25改ざんの影響被害と検知復旧の重要性

昨今の攻撃者の主な目的は企業・個人からの金銭搾取です。 昨今の改ざん攻撃は、サイトの見た目を書き換えるいたずらや政治主張目的ではなく
見た目や痕跡を残さない「金銭目的」の攻撃です。
従来のベーシックなセキュリティ対策では、検知することも防ぎきることもできません。
セキュリティ強化にあたっては、これら攻撃者の目的を理解することが重要です。

• 攻撃者の目的1カード情報・個人情報情報漏えい

  Webサイトが改ざんされて情報漏えいするオーソドックスなケースとして、主に以下のケースがあります。

  1. A）公開サーバ（log含む）上に個人情報DB/テキストファイル等が存在し、不正アクセスによって情報が漏えいする。
  2. B）ECサイト内決済フォームやお問い合わせフォーム等のプログラムが改ざんされ、カード情報や個人情報が攻撃者に転送される

  いずれもWebサイトの見た目は正規のものと変わらないため、サイト利用者や運営者が気づかないうちに情報が漏えいする可能性があります。

• 攻撃者の目的2サイト閲覧者へのマルウェア配布

  htmlファイルやjavascriptなどが改ざんされることで、マルウェア配布サイトに改ざんされるケースが存在します。脆弱性のあるブラウザ等でサイトを閲覧すると、マルウェアやランサムウェア等がサイト閲覧者のパソコンにダウンロードされてしまう手口です。 これらの多くは、Webサーバ上にマルウェアを直接配置せず、攻撃者が用意したマルウェア配布用サーバからダウンロードされる仕組みのため、サーバにマルウェア対策ソフトを導入しても防ぐことができません。

  改ざんサイトを閲覧したPC をマルウェア感染させる目的例

  全て開く

  PC内の機密情報や個人情報、カード情報の盗難

  ユーザーがキーボードで入力した、会員サイトやオンラインバンキング、ECサイトに入力したID・パスワード情報、クレジットカード情報などの搾取や、PC内に保存されているデータの搾取。

  詐欺ツールによって偽のネットバンキングサイトに不正送金させる

  国内大手各社のオンラインバンキングにログインした時だけ作動し、偽の画面を表示する悪質な手口も。

  偽のセキュリティソフトを購入（カード決済）させる

  「このパソコンはウィルスに感染しています」などとメッセージを表示、ライセンスの購入を促し、金銭を搾取する手口。本物のセキュリティソフトを消去してしまうケースも存在。

  ランサムウェア（身代金要求）による金銭搾取

  感染PCやソフトウェアを機能不全にし、指定口座への入金を促す脅迫メッセ―ジを表示する。

  他のサーバやシステムを攻撃するためのボットネットとして悪用

  マルウェア感染によって乗っ取った多数のPCをネットワーク化し、犯罪行為に加担させる。
  （公的機関や大企業等へのDDoS攻撃や、ビットコインの発掘などに悪用される）

  PC の遠隔操作

  感染PCを不正に操り犯罪行為に悪用する。
  （2012年の「パソコン遠隔操作事件」は、犯人が他人のPCをマルウェア感染させて遠隔操作、感染者のPCから襲撃や殺害等の犯行予告を行ったことで誤認逮捕まで起き、世間は一時騒然となった。）

  企業の内部ネットワークに侵入し、企業を攻撃

  感染PCが企業端末の場合、そこから企業内部のネットワークに侵入、Webシステムの認証情報を奪取し企業公式ドメインで詐欺サイトを作成したり、企業内部に保有している機密情報や個人情報等を搾取する。

• 攻撃者の目的3サーバのボット化

  企業のWebサーバを改ざんし、Webサーバ自体をボットに仕立てる手口が存在します。
  2014年に攻撃が急増したbashの脆弱性をついたShellShock攻撃では多くの企業のLinux系Webサーバが狙われ、2015年警察庁から注意喚起が出されました。この攻撃目的の多くは、WebサーバをDDoS攻撃を仕掛けるための攻撃ボットに仕立てるもので、数年経った現在も、これらの攻撃を受けたという企業は少なくありません。

  ---

  WebARGUSでShellShock 攻撃を撃退！　ShellShock 実害抑止事例

  WebARGUSが導入されたWeb システムがShellShock 攻撃を受けた実例です。
  攻撃者の狙いはWeb サーバをDDos 攻撃のBot に仕立てること。
  しかし、WebARGUSによってそれを防ぐことに成功しています。

  

• 攻撃者の目的4ランサムウェア感染

  個人のPCだけでなく、企業のWebサーバ自体を暗号化し身代金を要求する攻撃も存在します。

26改ざん検知製品の選定方法

改ざん検知製品の選定にあたっては自社のセキュリティ優先度に応じて、
以下の5 項目で評価することをおすすめします。

手軽さ		セキュリティ重視
コストの安さ	導入の手軽さ	監視範囲	改ざん 検知速度	改ざん 復旧速度

同じ改ざん検知でも、機能や監視範囲は様々。
大きく分けて4 つの種類があります。

• URL 監視タイプ

  ○ 手軽さ重視ならこのタイプ
  × 検知できない攻撃が存在する

  サービス提供者がインターネット経由でサイトの改ざんをチェックする方式です。サービス利用者は、監視したいサイトのURLを指定だけで、どんなサーバ環境でもすぐにサービスを利用することができます。ユーザーがサイト閲覧をしたときに「改ざんされていると思われる現象」が起こるかどうかを外部から定期的にチェックします。

  導入面 10点／10点

  セキュリティ面 3点／15点
  
• 外部監視タイプ

  ○ サーバ環境を選ばない
  × 非公開ファイルを監視できない

  監視対象のサーバとは別の環境に原本を配置し、FTP通信によって定期的にハッシュ値を比較することで改ざんの有無を判断するため、公開ファイルであれば改変を100％検知することができ、改ざん状態を復旧することも可能です。導入には初期の環境構築や更新運用の変更等が必要となります。

  導入面 6点／10点

  セキュリティ面 9点／15点
  
• 内部定期監視タイプ

  ○ 重要な非公開ファイルも監視可能
  × 導入できる環境が限られる

  サーバ内のファイルディレクトリに対して「変更、追加、削除、属性情報の変更」が発生したかどうかで改ざん有無を判断するため、非公開ファイルを含めて改変を100％検知することができます。導入には初期の環境構築や更新運用の変更等が必要になるほか、改ざんチェック時にサーバ負荷が発生します。

  導入面 4点／10点

  セキュリティ面 11点／15点
  
• ■WebARGUSの対象タイプ内部リアルタイム監視タイプ

  ○ 改ざんの即時自動復旧が可能
  × 導入できる環境が限られる

  改ざんをリアルタイムに検知・復旧することで実害の抑止が可能です。改ざんイベントが発生するまではサーバにかかるCPU負荷が定期監視に比べて圧倒的に低いのも特徴です。サーバ内部にソフトウェアをインストールする必要があるため、導入可能なサーバが限られます。

  導入面 5点／10点

  セキュリティ面 15点／15点
  

改ざん検知製品で、改ざんの実害を限りなくゼロに近づけることができるのはWebARGUSだけです。