11月19日にリリースされた定例外にリリースされたセキュリティパッチ

11月19日（水）に Microsoft からセキュリティパッチがリリースされました。

定例のセキュリティリリースは毎月第２の水曜（正式には毎月第２火曜の翌日、アメリカ基準のため）なのですが、それとは別のリリースとなっています。

リリース情報は Microsoft のサイトにあります。

リリース情報
MS14-068 - 緊急
https://technet.microsoft.com/ja-jp/library/security/ms14-068
Kerberos の脆弱性により特権が昇格される (3011780)

なぜ定例のパッチではないリリースとなったか
2014年11月11日（水）の定例のリリースは事前アナウンスは16件でしたが、リリースされたのが14件でした。
その時に見送られたパッチになります。

この意味も紐解いてみようと思います。

Kerberos って何ですか？
ネットワーク上の認証方式の１つでサーバとクライアントで身元の確認を行うのに使われる。
共通鍵の暗号化を行う。
Active Directory の推奨の認証方式。

どこに脆弱性があるんですか？
サーバ側で認証の要求をチェックする仕組みに脆弱性があったそうです。
例えばユーザー権限のアカウントを持ってる人が、ネットワークのアクセスをするのにADへ認証をしに行ったときに、ユーザー権限ではなくてアドミン権限を手に入れることができるというものです。

パッチはどこに適用するんですか？
ドメインコントローラに急いで適用するよう Microsoft はアナウンスしています。
合わせて、ドメインコントローラ以外は今回の問題の影響はないが、多層防御の更新（"Defense in Depth" update）をするともアナウンスしています。

この攻撃を検知する仕組みがありますか？
パッチを適用する前に、この攻撃が成功した場合の検知方法の一例が Microsoft の Security Research and Defense Blog にあります。

セキュリティ イベントログ

Event: 4624
An account was successfully logged on.
・・・
New Logon:
Security ID: TESTLAB\Administrator
Account Name: nonadmin
・・・

と、Security ID の名前と Account Name の名前が異なっているということです。

パッチ適用後はこのようなログインは失敗しますからこのようなイベンログは出てこないです。
※ログイン失敗のイベントログで、Additional Information のところに failure code が 0xf と記載がされます。

標的型のメール

標的型のメールは毎日やってきます。
単純なスパムももちろんあるけど、あえて特定の企業や個人を狙ってメールすることもあります。

私がよく見るケース。

・メールにリンクが書いてあって、ここを参照してください と書かれてる。
→ exe だったり、インストーラ形式だったり、html だったり。

・添付ファイルがあって、"xxxxx.doc           .exe" と見た目文書ファイルなんだけど、実は exe の実行ファイルとなっていたりする。
→もちろんマクロが含んだ word のファイルだったり、zip の圧縮ファイルだったり、やっぱいろいろ。

基本は英語か怪しい日本語で書いてあることが多いです。


単純にクリックしただけでは、まだセーフのこともあります。

・メールに書かれたリンクをクリックして、Google Chrome のダウンロードマネージャーが起動。
・ファイルをダウンロードした後に「インストールしますか？」というダイアログが起動。
→ここで辞めればセーフ


実行しちゃったら、すぐさまマシンの入れ替えが必要です。


悪性プログラムがインストールされちゃうと、PC からインターネットに向けてセッションを張ります。（※１）
利用するポートも必ずしも 80 や 443 を使うとは限らなくて、何番ポートを使って接続しようとするかは分かりません。
相手のサーバは C&C（Command and Control）サーバと呼ばれます。

そして C&C サーバは PC にコマンドを送り実行させます。

・ファイルを盗み見てネットワーク上に送ったりします。

・起動しているリモートデスクトップのセッションを乗っ取ったりします。（※２）

・サーバにアクセスして、システム情報、アカウント情報、接続されたネットワーク情報などをコマンド実行をして集め、そのファイルをアップロードしたりします。（※３）


これらの兆候を見つけるのは、難しいですがこんなやり方があります。

１．ネットワーク機器のセッションログで C&C サーバへのセッションを見つけます。
　→定期的に同じアドレス宛てに通信していたりする場合に見つけられる可能性があります。

２．プロセスが落ちたり、異常な動作をすることの本人の気付きが必要になります。
　→単なるパフォーマンスの問題と思っていても、実はそうじゃなかったりするケースです。

３．セキュリティイベントログで「プロセスの生成」を監査します。

→セキュリティイベントログはあらかじめ出力設定が必要になります。
　→使ってもいないのに例えばこんなコマンドを実行した履歴があったら要注意です。
　　　　・command.exe / attrib.exe / regedit.exe
　　　　・ipconfig.exe / net.exe / net1.exe
　　　　・netsh.exe / quser.exe / sc.exe
　　　　・cscript.exe / wscript.exe / notepad.exe ・・・

11月の月例パッチは14件

11月12日に月例のパッチをリリースしました。

事前アナウンス時には16件となっていましたが、問題があったそうでリリースされたのは 14件でした。
そのうち緊急は4件。

すみやかに適用を。

パッチがリリースされたら早急に適用しなくちゃいけないですね。

今月のセキュリティパッチは16件

Microsoft のサイトで 2014.11 のセキュリティパッチがどうなるのか見てみました。

今月は16件あって、うち 5 件は緊急となっています。

Microsoft のサイトでは緊急の定義が書かれていて、それを見ると、ユーザーの操作なしでコード実行の悪用が行われる可能性のある脆弱性 となっています。Web ページを閲覧するとかメールを開けると警告やプロンプトが表示されずにコード実行が起こるといったことも含まれているのだそうです。

パッチがリリースされたら早急に適用しなくちゃいけないですね。