March, 2013

隣国、韓国で3月20に起きたセキュリティ事案は、日本でも大きく取り上げられ注目されている。

この事案について、一部でWindows Updateが利用された可能性が指摘されているが、Windows Updateでは各モジュールのコード署名を確認しているため、このような単純な手法では悪用することはできない。また、関連するセキュリティベンダーが公表した資料を見ると、そのベンダーが提供している資産管理サーバーが利用されたもので、Windows Updateが利用されたわけではないようだ[1] 。

韓国の事案とFlameの相違

Windows Updateを悪用した攻撃としては、2012年5-6月にかけて話題となったFlameが思い起こされる[2]。Flameはマイクロソフトの証明書を偽造し、自身のモジュールにマイクロソフトのコード署名することで、イントラネット内でのWindows Updateを悪用したと考えられている。悪用を避けるためのコード署名が、逆手に取られた格好である。なお、研究者の発表によれば、Flameの証明書偽造は”世界トップクラスの暗号解析技術使われた”と分析している[3]。

高度で執拗な攻撃（APT）事案としての側面

この事件をいわゆる高度で執拗な攻撃（APT）として捉えると違った側面が見えてくる。報告書によれば、資産管理サーバーの管理者権限が盗られ、この権限を使ってマルウェアの配布が行われたと推定している。一歩踏み込んで考えると、2011年に大きな話題となった、日本における政府機関や防衛産業の攻撃のように、アカウント管理サーバーが侵害を受けている可能性が高い。つまり、今回は特定の製品が利用されたが、その他の攻撃方法を使う選択肢も持っていたと考えた方が自然である。

今回の事案を教訓とする

今回の事件を教訓として捉えると、標的型攻撃などによる社内ネットワークに侵入への対策実施されている事に加え、万一、侵入を許してしまった場合でも、重要なサーバーが保護されることを確認する、ということだと思う。特に、重要サーバーの対策の重要性が、あまり認識されていないようにも感じることがある。

マイクロソフトでは、高度で執拗な攻撃（APT）などの現在の攻撃手法の分析と必要とされる対策について、以下のホワイトペーパーをまとめている。参考にしていただければ幸いである。

•  組織に対する標的型攻撃を緩和する
  http://blogs.technet.com/b/jpsecurity/archive/2013/03/14/3558580.aspx
   
• Determined Adversaries and Targeted Attacks (Oct 2012)
  http://download.microsoft.com/download/C/9/A/C9A544AD-4150-43D3-80F7-4F1641EF910A/Microsoft_Security_Intelligence_Report_Volume_12_Determined_Adversaries_And_Targeted_Attacks_English.pdf
• Microsoft Security Intelligence Report, Jan-June 2012, vol 13,　section “Defending Against Pass-the-Hash Attacks”
  http://download.microsoft.com/download/C/1/F/C1F6A2B2-F45F-45F7-B788-32D2CCA48D29/Microsoft_Security_Intelligence_Report_Volume_13_English.pdf
   
• Mitigating Pass-the-Hash (PtH) Attacks and Other Credential Theft　Techniques (Dec 2012),with step-by-step instructions in Appendix A
  http://www.microsoft.com/en-us/download/details.aspx?id=36036

先週の事前通知でお知らせしましたとおり、新規セキュリティ情報 合計 7 件 (緊急 4 件、重要 3 件) を公開しました。また、今月の「悪意のあるソフトウェアの削除ツール」では、新たな脅威ファミリ 1 件に対応しています。
公開時点で悪用が確認されている脆弱性はありませんが、可能な限り早期にセキュリティ更新プログラムをインストールするようお願いします。なお、優先順位を設定する必要がある企業のお客様は、MS13-021 (Internet Explorer)、MS13-022 (Silverlight)、および、MS13-027 (カーネルモード ドライバー) を優先的にインストールすることを推奨いたします。

 ■既存のセキュリティ情報の更新
新規セキュリティ情報の公開とともに、2013 年 1 月に公開された MS13-003「System Center Operations Manager の脆弱性により、特権が昇格される (2748552)」を更新し、「Microsoft System Center Operations Manager 2007 Service Pack 1 用のセキュリティ更新プログラム (KB2809182)」を公開しました。このセキュリティ更新プログラムは、マイクロソフト ダウンロード センターからのみ利用可能です。System Center Operation Manager 2007 Service Pack 1 を使用しているお客様はこの更新プログラムをダウンロードし、ご使用のコンピューターにインストールすることを推奨します。

 ■既存のセキュリティ アドバイザリの更新
以前に公開したセキュリティ アドバイザリ 2755801「Internet Explorer 10 上の Adobe Flash Player の脆弱性用の更新プログラム」を更新し、最新の更新プログラム KB2824670 を公開しました。

なお、2013 年 2 月 27 日に Windows 7 および Windows Server 2008 R2 用の Internet Explorer 10 を公開していますが、Windows 8、Windows RT、および、Windows Server 2012 用の Internet Explorer 10 とは異なり、Windows 7 および Windows Server 2008 R2 用の Internet Explorer 10 には、Adobe Flash Player は組み込まれておりません。そのため、Windows 7 および Windows Server 2008 R2 用の Internet Explorer 10 をご利用のお客様は、Adobe セキュリティ情報 APSB13-09 を参照し、更新プログラムをインストールしてください。

 ■セキュリティ情報フォーマットの変更
今月のセキュリティ情報から、フォーマットの一部を変更しています。主な変更箇所は、下記のようにサポート技術情報と展開情報の 2 ヶ所です。

• [概説] セクションに [サポート技術情報] セクションを追加し、サポート技術情報へのリンク、および、ファイル情報、セキュリティ更新プログラムのハッシュ情報、および既知の問題の記載の有無を明記しました。
  
• [更新プログラムに関する情報] の [検出および展開ツールとガイダンス] セクションについて、これまでセキュリティ情報毎に記載していたセキュリティ更新プログラムの検出・展開に使用するツールや検出一覧などの情報を、TechNet の「セキュリティ ツール」サイトに集約し、そのサイトへのリンクを追加ました。 
  

■2013 年 3 月のセキュリティ情報一覧
セキュリティ情報の概要、脆弱性の悪用可能性指標、更新プログラムのダウンロード先などがご覧いただけます。
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-Mar

マイクロソフトは新たに確認した脆弱性について、次の 7 件のセキュリティ情報を公開しました。

■最新のセキュリティ情報を動画と音声でまとめて確認

日本マイクロソフト セキュリティ レスポンス チームが IT プロの皆様に向けて、短時間で最新のセキュリティ情報の知りたいポイントを動画と音声で紹介する今月のマイクロソフト ワンポイント セキュリティ情報は、本日午後公開予定です。ご視聴いただくことで、最新のセキュリティ情報の適用優先度や再起動・回避策の有無、確認している既知の問題などをまとめて入手できます。Web キャスト公開後に、こちらのブログでもお知らせします。

本記事は、Microsoft Trustworthy Computing のブログ “Mitigating Targeted Attacks on Your Organization” (2012年 12 月 12 日公開) を翻訳した記事です。

Trustworthy Computing (信頼できるコンピューティング)、ディレクター、Tim Rains (ティム・レインズ)

筆者がこの数年間に話をしたことのある CISO (情報セキュリティ最高責任者) やセキュリティ関連業務担当役員のほぼ全員が、“APT” (Advanced Persistent Threats: 高度で執拗な脅威) 型の攻撃によってもたらされるリスクをより緩和するために、自社のセキュリティ態勢を向上させる方法を学ぶことに関心を示していました。マイクロソフトでは、APT という用語を使用しません。こうした攻撃では通常、古典的でよく知られた手法とテクノロジを使用しており、本当の意味で「高度」ではないからです。

たとえば攻撃者が通常よく行うことの 1 つに侵害したネットワークからユーザー名とパスワードを盗み出すというものがあります。これにより、攻撃者はより多くのリソースにアクセスし、可能な限り長く検出されずにネットワークにとどまることができてしまいます。攻撃者が一般的に使用するある種の攻撃は、“pass-the-hash” (ハッシュ化された資格情報を悪用した攻撃) と呼ばれています。攻撃者は脆弱化したネットワークからユーザー名とパスワードのハッシュバージョン (一方向の数学的変換を行った後の表現形式) を盗み出し、それらの資格情報を使用することでネットワークのリソースやデータにアクセスできるようになります。この分野では何年にもわたって多大な研究とツールの開発が行われてきており、その結果攻撃者は pass-the-hash や他の資格情報の窃取と再使用による攻撃を、より簡単に行えるようになりました。

マイクロソフトは今日、組織がこの種の攻撃を緩和するのに役立つ、実地テスト済みガイダンスを掲載した新しいホワイトペーパーをリリースしました。お客様の IT 部門が容易に実施できるように、このホワイトペーパーではこれらの緩和策を、有効性や実施に要する作業などに基づいて評価しています。

レポートのダウンロード (英語情報)

部門とベンダーがお客様のネットワークのセキュリティ態勢を向上させて標的型攻撃からお客様を守ることができるように、是非このホワイトペーパーと緩和策に関する新しいガイダンスを皆様の IT 部門やベンダーと共有してください。

本記事は、Security Research & Defense のブログ “Assessing risk for the March 2013 security updates” (2013 年 3 月 12 日公開) を翻訳した記事です。

本日、私たちは 20 件の CVE (脆弱性) を解決する 7 件のセキュリティ情報をリリースしました。セキュリティ情報の内、4 件は最大深刻度が「緊急」、そして 3 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。

ジョナサン・ネス、MSRC エンジニアリング

2013 年 3 月の月例セキュリティ リリースの事前通知を公開しました。

2013 年 3 月 13 日に公開を予定している新規月例セキュリティ情報は、合計 7 件 (緊急 4 件、重要 3 件) です。なお、最新のセキュリティ情報の概要を動画と音声でお伝えするストリーミング ビデオ (Web キャスト) の「今月のマイクロソフト ワンポイント セキュリティ」も同日午後に公開する予定です。

公開予定のセキュリティ情報の詳細は、以下の事前通知のサイトをご覧ください。
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-mar

皆さん、こんにちは！
先ほど 12 月のマイクロソフト ワンポイント セキュリティ情報を公開しました。

本日 3 月 13 日に公開した新規 7 件 (緊急 4 件、重要 3 件) のセキュリティ更新プログラムの適用優先度、既知の問題、回避策や再起動の有無など、セキュリティ情報について知っておきたい情報を凝縮してお伝えしています。今月のセキュリティ更新プログラム適用前の概要把握のために是非ご視聴ください。

また内容に関するフィードバックも随時受け付けています。「今月のマイクロソフト ワンポイント セキュリティ情報」サイト右上のフィードバックボックスからご意見・ご感想をお寄せください。

ダウンロード用の Web キャストは以下のサイトから入手可能です。
http://technet.microsoft.com/ja-jp/security/dd251169.aspx

下の画像をクリックして動画を再生してください。

Format: wmv
Duration:

2013 年 3 月 27 日、セキュリティ アドバイザリ 2819682「Microsoft Windows ストア アプリケーション用のセキュリティ更新プログラム」を公開しました。

Windows 8、Windows RT、および Windows Server 2012 上で稼働する Windows モダン メールの脆弱性を解決します。なお、Windows Server 2012 Server Core インストールは影響を受けません。Windows ストア アプリの更新プログラム機能を利用して、早急に更新プログラムを適用することを推奨します。

なお、マイクロソフトでは、情報の透明性を保証するため、Windows ストアのマイクロソフト アプリ用のセキュリティ更新プログラムをすべてドキュメント化し、Windows ストア アプリケーション用のセキュリティ更新プログラムを新しく公開した際には、セキュリティアドバイザリ 2819682 を更新します。

セキュリティ更新プログラムのプロセス自体は、その他の Windows ストア アプリケーション用の更新プログラムと同一のもので、お客様はストア タイルを選択し、更新プログラムを選択します。

Windows ストア アプリケーションに対するセキュリティ更新プログラムのポリシーは、以下のサイトを参照してください。

• マイクロソフト アプリの更新プログラム
• Microsoft Apps Updates (英語情報)