YJTC18 D-5 日本のインターネットを守る！Yahoo! JAPANの不正利用対策 - Splunkによる不正ログイン検知
•Download as PPTX, PDF•
11 likes•2,828 views
Yahoo! JAPAN Tech Conference 2018 D-5 セッションのスライドです。
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to YJTC18 D-5 日本のインターネットを守る！Yahoo! JAPANの不正利用対策 - Splunkによる不正ログイン検知
Similar to YJTC18 D-5 日本のインターネットを守る！Yahoo! JAPANの不正利用対策 - Splunkによる不正ログイン検知 (20)
More from Yahoo!デベロッパーネットワーク
More from Yahoo!デベロッパーネットワーク (20)
Recently uploaded
Recently uploaded (12)
YJTC18 D-5 日本のインターネットを守る！Yahoo! JAPANの不正利用対策 - Splunkによる不正ログイン検知
- 1. 日本のインターネットを守る！ Yahoo! JAPANの不正利用対策 Splunkによる不正ログイン検知 CISO室 近藤 彬 Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
- 2. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. 自己紹介 ■2005年～ 日立系の会社で官公庁向けのシス テム開発に従事。 ■2009年～ ヤフー株式会社へ入社。ヤフオク!や Yahoo!ショッピングの開発・運用に従 事。 ■2016年～ CISO室にて不正利用対策 近藤 彬 （こんどう あきら）
- 3. ヤフーの不正利用とは Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
- 4. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ヤフーの不正利用とは • ネットワーク • ポートスキャン など • サーバOS/Webサーバソフト • Dos/DDos攻撃 • 脆弱性攻撃 など • アプリケーション • SQLインジェクション • XSS など
- 5. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ヤフーの不正利用とは ヤフーのサービスを利用しての不正行為になります
- 6. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ヤフーのサービスを利用した不正利用 • クレジットカード盗用 • 銀行口座盗用 • 詐欺 • 偽ブランド販売 • いたずら注文 • ガイドライン違反 ■コマース系サービス • メールスパム • 広告スパム • コメントスパム ■スパム行為 • 複アカの大量取得 • ID乗っ取り ■ Yahoo! JAPAN ID関連
- 7. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ヤフーのサービスを利用した不正利用 Webサービスは各社でさまざまであり、既製のセキュリティ製品は少 ない。そのため独自で対策をしなければならない。 ヤフーでは機械＋人での対策を行っている。
- 8. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ヤフーのサービスを利用した不正利用 ここ数年、Yahoo! JAPAN IDの乗っ取り（リスト攻撃）が急増しており、 対策が急務であった。
- 9. ID乗っ取り（リスト攻撃について） Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
- 10. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ID乗っ取り（リスト攻撃について） パスワードリスト型攻撃とは、不正アクセス（不正ログイン）を試みる 手法の一種で、あらかじめ用意したアカウント情報（IDとパスワードの 組み合わせ）一覧をもとにログインを試みる手法である。
- 11. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ID乗っ取り（リスト攻撃について） アカウントリスト 何かしらの手段でリストを作成or入手 ・フィッシングサイト ・マルウェア ・他社からの流出 ・ダークウェブ など ログインサーバ アカウントリストの精査 各サービス 不正利用 ポイントの盗用 スパムメール送信 など
- 12. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ID乗っ取り（リスト攻撃について） 攻撃者は身元を偽装するため 日本に設置した中継サーバを 経由してアクセスしてきている。 出典：産経ニュース
- 13. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ID乗っ取り（リスト攻撃について） ログインサーバ アカウントリストの精査 各サービス 不正利用 海外IP 日本IP スクリプト 人手 中継サーバ
- 14. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. ID乗っ取り（リスト攻撃について） 現行の機械＋人力での検知では限界があるため、Splunkを利用した 検知システムを構築した。
- 15. Splunkについて Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
- 16. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkとは • ログの統合分析基盤。 • 検索/分析・可視化/レポーティングなど の機能を備える。 • さまざまなログフォーマットに対応。 • ITセキュリティ/ITオペレーション/ビジネ ス分析などさまざまな分野で利用ができ る。 ※詳細はSplunk社のHPを参照してください。
- 17. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkとは クエリ例） index="*" ip="*" | stats count by ip
- 18. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkとは
- 19. Splunkを使った不正ログイン検知 Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
- 20. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 indexer login log suspend server search head web hookforwarder ログから不正ログインを抽出し、 措置サーバへ連携 ログインログをSplunkへ転送 不正ログイン被害者の パスワードをリセット 不正検知のロジックは 全てSplunkの機能で実装。
- 21. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 膨大な正常系とログから真の脅威と推定されるアクセスを掘り当てる 必要がある。 ログの大半はノイズ 脅威は全体のごく一部
- 22. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 RAW DATA BASE QUERY SUMMARY DATA PROFILING QUERY ACCOUNT- HIJACK DATA ① 統計データの作成 スコアリング評価に必要な統計データを作成 ② スコアリング スコアリングロジックに基づき、アクセスを評価
- 23. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 不正者の行動分析 不正者の監視 検知モデルの更新 不正者の行動パターンはすぐに変化するため、監視・分析・モデル 更新を行う運用フローを構築している。
- 24. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 0 5000 10000 15000 20000 25000 30000 35000 システムリリース パスワードリセット件数（日単位） システムリリース以降、 件数が大幅に増加している
- 25. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 • Splunkを利用するメリット • WebUIでほとんどの操作が可能。 • 攻撃者は常に行動が変わるため、素早い対応が必要になる。 SplunkではWebUIでほとんどの操作ができるため早急かつ低リソースで対応が可能。 • 攻撃者の行動分析が容易にできる。 • Splunkはログ分析基盤であるため、アプリケーションログを取り込んでおけば容易に 攻撃者の行動分析ができる。またダッシュボード機能を利用することで可視化も簡単にできる。 • システム構築が比較的容易。
- 26. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. Splunkを使った不正ログイン検知 • Splunkを利用する際の注意事項 • ライセンス料に注意が必要。 • Splunkライセンス体系は一日に転送するログの量で決まります。 そのため転送するログは選定する必要があります。 • サーバスペックがそれなりに必要。 • Splunkではサーバーリソース（特にメモリー）をかなり使うため、 大規模なログを分析する場合はサーバのコストがかかります。
- 27. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved. 最後に • セキュリテイ機能の紹介 • ワンタイムパスワード。 • 海外アクセスブロック。 • セキュリティセンターによるリテラシーの向上。。 • パスワードレスのYahoo! JAPAN ID推進。
- 28. Copyright 2018 Yahoo Japan Corporation. All Rights Reserved.
Editor's Notes
- 皆様こんにちは。当セッションを開始させていただきたいと思います。 本日は当セッションにご参加頂き、まことにありがとうございます。 私ヤフー株式会社・CISO室の近藤彬と申します。 宜しくお願い致します。 ちょっと長いタイトルとなっておりますが、「日本のインターネットを守る！Yahoo! JAPANの不正利用対策-Splunkによる不正ログイン検知」と こちら内容でお話をさせて頂ければと思います。
- まず簡単に自己紹介をさせて頂きますと、 私は2009年にヤフーに中途入社しまして、はじめは普通の開発エンジニアとしてヤフオクやヤフーショッピングの開発・運用を行っておりました。 現在はCISO室という社内のセキュリティを統括する部門で、今回のタイトルにもあります不正利用対策を担当しております。
- ではこれから本題に入らせていただきます。 まず「ヤフーの不正利用とは」の説明からさせて頂きたいと思います。 今回の不正利用という、ちょっとわかりづらい表現にしてしまって大変恐縮なんですが、 皆様不正利用と聞いて、どういったものをイメージされたでしょうか。
- このスライドではWebサービス運営のセキュリティでよく語られる、Dos攻撃であったりクロスサイトスクリプティングを記載しております。 当然弊社におきましても、こういった攻撃は日々大量に発生しており当然対策をしております。 ただ今回のセッションでの不正利用はこういったものとはちょっと外れまして、
- ヤフーのサービスを利用しての不正行為になります。 弊社では多くのサービスを展開しており、多くのユーザーに利用して頂いておりますが、 よからぬことを企むユーザーも非常に多くおります。 不正者自体も多種多様で、こづかい稼ぎで小規模に不正を行うユーザーがいたり、組織的にユーザーもおります。 年々手口は高度化されてきておりまして、日々対応に追われているような状況になります。
- こちらは主な不正利用をざっくり並べたものになります。 まずわかりやすいのが、コマース系のサービスの不正利用になります。 弊社ではヤフオク・Y!ショッピング・Y!ウォレットなどのサービスを展開しております。 一番多いのが盗んだクレジットカードを使って購入するものになります。 次にスパムになります。 スパムで一番イメージしやすいものはメールかと思います。弊社ではY!メールを運営しておりますのでこちらもかなり昔からずっと存在しております。 また不正な広告をであったり、 最後のコメントスパムはY!ニュースやY!知恵袋などのユーザーがフリーテキストで入力できるところで発生してするもので 昔は単純に他のサイトのURLを張って誘導したりしてましたが、最近ではあたかもユーザーへ、わかりづらくなってきています。 最後にY!japanID関連ですが、まず複アカの大量取得ですがこちらは弊社では複アカ自体は規約上ＮＧにはしていないのですが あまりにも大量に取得（数千～数万）規模で取得して大量にキャンペーンを応募したり、購入数の制限（お一人様１個まで）をしている商品を転売目的で大量に購入したりします。 一番最後のＩＤ乗っ取りですがこちらは今回の本題になりますので、このあと詳細の説明をさせて頂きます。 これらの手口は多種多様ではありますが、最終的には目的はほとんどが金銭目的になります。 ただ少し前にニュースにもありましたが、アイドルのプライベートを見たいがためにヤフーIDを乗っ取ってメールを盗み見て逮捕される、金銭目的以外のものも少なからず存在します。ｓ
- Webサービスは各社でさまざまであり、既製のセキュリティ製品は少ない。そのため独自で対策をしなければならない。 一番初めのスライドにありましたDos攻撃のようなもののセキュリティ製品は多くありますが、不正利用に対するセキュリティ製品はゼロではないですが多くなく、 運営しているサービスにうまくマッチしないなどがあります。そのため独自で対応しているケースが多いです。 ヤフーでは機械＋人での対策を行っている。
- ここ数年、Yahoo! JAPAN IDの乗っ取り（リスト攻撃）が急増しており、対策が急務であった。 先ほどの説明どおり機械＋人手による対策はしていたのですが、年々規模の増加・手口が高度化してきていて対応が難しくなっていていました。 弊社はデイリーユニークブラウザー数（DUB）が約9000万、月間アクティブユーザーID数が約4,000万おりまして、 日本の多くのユーザーに利用して頂いているYahoo! JAPAN IDが危険にさらされており、対策が課題となっておりました。
- 続いてはＩＤ乗っ取り（リスト攻撃）がどういったものかの説明になります。
- こちらはリスト攻撃の流れになります。 まず不正者はどこかしらからアカウントのリストを作成ないし入手をします。 フィッシングサイトであったりマルウェア・他社からの流出で、最近ではダークウェブでアカウントのリストは販売しており簡単に入手できる状況にあります。 不正者はアカウントリストを入手後まずリストの精査を行います。Y!のログインにアクセスを行い、ID/PWが正しいかのチェックを行います。 その後一致したものに関しては、Y!のサービスにアクセスし実際の不正利用（ポイントを盗用し物を買ったり、スパムメールの送信など）を行います。 ざっくりとした流れはこんな感じになります。
- リスト攻撃の手口は年々高度化してきている。こちらは一例になるのですが、最近こういったニュースを見たことはありますでしょうか？ 「ニュースタイトル」といったタイトルのニュースですが 日本国内に不正をするための中継サーバを運営する業者が非常に多く存在します。 この中継サーバを経由してアクセスするケースがヤフーにおいても非常に多くなってきました。 またこういった例のほかに最近ではクラウドやVPSのサーバを借りて、そちらを中継サーバーにしてアクセスしてきております。 ちなみにこちらのニュースにもありますが、ID乗っ取りに関わらずサービスを利用した不正者中華系のユーザーが大半になります。
- 次にこちらは実際にあった事例になります。 先ほどの話の通りリストの不正者はリストの精査を行った後に不正利用の流れになりますが、 リストの精査はスクリプトを使用してきていてIPアドレスも海外（中国）IPをしているのですが、 実際の不正利用の際は非常に気を使ってといいますか、見つかりづらいようにアクセスを行ってきておりました。 実際に不正者に会った分けではないので推測ではあるのですが、アクセスの間隔からみておそらく人手かつさらに中継サーバを利用して日本のIPに変えてアクセスを行っております。 この一例になるのですが、こういったようなさまざまな攻撃パターンが年々増えてきている状況になります。
- こちらはSplunkのWebUIの画面になりますが、Splunkはほとんどの操作をWebUIで行います。 こちらはログを検索する画面ですが、SplunkではSPLと呼ばれるクエリを使用しましてログの検索を行います。 SPLはSQLをイメージしていただくと分かりやすいのですが、SQLよりさらに高度なことが可能です。
- 次にこちらがダッシュボードと呼ばれる画面なんですが、データの可視化も簡単に行うことができます。 Splunkの説明が短くて申し訳ないのですが、興味のある方はSplunkのHPで詳細をご覧ください。
- 次にヤフーで構築しましたSplunkを使った不正ログイン検知に説明になります。
- まずシステム構成になります。構成は非常にシンプルになっております。 今回Splunkにログインのログを取り込み検知の仕組みを構築しました。 まずログインのログをSplunkに転送しております。その後Splunkでは転送されたログから不正のログインデータを抽出し、 Splunkにはweb hookと呼ばれるデータを別のサーバへ連携する機能がありますのでそれを使用しサスペンドサーバと呼ばれるサーバへデータの連携を行っております。 ヤフーでは乗っ取りが行われたユーザーに対して、パスワードのリセットをする措置を行っております。 サスペンドサーバではSplunkから連携されたデータを元にパスワードリセットの処理を行っております。 ちなみにSplunkにサーチヘッドとインデクサーと呼ばれるサーバが記載されておりますが、 Splunkはデータ溜めるところをインデクサー、データを検索するサーバをサーチヘッドと呼ばれるサーバで構成されております。 サーバー構成に関してはこんな感じになっております。
- 続いて実際の不正アクセスの検知の仕組みになります。 ヤフーには多くのユーザーに使っていただいておりまして、大半は一般のユーザーのログで不正アクセスに関しては全体のごく一部であるためこちらを見つけ出す必要があります。
- こちらが実際の処理の流れになります。 ざっくり言うとスコアリングモデルで実装しております。 流れとしては、生ログから統計情報を抽出し、その後統計情報からスコアリングをし、スコアが上位のものを不正アクセスと判断しております。 スコアリングに関しては、アクセス頻度・アクセス間隔・IPの国・怪しいドメインなどさまざまな情報を元にスコアリングしております。 こちらの仕組みは全てSplunk上で実装しております。先ほどありましたSPLと呼ばれるクエリのみ構成されております。
- 今回作ったスコアリングモデルですが、不正者の攻撃パターンは常に変わってくるのでモデルの更新が非常に大事になっております。 弊社では不正者の監視⇒不正者の行動分析⇒検知モデルの更新を行うフローの運用を行って対応をしております。 また現在はスコアリングモデルで運用しておりますが、またSplunkはAppsと呼ばれるプラグインみたいなものがありまして、機械学習ができるプラグインがあり 将来的に機械学習のモデルも視野にいれて検証を行っております。
- こちらが効果を示したグラフになっております。こちらは日次でのパスワードリセット数の件数のグラフなんですが、 実際の件数は出せなくてもし分けないのですが、システムリリース以降大幅にリセット件数が増えております。
- 今回はSplunkを使ってシステムを構築したのですが、Splunk使うメリットを並べております。
- これまでは、検知する話でしたがヤフーでは乗っ取りの対策として他にもこちらのような対策をしております。 ワンタイムパスワードや海外アクセスブロックであったり、セキュリティセンターというサイトで注意喚起といいますがユーザーのリテラシーの向上も進めております。 またそもそもID乗っ取りはパスワードによるものですのでパスワード無しでの認証機能の提供も進めており、抜本対策もおります。 本セッションの話は以上になりますが、今回ID乗っ取りにフォーカスして話をさせて頂きましたが、Webサービスを運営していく上で不正利用対策は必須になりますので 今後のご参考にして頂ければと思います。 本セッションは以上になります、ご清聴ありがとうございました。