追加できる。

  • 対策

    • ヘッダ出力用APIの使用
      （エスケープ機能を持った）

    • 改行コードは削除する。

    • WAF

HTTPヘッダ・インジェクション

HTTPヘッダにインジェクションすることで、
不正なCookie情報を送り込むなどができる。

  • 攻撃方法

    • ヘッダの追加
      Cookieの設定

    • ボディの追加

      • 偽情報、スクリプト挿入
      • レスポンス分割とキャッシュ汚染

  • 対策

    • ヘッダ出力用APIの使用
      （エスケープ機能を持った）

    • 改行コードは削除する。

    • CookieはURLエンコード

    • WAF

XSS（JavaScriptのインジェクション）

クライアント・スクリプトをインジェクションしてCookieなどを盗む。

  • タイプ 1:

    • 名称

      • 反射型のXSS (非持続的)
      • Reflected XSS

    • 攻撃方法

      • 不正なデータをWebページの入力項目（GETやPOSTのパラメタ）に仕込む。
      • JavaScriptをインジェクションしてCookie情報などを他サイトに飛ばす。

    • 対策方法

      • 入力項目のサニタイジング（HTMLエンコーディング）
      • JavaScriptが動く属性にユーザ入力を持って行かない。
        若しくは、入力文字列にエスケープシーケンス（￥）を追加
        ￥、クォーテーション、改行コードなど

  • タイプ 2:

    • 名称

      • 格納型のXSS (持続的)
      • Stored XSS

    • 攻撃方法

      • 不正なデータを標的サイトのデータストアに保存する。
      • JavaScriptをインジェクションしてCookie情報などを他サイトに飛ばす。

    • 対策方法
      反射型のXSSと同じ。

  • タイプ 3:

    • 名称

      • DOMベースのXSS
      • DOM-based XSS

    • 攻撃方法

      • 正規スクリプトによるDOM操作が原因で発生するタイプのXSS
      • JavaScriptをインジェクションしてCookie情報などを他サイトに飛ばす。
      • インジェクションにFragmentを使用できる場合、
        要求がサーバに飛ばず、攻撃の検出ができないことがある。

    • 対策方法

      • 入力項目（GETやPOSTのパラメタ）や、Fragment等をDOM出力しない。
      • 若しくは、入力文字列にエスケープシーケンス（￥）を追加
        ￥、クォーテーション、改行コードなど

  • UTF-7によるXSS

    • 攻撃方法
      IEにエンコーディングをUTF-7と自動認識させることで、
      クライアント側でJavaScriptが復元されることでインジェクションする。

    • 対策方法
      UTF-7を使用しない。

  • その他の対策方法

    • HttpOnly
      盗取の対象がCookieの場合

    • WAF

  • 対策の具体例

CSRF(XSRF)

インジェクション系ではない。

  • 攻撃方法

    • あるサイトを操作している時に、
      （従って、ログインも、セッションも存在している状態で）

    • 操作者が攻撃者のリンクを踏むと、意図せぬ操作を実行されてしまう。
      （これは、他サイトからのGETやPOSTでもCookieを送信してしまうため、
      サーバ側が、Sessionや認証チケットを認識してしまうため。）

    • GET要求を投げるための偽装テクニックがある。

      • 0サイズのiframeタグなどを利用する。
      • 0サイズのimgタグのsrc属性に書く

    • そういう類の攻撃で方法
      （「ぼくはまちちゃん！」が有名）。

  • 対策方法

    • なるべく、GETで処理しないようにする。

    • また、POSTにCSRF(XSRF)に対策パラメタを含める。
      （二重送信防止用のRequestチケットなどでもOK）

    • 最近、ブラウザ・レベルの対策 (SameSite属性)も追加されてきている。

  • 以下の条件が整っている必要がある。

    • 操作中にリンクを踏む必要があるので、

      • 対象システム内にリンクの書き込みを行う事が多い。
      • しかし、会員制の場合、通常、書き込み者が解れば足がつくので攻撃しない。

    • 対象システム外に書き込みを行う場合、

      • そもそもリンクを踏む可能性が低い。
      • 会員制サイトを攻撃する場合、当該サイトにログイン可能な会員である必要がある。

  • 対策の具体例

その他

基礎や応用

盗聴

パケット盗聴

  • プロミスキャス・モードでの盗聴

  • 対策

    • スイッチングハブ、
    • プロミスキャス・モードのNIC検出

スプーフィング

なりすまし

種類（スプーフィング）

  • Identity Spoofing（CAPEC-151）

    • （人間もしくはそれ以外の）何らかの主体になりすまして行う攻撃一般
    • フィッシングやファーミング、
      他人になりすましてデータを送りつける攻撃など。

  • Content Spoofing（CAPEC-148）

    • コンテンツのソースを変えることなく中身を書き換える攻撃。
    • Webページの改ざんや、
      ポイズニング系の攻撃がある。

  • Action Spoofing（CAPEC-173）

  • Resource Location Spoofing（CAPEC-154）

    • リソースの位置を偽装する攻撃。
    • ライブラリの位置を偽装して偽のライブラリをインストールさせるなど。

IPスプーフィング

  • 送信者のIPアドレスを詐称して別のIPアドレスに「なりすまし」を行う攻撃手法。
  • F/Wで外部から入るパケットの送信元IPアドレスが自ネットワークのパケットを阻止。

ポイズニング系

キャッシュ・ポイズニング（スプーフィング）系

DNSキャッシュ・ポイズニング

DNSスプーフィングとも呼ばれる。

  • 影響

    • hostsファイルの不正な書き換えとほぼ同じ効果。
    • 主に、偽サイトに誘導し、フィッシングに繋げる。

  • 攻撃手法
    DNSのキャッシュ・サーバ（DNSサーバ の該当節）が
    間違った情報をキャッシュさせる攻撃。
    古典的だが、近年フィッシング詐欺で危険性や影響が再認識された。

    • UDPセッション・ハイジャックにより可能。
    • 送信元ポートとTxIDの推測により攻撃。
    • カミンスキー攻撃では再帰クエリを投げ反復クエリの応答を狙う。

  • 対策（SC：脆弱性 の該当節）

ARPキャッシュ・ポイズニング

ARPスプーフィングとも呼ばれる。

  • 影響

  • 攻撃手法

    • 方法１：UDPセッション・ハイジャックで、
      正規のクライアントからのARP要求に対して、
      攻撃者が「不正なARP応答」をブロードキャストすることでLAN上の通信機器になりすます。
    • 方法２：GARPのユニキャストを行い、同一セグメント上の対象機器のARPテーブルを
      書き換える（２機器の送信先・送信元のMACをMITM用のPCのMACに書き換える）。

  • 対策

    • ハブの物理的保護
    • 不正PC接続検知システム
    • DHCPスヌーピング
      • DHCPスヌーピング・データベース情報を使用して、L2SWのIPの整合性を保証。
      • 適用するポートは、...。

  • 参考

SEOポイズニング

少々、毛色が違うが、

  • SEO(Search Engine Optimization)ポイズニング
  • Web検索サイトの順位付けアルゴリズムを悪用
  • 検索上位に，悪意のあるサイトを意図的に表示

エンドポイント系

マン・イン・ザ・XXXX（MITX : man-in-the-XXXX attack）系は、盗聴・改ざんを行う。

マン・イン・ザ・ミドル (MITM) 攻撃

中間者攻撃 (MITM : Man-In-The-Middle attack)

  • 暗号理論における、能動的な盗聴の方法。
  • 暗号化などが解除される中継（中間）ポイントで盗聴・改ざんなどが可能。

マン・イン・ザ・ブラウザ (MITB) 攻撃

(MITB : Man-In-The-Browser attack)

  • プロキシ型トロイの木馬によって

  • Webブラウザの通信を盗聴・改ざんする
    マン・イン・ザ・ミドル (MITM)

  • その通信を乗っ取って、振込先を改ざんして預金を盗むのが代表的な手口。

  • なお、改ざんを行った後の結果も、攻撃を利用者に検知されないように、改ざんする。

  • 実装技術にはあまり明確に書かれていないが、以下の可能性がある。

    • プロキシ
    • ブラウザ拡張機能
    • JavaScript

  • 対応

    • トランザクション署名を使用し経路上の改ざんを検出する方法が有効。
    • 検証結果を別経路（帯域外 Out of Band）でユーザに通知するのも「○」。

ウィルス対策

ウィルス検出（対策）

EDR (Endpoint Detection and Response)

各種のウィルス検出を行い、

  • 検知後の処理を行う機能

    • ファイルの復元

    • ファイルの削除

    • ファイルの隔離（検疫）

    • クリーニング（上記の組合せ）

      • 正常なファイルを復元
      • 異常なファイルを検疫

  • 管理サーバに通知する機能。

サンドボックス

ウィルス検出

コンペア法（比較法）

ウイルスの感染が疑わしい対象(検査対象)と
安全な場所に保管してあるその対象の原本を比較

パターン・マッチング法

  • 「特徴的なパターン」との比較

  • ウイルスの「特徴的なパターン」を登録した定義ファイル
    とマッチングするかどうかでウイルス検出する方法。

チェックサム / インテグリティ・チェック法

  • コンペア法（比較法）から進化

  • ウイルスに感染していないことを保証する情報を付加する。

    • チェックサム法 : チェックサム
    • インテグリティ・チェック法 : ディジタル署名

ヒューリスティック法

  • パターン・マッチング法から進化

  • コンペア法（比較法）より、ファジーな検査が可能。

    • ヒューリスティック法（スタティック・ヒューリスティック法）
    • ウイルスのとるであろう動作を事前に登録しておき、
      「検査対象に含まれる動作の特徴コード」をチェックして検出する手法。

ビヘイビア法

  • パターン・マッチング法から進化

  • コンペア法（比較法）より、ファジーな検査が可能。

    • ビヘイビア法（ダイナミック・ヒューリスティック法）

    • ウイルス感染・発病によって生じる
      異常動作や環境変化を監視してウイルス検出する方法。

      • プロセス生成
      • ファイル操作
      • レジストリ更新
      • ネットワーク（例外ポート、不完全パケット、通信メトリック異常）

    • サンドボックスの仕組みを併用することが多い。

    • 以下のようなウィルスに対して有効

ステルス技術を使うウイルス

  • ポリモーフィック型
    攻撃用コードを暗号化する（外観上の変化）。

    • 感染時にウイルス本体部分を変化させる。

    • 以下の部分から構成される。

      • （1）ウイルス本体部分
      • （2）ウイルス本体を暗号化/復号する部分。

    • （2）の部分が、変更されない点が弱点となる。

  • メタモーフィック型
    ミューテーションエンジン（ME）で攻撃用コード自体を変化させる。

    • ウイルス本体をいくつかのブロックに分割し、
    • 感染時にブロックの順番を入れ替え、
    • ジャンプ・コードを挿入するなど。

脆弱性に対する攻撃

エクスプロイト・コード

  • 発見された脆弱性を利用できるように作成されたプログラム
  • 研究や検証を目的としたモノから、実際の攻撃を目的としたモノまで。

ゼロデイ攻撃

脆弱性に対するパッチ提供前の、当該 脆弱性に対する攻撃。

暗号化・復号化

暗号解読

  • 暗号文単独攻撃 Ciphertext-only attack (COA)

    • 暗号文のみを用いて、平文を求める攻撃。
    • 初期の暗号は、暗号文だけをもとに破られることがよくあった（たぬきとか？）。
    • 既知暗号文攻撃 known-ciphertext attack

  • 既知平文攻撃 Known-plaintext attack (KPA)

    • 「既知の平文」に対応する暗号文を得られる条件で、暗号文から平文を求める攻撃。
    • 最初のブロックが固定あるいは通番や日時になっていて予測可能な場合。

  • 選択平文攻撃 Chosen-plaintext attack (CPA)

    • 「任意の平文」に対応する暗号文を得られる条件で、

    • 暗号化（平文→暗号文）を依頼する攻撃（暗号化オラクル）。

    • コレにより、「任意の平文」を推測できてしまう。

    • 公開鍵暗号の場合は安全。

      • 公開鍵を用いて任意の平文を暗号化
      • 秘密鍵を用いて任意の暗号文を平文化

  • 選択暗号文攻撃 Chosen-ciphertext attack (CCA)

    • 「任意の暗号文」に対応する平文を得られる条件で、
    • 復号化（暗号文→平文）を依頼する攻撃（復号化オラクル）。
    • CPAの逆で、「任意の暗号文」を推測できるが、
      （素人的に）平文解ってるなら要らんダロと言う気も。

  • 適応的

    • 適応的選択平文攻撃 Adaptive chosen-plaintext attack (CPA2)

      • 対象の平文を入手後にもCPAが可能
        （任意の暗号文に対応する平文を得られる）。

    • 適応的選択暗号文攻撃 Adaptive chosen-ciphertext attack (CCA2)

      • 解読対象の暗号文を入手後にもCCAが可能
        （任意の暗号文に対応する平文を得られる）。

      • 適応的選択暗号文攻撃に対する識別不可能性は
        公開鍵暗号の安全性概念の中でも非常に強いものの一つ。

  • その他

    • 関連鍵攻撃 related-key attack
      以下の状況で行われるもの。

      • 複数の異なる鍵を使用した暗号処理を攻撃者から観測できる。
      • 鍵の値は攻撃開始時には未知であるが、鍵と鍵の間に数学的な関連がある。

    • ブルートフォース攻撃
      １組の平文と暗号文があれば、共通鍵を割り出す事も可能（アルゴリズムは推測）。

    • サイドチャネル攻撃

※ 標的が攻撃者に与えてしまうヒントのことをオラクル（神託）と呼ぶ。

ダウングレード攻撃

SSL/TLSネゴシエーションで、強度の低い暗号スイートを選択させる。

サイドチャネル攻撃（暗号化・復号化）

ダーク・ほにゃらら

ダーク・ネット

元々、2011年に枯渇したとされるIPアドレス（IPv4）のうち、
実際にはホストが割り当てられていない（使われていない）もの。

  • このIPアドレスはサイバー攻撃やマルウェアの伝染のために利用されている。
  • ダーク・ネットのパケットのトラフィックの分析を
    セキュリティー向上に役立てる研究も行われている。

ダーク・ウェブ

元々は、米国海軍が諜報活動の匿名性、秘匿性を確保する目的で開発された。
独裁国家の反体制派、内部告発者、ジャーナリスト等が利用し発展したため無害だが、
昨今、違法活動にも用いられているため、検察や政府機関の一部は懸念を抱いている。

  • 特別なネットワークとソフトウェアを使用しないとアクセスできないウェブサイト

    • Tor（The Onion Router）
      インターネットへの匿名アクセスの提供に重点を置いている

    • I2P（Invisible Internet Project）
      ウェブサイトの匿名ホスティングができるように特化

  • 検索エンジンのクローラーの探索対象外となるので検索サイトにも表示されない。

  • 企業など法人内のアクセスのあるウェブサイトはディープウェブと呼んで区別される。

サイドチャネル攻撃

電磁波解析攻撃（テンペスト攻撃）

  • 機器から出力される微弱な電磁波を計測して元情報を復元する。

  • 色々な攻撃の種類があるが、パソコン・モニターの
    漏洩電磁波から画面表示を“再現”する攻撃の種類が有名。

音響解析攻撃

計算機が動作中に発するノイズ(10～50kHz)を分析すると処理内容がわかる。

電力解析攻撃

1個の電力波形をモニタリングすることで暗号解読を行う攻撃

故障利用攻撃（フォールト攻撃）

ICカード等の耐タンパデバイスの計算誤りを利用した解析方法

  • 放射線の照射や高電圧を加えたり，瞬間的にクロック周波数や駆動電圧を変動させる。
  • 結果 得られる誤った計算結果と正しい計算結果から秘密鍵の情報が得られる。

タイミング攻撃

  • 暗号処理のタイミングが暗号鍵の論理値により変化することに着目
  • 暗号化や復号に要する時間を解析することで暗号鍵を推定する手法。

キャッシュ攻撃

キャッシュ付CPUでは、キャッシュヒットにより
メモリアクセス時間が異なることを利用すると、
ブロック暗号に対してタイミング攻撃が可能

プローブ解析

  • 耐タンパデバイスのパッケージを取り去り直接チップにプローブを当てる
  • 攻撃対象の耐タンパデバイスについての深い知識を要し，
    攻撃の実現可能性は低い

スキャンベース攻撃

  • スキャンチェーンまたはスキャンパス

    • スキャンチェーンまたはスキャンパスはテスト容易化技術
    • スキャン入力からスキャン出力までの信号が流れる経路

  • これを実装した暗号 LSIに対する攻撃

    • 暗号化処理中のレジスタの値をスキャンデータとして取得・解析し
    • 暗号 LSIの秘密情報を取得する

耐タンパ

  • 耐タンパ（高度午前 - コンピューター・システム - ハードウェア の該当節）

移行メモ

  • 元 Wiki で見出しそのものが他ページ・同ページ内へのリンクになっていた箇所は、 GitHub Wiki では見出しからアンカが生成されるため、 見出しをプレーン・テキストとし、リンクは直下の本文に置いた。
  • PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、 同一ページ内のアンカは見出しから生成されるアンカに張り替え、 他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。
  • 「種類」「対策」「影響」「攻撃手法」「対応」「分類」といった見出しが 複数の節で繰り返されており GitHub Wiki ではアンカが衝突するため、 括弧で親の文脈を補って一意にした （「種類（災害）」「対策（障害）」「影響（ポート・スキャン）」 「攻撃手法（BOF）」など、計 20 箇所以上）。 「ウィルス検出」「サイドチャネル攻撃」も同名の見出しが 2 箇所あったため、 それぞれ「ウィルス検出（対策）」「サイドチャネル攻撃（暗号化・復号化）」とした。
  • 元 Wiki の表はセル内改行の記法を使っていたため、HTML の改行タグに置き換えた。 人的脅威の対策の表は「#」列が 1, 2, 2 となっていたため 1, 2, 3 に正した。
  • マイクロソフト系技術情報 Wiki（techinfoofmicrosofttech.osscons.jp）への URL リンクは、移行済みの メール / DNSサーバ / XSS対策の実装方針 / HTTPヘッダ / CSRF(XSRF)対策の実装方針 に張り替えた。
  • 元 Wiki の「所得を試みる」→「取得を試みる」、「データの複合」→「データの復号」、 「事項制限」→「実行制限」、「セションID固定攻撃」→「セッションID固定攻撃」、 「不完パケット」→「不完全パケット」、「認識ししてしまう」→「認識してしまう」、 「攻撃一般的」→「攻撃一般」、「プロシキ」→「プロキシ」、 「現状評価基準 (Temporary Metrics)」→「(Temporal Metrics)」に正した。 TCP FINスキャンの「RSTが返ったら標的サービスは稼働している。」は、 同節の他のステルス・スキャンの記述と整合しないため 「稼働していない。」に正した。

Tags: 移行, 資格, SC, 脅威, マルウェア, 標的型攻撃, フィッシング, インジェクション, XSS, CSRF, ポイズニング, サイドチャネル攻撃

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally