1. 「先端技術」
- セキュリティ最前線 -
nakasen_20th

2. セキュリティ最前線
1. ひとことで言えば？
2. 生まれた背景
3. 概要
4. 周囲はどう見ているか - 好意的視点
5. 周囲はどう見ているか - 批判的視点
6. 今後はどうなる？
7. 星いくつ？

3. 1. ひとことで言えば？
「『100%安全』な環境は存在しない」

4. 2. 生まれた背景
• インターネットの普及で攻撃が容易に
• 情報価値の増大
• ソーシャルエンジニアリング技術の向上

5. • コンピュータウィルス（マルウェア）の歴史と現状
• セキュリティベンダーの苦闘
• セキュリティホールはなくならない
• ゼロデイアタックの増加
• 標的型攻撃の恐ろしさ
• 安全性は確率でしか表せない
3. 概要

6. コンピュータウィルスの歴史と現状
• コンピュータウィルスはマルウェアの一種
（マルウェアは不正プログラムの総称）
• ウィルスは1970年代から存在
当初は興味本位、次第に攻撃目的、営利目的に
• ウィルスは感染と発症を行う
目的を果たすためには潜伏期間が重要
• 現在では製作コストが高いので
攻撃手法としてはマイナーな存在に
（軍事予算レベルを注ぎ込めるのなら話は別）

7. セキュリティベンダーの苦闘
• アンチウィルスプログラムはシグネチャが命
攻撃コードのパターンを検出
• 新ウィルス誕生といたちごっこに
• シグネチャ更新回数が無限大に増えていく
→動作不安定に（アンチウィルスがウィルスに）

8. セキュリティベンダーの苦闘
• シグネチャ更新は限界に
攻撃手法の多様化、マルウェアの種類の増大
• いたちごっこからの脱却
インテリジェントなウィルス発見技術
• 機械学習でウィルスのパターンを検知

9. セキュリティホールはなくならない
• 脆弱性を呼び起こすバグはなくならない
http://appllio.com/20140223-4899-apple-ios-
bug-ssl-goto-fail
• 重要なソフトウェアに脆弱性が
（Sendmail、BIND、OpenSSL、bashなど）
• ソフト開発者側にも限界が
http://jp.wsj.com/articles/
SB1000142405270230343350457950108000
0871574

10. セキュリティホールはなくならない
• バグが見つかると攻撃コードが生まれる
→ exploit（脆弱性を突く攻撃ード）
• exploitは破壊目的のみではなく、
検証目的でも作られる
• 作成したexploitが動作したら開発者に報告すべき

11. ゼロデイアタックの増加
• 以前のexploit
1. セキュリティ研究者が脆弱性発見、開発者に報告
2. 開発者側がパッチ（修正部分）を作成
3. 発見者および開発者側が脆弱性とパッチを公表
4. 公表された脆弱性からexploitが作成され、出回る
→ exploitが出回るまでに猶予がある
→ その間に対策を打てる

12. ゼロデイアタックの増加
• 最近のexploit
1. 攻撃者が脆弱性発見
2. 直ちにexploitを利用して攻撃
3. 攻撃者は脆弱性を公表しない（経済行為）
→ exploitが直ちに出回る（ゼロデイ）
→ 対策を打つ暇がないので被害に遭う

13. （参考）exploitの実例
• OpenSSLの脆弱性「Heartbleed」
http://developers.mobage.jp/blog/
2014/4/15/heartbleed
• bashの脆弱性「ShellShock」
http://moro-archive.hatenablog.com/entry/
2014/09/27/200553
• OpenSSLの脆弱性「POODLE」
http://developers.mobage.jp/blog/poodle

14. 標的型攻撃の恐ろしさ
• 本当に怖いのはソーシャルエンジニアリング
• 標的型攻撃で防御力激減
• 最大のセキュリティホールは人間
• 「おろかさへのパッチはないのだ」
by ケビン・ミトニック

15. • ソーシャルエンジニアリングのプロセス
http://news.mynavi.jp/articles/2013/05/27/
mitnick/
• 完全な防御は不可能
• ケビン・ミトニックは攻撃成功率100%
標的型攻撃の恐ろしさ

16. 安全性は確率でしか表せない
• 100%防御は不可能
• 目標は被害を減らすこと（防災よりも減災）
• 日常の簡単な作業、確認で確率を改善できる
• ソフトウェアの最新版使用が最も効果的
• でも危険をゼロにすることは不可能

17. 4.周囲はどう見ているか（好意的視点）
• リスク管理はどの分野にも必要
• セキュリティと可用性はトレードオフ
どこまで厳しく管理するかは個別に判断
• 防御力を高めるためには攻撃の経験も必要

18. • 100%安全が担保されないなら
もうコンピュータを使うな！
• 国はもっと厳しく取り締まるべき
• ハッカーの存在を許すな！
5.周囲はどう見ているか（批判的視点）

19. 6. 今後はどうなる？
• 機械学習に期待
• 国家間の争いよりも共同戦線へ
• メリハリをつけたセキュリティ管理

20. 7. 星いくつ？
• トンガリ度 ★★★★☆
• 絶対流行る ★★★★☆
• お金の匂い ★★★★☆
• 敷居の低さ ★★☆☆☆
• 総合おススメ度 ★★★☆☆