2016年度危機管理コンテストに参加したチーム「fukuitech」の1次予選に対する戦略まとめです

1. 危機管理コンテスト1次予選
~コンサル編~
FukuiTech
重龍(@zyuuryuu)
2016/07/09 第6回福井技術者の集い 1

2. 登壇者
おなじみ重龍（@zyuuryuu）です
普段はDDOSとかgame theoryの論文を
読んでます
今回から名実ともに裏方
2016/07/09 第6回福井技術者の集い 2

3. 発表の前に
ついに福井県もセキュリティの波から
逃れられなくなりました[1]
出来れば1人でも多くの方に“他人事ではない”
事を知って頂きたい
この発表で言っていることが正解である保証
は致しません
2016/07/09 第6回福井技術者の集い 3
[1] 福井県池田町のPCからデータ抜き取られる - 外部より遠隔操作
http://www.security-next.com/070673

4. この発表の目的
自己学習の難しいコンサル部分の解説
学生が学習するための資料提供
勉強熱心な学生が2次予選に挑戦できると
いいな
参加学生から見たコンテストの振り返り
セキュリティを考えるときにどう動けばいい
のかを一般論化
皆さんからのツッコミ期待
2016/07/09 第6回福井技術者の集い 4

5. 昨年の発表との比較
自分たちの“解答の解説”ではない
去年は競技内容に依存したアプローチ
インシデントハンドリングも踏まえた内容
“管理職”がやる物的な感想があったので
後ろ暗い部分が何もない
去年はやらかしちゃってたので非公開…
2016/07/09 第6回福井技術者の集い 5

6. 危機管理コンテストとは
トラブルシューティング能力を競う大会
セキュリティコンサル
顧客からの相談を受けて対策を提案
実際のトラブルハンドリング
実際の問題を自分たちで解決し
“システムを通常稼動させ続ける”
優勝者には経済産業大臣賞が贈呈
2016/07/09 第6回福井技術者の集い 6

7. 発表者とコンテストの関係
2015年度2次予選敗退（bary）
まさに惨敗
2016年度経済産業大臣賞（fukuitech）
接戦の末の勝利
2年連続3校合同チーム
学校そのものは違うけどね
2016/07/09 第6回福井技術者の集い 7

8. コンサルの前に
幅広い知識を収集する
リスクを正しく認識する
“適切”な対策を提案する
年間1億稼ぐシステムに維持費1億掛かる
セキュリティ対策をする馬鹿がいるか？
守りたい物をはっきりさせる
依頼者を守れ
2016/07/09 第6回福井技術者の集い 8

9. はっきりさせるべきこと
何をすべきなのか
責任はだれにあるのか
2016/07/09 第6回福井技術者の集い 9

10. 簡単に今回の予選内容紹介
ここから見てね [2]
コワーキングスペースの運営
顧客の業務情報が漏えい
顧客による損害賠償請求
原因究明と対応方法のアドバイス要請
2016/07/09 第6回福井技術者の集い 10
[2] 情報危機管理コンテスト1次予選特設ページ
http://www.riis.or.jp/symposium20/crisismanagement/first/

11. コンサルの流れ（仮）
必要な情報の確保（＋被害拡大阻止）
情報資産の洗い出し
資産に対するアクセス経路の洗い出し
脅威の洗い出し
リスク評価（＋原因推定）
リスクに応じた対策の検討（＋問題対応）
2016/07/09 第6回福井技術者の集い 11

12. 初動対応
被害範囲特定・拡大阻止
ここで最終的な被害総額がほぼ決まる
顧客が一番知りたいのも結局はここ
認証情報の変更など
必要な情報の確保
今や全てのログを取得・管理するのは不可能
過不足ない情報を取得する必要が
2016/07/09 第6回福井技術者の集い 12

13. 初動対応
顧客対応
情報提供などの協力依頼（謝罪はいらん）
事実確認
被害拡大阻止
漏えい情報の削除依頼
その他，漏えいの有無を確認
情報確保
ログや設定内容，PC類の状態保全
2016/07/09 第6回福井技術者の集い 13

14. 現状態の把握
情報資産の洗い出し
物理的な資産（書類，PC，その他機器）
論理的な資産（ソフトウェア，機密情報）
資産に対するアクセス経路の洗い出し
通常利用している経路
意図していない経路
ソフトウェアの脆弱性を利用したアクセス
脆弱な認証情報などを利用したアクセス
2016/07/09 第6回福井技術者の集い 14

15. 現状態の把握
情報資産の洗い出し
システムを構成する機器
システムでやり取りされる情報
アクセス経路の洗い出し
システムにはどの機器でアクセスするか
アクセス場所に制約はあるか
取り扱う情報はどの機器で利用されるか
2016/07/09 第6回福井技術者の集い 15

16. 脅威分析
洗い出した情報を基に脅威を分析
資産×アクセス経路＝脅威
資産に価値があるほどリスクが大きい
アクセスが簡単であるほどリスクが大きい
アクセス経路によっては被疑者を絞り込む
ことも可能
現在問題が起きているならばこれらの結果
から何が原因なのかを推定
2016/07/09 第6回福井技術者の集い 16

17. 原因特定
漏えいした情報に対する全経路を洗い出す
経路と経路を利用可能な存在の組み合わせを
導出する
その中から発生確率が高い（技術的＋
作業量的なハードルが低い）物から精査する
最終的には原因であろうと思われる複数の
問題に絞り込む
2016/07/09 第6回福井技術者の集い 17

18. 対策の提案
基本的にはリスクが高い物から順に対策
対策前の想定被害額>
対策後の想定被害額＋対策費用になるように
対策費用は業務の複雑化なども考慮して
問題の対応は責任の所在を明確に
例えば
システムの堅牢化・インシデントの自動検知
注意喚起・利用規約の改定・UIの変更
2016/07/09 第6回福井技術者の集い 18

19. まとめ
当事者の都合に合わせた対策を考えよう
対策のコスト
システムの可用性
問題を網羅的・客観的に見る能力をつけよう
知識・経験を積む
情報が正しいか検証する癖をつける
競技以外の私生活でも気を付けていこう
2016/07/09 第6回福井技術者の集い 19