なぜ Windows 10 は史上最も安全といわれるのか？ ～RED TEAM のアプローチ～

1. Session ID: SEC017
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

4. RED TEAM ?

5. BLUE TEAM
防御
• 侵入されることを前提に、
検出、封じ込め、対応、復旧
RED TEAM
攻撃
• 脆弱性悪用した攻撃をモデル化
• 攻撃をシミュレーション

6. Microsoft Tech Summit

8. • 脆弱性を全て取り除く！
予防的なセキュリティ
結果重視！ありとあら
ゆる手で！
脆弱性 ＜ 攻撃方法
１つの脆弱性で！
実際の攻撃では・・・
• 脆弱性！脆弱性！脆弱
性！ ・・・たまに攻撃方法
• 個のセキュリティ！

9. Windows
Component A Component B
Component C
3rd Party
ソフトウェア
Component D Component E Component F
敵を知ることが重要

10. 予防 (Preventive)

12. 分析 構築 評価

13. 外部データソース内部データソース
脆弱性悪用データ
根本原因 脆弱性
悪用の手法
攻撃の
対象範囲
リスク
軽減策の効果

14. BLUE TEAM
防御
• 侵入されることを前提に、
検出、封じ込め、対応、復旧
RED TEAM
攻撃
• 脆弱性悪用した攻撃をモデル化
• 攻撃をシミュレーション

15. BLUE TEAM
防御
• 侵入されることを前提に、
検出、封じ込め、対応、復旧
RED TEAM
攻撃
• 脆弱性悪用した攻撃をモデル化
• 攻撃をシミュレーション
Windows Offensive
Security Research (OSR)
Defender / Defeder ATP

16. RED TEAM のポイント
攻撃演習に基づいたセキュリティ モデルが
マイクロソフトのセキュリティ戦略を支える柱に

17. Microsoft Tech Summit

20. 8 12 11 18
31 27
28
102 181
133
26
13 13
21 30
24 13
15
18
18
45
19
9
12
9
12
19 18
11
3
3
23
31
0
1
3
10
2
4 1
5
20
18
11
1 1
0 1 2
1 3
3 17
29 13
2 4
2 3 3
1 3 4 6 11 5
8 10
4 6 6 3 1 1 2 1 1
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
Use After Free Heap Corruption Other Type Confusion Heap OOB Read Uninitialized Use Stack Corruption

21. // 1. オブジェクトを割り当てる
p = new COptionElement();
// 2. オブジェクトを解放する
delete p;
// 3. 解放されたオブジェクトを使用する
p->Foo();
攻撃者が新しい型とし
て p を再度割り当てる
// 2. オブジェクトをゼロで初期化
するが解放しない
ZeroMemory(p, sizeof(T));
// 3. ガベージ コレクション
フェーズによって参照がないすべて
のオブジェクトが解放される
(スタック、レジスタ、ヒープ)
Windows 10 Ver. 1507 から Edge に搭載

23. ハイパーバイザー
安全なカーネル
保護モード (VTL1)
ユーザー
モード
カーネル
モード
分離
プロセス C
C 安全な
カーネル データ
分離
プロセス D
D 安全な
カーネル データ
Windows
ユーザー
モード
カーネル
モード
標準モード (VTL0)
プロセス A
A カーネル
データ
プロセス B
B カーネル
データ
仮想保護モード (VSM) のアーキテクチャ
Windows 10 Ver. 1507 から搭載 ⇒ Credential Guard

25. Edge
マネージャー
用
AppContainer
コンテンツ用
AppContain
er
Adobe Flash
用
AppContaine
r
ストア アプリ
用
AppContainer
Windows カーネル
Win32
プロセス
ユーザー モードの
フォント ドライ
バー ホスト用
AppContainer
Win32k.sys フォント
解析
システム呼び出し
システムの
呼び出しフィルター
Windows 8 から搭載し、Windows 10 にも搭載

27. • エンジニアリング チームを動員して、脆弱性について短時
間で理解し、修正プログラムを開発
迅速に対応
• SmartScreen などのテクノロジを使用して、攻撃から保護
• Microsoft Active Protection Program (MAPP) パートナーによ
り、エコシステム全体を保護
迅速に保護
• 影響を受けるユーザーの数を短時間で減少させるために、
セキュリティ更新プログラムを広範に展開してインストール
迅速に更新

28. Microsoft Tech Summit