狠狠撸

Internet Week 2017
プロに学ぶ！侵害に耐えるサイバーレジリエンス
なぜ私たちはシステムを侵害から守れないのか？
～広く知って欲しい不都合なこと～
2017年11月28日
NRIセキュアテクノロジーズ株式会社
サイバーセキュリティサービス事業本部
セキュリティコンサルタント中島智広
〒100-0004
東京都千代田区大手町一丁目7番2号東京サンケイビル

1Copyright（C） NRI SecureTechnologies, Ltd. All rights reserved.
自己紹介
中島智広(Tomohiro Nakashima)
NRIセキュアテクノロジーズ株式会社セキュリティコンサルタント
Internet Week 2017 プログラム委員長
技術やレギュレーションだけでなく、運用現場も判るコンサルタントとして
お客様のセキュリティ向上をワンストップでご支援。
■経験/スキル属性
情報処理安全確保支援士
登録番号002007
Qualified
ASV Employee
■Internet Weekでの講演
Interent Week 2016 「見抜く力を！」
「プロが厳選！低予算でもできる効果あるセキュリティ施策」
「知って納得！企業のDDoS対処戦略～基礎から実践まで」
Internet Week ショーケース in 名古屋 2017
「改めて考える適材適所のDDoS対策」
「有効活用、運用まで含めた実効性、適材適所」を重要視

サイバーキルチェーン～攻撃者の目的達成までの道のり～
脆弱性を悪用した任意のコード実行
遠隔操作ツール(RAT)の導入
外部C&Cサーバとの通信確立
権限昇格、水平移動、情報窃取など
攻撃対象への到達
武器化(攻撃ツールの調達、準備)
調査、偵察活動
[引用元]https://en.wikipedia.org/wiki/Kill_chain#/media/File:Intrusion_Kill_Chain_-_v2.png

具体例：Webアプリケーションフレームワーク脆弱性に端を発する侵害
Reconnaissance
Weaponize
Delivery
ひとつひとつの侵攻ステップを妨げる取り組みが有効＝多層防御
Command
&
Control
外部との
通信経路探索
外部C&Cとの
通信の確立
攻撃者の侵攻ステップは想定可能
Action on
Objectives
脆弱性を悪用した
権限昇格
(サーバ完全掌握)
データベース接続
クレデンシャルの
探索と窃取
データベースから
の情報窃取
ネットワーク経由
の持ち出し
Exploit
攻撃コードの実行
Installation
RAT(遠隔操作
ツール)の
ダウンロード
RATの起動
GOAL

私たちは多層防御に取り組んでいるはずではなかったか？

本パートのお話
方法論人と運用
二つの側面から先述の疑問を紐解いていきたい

方法論：手法、セオリーとガイドライン、レギュレーション
<記載事項の例>
? データベース接続クレデンシャルの暗号化
? 厳密なアクセス制御と不許可通信の監視
? 高リスクイベントの監視(権限昇格など)
など
ガイドライン、レギュレーション手法、セオリー
「指針」＝物事を進めるうえで頼りになるもの
参考となる手引き
「基準」＝望ましい性質や水準
手法、セオリーの共通項を明文化しまとめたもの、
望ましい方向に進む手掛かり?目安になるもの
システムを侵害から守るために取り得る守りの手
段、その定番のもの
ゼロから生み出すものではなく、提供されているも
の、利用可能なものを選んで用いる
確立されている方法論を、どのように有効に取り込むか

人と運用：コミュニケーション、意図伝達の難しさ
80%
50%
80% 80%
64%
要求定義担当開発担当構築担当運用担当
「狙い、思い、コンセプト」の浸透は容易くない
? RFP作成
? ルール作成
など
? 設計ドキュメント作成
? 実装
など
? 設定作成
? システム構築
など

なにもセキュリティに限る話ではない、今に始まった話ではない
http://www.projectcartoon.com/
機能の不備はすぐに顕在化するが、
セキュリティの不備はインシデントが
生じるまで気づきにくい
セキュリティの場合
機能は運用でカバーできても、
セキュリティは運用でカバーできない
そして、

システムを安全に保つため、ネットワークセグメンテーションとアクセス制御を適切に行うこと。
事例研究～ほんの一例～
攻略難易度を高める
要件
不許可通信の監視
通信ログ
ステートフルな
制御機器
役割に応じた
セグメント分割
厳密なACL設定
FW
侵害範囲を極小化する侵害にいち早く気づくコンセプト
本当に必要だったもの

システムを安全に保つため、ネットワークセグメンテーションとアクセス制御を適切に行うこと。
事例研究～ほんの一例～
攻略難易度を高める
要件
本当に必要だったもの
不許可通信の監視
通信ログ
ステートフルな
制御機器
役割に応じた
セグメント分割
厳密なACL設定
ログ監視の不在
通信ログ
ステートレスな
制御機器(※)
雑なACL設定
実装された運用
FW
侵害範囲を極小化する侵害にいち早く気づくコンセプト
※通信セッション単位で通信制御
やログ取得ができない
L3SW

もちろん上手くできている組織やシステムもたくさんある
WE ARE A TEAM
上手くできていない組織やシステムとの差が際立つ傾向に

Why?

考察：両者の違いは何か？
理解の絶対的不足担当者とコンセプトを共有できていない
【現場都合優先】
現場には現場の都合がある、それを上回る思いを
共有できていないと、あくまで現場の都合が優先さ
れる
【伝え方の不備】
相手の目線で伝えられていない、そもそも自らが
理解できていないことを相手に説明しても伝わら
ない
【要求定義、要件定義担当としての理解不足】
? 単に言葉の羅列としてしか認識できていないた
め、取り組み内容を具体的に想像できていな
い、説明できない
【設計、開発、構築、運用担当としての理解不足】
? 方法論のコンセプトを理解できていないため、
期待されている実装や設定を想像できない

理解不足が招く不幸な主義主張
最低限で十分主義
? 必要最低限や効率性を主
張する
? 自身の管轄外での取り組
みを求める
○○での対策が十分ですから、当
方管轄でこれ以上の取り組みは不
要と考えます。
多層防御の否定
文面解釈主義
? 背景や文脈を無視し狭い
文面を都合よく解釈する
? 文面として記載されている
こと、指示されたことだけ
をやる
書いてあることには、きちんと取り
組んでいます。
取り組みの形骸化
言い訳至上主義
? 言い訳をゴールにし、
やらない理由を考える
? 問題が起きても言い訳で
きればよいと考える
言い訳と説明責任の混同
○○さん、ここまではやらなくても説
明責任を果たせますよね？

不幸な主義主張を育みやすい土壌
組織の縦割り、コミュニケーションの壁担当者間の関係性不足
一方的に求めるだけでは人は動かない、相
互理解と共感が必要
絶対的な会話の不足、ドキュメントのやり取
りだけで意図は伝わらない

?組織の末端(含む委託先)まで取り組みの意識と目線を合わせる
?相手の立場と仕事に敬意を示しつつ、まず会話
?「パワーバランス」や「錦の御旗」に基づく一方的な要求は下策
?目線を合わせて会話できる人材、たとえば開発や運用の経験者を配置し相対することも有効
?方法論のコンセプトを本質的に解釈し、しっかり使う
?人任せにせず、自らが具体的な取り組みをまず知る
?具体的な取り組みを要件、設計に落とす、きちんと伝える
?コンセプトに基づき設計、実装、運用されていることを確認する
?プロの力を借りる
?有効だがこれまた銀の弾丸ではない、プロさえ「不幸な主義主張」に巻き込まれると苦戦するケースも
?「ここは譲れないベースライン」をきちんと持って最後まで寄り添ってくれるプロと付き合う
どうするのか？

ここで話題のキーワード「サイバーレジリエンス」を考える
高度化する脅威に対し、防御が破られてしまった場合でも、
「攻撃の早期発見」「被害の拡大防止」「復旧」を実現する特性
具体的な取り組みは既存の延長、全く新しい何かに取り組むわけではない
Resilience=抵抗力、回復力
転じて
一環として「基本的な取り組みができていること」を改めて求められている

本パートのお話/不都合な事実
方法論人と運用
の
理解不足
の
理解不足
レジリエンス以前の話
みなさんの組織、システムは本当に大丈夫でしょうか？

終わりに
意識?理解を変える
Change mind
方法論を知る
Know methodology
適切に遂行する
Execute properly
ご清聴ありがとうございました。
? 防御の方法論を具体
的に知る
? 他人に説明できるレ
ベルに理解する
? 予算化
? 実行計画
? 適切な遂行
? 効果の確認
? 目線を合わせて会話
? 相互理解を形成する
? 共感を得る
実践的な方法論を紹介するプログラムの前座として
少しだけこのようなお話をさせていただきました。
着実に以下の取り組みをおすすめします。

なぜ私たちはシステムを侵害から守れないのか？～広く知って欲しい不都合なこと～

狠狠撸

なぜ私たちはシステムを侵害から守れないのか？～広く知って欲しい不都合なこと～

More Related Content

なぜ私たちはシステムを侵害から守れないのか？～広く知って欲しい不都合なこと～