ITセキュリティーからビジネス主導型セキュリティーへ日本アイ・ビー・エム株式会社渡辺芳明技術理事、CISSP © 2008 IBM Corporation 2008年現在でのセキュリティーの現状防御側がハッカーにおされ気味というのが実情 – 注意していてもボットは入り込んでくるという前提で、情報漏洩対策を講じる覚悟が必要パタンファイル更新だけでは対応出来ないものが増加 – Webから感染するマルウェアの過半数は未知のもの。 (ハッキング・ツールで作成した攻撃コード、標的型攻撃、ゼロデイ攻撃) – 不正侵入につながるような脆弱性が発見されるソフトウェアが増加。 (Acrobat、Flash player、ファイル圧縮ソフト、VMWare、等) – 攻撃方法の複雑化 (受動的攻撃、シーケンシャルマルウェア、アンチフォレンジック機能、攻撃コードの暗号化や難読化、DNS汚染) – 特定の人間を対象にした標的型攻撃が増加 (メール、Webサイトからのフィッシング等) 参考：「近年の標的型攻撃に関する調査研究」 2008年3月情報処理研究機構セキュリティセンター総務省次世代の情報セキュリティ政策に関する研究会 (http://www.soumu.go.jp/joho_tsusin/policyreports/chousa/next_generation/pdf/071205_2_si2-3.pdf) © 2008 IBM Corporation 最近の典型的な攻撃シナリオ改ざん攻撃者が用意したサイトリダイレクト閲覧強制的な参照リダイレクト企業内イントラネットマルウェアが伝播マルウェア配布サーバマルウェアダウンロード © 2008 IBM Corporation セキュリティー防御側の事情セキュリティーを守るための投資は行っている – 防火壁、ネットワークのゾーニングと非武装地帯設置 – サーバ、クライアントのウィルス対策 – 情報漏洩防止のための使用制限、モニタ用ソフトの導入現状 – 利用部門：セキュリティーを理由にしてPCの使用制限が多くなり不満 – 運用部門：運用の手間は大変。多量のログを十分に検査出来ない – 企画部門：現在の投資で今後の事故を防止出来るという事を説明できない今の状況で十分か？ – 本当は不安があるが、今までの投資を無駄には出来ない – 新しい分野への追加投資が、必要になるかもしれないという不安 – 新しい脅威に対応出来ているか不安 © 2008 IBM Corporation セキュリティーのあるべき姿セキュリティーを、ビジネスプロセス及び必須インフラの一部としてシステム構築時から組み込んでおく。さもないと、新たな種類の課題が発生するたびに一からやりなおしになる。セキュリティー設計・セキュリティー機能を追加するための費用増加分シジフォス：大きな岩を山の上に運んでも、また岩は麓まで転げ落ちてしまうセキュリティー事件発生による追加対応策にかかる費用追加対策のために必要となる継続的運用費追加分費用セキュリティーに配慮しないで作ったシステムセキュリティーを配慮して作ったシステム設計構築運用 © 2008 IBM Corporation セキュリティー上の問題と組織の規模セキュリティー上の問題は、その組織で一番意識の低い人間が引き起こす大規模な組織では、放置しておくと、小規模の組織よりも問題が起こりやすい人数規制をしすぎると、注意力の高い層は使いにくさで生産性を低下させ、創造力の高い層のモラルも低下するセキュリティー上の問題は、セキュリティに対する意識が最も低い所で起こる。セキュリティー対策は、この層の底上げを図るための対策であるとも言える。意識・注意力の低い層は、考えられないような問題を起こす事あり私はいつも注意しているのに、最近面倒くさい制限が増えたのはイヤね。 0 50 100 セキュリティに対する意識・注意力の高さ（偏差値）小規模の組織で起こるセキュリティー上の問題大規模な組織で起こるセキュリティー上の問題 © 2008 IBM Corporation 底上げするためのセキュリティー上の対策教育により意識の底上げを図る ISMS/プライバシーマーク取得従業員の研修利用者を層別し個別最適対策を講じる意識の低い層への浸透が重要セキュリティ機能の強制を行う限定的モニタ機能等ファイルへのアクセス禁止等 PCのハードニング等この部分をどうやって底上げするか？効果は高いが費用もかかる認証強化(生体認証・ICカードの使用) PCへのファイル格納禁止、ファイル暗号化パスワード統合、シングルサインオン © 2008 IBM Corporation 内部の利用者に対するセキュリティー対策： PC利用者の作業形態により、最適な対応策が変わりますデスクワーク型非定型処理型固定した場所で定められた業務を遂行。定型的業務よりも、頭脳労働的な非定型業務が多い。情報の作成・検索・編集等、操作内容は多種多様、メール等での情報交換も多い。業務で定められた方式に従い、情報の表示・データ入力等を行う。定型的な業務処理が多いが、ワープロ・表計算等を行う事もある。作業場所は、自席、外出先、自宅、出張先等多様。外勤型外回りが主で、作業場所は社外が多い。情報の使い方は固定的なものが多く、情報の表示・データ入力等、固定的な使い方が多いが、外出先で使用出来るように、情報を持ち歩く必要有。 PCを基にした専用端末を使用する事もある。 © 2008 IBM Corporation 内部の利用者は、パタン別の対応策を組み合わせる事が大切非定型処理型デスクワーク型外勤型シンクライアント通信機能が確保できる場合情報自体に防御機能を持たせるアクセス管理 PC設定状態の監視業務固有形式情報 PC/ファイル操作の制限・記録 PC盗難・紛失対策（暗号化等） © 2008 IBM Corporation IBMが考えるセキュリティー全体像ガバナンスとリスク管理ガバナンスとリスク管理リスク管理とコンプライアンスをサポートする組織化されたフレームワークリスク管理とコンプライアンスをサポートする組織化されたフレームワークセキュリティー・フレームワーク脅威の軽減とビジネス遂行 IDとアクセス管理ポリシー内部統制監査 IDは、社内外の人間の動きを測定するための軸となる信頼できるIDの必要性が増大情報の全ライフライクルにまたがったセキュリティー保護が必要情報セキュリティー個人情報保護、コンプライアンスから来る要件の遵守アプリケーション・セキュリティーアプリへの攻撃に対抗するためにアプリの全ライフサイクルでの保護が必要ネットワーク・サーバ・接続点の防御物理セキュリティー中央集中制御、整合性を持たせるためのポリシー強制装置、サーバ、アプライアンスを包括したネットワーク・セキュリティーネットワークへの接続点の強化が急務共通のポリシ、事象対応、報告マネージドサービスプロフェッショナルハードウェアサービスソフトウェア物理セキュリティーとITセキュリティーの融合化人海戦術からディジタル化、自動化へ © 2008 IBM Corporation ガバナンスとリスク管理漏れの無いセキュリティーを実現するための必須機能 – ポリシー • 実現性があるセキュリティー・ポリシーを定める事が重要。 • 実施されないポリシーは意味がない。ITは、ポリシーを強制する事が出来る。 – 内部統制(コンプライアンス) • 内部統制においては、ITで行うべき事、IT以外の所(事務規定等)で行うべき事を区別し、適切にこれらを組み合わせる事が重要。 • ITは、ポリシーの強制を手助けする事が出来る。 – 監査(アカウンタビリティ) • ITは、監査に必要な情報を耐監査性を保った形で生成・保持する事が出来る。 © 2008 IBM Corporation セキュリティーポリシーの実施手順への展開業務手続、運用上のポリシーは牽制効果・不正検出には効果があるが、事故を防止する事は出来ない(錯誤、誤解、確信犯) 基本方針 (ポリシー) 詳細化対策基準・規定実施手順紙の上のポリシーは、セキュリティー事故のための歯止めとしては効果が弱い(確信犯は防げない) 詳細化業務手続への組み込み機械処理による強制機械処理によるポリシー強制は、確信犯・錯誤・誤解に対して効果があるが、機械処理出来る形への翻訳の困難性あり業務手続で防御すべきもの、機械処理で防御すべきものの選定が重要 © 2008 IBM Corporation 情報漏えい防止；情報漏えいが行われる場所と対策 Proventia®製品群 Rational WatchFire AppScan® ハッカーが不正侵入 Tape Encryption and Key Management ダウンロードした情報の不正使用バックアップ情報等の不正持出し Enterprise Content Protection 誤操作による情報の漏洩記録メディアの不正持出し、盗難暴露ウィルスによる情報漏えい Antivirus Software, Patch Management 正規ユーザーによる意図的な情報窃盗・漏洩 Activity Compliance Monitoring and Reporting パソコンの盗難・紛失 Endpoint Data Protection © 2008 IBM Corporation 情報セキュリティー：情報漏えい防止 – 1/2 万能薬は無い、複数の技術を適材適所で組み合わせて防止する必要がある – 防止技術同士の競合による不具合の可能性に配慮 – 利用者管理の二重化・三重化による運用管理の手間の増大運用管理が出来ないと、防御は崩れる – 例外として許可したものがいつまでも残る。組織変更に対応できず、古い権限がいつまでも残る。急がば回れ。漏えい防止対策は小手先、基礎になる情報管理・利用者管理・ビジネスプロセスに手をつけないといつまでも後手に回る – 情報の機密区分設定・運用がしっかりしているだけでも、情報漏えい防止策は容易になる。 – 組織の職務、従業員の職務が明確に定義されていると、情報漏えい防止策は効果的になる。 © 2008 IBM Corporation 情報セキュリティー：情報漏えい防止 – 2/2 つながっていない所からは情報は漏れない、つながっている所の防御を行う – PCの業務外使用、外部Web接続、外部とのネットワーク接続、メール送受信、ファイル受け渡し、等情報漏えい防止のために業務遂行に制限を加える事の是非を検討する必要あり – 仕事がやりにくくなると、まじめな人間ほど抜け道を探しはじめる。想定していない使い方を素人がすると新たな情報漏えいの道を作る事になる – 従業員の仕事の内容により、情報漏えい防止策は異なる。 (研究者、商品企画担当者、事務職、等) – 仕事に制限を加える事によるモラルの低下に注意 (生産性低下はもちろんだが…) © 2008 IBM Corporation 長期的に有効な情報セキュリティー通常想定する作業範囲情報保護製品導入アクセス権限更新運用プロビジョニング機能権限付与ワークフロー機能情報保護ポリシー策定利用者権限に関する運用実装永続的にセキュリティーを確保するために必要な作業範囲 ¾組織変更 ¾人事異動 ¾職掌変更 ¾外部要因 © 2008 IBM Corporation アプリケーション・セキュリティー業務アプリケーションの書き方に起因するセキュリティー・ホール – プログラム設計時に予期していない入力を行われると、プログラムが予期しない動きを行う • 利用者情報の盗難・漏洩 • データベースに対する想定外のアクセスが行われ、データの漏洩・破壊につながる一旦攻撃されてしまうと、対応策はアプリケーション・プログラムの書き換えしか無いので対応に時間がかかる – オンライン・ショッピング・サイトの長期閉鎖に至った例もあり • システム作成時からの対応が必要入力情報の精査を行う – サニタイジング(危険な文字を取り除く作業) – クライアントから入力された情報は信用しないアプリからセキュリティ機能を分離する – 入力データチェック用レイヤの新設(アプリケーション・ファイアウォール) © 2008 IBM Corporation ネットワーク及びアプリケーション・セキュリティーネットワーク、OS、各種サーバの脆弱性を突いた攻撃を検出し防止する (IPS/IDS) Webアプリケーション Webサーバに対する要求発生時の入力データ検査 (Application Firewall) 入力データを検査し、サニタイジング(危険な文字の取り除き)を行うデータベースサーバが持つ脆弱性の検査機能 Webサーバを検査し、脆弱性を指摘するクロスサイトスクリプティング HTTPレスポンス分割 Hiddenフィールドの不正操作 SQLインジェクション OSコマンドインジェクション強制ブラウズ © 2008 IBM Corporation ウィルスに対する防御方式：パタンファイルだけでは不十分 ISS X-Forceによる脅威の防御方式 Content Filtering 2000万件以上のURLを保持した DBにより、メールとWebアクセスに対するフィルタリングを実施します。. Shellcode Heuristics SCH (Shellcode Heuristics) は、実行プログラム以外に隠されたシェルコードを、推論エンジンを使用して検出します SPAM Vuln POC Web PAM PAM (Protocol Analysis Module) によるプロトコル分析を行い、侵入を検知します。下位層からアプリケーション層までの、全てのレイヤのプロトコルを同時に解析することにより、2000以上の異常をリアルタイムに検出します。 SCH BOEP BOEP (Buffer-Overflow Exploit Protection)は、バッファ・オーバーフローを使用した攻撃（ゼロデイ攻撃を含む）を検出し、防御します。 Code Exec MAL VPS VPS (Virus Prevention System)は、単なるパタンマッチではなく、悪意を持った行動を監視する事により、ウィルスを検出します。 © 2008 IBM Corporation 人間とアイデンティティ人間がコンピュータを使用する時、どの資格でアクセスする？ – IDアーキクチャ：利用者の人格をどうするか • 通常は、一人の人間が、複数の人格(ユーザID)を使い分ける • 複数の人間が、一つの人格となる事(ユーザIDの共用)は避けるべき。ただし、社内なら良いが、自社の管理の行き届かない所まで、個人別管理を行うべきか？ – 認証：利用者の資格検査 – 認可：資源に対するアクセス権限管理 – プロビジョニング：アクセス管理情報の伝播企業システムの使用者の複雑化 – 外部の人間が、企業の根幹の作業にたずさわっている – 関連会社・取引先からの企業システムの使用 – 社員以外の人間の利用者管理、ID管理を企業で出来るか？ © 2008 IBM Corporation IDで識別すべきものは状況によって異なる一つのドメイン(管理領域)の中ではエンティティのアイデンティティは明確 • 一つの名前で、一つのエンティティを混乱なく指示出来る山田巡査部長 - 勤務先：ミドリ市花町交番 - 勤務暦：10年 • エンティティの属性は明確ドメインが異なると、アイデンティティが不明確になるパパ家族ドメインしんちゃんのおじさん近所の子供ドメインおまわりさん社会ドメイン © 2008 IBM Corporation フェデレーション時における利用者IDの変換両ドメイン間で合意した中間的表現のID 要求側ドメイン内で理解できるID サーバ側ドメイン内で理解できるID Webサービスゲートウェー Webサービス要求アプリインターネット Webサービスゲートウェー SOAP要求ローカルID SOAP要求 SOAP要求ローカルID トークンローカルID ローカルID ローカルID ローカルID トークン ID変換機能 - IDマッピング - 属性マッピング - トークン管理 - アクセス権限管理 Webサービス処理アプリトークンローカルID ID変換機能 - IDマッピング - 属性マッピング - トークン管理 - アクセス権限管理利用者 • ID変換、属性変換 • 利用者資格証明(credential)による利用者真性性の保障 • 複数利用者の、同一IDへのマッピング(要求側ドメインでの利用者IDは属性として渡す) © 2008 IBM Corporation プロビジョニング機能の例入力段階外部からのバッチ入力情報人事マスター管理者・担当者 ID情報管理機能保持段階 CSVファイル Etc. ID情報収集機能メタ・ディレクトリ ID情報配布・公開機能セルフサービス機能手動入力利用者配布段階業務アプリ電話帳メールシステム C/Sアプリ（SAP等） Web認証基盤（シングルサインオン）組織外への提供 © 2008 IBM Corporation 統合認証：利用者認証の段階シングルサインオンアカウントの共有一人一アカウント複数ID/複数パスワード単一パスワード (単一利用者ID) • シングルサインオン製品導入監査性の問題事故発生時の追及が困難パスワード漏洩パスワード品質 • 利用者IDアーキテクチャ策定 • 個別利用者の把握 • パスワード変更方式確定・実装 • 業務で使用する利用者ID変更 • 個別アカウント発行 • 業務で対応不可の場合、ID変換 • アカウント登録・廃止処理 • 業務へのID(及び属性情報)伝達 (プロビジョニング機能の実装) • デスクトップSSO製品 © 2008 IBM Corporation 認証認可の考え方認証機能 URIレベルの認可機能利用者識別認証情報業務処理利用者識別認証情報利用資格認証ポリシー基本ポリシー資源レベルの認可機能認可ポリシー認可機能認可情報資源 (DB等) 統合認可機能認可情報 © 2008 IBM Corporation セキュリティー・メソドロジの例： TJSM ステップ１：ステップ２：ステップ３：ステップ４：ステップ５：守るべき資源の洗い出しリスク評価セキュリティー要件の定義セキュリティー・アーキテクチャの定義セキュリティー・オペレーショナル・モデルの設計 Actor/Risk リスク評価 IT要件セキュリティー標準・規定 Asset profile Data Store 物理モデルリスクへの対抗手段の検討脅威・脆弱性システムモデル#1 ○○○システム実装箇所 FTPサーバ (UNIX) リスク評価結果 ◎ 防低検復止減知旧対抗策利用者の識別と認証システムプロセス／データ種別実装内容システムサービス（ＦＴＰサーバ・ＴＥＬＮＥＴ） ○ 強固なパスワードルールを策定し、システム設定でルールを強制するシステムサービス（TELNET）実装箇所リスク評価結果防低検復対抗策システムサービス止減知旧（ＦＴＰサーバ）実装箇所 ◎ Configuration APPL/Systems Data Flow 対抗手段データアクセス制御 FTPサーバ (UNIX) ◎ ゾーニング ◎ ハードニング ◎ 評価結果 ○ ◎ ○ データアクセス制御 ○ ○ システムアクセス制御ゾーニングハードニング統合化（インフラ化）の方向性 N/A N/A N/A 統合化（インフラ化）の方向性 N/A 統合化（インフラ化）の方向性 TelnetからSSHに移行し、識別及び認証データを暗号化する。 N/A OSのアクセス制御機能を使用し、ファイルに対するアクセス制御を実施する。 N/A システムサービス強固なパスワードルールを策定し、システム設定でルールを強制する（ＦＴＰサーバ・ＴＥＬＮＥＴ） ◎ ○ データアクセス制御 ◎ ○ ゾーニング ○ ◎ 保管データ(ファイル) ハードニング N/A セキュリティドメインコンセプトに基づき全 FTPからSFTPに移行し、識別及び認証データを暗号化する。 N/A ゾーニングコンセプトに基づくマシンの配置(Blueゾーンセグメントへの配置) 社ネットワークとしてネットワークのゾーニシステムサービス TelnetからSSHに移行し、識別及び認証データを暗号化する。 N/A ングを実施（TELNET）システムサービス TCPWrapper等を使用してシステムへのネットワークを経由したアクセスを許可する端末 ○ N/A システムサービス（ＦＴＰサーバ・ＴＥＬＮＥＴ）をIPアドレスやポート番号単位で制限する。脆弱性情報の収集・分析とセキュリティ修正プログラムの適用システムサービス（ＦＴＰサーバ・ＴＥＬＮＥＴ） FTPからSFTPに移行し、識別及び認証データを暗号化する。（ＦＴＰサーバ）システムアクセス制御 ○ ◎ システムサービス（TELNET） ○ システムサービスシステムサービス（ＦＴＰサーバ）（ＦＴＰサーバ・ＴＥＬＮＥＴ） ◎ ◎ システムモデル#1 ○○○システム止減知旧保管データ (ファイル) 利用者の識別と認証 ○ 保管データ保護 TelnetからSSHに移行し、識別及び認証データを暗号化する。システムプロセス／データ種別実装内容 FTPからSFTPに移行し、識別及び認証データを暗号化する。システムモデル#1 ○○○システムシステムサービス ○ 強固なパスワードルールを策定し、システム設定でルールを強制するシステムサービス TCPWrapper等を使用してシステムへのネットワークを経由したアクセスを許可する端末（ＦＴＰサーバ・ＴＥＬＮＥＴ） N/A 防低検復をIPアドレスやポート番号単位で制限する。（ＦＴＰサーバ・ＴＥＬＮＥＴ）対抗策システムプロセス／データ種別実装内容 FTPサーバ ◎ 利用者の識別と認証 (UNIX) ○ システムアクセス制御 ○ リスク N/A 保管データ OSのアクセス制御機能を使用し、ファイルに対するアクセス制御を実施する。 N/A (ファイル) 不要なサービスの起動停止システムサービス TCPWrapper等を使用してシステムへのネットワークを経由したアクセスを許可する端末 ○ N/A （ＦＴＰサーバ・ＴＥＬＮＥＴ）をIPアドレスやポート番号単位で制限する。クライアントPCについてセキュリティ設定セキュリティドメインコンセプトに基づき全の統合管理ソリューションを採用する。システムサービスゾーニングコンセプトに基づくマシンの配置(Blueゾーンセグメントへの配置) 社ネットワークとしてネットワークのゾーニシステムファイルに対するアクセス許可が適切に行われているか確認する（SUID/SGID （ＦＴＰサーバ・ＴＥＬＮＥＴ）保管データングを実施されたファイルの検索/UMASK値の確認) OSのアクセス制御機能を使用し、ファイルに対するアクセス制御を実施する。 ○ N/A (ファイル) システムサービス脆弱性情報の収集・分析とセキュリティ修正プログラムの適用（ＦＴＰサーバ・ＴＥＬＮＥＴ）システムサービス不要な初期アカウントの削除 ○ ゾーニングコンセプトに基づくマシンの配置(Blueゾーンセグメントへの配置) （ＦＴＰサーバ・ＴＥＬＮＥＴ）不要なサービスの起動停止ＯＳの暗号化機能を使用してファイルを暗号化する。 N/A システムサービス脆弱性情報の収集・分析とセキュリティ修正プログラムの適用（ＦＴＰサーバ・ＴＥＬＮＥＴ） ○ セキュリティドメインコンセプトに基づき全社ネットワークとしてネットワークのゾーニングを実施クライアントPCについてセキュリティ設定の統合管理ソリューションを採用する。システムファイルに対するアクセス許可が適切に行われているか確認する（SUID/SGID されたファイルの検索/UMASK値の確認) サーバに対する物理的アクセスを制限する。部門サーバをマシンルームへ集約不要なサービスの起動停止不要な初期アカウントの削除システムファイルに対するアクセス許可が適切に行われているか確認する（SUID/SGID されたファイルの検索/UMASK値の確認) ◎ 保管データ保護 ◎ ○ 保管データ保護保管データ(ファイル) ○ 保管データ(ファイル) クライアントPCについてセキュリティ設定の統合管理ソリューションを採用する。ＯＳの暗号化機能を使用してファイルを暗号化する。不要な初期アカウントの削除 N/A サーバに対する物理的アクセスを制限する。ＯＳの暗号化機能を使用してファイルを暗号化する。部門サーバをマシンルームへ集約 N/A サーバに対する物理的アクセスを制限する。部門サーバをマシンルームへ集約 Guideline for GMITS Act/Regulation 実装計画 Interview/ Workshop IT要件現行システムの評価フィット・ギャップ分析 © 2008 IBM Corporation ご清聴ありがとうございました。 © 2008 IBM Corporation