マルウェア感染！！そのときあなたがやるべきこと、やってはいけないこと
•
19 likes•16,030 views
［2018/10/24に開催した「Lead Initiative 2018 Technical TRACK」の講演資料です］ マルウェアの感染は誰にでも起こりうるものです。しかし、感染発覚の直後にウイルススキャンを実行するなどの間違った対応により、マルウェアが何を行ったかの「痕跡」を消失させてしまうなど、その後の調査に支障をきたしてしまうことがあります。マルウェアによる被害を調査するためには、皆様の正しい初動が大切です。本講演では、感染直後にとるべき対応について、実際にノートPCをマルウェアに感染させるデモを交えながらご紹介します。 ▼講演者 鈴木 博志（セキュリティ本部 セキュリティ情報統括室 マルウェア＆フォレンジックアナリスト） 梨和 久雄（セキュリティ本部 セキュリティ情報統括室 スレットアナリスト） 六田 佳祐（セキュリティ本部 セキュリティビジネス推進部 セキュリティオペレーションセンター アナリスト）
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to マルウェア感染！！そのときあなたがやるべきこと、やってはいけないこと
Similar to マルウェア感染！！そのときあなたがやるべきこと、やってはいけないこと (20)
More from IIJ
More from IIJ (20)
マルウェア感染！！そのときあなたがやるべきこと、やってはいけないこと
- 2. 自己紹介
- 3. 自己紹介 • 鈴木博志（すずきひろし ）、梨和久雄（なしわひさお） • セキュリティ本部 セキュリティ情報統括室 • IIJグループのCSIRT（事案対応チーム）であるIIJ-SECT に所属し、顧客や自社の事案対応などを行う。 • 六田佳祐（むだけいすけ） • セキュリティ本部 セキュリティビジネス推進部 セキュリ ティオペレーションセンター • SOC（セキュリティオペレーションセンター）にて、顧 客のインシデント発見と対応を行う。
- 4. 自己紹介 • Black Hat USA 2018 でのトレーニング提供と スピーカーとして登壇 [1]
- 5. アジェンダ
- 6. 本日のアジェンダ • マルウェア感染デモ • 攻撃者の視点から、PCの遠隔操作とファイルの盗み出し実演 • SOCによる検知と連絡デモ • 初動対応の際にやるべきこと、やってはいけないこと • インシデントレスポンスの初動対応デモ
- 7. マルウェア感染デモ
- 8. マルウェア感染と情報窃取デモ • 今回はMicrosoft Wordのマクロを悪用したマルウェア感染 手法について実演する。 • 例えば、以下のようなファイルがあり、ユーザがメール本文 に従い、黄色いバーを有効にして、その文書を閉じたとする。
- 10. 感染後の攻撃者の行動（デモ） • 本来、攻撃者はこのあとマルウェアを操作し、以下を繰り返 す。 • 侵入したPCやネットワークの調査 • ホストの調査と侵入 • 情報の特定と窃取 • 今回は簡略化して、デスクトップ上のファイルを盗み出すデ モを行う。 • 攻撃者は大量のファイルを持ち出す場合、rarや7zなどの アーカイブソフトウェア（圧縮/展開ソフトウェア）で圧縮 して持ち出す。 • 今回もこの手法を使用する。
- 11. SOC検知、連絡デモ
- 12. IIJ C-SOCサービスにおけるインシデント検知 • ログやアラートを基にインシデント検知 • 今回はWebプロキシのログ中に含まれていたUser-Agent から検知 • 複数のログを条件として検知する場合もある • 2種類の機器から条件を満たすログが出力 • 同一機器から一定条件を満たす複数行のログが出力 12
- 13. チケット • 発生したインシデントはチケットして管理 • お客様確認を経て対応完了 • 誤検知など、お客様確認を経ない場合もある 13
- 14. IIJセキュリティオペレーションセンター • 通常のIIJオフィスとは独立した 設備 • 取り扱いに注意を要する情報を 使用 • IIJ C-SOCサービスの対応 • IIJセキュリティサービスで 使用する脅威情報の分析・ 生成など 14
- 15. 検知のための努力 • マルウェアにおいては、新種のマルウェアの発見や、既知の マルウェアが更新されるのに対応するため、日々様々な努力 をしている。 • 検知のための努力（例） • レピュテーション情報（ホストの信用情報）を集め、そ の情報をルール化する。 • マルウェアを収集、解析して特徴を抽出し、ルール化す る。 • 今回のデモではこれのおかげで検知できた。 • 機械学習、ディープラーニングで検知 [2]
- 17. 初動対応 • ここで質問です。 • このようにIIJから通知を受けた場合、皆さんはどのように 対応していますか？ • 何はともあれ、まずはウイルス対策ソフトでフルスキャ ン。 • フルスキャンして、何も見つからなかった、もしくは１ 個マルウェアが見つかって、それを削除したからOK。 • うちに限ってそんなわけない。対応しなくてもいいか。 • 単にPCの調子が悪いだけだろう。再起動しよう。 • とにかく怖いので、電源をブチっと！ • 腕に自信あり！自分で切り分ける。 • LANケーブルを引っこ抜いたから、これでもう安心。
- 19. ウイルス対策ソフトでフルスキャン → 素人探偵が手袋もつけず、鑑識が入る前に土足で入って現 場を踏み荒らしてしまうようなものです。 • フルスキャンの動作によってメモリやファイルシステムの未 使用領域に残っている有用な証拠を上書きしてしまう可能性 がある。 • リアルタイム検知で検出されなかったケースでは、フルス キャンをかけてもほとんどの場合検出することはできない。
- 26. インシデントレスポンス
- 31. 検知後の対応（デモ） • ここでは簡易的ではあるが、その一部を再現する。 1. データの保全（CDIR-Collector） • メモリや、その他即効性のある有用なデータ（Prefetch, レジストリ, イベントログなど）を先に保全する。 2. ライブレスポンス（Autoruns） • プログラムの自動起動箇所の解析する。 3. ファストフォレンジクス（NTFS-Log-Tracker） • 今回はファイルシステムの管理情報（ジャーナルログ）を解析し、 攻撃者の動作を追跡する。 • この後、必要があればディスクを保全し、マルウェア解析や さらなる本格的なフォレンジック調査を行って事案を解決に 導く。
- 32. インシデントレスポンスフロー 32 感染端末所有者への ヒヤリング メモリ保全 / Triaged Acquisition ディスクフォレンジック、マルウェア解析 ライブレスポンス / ライブフォレンジック メモリフォレンジック / ファストフォレンジック ディスク保全 LANケー ブル断OK! AVフル スキャン OK! シャッ トダウ ンOK!
- 33. まとめ •正しい初動対応を学びましょう。 •まずやるべきは証拠保全 • 難しい場合は即専門家（IIJやセキュリティ 会社）に相談 •その後は自分たちで分析 or 専門家に依 頼 •定期的に訓練し、いざというときに迅速 に動けるようにしましょう。 33
- 34. リファレンス 1. Black Hat USA 2018 • Practical Incident Response With Digital Forensics & Malware Analysis • https://www.blackhat.com/us-18/training/schedule/#practical- incident-response-with-digital-forensics--malware-analysis-9569 • Reconstruct the World from Vanished Shadow: Recovering Deleted VSS Snapshots • https://www.blackhat.com/us- 18/briefings/schedule/index.html#reconstruct-the-world-from- vanished-shadow-recovering-deleted-vss-snapshots-9931 2. Black Hat Europe 2018 • Deep Impact: Recognizing Unknown Malicious Activities from Zero Knowledge • https://www.blackhat.com/eu- 18/briefings/schedule/index.html#deep-impact-recognizing- unknown-malicious-activities-from-zero-knowledge-12276