Azureのセキュリティインシデントで学ぶセキュリティ
•
1 like•696 views
2019/10/31 Azure Tech Lab #5で発表した内容です。 セキュリティ対策、インシデント、Azure Security Centerのお話 https://azure-tech-love.connpass.com/
Recommended
More Related Content
Similar to Azureのセキュリティインシデントで学ぶセキュリティ
Similar to Azureのセキュリティインシデントで学ぶセキュリティ (20)
Recently uploaded
Recently uploaded (10)
Azureのセキュリティインシデントで学ぶセキュリティ
- 1. Azureでのインシデントに学ぶセキュリティ Azure Tech Lab #5 2019.10.31
- 2. 1 名前：飯島 憂 @Rikunchuu 所属：神戸デジタル・ラボ セキュリティ事業部 DFIRチーム（&KDL-SIRT） AWS：インシデントがあったら触る Azure：インシデントがあったら触る GCP：インシデントがあったら触る やってること： マウスが勝手に動くよ～ >< というインシデント？から数千台の端末がマルウェアに感染し てしまったインシデントまで日々いろいろな事件と戦ってます。 自己紹介
- 3. 2
- 4. 3 強そう！！！１
- 6. 5 • セキュリティ対策とインシデント • インシデント事例と対策 • 質疑 アジェンダ
- 7. 6 • セキュリティ対策とインシデント • インシデント事例と対策 • 質疑 アジェンダ
- 9. 8 NIST SP800-30の概念 リスクとは、発生しうる状況または事象によって対象（組織、情報など）が脅かされる度合 リスク = 事象(脆弱性 * 脅威)が発生した際の負の影響(被害) × 可能性 リスク・脅威・脆弱性 脅威 脆弱性 負の影響 負の影響を発生させる状況 または事象 脅威によって利用されるシス テム、組織に存在する弱点 脅威によって発生した、情 報の破壊、漏洩、可用性の 喪失等による被害の大きさ • 脆弱性を狙った攻撃 • マルスパム • 総当たり攻撃 • 情報搾取 • データの改ざん • システムの故障 • プログラムのバグ • システム設計の欠陥 • 委託先のミス • 特定の通信業者への依存 • 業務プロセスの欠陥 • 金銭的な損失 • ブランドイメージの低下 • 業務の停止、遅延 • インシデント対応におけ るリソース消費
- 11. 10 セキュリティ対策 NIST 重要インフラのサイバーセキュリティを改善するためのフレームワーク 1.1版 IPA翻訳 p23 https://www.ipa.go.jp/files/000071204.pdf
- 12. 11 セキュリティ対策 NIST 重要インフラのサイバーセキュリティを改善するためのフレームワーク 1.1版 IPA翻訳 p23 https://www.ipa.go.jp/files/000071204.pdf
- 13. 12 CIS(Center for Internet Security) Controlsは組織がシステムやネットワークを効果的に保護 するために必要な20のセキュリティコントロールを定義したものです。 CIS Controls コミュニティとして、優先的活動の決定や相互サポートを目指して一致団結し、急速に変 化する問題と、無数とも言えるその対応策に臨む必要がありますが、それにあたって持つ べき知識やテクノロジーを最新に保ち続けていくには、一体どうしたらよいでしょうか？ 取り組むべき最も重要な領域とは何なのでしょうか。企業はリスク管理プログラムの充実 に向けた第一歩をどう踏み出したらよいでしょうか。新たに起こる例外的脅威をすべて追 跡するのでも、基本事項を怠るのでもなく、むしろ基本事項のロードマップに沿って、評 価と改善の指針を得るにはどうしたらよいでしょうか。最も効果的な防御対策とはどのよ うなものでしょうか。 このような課題に対応することを目的とし、本 CIS Controls は開発され、現在推進されて います。 CIS Controls Version Japanes Translationより引用 https://learn.cisecurity.org/control-download
- 14. 13 CIS Control 1:ハードウェア資産のインベントリとコントロール CIS Control 2:ソフトウェア資産のインベントリとコントロール CIS Control 3:継続的な脆弱性管理 CIS Control 4:管理権限のコントロールされた使用 CIS Control 5:モバイルデバイス、ラップトップ、ワークステーションおよび サーバに関するハードウェアおよび ソフトウェアのセキュアな設定 CIS Control 6:監査ログの保守、監視および分析 CIS Control 7:電子メールと Web ブラウザの保護 CIS Control 8:マルウェア対策 CIS Control 9:ネットワークポート、プロトコル、およびサービスの制限および コントロール CIS Control 10:データ復旧能力 CIS Control 11:ファイアウォール、ルータ、スイッチなどの ネットワーク機器のセキュアな設定 CIS Control 12:境界防御 CIS Control 13:データ保護 CIS Control 14:Need‐to‐Know に基づいたアクセスコントロール CIS Control 15:無線アクセスコントロール CIS Control 16:アカウントの監視およびコントロール CIS Control 17:セキュリティ意識向上トレーニングプログラムを実施する CIS Control 18:アプリケーションソフトウェアセキュリティ CIS Control 19:インシデントレスポンスと管理 CIS Control 20:ペネトレーションテストおよびレッドチームの訓練 CIS Controls
- 15. 14 Azure CIS
- 22. 21 セキュリティ is 怖くない • まずはシステム/ネットワークのアセット・コンポーネントをしっかり把握する • 攻撃者の活動は、システムの運用で発生するはずがない痕跡を残す • システムは僕らの城です、攻撃者をあぶりだそう ディフェンス側も有利な点は多い！ と、言われても… • ログをずっと監視できないんですけど？ • 確かに怪しいけど、他にも怪しい動きをどうやって気づく？ • ログの監視基盤をそんなすぐ作れるわけないだろ、いい加減にしろ！ と思うじゃん？
- 24. 23 • セキュリティ対策とインシデント • インシデント事例と対策 • 質疑 アジェンダ
- 29. 28 SORRY…
- 33. 32 暗号化されてしまったいくつかの端末を調査したところ、全端末にAzureのサーバからログ オンされた痕跡が見つかりました。 被害が広まってしまった原因 • 推測しやすいパスワードが設定されていた • Azure上のサーバでRDPをアクセス制御なしでインターネットに公開してしまっていた • Azure上のサーバから社内ネットワークへのアクセス制御をしていなかった • 各端末のホストFWは無効になっていた 攻撃の流れ • RDPの総当たり攻撃によって侵入される • より強い権限を奪取するためにサーバに潜伏し、定期的にパスワード奪取を試みる • 奪取した特権アカウントを使ってネットワークを探索し、ターゲットを選定する • 一気に暗号化を行い大ダメージを与える これらの攻撃を再現してみました インシデントの内容
- 38. 37 総当たり攻撃の検知
- 45. 44 Microsoft Threat Modeling Tool まさにAzure on SIEM！今年の9/24に一般公開
- 48. 47 そもそも今回のインシデントは、予防も容易ではないでしょうか 被害が広まってしまった原因 • 推測しやすいパスワードが設定されていた • 強固なパスワードの仕様 • 重要なサーバに関してはMFAの仕様 • Azure上のサーバでRDPをアクセス制御なしでインターネットに公開してしまっていた • 今回のケースで言えば、アクセス元の制御をすればOK • Azure上のサーバから社内ネットワークへのアクセス制御をしていなかった • OutBoundはあまり注目されませんが、セキュリティグループでアウトバウンドを絞る • 侵害されたとしても、影響範囲を軽減 • 各端末のホストFWは無効になっていた • 有効にして 検知にフォーカスしていましたが、、、 皆さんが当たり前にしている（であろう）運用がとても大事 基本的な管理がセキュリティの基盤を作ります！ そのうえで、SecurityCenterのような検知のツールを使えば、 被害が広がる前に攻撃者の普通ではない行動をとらえられます
- 49. 48 各システムやネットワークによって、脅威は異なります。 事前に自分たちのシステムに、どういった脅威の影響を受けるかを検討しておくことで、 よりセキュリティ対策の品質を上げることができます。 Microsoft社が公開してくれている、Microsoft Threat Modeling Tool を使えば、アセットと データフローを設定すると自動的に脅威をリストしてくれます。 Azureのアセットにももちろん対応！ 少しでも、セキュリティに前向きになってもらえたら幸いです。 補足：脅威分析
- 50. 49 脅威分析 Microsoft Threat Modeling Tool https://docs.microsoft.com/ja-jp/azure/security/develop/threat-modeling-tool-releases-71509112