情報セキュリティ読本 — IT時代の危機管理入門 — プレゼンテーション資料第 2章今日のセキュリティリスク

情報セキュリティ読本　　　- IT時代の危機管理入門 - プレゼンテーション資料（第 2章今日のセキュリティリスク）情報セキュリティ読本　– プレゼンテーション資料 - 1

第 2章　今日のセキュリティリスク 1. 2. 3. 4. 5. 情報セキュリティ高水準で推移するウイルス被害外部からの侵入（不正アクセス）サーバへの攻撃（サービス妨害）情報システムのセキュリティホール情報セキュリティ読本　– プレゼンテーション資料 - 2

第 2章 1. 情報セキュリティ 1）情報セキュリティの基本概念 – 機密性 – 完全性 – 可用性 2）情報資産とリスク・インシデント – 情報資産 – リスクとインシデント – リスクの要因情報セキュリティ読本　– プレゼンテーション資料 - 3

第 2章 > 1. 情報セキュリティ 1）情報セキュリティの基本概念正当な権利をもつ個人や組織が、情報やシステムを意図通りに制御できること情報の機密性、完全性及び可用性の維持（情報セキュリティマネジメントシステムの国際標準であるISO/IEC 17799の定義） ◆機密性：アクセスを認可された者だけが、情報にアクセス　　　　　　　できることを確実にすること ◆完全性：情報および処理方法が正確であること及び完全　　　　　　　であることを保護すること ◆可用性：認可された利用者が、必要なときに、情報及び関連　　　　　　　する資産にアクセスできることを確実にすること情報セキュリティ読本　– プレゼンテーション資料 - 4

第 2章 > 1. 情報セキュリティ 2）情報資産とリスク・インシデント • 情報資産 – 財務情報、顧客情報、技術情報等 – システム（ハードウェア、ソフトウェア）、ネットワーク、データ、ノウハウなどさまざまな形 • リスク – 情報資産が損なわれる可能性（内的、外的な要因がある） • インシデント – 実際に、情報資産が損なわれてしまった状態情報セキュリティ読本　– プレゼンテーション資料 - 5

第 2章 > 1. 情報セキュリティ > 2. 情報資産とリスク・インシデントリスクの要因（脅威）守るべきもの ◆ 情報　　（紙、電子媒体、ネットワーク上）　　財務情報、人事情報、顧客情報、　　戦略情報、技術情報等 ◆ 情報システム　　コンピュータ（パソコン、サーバ、　　汎用機）、ネットワーク、通信設備 ◆ 社会的信用情報セキュリティ読本　– プレゼンテーション資料 - 6

第 2章 2. 高水準で推移するウイルス被害 • ウイルス届出件数は 1999年より急増 • 2002年、2003年と減少したが、2004年から再び増加に転じる • 巧妙化・凶悪化が最近の特徴 • ウイルス届出は、IPAセキュリティセンターの Webページに毎月掲載　コンピュータウイルスの届出状況　　 http: //www. ipa. go. jp/security/txt/list. html 情報セキュリティ読本　– プレゼンテーション資料 - 7

第 2章 3. 外部からの侵入（不正アクセス） 1）侵入の手口 2）事前調査 3）権限取得 4）不正実行 5）後処理情報セキュリティ読本　– プレゼンテーション資料 - 8

第 2章 > 3. 外部からの侵入（不正アクセス） 1）侵入の手口 • 一般的な侵入は次の 4つの段階を経て行われる事前調査権限取得ﾎﾟｰﾄｽｷｬﾝ様々な攻撃特権ユーザ獲得ｼｽﾃﾑの情報収集アカウント名の調査（結果）不正実行ファイル奪取後処理裏口作成証拠の隠滅資源利用不正プログラム埋込パスワード推測一般ﾕｰｻﾞ権限獲得踏み台情報セキュリティ読本　– プレゼンテーション資料 - 9

第 2章 > 3. 外部からの侵入（不正アクセス） 2）事前調査 • システム情報の収集 – – – IPアドレスサーバ名サーバソフトウェア OSの種類、バージョン提供されているサービス侵入検知システム • Webサイトの調査やポートスキャンを実行　　ポートスキャンとは？（用語集より）　　攻撃・侵入の前段階として、標的のコンピュータの各ポートにおけるサービスの　　状態を調査すること。（ポートと脆弱性については、読本 p. 83 -84 参照）情報セキュリティ読本　– プレゼンテーション資料 - 10

第 2章 > 3. 外部からの侵入（不正アクセス） 3）権限取得 • ツールなどを使用し、パスワードを強引に解読して権限を取得　=　パスワードクラッキング • パスワードクラッキングの手法　　i）ブルートフォース攻撃　⇔用語集p. 130 参照 • 総当り的に調べる　　ii）辞書攻撃　 ⇔用語集p. 125 参照 • 特殊な辞書を使用して照合情報セキュリティ読本　– プレゼンテーション資料 - 11

第 2章 > 3. 外部からの侵入（不正アクセス） 4）不正実行不正行為内　容盗聴ネットワーク上のデータや保存データを不正に入手。情報窃盗。（例）・パスワードの盗用　　・企業データの漏えい・個人データ（メール、日記など）の盗み見改ざんデータを書き換え。（例）・Webページの改ざん、設定書換えなりすまし別の個人を装い、さまざまな行為を行う。（例）・ID、パスワードを盗み出し、正当なユーザーに見せかけて侵入　・他人のクレジットカードでショッピング破壊コンピュータ不正使用不正プログラムの埋め込み踏み台　　データやプログラムの削除、ハードディスクの初期化など。コンピュータを不正に使用する。（例）・コンピュータを遠隔地から操作　　不正プログラムには、ユーザの知らない間に情報を入手して　　外部へ送信したり、ファイルを破壊するなど様々な悪さを働くもの　　がある。これらのプログラムを埋め込む。不正アクセスを行う際の中継地点として使用する。（例）・アカウントを不正使用し他のサイト攻撃の拠点とする・スパムメール(spam mail)の中継情報セキュリティ読本　– プレゼンテーション資料 - 12

第 2章 > 3. 外部からの侵入（不正アクセス） 5）後処理 • 証拠隠滅　　ログの消去などにより侵入の形跡を消す • バックドアの作成　　次回の侵入を容易にするための裏口を設置情報セキュリティ読本　– プレゼンテーション資料 - 13

第 2章 4. サーバへの攻撃（サービス妨害） 1）Do. S攻撃（サービス妨害攻撃） – Do. S: Denial of Services 2）DDo. S攻撃（分散Do. S攻撃） – DDo. S: Distributed Do. S 3）メール攻撃情報セキュリティ読本　– プレゼンテーション資料 - 14

第 2章 > 4. サーバへの攻撃（サービス妨害） 1） Do. S攻撃 • サーバに過大な負荷をかけ、パフォーマンスの低下やサービス停止に追い込む攻撃 • Pingの悪用など、さまざまな攻撃手法がある • Do. S攻撃を行うコードを仕込むウイルスも登場している情報セキュリティ読本　– プレゼンテーション資料 - 15

第 2章 > 4. サーバへの攻撃（サービス妨害） 2） DDo. S攻撃を多くのコンピュータから一斉に行うとDDo. S攻撃攻撃プログラムを埋め込まれて気づかずにDo. S攻撃に加担することがある攻撃プログラム埋め込み (ツール、ワーム等) 攻撃者ターゲット踏み台攻撃プログラム埋め込み (ツール、ワーム等) 踏み台大量データを一斉送信 (DDo. S攻撃)によりダウン情報セキュリティ読本　– プレゼンテーション資料 - 16

第 2章 > 4. サーバへの攻撃（サービス妨害） 3）メール攻撃 • メールサーバに大量のメールを送り付ける – メールサーバのパフォーマンス低下や機能停止 • 第三者中継機能を悪用 – スパムメールの踏み台として利用される i）メールは自分のネットワーク宛のもののみ受信　　　　 ii）第三者中継は禁止第三者中継：外部から来たメールを別の外部へ転送する機能情報セキュリティ読本　– プレゼンテーション資料 - 17

第 2章 5. 情報システムのセキュリティホール 1）セキュリティ上の弱点（脆弱性） 2）OSの脆弱性 3）Webブラウザやメールソフトの脆弱性 4）Webアプリケーションの脆弱性 5）脆弱性を悪用する攻撃 – バッファオーバーフロー攻撃 – クロスサイトスクリプティング攻撃 – SQLインジェクション攻撃情報セキュリティ読本　– プレゼンテーション資料 - 18

第 2章 > 5. 情報システムのセキュリティホール 1）セキュリティ上の弱点（脆弱性） • 脆弱性＝「情報システムのセキュリティ上の欠陥」 • セキュリティホールと呼ぶこともある • 一般的な用語の使い分け – ソフトウェアの設計もしくは実装上のエラーが原因⇒脆弱性 – 弱いパスワードや設定ミスなども含め広い意味 ⇒セキュリティホール　　　　　⇔用語集p. 126 （脆弱性、セキュリティホール）参照情報セキュリティ読本　– プレゼンテーション資料 - 19

第 2章 > 5. 情報システムのセキュリティホール 2） OSの脆弱性 • オペレーティングシステム（OS）＝コンピュータシステムを管理する最も基本的なソフトウェア – Windows, Mac OS, UNIX, Linux など様々なOS • このオペレーティングシステムに見つかったセキュリティ上の欠陥＝OSの脆弱性 • メーカーから提供されているセキュリティパッチ（修正プログラム）を適用することが重要　　　　　　　⇔用語集p. 125 （修正プログラム）参照情報セキュリティ読本　– プレゼンテーション資料 - 20

第 2章 > 5. 情報システムのセキュリティホール 3） Webブラウザやメールソフトの脆弱性 • インターネットを介してデータをやり取りするので、脆弱性があると影響を受けやすい • 例: 不適切なMIMEヘッダが原因で、IEが電子メールの添付ファイルを実行する（MS 01 -020）　⇔用語集p. 127 （添付ファイル）、p. 121（MSxx-xxx）参照 • 脆弱性を悪用するウイルスが増加しているので、セキュリティパッチを適用することが重要情報セキュリティ読本　– プレゼンテーション資料 - 21

第 2章 > 5. 情報システムのセキュリティホール 4） Webアプリケーションの脆弱性 Webサーバ aaa ①入力 Xxx xxx xxxxx xx Webブラウザユーザ CGI PHP ・・・ ③表示 Webアプリケーション ②処理脆弱性があると・サーバ上のファイルを盗まれる・悪意のあるプログラムを実行されるなど情報セキュリティ読本　– プレゼンテーション資料 - 22

第 2章 > 5. 情報システムのセキュリティホール 5）脆弱性を悪用する攻撃 • バッファオーバーフロー攻撃 • クロスサイトスクリプティング攻撃 • SQLインジェクション攻撃情報セキュリティ読本　– プレゼンテーション資料 - 23

第 2章 > 5. 情報システムのセキュリティホール > 脆弱性を悪用する攻撃バッファオーバーフロー攻撃 • 大量のデータを送り込んでバッファをあふれさせ、プログラムの誤作動を招く。 • これにより、不正なコードを実行させたり、権限を不正に取得する。　情報セキュリティ読本　– プレゼンテーション資料 - 24

第 2章 > 5. 情報システムのセキュリティホール > 脆弱性を悪用する攻撃クロスサイトスクリプティング攻撃 • スクリプトと呼ばれるプログラムを悪用。 (1) • 罠が仕掛けられたサイトで、ユーザがリンクをクリックすると発生。 (2) • 別サイトに飛ばされて、スクリプトが実行される。 (3, 4) • 個人情報の漏えい、不正な買い物などの被害にあう。 (5) 情報セキュリティ読本　– プレゼンテーション資料 - 25

第 2章 > 5. 情報システムのセキュリティホール > 脆弱性を悪用する攻撃 SQLインジェクション攻撃 ①正しい入力 ②SQL文でデータ照会 ID Pass 情報データベース Webサーバ一般利用者　　　＋ Webアプリケーション ④結果表示 ③結果（データ）を返却 WebアプリケーションにSQLインジェクションの脆弱性があると • データベースに問い合わせをするSQL文に不正なコマンドを埋め込むことにより、レコードを不正に操作 • 情報の改ざん、消去、漏えいなどの被害　情報セキュリティ読本　– プレゼンテーション資料 - 26

第 2章 > 5. 情報システムのセキュリティホール > 脆弱性を悪用する攻撃 SQLインジェクション攻撃 Web アプリケーションにSQLインジェクションの脆弱性があると、 SQLインジェクション攻撃を受けることがある ②不正なコマンドが埋め込まれたSQL文 ①不正な入力データベース情報悪意を持つ人情報の閲覧（漏えい） Webサーバ　　　＋ Webアプリケーション情報の改ざん、消去脆弱性があると｡｡｡｡　　SQLインジェクションとは？（用語集より）　データベースと連携したWebアプリケーションの多くは、利用者からの入力情報を　基にデータベースへの命令文を組み立てている。この命令文の組み立て方法に問題がある場合、攻撃によってデータベースの不正利用をまねく可能性がある。この問題を悪用した攻撃手法は、一般に「SQL インジェクション」と呼ばれている。情報セキュリティ読本　– プレゼンテーション資料 - 27

本資料の利用条件 1. 著作権は独立行政法人情報処理推進機構に帰属します。著作物として著作権法により保護されております。 2. 本資料は、企業内での社員教育、学校での授業、各種セミナーや研修などでご使用下さい。セキュリティ専門家を社外から招き、本資料を使用して企業内のセキュリティ教育を行う際にお使いいただいても結構です。 3. 営利目的の使用はご遠慮下さい。 4. 授業や研修等で使用する際に、本資料を一部割愛したり、必要に応じて追加する等のカスタマイズは行っていただいて結構です。 5. 本資料を掲載する場合は、外部からアクセスできないイントラネット内のサーバとしてください。外部よりアクセスできるWEBサイトへの掲載はご遠慮下さい。　 6. 上の使用条件の範囲内でのご使用であれば、本資料に限り当機構からの使用許諾を取得する必要はありません。なお、参考までに、 isec-info@ipa. go. jp まで以下をお知らせ下さい。　・使用する方もしくは組織の名称　・使用目的　・教育への参加人数 7. ご質問、ご要望等は、 isec-info@ipa. go. jp までお知らせ下さい。情報セキュリティ読本　– プレゼンテーション資料 - 28

情報セキュリティ読本 — IT時代の危機管理入門 — プレゼンテーション資料 第 2章 今日のセキュリティリスク

情報セキュリティ読本 — IT時代の危機管理入門 — プレゼンテーション資料第 2章今日のセキュリティリスク