it21​/public​/proceedings​/201611

IT21の会（平成28年11月特別例会）第212回議事録

日時：2016年11月12日（土）13:30～16:30
場所：横浜市鶴見公会堂 6階 3号会議室
参加者:23名（講師を含む）

[1] 講演1
タイトル: セキュリティーインシデントから学べること
講師：日立製作所ICT事業統括本部サービスプラットフォーム事業本部
      Hitachi Incident Response Team 寺田真敏 氏
概要：
日々、不正アクセス、コンピュータウィルスへの感染など、セキュリティに関係した事件
(セキュリティインシデント)が発生している。
そこで、本講演では、これまでに発生した代表的なセキュリティインシデントを題材に、
セキュリティインシデントから学べることを一緒に考えてみたい。

◆サイバー攻撃活動の変遷とその対策
1. ウェブサイト改ざん
2. Dos（サービス不能）攻撃
3. 標的型攻撃
4. ランサムウェア（ファイルの人質）

◆攻撃手法の体系化とその変遷
・ツール世代
・ワーム世代
・ボット世代

◆シーサート（CSIRT）活動

質疑応答：
Q1: CSIRTの組織体はどのようなものか？
A1: 組織の中で問題対処機能を持ち、外部と連携、情報共有する。

Q2: CSIRT間の連携はあるのか？
A2: 組織の中の情報収集と対外的な連絡窓口を定義している。
    インシデント情報についてのやり取りには信頼関係が前提となる。

Q3: ランサムウェアなどの対策は？
A3: 暗号化などのソフト動作の振る舞いを検知することは技術的には可能。

Q4: 攻撃の実例はどのようなものがあるか？
A4: IOT機器（家電などでLinuxを使用）のパスワード管理は甘い。
    例えば、BBルーター、NASなどの多くはパスワードがデフォルトの
    まま変更されないことが多い。攻撃者はここを狙う。
    対策のひとつとして、インターネットからのアクセス制御の強化、
    例えば、Port23、2323を塞ぐというのがある。

[2] 講演2
タイトル: サイバーセキュリティー運用の現状と今後の課題
講師：株式会社ラック 取締役常務執行役員 三木俊明 氏

概要：
株式会社ラックは、日本のインターネット創生期である1995年から
情報セキュリティビジネスに関与してきた。
2014年のサイバーセキュリティ基本法成立、大規模事案の発生等から、
企業を取り巻くセキュリティ環境は大きく変わりつつある。

本講演では日々実世界で起こっているセキュリティ事案、課題を皆さんと共有し、
日々の業務に活用していただければと考えている。

◆サイバーセキュリティーの生い立ち
1. 技術革新の加速化（製品開発期間の短縮、規模の爆発）
2. ネットによる社会環境・生活スタイルの変化
3. 部品化促進によるメリット、デメリット

◆日本におけるサイバーセキュリティーの現状
1. 国会における関心度
2. 企業現場におけるサイバーセキュリティー
3. 企業のリスクを考える
4. 個人のリスクを考える

◆本日の振り返り

◆ラックサービスの紹介

質疑応答：
Q1: セキュリティー人材育成について日本のレベルは？

A1: これまで日本ではセキュリティー視点で人材育成に力をいれてきておらず、
    数少ないセキュリティ人材の争奪戦をしてきた。
    IT人材育成の一環として学生を取り込む等、既存技術者のセキュリティへの移行ではなく、
    新たな人材の育成による技術者数増が必要。ベンダー側だけでなくユーザ企業側への技術者配置も必要。
    そのためにもセキュリティーへのモーチベーションドライブが課題。

    研究機関が攻撃を受け、研究内容は公開情報であったが個人情報（研究者MLなど）が流出した。
    今後これを基に個人宛ての攻撃になり、そこからの研究内容の流失が懸念される。
    セキュリティは人情報保護に加え、先端技術の流出防止も国益として大きな課題。

Q2: 情報セキュリティー資格取得について

A2: セキュリティー従事者を増やすため、新たな資格もできた。
    資格維持コストが障壁となってセキュリティに対するモーチベーションが下がっては問題だが。

Q3: セキュリティー投資への経営陣への説得方法について。

A3: 大手企業ではコンプライアンス問題を招く可能性があることがモチベーションとなっている。
    昨今の大規模セキュリティ事案から、セキュリティは情報システム担当者の責任から
    経営者の責任と認知されつつある。また経産省、IPAのサイバーセキュリティ経営ガイドラインでも
    経営者責任に言及しており、経営者として襟を正すきっかけとなるであろう。
   これまでは痛い目に会わないとなかなか経営課題とならなかったが、
   今後は企業の存亡にかかわる課題として平常時から向き合う課題である。

Q4: 伊勢志摩サミット開催時にセキュリティー的な対応は発生したか？

A4: ラックはコンサルティングとして一部関与したが、守秘義務もあり。
    三重県内（各地の機動隊が集まる）のホテル・旅館等のHotSpotがハッキングされた模様だが（DarkHotel）、
    当初危惧したような大規模事案は発生しなかったと聞いている。

Q5: セキュリティーに関して従来の技術では不足してきている部分はあるか？

A5: パスワードのアルゴリズム、暗号など（数学的難読度の活用）は、
    コンピューターの能力向上によりハッキング（解読など）にかかる時間、
    コストが相対的に低廉化し、攻撃者からみて得られる価値のほうが大きくなってきている。
    鍵長を長くする等による計算能力対抗策はあるものの、脆弱性対応等では攻撃側が防御側に比し
    圧倒的に有利であり、事前準備で100%安全を担保することは非現実的。
    破られた時点そこがスタートラインとなり、早期検知・発見、情報漏えい防止が常套手段となる。
    日々の実運用では、ユーザのID,PWD管理（秘匿性）が最大の課題である。
    User側の操作、サーバー側の設定、実装に問題があることも課題。
    基本システム設計がまずいと場当たり的な運用対応が日常的な労力負荷となる。

Q6: クラウド化が進むことがサイバーセキュリティーへの影響はあるか？

A6: クラウドはそもそもネットアクセスを円滑に行うためにできた仕組みであり、ネット利用、短納期構築がメリット。
    商売のアクセス網としてネットを使うのであれば有効な手段だが、クラウド上で扱う情報を限定すべき。
    不用意に隔離して管理すべき秘密情報を置くべきではない。企業規模、ネット利用形態等にもよるが、
    オンプレとクラウドをハイブリッドに利用するのが現実解ではないか。
    クラウド化自体がセキュリティー対策とはならない。

[3] 初参加の方の自己紹介(1名)

(秋葉俊哉 記)
以上