「情報セキュリティ10大脅威2017」 から読み取る最新セキュリティ傾向とその対策
•
1 like•1,858 views
2017年2月20日開催セミナー「「情報セキュリティ10大脅威2017」 から読み取る最新セキュリティ傾向とその対策」に登壇した際のスライドです。 https://datahotel.connpass.com/event/50618/
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to 「情報セキュリティ10大脅威2017」 から読み取る最新セキュリティ傾向とその対策
Similar to 「情報セキュリティ10大脅威2017」 から読み取る最新セキュリティ傾向とその対策 (20)
More from NHN テコラス株式会社
More from NHN テコラス株式会社 (18)
「情報セキュリティ10大脅威2017」 から読み取る最新セキュリティ傾向とその対策
- 1. 2017年2月20日 NHNテコラス株式会社 データホテル事業本部 セキュリティ・エンジニア 香取 弘徳 「情報セキュリティ10大脅威2017」 から読み取る 最新セキュリティ傾向とその対策
- 3. http://www.itmedia.co.jp/author/211284/ ITmedia エンタープライズ 現場エキスパートに学ぶ実践的サイバー攻撃対策塾 DATAHOTEL で、開発業務をしています。 でも、本当は…セキュリティ・エンジニアです。 （専門はWeb セキュリティ） 香取 弘徳（かとり ひろのり）
- 4. 【出典】情報セキュリティ10大脅威 2017：IPA 独立行政法人 情報処理推進機構 https://www.ipa.go.jp/security/vuln/10threats2017.html 「情報セキュリティ10大脅威2017」 から読み取る 最新セキュリティ傾向とその対策
- 5. 昨年順位 個人 順位 組織 昨年順位 1位 インターネットバンキングやクレジットカー ド情報の不正利用 1位 標的型攻撃による情報流出 1位 2位 ランサムウェアによる被害 2位 ランサムウェアによる被害 7位 3位 スマートフォンやスマートフォンアプリを 狙った攻撃 3位 ウェブサービスからの個人情報の窃取 3位 5位 ウェブサービスへの不正ログイン 4位 サービス妨害攻撃によるサービスの停止 4位 4位 ワンクリック請求などの不当請求 5位 内部不正による情報漏えいとそれに伴う 業務停止 2位 7位 ウェブサービスからの個人情報の窃取 6位 ウェブサイトの改ざん 5位 6位 匿名によるネット上の誹謗・中傷 7位 ウェブサービスへの不正ログイン 9位 8位 情報モラル不足に伴う犯罪の低年齢化 8位 IoT機器の脆弱性の顕在化 ランク外 10位 インターネット上のサービスを悪用した攻撃 9位 攻撃のビジネス化 （アンダーグラウンドサービス） ランク外 ランク外 IoT機器の不適切管理 10位 インターネットバンキングやクレジット カード情報の不正利用 8位
- 6. 昨年順位 個人 順位 組織 昨年順位 1位 インターネットバンキングやクレジットカー ド情報の不正利用 1位 標的型攻撃による情報流出 1位 2位 ランサムウェアによる被害 2位 ランサムウェアによる被害 7位 3位 スマートフォンやスマートフォンアプリを 狙った攻撃 3位 ウェブサービスからの個人情報の窃取 3位 5位 ウェブサービスへの不正ログイン 4位 サービス妨害攻撃によるサービスの停止 4位 4位 ワンクリック請求などの不当請求 5位 内部不正による情報漏えいとそれに伴う 業務停止 2位 7位 ウェブサービスからの個人情報の窃取 6位 ウェブサイトの改ざん 5位 6位 匿名によるネット上の誹謗・中傷 7位 ウェブサービスへの不正ログイン 9位 8位 情報モラル不足に伴う犯罪の低年齢化 8位 IoT機器の脆弱性の顕在化 ランク外 10位 インターネット上のサービスを悪用した攻撃 9位 攻撃のビジネス化 （アンダーグラウンドサービス） ランク外 ランク外 IoT機器の不適切管理 10位 インターネットバンキングやクレジット カード情報の不正利用 8位
- 7. IDDoS 2016年9月 Krebs on Security に 620Gbps と言われる DDoS攻撃 【出典】KrebsOnSecurity Hit With Record DDoS – Krebs on Security https://krebsonsecurity.com/2016/09/krebsonsecurity-hit-with-record-ddos/
- 8. 300 620 0 100 200 300 400 500 600 700 2013年 Spamhaus or CloudFlare 2016年 Krebs on Security (Gbps) 【出典】The DDoS That Almost Broke the Internet https://blog.cloudflare.com/the-ddos-that-almost-broke-the-internet/
- 10. OS / ミドルウェアの脆弱性 アプリケーションの脆弱性 ITインフラの脆弱性 設定の不備 脆弱な IoT デバイス
- 13. 2016年 パスワード 2015年 1 123456 1 2 password 2 3 12345 5 4 12345678 3 5 football 7 6 qwerty 4 7 1234567890 12 8 1234567 9 9 princess 21 10 1234 8 【出典】Worst Passwords of 2016 https://www.teamsid.com/worst-passwords-2016/ 脆弱なパスワード
- 15. 昨年順位 個人 順位 組織 昨年順位 1位 インターネットバンキングやクレジットカー ド情報の不正利用 1位 標的型攻撃による情報流出 1位 2位 ランサムウェアによる被害 2位 ランサムウェアによる被害 7位 3位 スマートフォンやスマートフォンアプリを 狙った攻撃 3位 ウェブサービスからの個人情報の窃取 3位 5位 ウェブサービスへの不正ログイン 4位 サービス妨害攻撃によるサービスの停止 4位 4位 ワンクリック請求などの不当請求 5位 内部不正による情報漏えいとそれに伴う 業務停止 2位 7位 ウェブサービスからの個人情報の窃取 6位 ウェブサイトの改ざん 5位 6位 匿名によるネット上の誹謗・中傷 7位 ウェブサービスへの不正ログイン 9位 8位 情報モラル不足に伴う犯罪の低年齢化 8位 IoT機器の脆弱性の顕在化 ランク外 10位 インターネット上のサービスを悪用した攻撃 9位 攻撃のビジネス化 （アンダーグラウンドサービス） ランク外 ランク外 IoT機器の不適切管理 10位 インターネットバンキングやクレジット カード情報の不正利用 8位
- 17. 昨年順位 個人 順位 組織 昨年順位 1位 インターネットバンキングやクレジットカー ド情報の不正利用 1位 標的型攻撃による情報流出 1位 2位 ランサムウェアによる被害 2位 ランサムウェアによる被害 7位 3位 スマートフォンやスマートフォンアプリを 狙った攻撃 3位 ウェブサービスからの個人情報の窃取 3位 5位 ウェブサービスへの不正ログイン 4位 サービス妨害攻撃によるサービスの停止 4位 4位 ワンクリック請求などの不当請求 5位 内部不正による情報漏えいとそれに伴う 業務停止 2位 マルウェア関係が上位に 問題の本質は侵入経路？
- 18. マルウェア３大侵入経路 • メール添付ファイル • Drive by Downloads • 不正なアプリケーションの インストール
- 19. 標的型攻撃メールの 添付ファイル 60% 27% 6% 3% 4% 添付（圧縮） 添付（非圧縮） URLリンク 添付・URLリンクなし 不明 【出典】IPA J-CRAT 標的型攻撃メールの傾向と見分け方 https://www.ipa.go.jp/files/000052612.pdf
- 20. PDF 文書exe.pdf 文書fdp.exe RLO（Right-to-LeftOverride） ここから先は「右から左に読む」という unicode 制御文字 • アイコン偽装 • ファイル名偽装 60% が圧縮ファイル 添付資料.zip 展開
- 21. Drive by Downloads Web 閲覧者が iframe 等により、 悪意のあるWebサイトにアクセスしてしまう。 ブラウザやアドオンの脆弱性を突かれてしまう。 （Exploit）
- 22. 改ざんされた Webサイト 悪意のある Webサイト ユーザーの ブラウザ リクエスト 危険なコードを含む レスポンス コードを取得 危険なコード JavaScript により タグ生成（iframe等） リクエスト Drive by Downloads
- 25. Next-Generation Firewall Sandbox Endpoint Security Solutions + SOC
- 27. 一点豪華主義は意味がない
- 34. では、ショッピングサイト運営事業者がどうであると、 エンドユーザーに安全・安心を提供できるのだろうか？ 1. サイバーセキュリティ経営ガイドラインに準拠する。 2. CSIRTを設置し、活動報告を内外に示す。 3. サービス／組織内システムの多層防御を実施し、 耐性を高めること。
- 37. CSIRT （ Computer Security Incident Response Team、シーサート）とは、コンピュータやネットワー ク（特にインターネット）上で何らかの問題（主にセ キュリティ上の問題）が起きていないかどうか監視する と共に、万が一問題が発生した場合にその原因解析や影 響範囲の調査を行ったりする組織の総称。 2. CSIRT 【出典】CSIRT - Wikipedia https://ja.wikipedia.org/wiki/CSIRT
- 38. CSIRTが活躍するのは インシデント発生時だけではない。 • 活動報告 • 現場の工夫 • エンドユーザーの安心・安全のための取組み 情報発信
- 39. 対策 A. 検知 B. 拒否 C. 中断 D. 低下 E. 惑わす 1. 偵察 攻撃者に情報を与えない Web分析 Firewall / ACL ユーザー教育 虚偽の資料 2. 武器化 エクスプロイトコード、 マルウェアへの対応 IDS IPS アプリ数の削減 3. デリバリ マルウェアが添付された メール、悪意のあるURL へのアクセスを妨害 慎重なユーザー プロキシ フィルター サンドボックス 4. エクスプロイト 脆弱性を突く攻撃からの 防御 ホストIPS バッチ対策 ホストIPS 最小権限 5. インストール マルウェアをインストー ルさせない ホストIPS アプリの ホワイトリスト ウイルス対策 エンドポイント型 サンドボックス 6. C2 C2との通信を検知・遮断 ホストIPS Firewall / ACL IPS 7. 目的の実行 外部への情報の持ち出し を妨害 ログの監視 リソースのACL 通信の遮断 ファイル暗号化 【出典】紙とペンで見つけていくセキュリティ対策の落とし穴 - ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/articles/1608/02/news013.html ３．多層防御
- 41. ITインフラ事業者の我々の場合は... 1. サイバーセキュリティ経営ガイドラインに準拠する。 2. CSIRTを設置し、活動報告を内外に示す。 3. サービス／組織内システムの多層防御を実施し、 耐性を高めること。 お客様の情報セキュリティ戦略の 実現・運用をサポートすること。
- 43. Managed & Secured Hosting Service