攻撃者を捕まえる方法

サイバーセキュリティにおいて、攻撃者を捕まえる最も効果的な方法とは。

①その攻撃者が最もよろこぶ餌をまく

　　－そんじょそこらの餌じゃダメ。最もよろこぶ餌をまくこと

②そうすると攻撃者はターゲットだけを見るようになる

　　－他への関心をなくすことにによって他へのセキュリティを守ることができる

③攻撃者がボロを出すまでじっと待ち、そこを捕まえる

　　－時間がかかっても相手が動くまでじっと待つ

　　－必ずボロを出すのでそこを捕まえる

必ずしも当てはまるわけじゃないけど、よくある手法の一つです。

openssl の深刻な脆弱性

openssl の深刻な脆弱性のパッチが明日リリースされる。

どんな内容かは未発表。

出たら急いで適用スケジュールを立てなくては。。。

3/25 追記
緊急のパッチは２件ありました。DoS と MITM。
詳細はネットで探せばいくらでもあるのでここでは割愛します。

仕事で必要なメンタルの強さ

これは番外編です。

職場で仕事をしていると、いろんな人と接することになります。

もちろん仕事を前向きに取り組んでる人もいるにはいるけど、そうじゃない人もいっぱいいます。

・文句ばかり不満でいっぱいの人。
・余計なことはやりたくないと、言われたことだけしかやろうとしない人
・人を見下して周りの人を道具として扱うような人。
・自分の仕事だけが大事であって、他の人の仕事はたいしたことないと考える人

私はエンジニアであってマネージャーではないから、こういった人たちのモーチベーションをどのように管理しようという話をしようとしているのではないです。

ただ、セキュリティという仕事をすると、技術の知識も広く必要なのですが、それだけじゃなくて、たくさんの人とのコミュニケーションを取ることも必要になります。

そんな人を見ていると、良い仕事、良い上司、成功体験や失敗体験、人との信頼、いろんな経験が足りないんだろうなぁって思います。

最初から仕事できる人もいないし、そんなうちから強いメンタルを期待されたって無理も当然。

仕事における強いメンタルは、仕事を通じながら作るものだと思ってます。

それができる環境じゃないと、職場は壊れていくかもしれない。。。

セキュリティ侵害とはいつも隣り合わせ

私はいつもセキュリティ侵害と隣合わせで仕事をしている。

だから毎日いろんなログをチェックする。

不正なプロセスが上がってないか、サービスが登録されたりしていないか、未知のファイルが生成されていないか、C&C サーバへの通信は起きていないか、RDP のリバースターミナルが作られていないか、VPN は正しく使われているか、特権アカウントの無断利用がないか、パフォーマンスの異常がないか、アプリケーションエラーが起きてないか。。。

知らない事象が起きていないかどうかを把握するために、いろんなことを知ってないといけない。

コミュニケーションも大事。

協力的な人もいれば非協力的な人もいる。
敵意を持った人まで現れる。

それも仕方がないこと。
その中でなんとかやる。

それが現場のセキュリティエンジニア。

2015年2月のWindowsUpdate

2015年2月のWindowsUpdateがリリースされました。

Internet Explorer の脆弱性が前評判でも緊急扱いでしたが、緊急（リモートでコードが実行される） レベルでパッチがリリースされました。

でも IE だけじゃなかったです。

Windows カーネルモードドライバの脆弱性も、グループポリシーの脆弱性も、Officeの脆弱性も、いろいろと緊急でリリースされてました。

一つ一つの脆弱性について議論するよりかは、まとめて全部適用しましょう。

それで十分。

侵害を見つけるためにプロセスの実行をイベントログに記録する

マシンで不審な動作が行われていないかをチェックするのに、セキュリティイベントログでプロセスの生成や終了を出力させます。

これはグループポリシーで設定できます。

そしてマシンが侵害されると意図せずプロセスの実行が行われるので、これを見つけます。

ただしこのようにして出力するようにしたプロセスの生成イベントは、例えば net.exe コマンドが実行したとか、quser.exe コマンドが実行したとしか、イベントログには出力されません。

侵害が起きたかどうかのイベントを検知するためにはこれも重要な情報なのですが、プログラムの引数も欲しいです。cscript.exe のプロセス生成だけではなくて、引数で VB スクリプトファイル名も知りたいということです。
※もちろんハッカーはスクリプトを実行したら必ずファイルを消しますから、どんなスクリプトかを知ることができるかどうかは微妙です。経験的には 1.bat とか 1.vbs とか、そんなファイル名を好んで使うハッカーも多いようです。


引数を見る方法としてはもう一段進んだログ取得設定をする方法があります。

Microsoft の Sysinternal スイートに含まれる System Monitor を利用します。
このプログラムはサービス登録することができて、その場合に、イベントログに実行されたプロセス情報をより詳しく記録します。

C:\Tools>sysmon.exe -accepteula -i -n -h md5

-i インストール（プロセス生成イベントを記録する）
-n ネットワークのアクティビティも記録する（特定のプロセスのみ記録することもできる）

その他のオプション
-m イベント・マニフェストのみのインストール
-c 設定の変更

Windows 2008以前：システムイベントログに記録
Windows 2008, Windows 7以降：sysmon のカテゴリのイベントログ（アプリケーションとサービス ログ配下にある）に記録

参考URL
https://technet.microsoft.com/en-us/sysinternals/dn798348.aspx

クロスサイトスクリプティング Q&A

クロスサイトスクリプティングって何ですか？
→ インターネットを使っている中で起きるセキュリティ攻撃の一つです。


どこでその攻撃を受けるの？
→ IEやChromeなどのブラウザを使っている中で受けることがあります。


IE や Chrome などにパッチを当てて最新に保てば大丈夫ですか？
→ いいえ。ダメなんです。IE や Chrome がスクリプト実行できることに問題があります。


では IE や Chrome のスクリプトを止めるのはどうですか？
→ JavaScriptやActiveXなどを含むブラウザーのスクリプトを無効にする方法で対応ということも言われますが、著しく使い勝手が悪くなります。個人で楽しむにはスクリプト実行は前提にもなっているので致命的と言っていいです。


クロスサイトスクリプティングの脆弱性があるというのは何？
→ Web サーバがクロスサイトスクリプティング用の対策をしてないということです。


誰が攻撃をするのですか？
→ Web サーバにデータを書き込めるユーザーです。掲示板とかをイメージすれば良くて、誰が攻撃したかを特定できないところにも問題があります。


攻撃が成功したらどうなりますか？
→ パソコン上で知らないプログラムが実行されることになります。マシン上の秘密情報が取られたり、自分のPCを使われて不正が起きて犯人呼ばわりされたりすることもあり得ます。