日本のセキュリティチーム (Japan Security Team) : Bot

セキュリティインテリジェンスレポート第7版(2009年上半期)

JSECTEAM — Mon, 02 Nov 2009 20:07:00 GMT

小野寺です。

2009年上半期の脆弱性やマルウェア動向についてまとめた、セキュリティインテリジェンスレポート (SIR) 第7版を公開しました。
本レポートは、半期に一度公開しており、さまざまなデータを基に現在のセキュリティ動向を分析しています。最新のレポートは、以下のサイトから入手できます。要約版である、主要な調査結果 (Key Findings)の概要を、各国語でこうかいしていますが、今回は、日本語版のみ完全版レポートから「各地域における脅威の評価」、「各国の最善策 (Best Practice)」を抜粋して日本語化して付録として追加しています。

研究者だけではなく、IT管理者や開発者の方には必ず読んでほしい、レポートになっています。

マイクロソフトセキュリティインテリジェンスレポート v7
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=037f3771-330e-4457-a52c-5b085dc0a4cd

さて、今回も感染率で色分けした、世界地図から確認してみます。
今回、前回から地図に大きな変化があります。日本の緑が薄くなっているのが確認できると思いますが、日本の感染率が、前回の1.7から3.0に悪化しています。単一ファミリの感染数では、Win32/Taterfが最も多いのですが、そのほか、Win32/Hupigonがアジア圏を蔓延していたことが確認されています。そのほか、全体的に満遍なく、感染数が増えた印象があります。

これらのマルウェアの感染種別については、家庭と企業でも違いが出ており、以下のような状態となっています。

このようなデータ以外にも、最近の攻撃手法に関する考察、フィッシングや、スパムの状況などをまとめていますので、まずは、主要な調査結果(KeyFindings)をご覧ください。

最後に、日本は、今回感染率が、悪化したものの世界的に感染率の低い国には変わりなく、この低い理由を、IPA様の協力を得てベストプラクティス(最善策)としてまとめています。普段目にすることのない、いろいろな人の活動が少しだけ垣間見えるかもしれません。

2009年7月のセキュリティ情報

JSECTEAM — Tue, 14 Jul 2009 18:56:00 GMT

小野寺です

2009年7月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 6 件 (緊急 3件, 重要 3件)となります。
合わせて、セキュリティアドバイザリを 2件を更新しています。

セキュリティ情報 (新規):
概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。
http://www.microsoft.com/japan/technet/security/bulletin/ms09-jul.mspx

毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、以下のサイトと、このBlogでの公開を予定しています。
http://technet.microsoft.com/ja-jp/dd251169.aspx

MS09-028 (DirectX):
特別な細工が施されたQuickTimeファイルを開くか、Webやメール上のコンテンツが再生・配信された等に場合にリモートでコードが実行される可能性があります。
対応した３つの脆弱性の中の一つは、セキュリティアドバイザリ 971778 でお伝えしていた件になります。すでに悪用も確認されているため、速やかに更新プログラムを適用する事を推奨しています。
Windows Vista以降で使われているDirectX 10以降のバージョンは、影響を受けませんが、Windows XP, Windows 2000用のDirect X9以下のバージョンが影響を受けます。Windows 2000での展開は特に複数のバージョンが組織内で混在している可能性があるため、配布するパッケージに注意が必要かもしれません。WSUS等の配布ソリューションを使っている場合はバージョンに合わせて自動選択されるため気にする必要はありません。

MS09-029 (EOT):
特別な細工が施されたEmbedded Open Type (埋め込みフォント)を持つファイルやWebサイトを開くことで、リモートでコードが実行される場合があります。

MS09-030 (Publisher):
特別な細工が施されたPublisherファイルを開くことで、リモートでコードが実行される場合があります。

MS09-031 (ISA):
特別な細工が施された通信リクエストを処理する際に、特権の昇格が発生する可能性があります。

MS09-032 (Killbit - Video):
特別な細工が施されたMicrosoft ActiveXが埋め込まれたWebサイト等を参照することで、リモートでコードが実行される可能性があります。
セキュリティアドバイザリ 972890 でお伝えしていた件になります。すでに悪用も確認されているため、速やかに更新プログラムを適用する事を推奨しています。
セキュリティ更新プログラムに関してですが、影響を受けないWindows 2000, Windows Vista, Windows Server 2008にも更新プログラムを配信します。これは、将来的にVista等に何らかの理由でActiveXコントロールがインストールされ、この脆弱性が悪用される事を事前に阻止するための予防措置となります。また、今回は、マイクロソフト製品について新たに対応しているため、セキュリティアドバイザリではなく、セキュリティ情報として公開しています。

MS09-033 (Virtual PC/Server):
特別な細工が施されたプログラムを、ゲストOS上で実行することで特権の昇格が発生する可能性があります。
特権の昇格はあくまでも、ゲストOS内でのみ発生し、そのゲストOS(仮想化環境)をホストしている側に影響はおよびません。また、別の仮想化技術であるHyper-V(Windows Server 2008)は影響を受けません。

セキュリティアドバイザリ (更新):
セキュリティアドバイザリ (971778): Microsoft DirectShow の脆弱性により、リモートでコードが実行される
 MS09-028 で脆弱性に対処したため、更新しています。

セキュリティアドバイザリ (972890): Microsoft Video ActiveX コントロールの脆弱性により、リモートでコードが実行される
 MS09-032 で脆弱性に対処したため、更新しています。

悪意のあるソフトウェアの削除ツール (MSRT):
今月は、Win32/Fakespypr に対応しています。どちらも、最近特に増加を続ける、詐欺的ウイルス対策ソフトウェアの一種となります。

無償マルウェア対策ソフト: Microsoft Security Essentials (Morro)

JSECTEAM — Fri, 19 Jun 2009 11:46:00 GMT

小野寺です。

昨年の11月頃に、無償のマルウェア対策製品(開発コードネーム'Morro')を提供するとアナウンスしておりました。
既に報道等々で、ご存知の方も多いかと思いますが、「Microsoft Security Essentials」という名称で、正式提供に向けて作業を進めており、来週から英語版、簡体中国語版とポルトガル語版で、βテストも開始されます。βの完了後、完成版のリリースの際には、日本語も含めて幾つかの言語版を提供する予定です。

Microsoft Security Essentials が動作するのは、Windows XP Service Pack 2以降、Windows Vista, Windows 7 の各64bit/32bit版を予定しています。提供方法は、Webからのダウンロード配布となると思います。

Microsoft Security Essentials が提供される事で、いままで、ウイルス対策ソフトを購入する事が難しい経済事情の国、セキュリティにどうしても意識の向かなかった方々も含めて、マルウェア対策ソフトの導入率を向上させたいというのが私の願いです。
マルウェアは、ネットワークにつながる誰かが感染していれば、犯罪者は利益を得られる為、行為を継続しますし、感染端末は、他の端末への脅威となります。対策ソフトの普及で、この感染端末が今よりも、少しでも減っていけば、今よりも安全なインターネットになるはずです。

マルウェア対策ソフトの普及率が低くないと言われる日本ですら、毎月の「悪意のあるソフトウェアの削除ツール」(MSRT)で、種類によっては、数万単位のマルウェアが駆除される事があります。日本ですら、そのような状況で他の国はもっと悲観的な状況である事はご想像に難くないと思います。

このMicrosoft Security Essentialsで、すべてのマルウェアの問題を解決できるわけではない事は分かっています。しかし、この対策ソフトの提供で、少し状況を変えて、犯罪者が動きにくいインターネットを実現したいですね。司法と協力したマルウェア開発者の逮捕への協力活動や、製品自体の安全性や安全のための機能強化は、今まで以上に力を入れていきます。

ちなみに、企業、サーバー向けとしてForefrontの提供も継続していきます。統合的な管理、サポート、マルウェア対策以上にセキュリティの脅威全体に対処するための機能が必要なケースでは、Forefrontをお勧めします。 Microsoft Security Essentials は、マルウェア対策のすそ野を広げる事が目的のソフトウェアですので、法人での利用や、既存の信頼のおけるマルウェア対策ソフトウェアからの置き換えには不向きかもしれません。

2009年6月のセキュリティ情報

JSECTEAM — Tue, 09 Jun 2009 15:09:00 GMT

小野寺です

2009年6月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 10 件 (緊急 6件, 重要 3件, 警告 1件)となります。
また、合わせて、MS09-017の更新、セキュリティアドバイザリを 2件公開し、2件を更新しています。

セキュリティ情報 (新規):
概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。
http://www.microsoft.com/japan/technet/security/bulletin/ms09-jun.mspx

MS09-018 (Active Directory):
特別な細工が施されたLDAP (LDAPS) リクエストの受信、または処理中にリモートでコードが実行される可能性があります。
リモートでコードが実行される可能性があるのは、Windows 2000 Server のActive Directory (AD) のみで、Windows Server 2003 などの他のOSでは、攻撃が成功しても、サービス拒否状態となり深刻度も、重要と評価しています。どちらにしても、ADが侵害、または停止するのは好ましくありませんの早々の適用を推奨します。

MS09-019 (Internet Explorer):
幾つかの脆弱性に対処していますが、多くの場合、不正な細工が行われたWebサイトを参照する事で、リモートでコードが実行されます。
公開した時点で、悪用は確認されていませんが、最近の被害事例を考えると実際に悪用がなされる前に適用しておきたい更新プログラムです。

MS09-020 (IIS):
特別な細工が施されたWebDAVリクエストの受信、または処理中に特権の昇格が発生する可能性があります。
セキュリティアドバイザリ (971492) で、お知らせしていた脆弱性に対応したものとなります。

MS09-021 (Excel):
特別な細工が施されたExcelファイルを開くことで、リモートでコードが実行される可能性があります。
Office 2000 (Excel 2000) の深刻度のみ緊急と評価しています。 Office XP以降のバージョンでは、実際にコードが実行可能である確立がOffice 2000よりも下がる事が社内の検証で分かっています。しかし、ドキュメントファイルを使った攻撃は依然として多い状況ですので、適用はするべきです。

MS09-022 (Spooler):
特別な細工が施された印刷スプーラーに対するリクエストの受信、または処理中にリモートでコードが実行される可能性があります。
リモートでコードが実行される可能性があるのは、Windows 2000のみとなっており、他のOS環境では、特権の昇格または、情報漏えいの可能性のみとなります。

MS09-023 (Windows Search):
特別な細工が施されたファイルが、Windows Searchで検索結果として表示される場合に、情報漏えいの可能性があります。
今回影響を受ける環境では、Windows Searchは、既定ではインストールされておらず、任意にインストールしている必要があります。尚、Windows XPの検索機能とは別のものです。

MS09-024 (Worksコンバーター):
特別な細工が施されたWorksファイルを開くことで、リモートでコードが実行される可能性があります。
MS09-021 同様に、Office 2000のみ、深刻度を緊急と評価しています。

MS09-025 (Kernel):
特別な細工が施されたプログラムを実行する事で、特権の昇格が発生する可能性があります。

MS09-026 (RPC):
特別な細工が施されたRPCメッセージが処理される事で、特権の昇格が発生する可能性があります。
脆弱性の詳細が公開されていますので、早々に更新を適用する事をお勧めしますが、実際に悪用できる状況がある程度限定できるため、適用時期を十分に検討する事ができる場合もあります。

MS09-027 (Word):
特別な細工が施されたWordファイルを開くことで、リモートでコードが実行される可能性があります。
MS09-021 同様に、Office 2000のみ、深刻度を緊急と評価しています。

セキュリティ情報 (更新):
MS09-017 (PowerPoint):
MS09-017の初回公開時点で、提供していなかった Mac 用 PowerPoint等の更新プログラムの提供開始しました。

セキュリティアドバイザリ (新規):
セキュリティアドバイザリ (971888): DNS デボルブ用の更新プログラム
DNSで名前解決を行う際に、デボルブと呼ばれるドメインサフィックスを遡る様に再起検索する仕組みがあります。この遡る階層レベルを制限できる機能を新たに追加するための更新プログラムの提供をお知らせするものです。この更新プログラムにより、名前解決の挙動が変更となる環境があり、適用する前にアドバイザリおよびサポート技術情報を熟読する事をお勧めします。

セキュリティアドバイザリ (969898): ActiveX の Kill Bit 更新プログラムのロールアップ
Internet Explorerで、望まれないActive Xが実行されないように制限するためのKillbitを追加するための更新プログラムの提供をお知らせするものです。Microsoft製品の脆弱性に新たに対応するものではなく、3rd partyソフトウェアの脆弱性にのみ新たに対処しているため、通常の更新プログラムとして提供しています。

セキュリティアドバイザリ (更新):
セキュリティアドバイザリ (945713): Web プロキシ自動発見 (WPAD) の脆弱性により情報漏えいが起こる
WPADを検索する際に、デボルブにより組織外のWPADを検索してしまう可能性があった件について、アドバイザリ 971888の公開に合わせて対処方法等を更新しています。

セキュリティアドバイザリ (971492): インターネットインフォメーションサービスの脆弱性により、特権が昇格される
 MS09-020 で脆弱性に対処したため、更新しています。

悪意のあるソフトウェアの削除ツール (MSRT):
今月は、InternetAntivirus に対応しています。どちらも、最近特に増加を続ける、詐欺的ウイルス対策ソフトウェアの一種となります。

余談：
数か月前の事ですが、Genoとその系列のマルウェア(JSRedir-R, JS/Gamburl)が騒がれていますが、ぜひ、この機会にWindows等のMicrosoft製品だけではなく、他社のアプリケーション等についても更新プログラムが適用されているかを意識してみてください。丁度、Adobe社も本日新しいセキュリティパッチを提供開始しているようですので、関係のある方はMicrosoft Updateのついでに適用しておく事をお勧めします。

また、国内で Geno等を拡散しているWebサイトが少なからずあるようです。今一度、自身のWebサイトのコンテンツをチェックしてみては？ただし、チェックするときは、ディスク上のデータだけではなく、ブラウザに表示させた状態(と同じデータ)のソースを検査する必要があります。乱暴な方法ですが、身の覚えのない unescape, base64, eval 等の単語が見つかった場合は、しっかりと見てみた方がよいでしょう。難読化されている場合もあるので、これで確実に発見されるわけではありませんが、このような方法と、コンテンツに対するマルウェア検査の実施をお勧めしたいところです。

ここ最近、このようなパスワードを盗む Password Steraler が増加を続けているため、まずは基本の対策をしっかりと実施してほしいですね。

Internet Explorerのセキュリティ更新プログラム提供開始

JSECTEAM — Thu, 18 Dec 2008 00:10:00 GMT

小野寺です。

先日お伝えしたとおり、本日 Internet Explorer の脆弱性に対処するセキュリティ更新プログラムの提供を開始しました。
Microsoft Update または自動更新を通じて、提供中のセキュリティ更新を全て適用する事を強く推奨します。
http://update.microsoft.com/microsoftupdate/

今回の脆弱性と、セキュリティ更新プログラムに関する詳細は、以下のセキュリティ情報を見てください。
MS08-078: Internet Explorer 用のセキュリティ更新プログラム (960714)
http://www.microsoft.com/japan/technet/security/bulletin/MS08-078.mspx

絵で見る MS08-078 : Internet Explorer の重要な更新
http://www.microsoft.com/japan/security/bulletins/MS08-078e.mspx

今回のInternet Explorer向けのセキュリティ更新プログラムは、「累積」ではありません。 そのため、12月の月例で公開している MS08-073 も合わせて適用する事を推奨します。 MS08-073が、検証中等の理由で直ぐに適用できない場合でも、MS08-078 のみを先に適用する事も可能です。

また、今回の更新プログラムを含めて、被害を軽減するための推奨事項を実施されているかを是非確認してみてください。

Internet Explorerの更新の事前通知

JSECTEAM — Wed, 17 Dec 2008 03:25:00 GMT

小野寺です。

先日から、セキュリティアドバイザリ 961051や、ブログでもお伝えしているとおり、Internet Explorerの脆弱性の悪用が確認されています。
これに対応するために、12/18に本脆弱性に対応するセキュリティ更新プログラムを公開します。12月の月例の公開では、今年最後と言いましたが、本セキュリティ情報の公開は定例外で行います。
通常の事前通知では、3営業日前のお知らせになりますが、今回の定例外となるため直前の連絡となっております。

マイクロソフトセキュリティ情報の事前通知 - 2008 年 12 月 (定例外)
http://www.microsoft.com/japan/technet/security/bulletin/ms08-dec-ans.mspx

本日 Windows Update で、Windows XP 向けに KB960763 を公開していますが、この更新は、セキュリティ更新プログラムではありません。
通常の Windows XP 向け更新プログラムになります。

セキュリティ更新プログラムは、12/18のセキュリティ情報の公開に合わせて、影響を受けるすべての環境に対して配信します。

ワームとMS08-067

JSECTEAM — Fri, 28 Nov 2008 11:13:00 GMT

小野寺です。

報道やMSRC Blog等でも取り上げられているので、すでにご存じの方も多いと思いますが、MS08-067を悪用するワームが確認されています。

ものとしては、Win32/Conficker.A (またはWin32/Conficeker.Gen) が最も見られるようですが、IRCBotの亜種も確認しています。 MS08-067のセキュリティ更新プログラムを適用していれば全く問題ないのですが、未適用環境で感染が確認されています。

対処としては、基本的に以下の流れになります。

MS08-067の適用
駆除 (http://safety.live.com)
ファイアウォールの設定見直しなります。

しかしながら、原則論でいえば、一度ウイルス(マルウェア)に感染した PCは、他にどの様なマルウェアを招き入れているかわかりませんので、完全にフォーマットして再構築が望ましいところではあります。
このConfickerも、<random ip>/search?q=%d&aq=7 からファイルのダウンロードを試みる性質があり、Conficker以外のマルウェアにも感染している可能性があります。

詳細は、以下のサイトにありますが、英語のみとなりますので、簡易翻訳版をこのBlogに転記しておきます。
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.A

別名 (Also Known As):
TA08-297A (その他)
CVE-2008-4250 (その他)
VU827267 (その他)
W32.Downadup (シマンテック)

概要 (Summary):
ワーム:Win32/Conficker.A は、Windows Server サービス (SVCHOST.EXE) の脆弱性を悪用し、ネットワーク上で別のコンピューターを感染させるワームです。脆弱性が悪用される場合、ファイル共有を有効にした際にリモートでコードが実行される可能性があります。
マイクロソフトは、ユーザーが直ちにセキュリティ情報 MS08-067 に該当する更新プログラムを適用するよう強く推奨します。

現象 (Symptoms):
この脅威に関連する一般的な現象はありません。おそらく、インストール済みウイルス対策ソフトウェアからの警告通知が唯一の現象です。

技術的な情報(Technical Information):
Worm:Win32/Conficker.A は、Windows Server サービス (SVCHOST.EXE) の脆弱性を悪用し、ネットワーク上で別のコンピューターを感染させるワームです。脆弱性が悪用される場合、ファイル共有を有効にした際にリモートでコードが実行される可能性があります。

感染方法:
このワームは Windows の実行可能ファイル 'services.exe' を探し、このファイルにそれ自身を仕掛けます。このワームは Windows のシステムフォルダーに <random>.dll の名でそれ自身をコピーします。<random> の部分はアルファベットの小文字 (5-8 文字) で 'nxyme.dll' のような名称になります。

このワームは感染時間についてフォレンジックの証拠を隠すため、DLL ワームのコピーがドロップされたファイルの時間を、システムの kernel32.dll ファイルと同じ時間に調節します。このレジストリはドロップされた DLL のワームコピーをサービスとして実行するように変更されます。

追加の値: "DisplayName"
データ: "0"
サブキー: HKLM\SYSTEM\CurrentControlSet\Services\vcdrlxeu

追加の値: "ServiceDll"
データ: "<system folder>\nxyme.dll"
サブキー: HKLM\SYSTEM\ControlSet001\Services\vcdrlxeu\Parameters

マシンがワームに感染すると、このワームはすでに影響を受けているこのマシンが再感染しないように、シンプルなコードのフックを介して悪用された機能を修正します。ワームはポート 1024 および 10000 の間をランダムに選択してポートを開き、接続の試行情報を確認し、API を使用している Windows ファイアウォールを回避します。また、このワームはインターネット接続共有サービスを停止します。

拡散方法:
ネットワークのコンピューター
Win32/Conficker. A はメモリにそれ自身をコピーし、Windows Server サービス (SVCHOST.EXE) の脆弱性を悪用して、ネットワーク上でランダムに選択した IP アドレスに蔓延し始めます。脆弱性が悪用された場合、ワームは標的のコンピューターを操り、ワームに開かれたランダムなポートを使用して HTTP プロトコルを介してホストコンピューターからワームのコピーをダウンロードします。
このワームは次の URL を利用して、コンピューターの地域的な場所を判断します:

getmyip.org
getmyip.co.uk
checkip.dyndns.org

Win32/Conficker.A はウクライナの地域のコンピューターの感染を避けます。

ペイロード (Payload):
HTTP サーバーを作成する
ワームは 1024 から 10000 の間のポートをランダムに開き、Web サーバー (HTTP サーバー) のように動作します。リモートのマシンが悪用された場合、犠牲者が http サーバーに再度接続し、ワームのコピーをダウンロードします。

システムの復元ポイントのリセット
ワームは API 機能を呼び出し、コンピューターのシステムの復元ポイントをリセットし、システム復元を使用してリカバリさせないようにします。

ファイルのダウンロード
日付が 2008 年 11 月 25 日以降である場合、このワームは URL を次のフォーマットで構築し、そこからファイルをダウンロードしようと試みます:

<random ip>/search?q=%d&aq=7

日付が 2008 年 12 月 1 日以降である場合、Win32/Conficker.A はドメイン 'trafficconverter.biz' から 'loadadv.exe' のファイルのダウンロードを試行します。

セキュリティに関する 10 の鉄則

JSECTEAM — Mon, 20 Oct 2008 10:59:00 GMT

小野寺です。

先日、実在する弊社担当者名を使った英文の詐欺メールが出回りましたが、その担当者 Scott Culpは、非常に初期のころから、Microsoftのセキュリティ対応に取り組んでいた人の一人です。

その彼が、書いたコラムをに、「セキュリティに関する 10 の鉄則」と「セキュリティ管理に関する 10 の鉄則」があります。今でも、十分に通用するというか、今だからこそ実感がわくというか・・・

仕事で煮詰まった時(別に普通の問いでもOKです)にでも、一度読んでみると面白いと思います。各鉄則だけ、Blogで紹介しておきます。個人的には、「セキュリティに関する 10 の鉄則」の鉄則1は、多くの方に再認識いただきたいと感じてしまします。

「セキュリティに関する 10 の鉄則」
http://www.microsoft.com/japan/technet/archive/community/columns/security/essays/10imlaws.mspx?mfr=true

鉄則 1: 悪意のある攻撃者の誘惑に乗って、攻撃者のプログラムをあなたのコンピュータで実行した場合、もはやそれはあなたのコンピュータではない
鉄則 2: 悪意のある攻撃者があなたのコンピュータのオペレーティングシステムを改ざんした場合、もはやそれはあなたのコンピュータではない
鉄則 3: 悪意のある攻撃者があなたのコンピュータに対して物理的なアクセスを無制限に行える場合、もはやそれはあなたのコンピュータではない
鉄則 4: 悪意のある攻撃者にあなたの Web サイトに対して自由にプログラムをアップロードさせてしまうのなら、もはやそれはあなたの Web サイトではない
鉄則 5: セキュリティが強力であっても、パスワードが弱ければ台無しである
鉄則 6: コンピュータのセキュリティが守られているかどうかは、その管理者が信頼できるかどうかにかかっている
鉄則 7: 暗号化されたデータのセキュリティが守られているかどうかは、解読キーのセキュリティにかかっている
鉄則 8: 古いウイルス検出プログラム (ウイルス定義ファイル) はウイルス検出プログラムがないも同然である
鉄則 9: 現実の生活でも Web 上でも完全な匿名などあり得ない
鉄則 10: テクノロジは万能ではない

「セキュリティ管理に関する 10 の鉄則」
http://www.microsoft.com/japan/technet/archive/community/columns/security/essays/10salaws.mspx?mfr=true

鉄則 1: 自分の身に何か悪い出来事が起こるまで、だれもそれが起こるとは考えもしない
鉄則 2: セキュリティ保護の方法が簡単である場合にのみ、セキュリティはうまく働く
鉄則 3: 常に新しい修正プログラムを適用していなければ、あなたのネットワークは長くはもたないだろう
鉄則 4: 最初からセキュリティで保護されていないコンピュータにセキュリティ修正プログラムをインストールしても役に立たない
鉄則 5: 永続的な警戒を行ってこそセキュリティが保護される
鉄則 6: 外部からあなたのパスワードの推測を試みている第三者が実際に存在する
鉄則 7: 最も安全なネットワークは管理が行き届いたネットワークである
鉄則 8: ネットワークを攻撃から守ることの難しさは、その複雑さに直接比例する
鉄則 9: セキュリティとは危険を回避することではない。リスクを管理することである。
鉄則 10: テクノロジは万能ではない

マルウェア対策研究人材育成ワークショップ 2008

JSECTEAM — Tue, 14 Oct 2008 03:11:00 GMT

小野寺です

先週 2008/10/08 ～ 2008/10/10 の3日間開催された、「マルウェア対策研究人材育成ワークショップ 2008 (MWS 2008) 」に参加してきました。
http://css2008.la.coocan.jp/mws2008/
http://css2008.la.coocan.jp/mws2008/aboutMWS.html (MWS の目的など)

サイバークリーンセンター (http://www.ccc.go.jp) で採取しているボットの観測データの一部を「研究用データセット」として使用した分析・検討が行われました。
研究所や大学からの発表だけではなく、実務的な現場からの発表もあり、はたまた沖縄の山の中で何かを攻めてみたり(これはMWSと関係はない)など充実した3日間でした。
実施に扱われたテーマについては、プログラムを見てください。
http://css2008.la.coocan.jp/mws2008/program.html

そして、私の参加したパネルでも議題に上りましたが、Microsoftを含めていわゆる対策ベンダーや通信事業者にとっては、検体や実データを得る事は可能な事ですが、研究者の方にとっては、困難な場合も多く研究を困難なものとしているなどの声もありました。またデータを得たとしても、全ての人が同じデータを参照する機会というのは、皆無に近く、共通の同じデータに対して多くの視点から考察が実現された今回のワークショップは、私にとっても意義深いものでした。

今後も、この様な形でワークショップが継続され、より多くの産業界と学術界が交わる事で、具体的に実世界に適用できるソリューションが数多く生み出されるよいサイクルが作られるといいな～と思っています。

従来の様なテクニカル・カンファレンスも重要で面白いですが、この様な形での知識の形成もよいものです。
次回は、もっと多くの企業やセキュリティコミュニティーのメンバーが参加してくる事を期待してます。

Microsoft Updateと再起動とネットワーク

JSECTEAM — Tue, 07 Oct 2008 09:38:00 GMT

小野寺です。

株式会社インターネットイニシアティブ (IIJ) から、興味深いレポートが公開されました。
http://www.iij.ad.jp/development/iir/

ISPの視点で、顧客であるインターネット利用者を保護するために、インシデントにどの様に対応していったかがまとめられています。攻撃を受けたサーバー側や全体的で概略的なレポートは今までも多くありましたが、ISPの立場で詳解されたレポートはあまり多くなく興味深い内容でした。
それにしても、ISPが回線や利用者を守っていくために、これ程までの労力(血と汗？)を費やしている事は知らない訳ではないつもりですが、レポートとして見てみると改めて驚かされます。

その中に、以下の様な記述があり、「やはり、そうなのかー」と思う反面、マイクロソフトからでは絶対に知る事ができない、回線を見守っている立場でしかわからない事象ですね。

IIJでは、この期間の7 月初旬に、突発的な通信量の減少を観測しました。これは、7月のマイクロソフトのOS アップデートで再起動を必要としたため、常時通信を行うP2P 型ファイル共有アプリケーション等を利用している端末において、通信が停止したためではないかと判断しています。

日本は安全か？ - Security intelligence Report Vol4

JSECTEAM — Mon, 23 Jun 2008 15:50:00 GMT

小野寺です。

突然ですが、日本は安全な国なんでしょうか？もちろんIT的な意味でです。感覚的には「絶対に安全とは言い切れない」人がほとんどだと思います。そこで、弊社CSAの高橋の記事でも紹介していますが、2007年下半期の「悪意のあるソフトウェアの削除ツール(MSRT)」等の実行結果を基に各国のマルウェア感染率(感染したPCの検出率)を地図にしたものが以下になります。

意外に感じるか、当然と感じるかは人それぞれだと思いますが、日本だけが緑いろになっており最も低い感染率を示しています。この地図では、赤くなるほど感染率の高いエリアであることを示しています。白は、データ不足の地域です。具体的には、日本は 685台の1台の割合で感染してしていますが、最も感染率が高かったアフガニスタン(Afghanistan)では、17台に1台の確立となっています。幾つか他の組も見てみると、韓国(Korea)が 1/67台、ロシア (Russia)が 1/88台、米国 (United States) が 1/112台、中国(China)が1/214台となっています。ちなみに、低感染率2位は、セネガル (Senegal) で、1/372台となっています。そして、世界平均では、1/123台となっています。こうみると、相対的に日本は世界の中で結構安全な国というか、安全な運用を心掛けている国と言えると思います。もしかすると、心掛けているというよりは、守られている国と言えるのかもしれません。というのも、日本には、サイバークリーンセンターの活動があり、国、ISP、セキュリティベンダーが連携して各端末を1台づつケアしていくという世界的に類を見ない取り組みが行われているためです。(詳細は、SIR 第4版の英語版 (MS_Security_Report_Jul-Dec)をみてください。)

しかし、この日本の1/685台が「安全！」と言い切るのに十分かというと、少し疑問が浮かびます。日本でMSRTが実行されているPCの台数を考えると、まだまだ気を抜くわけにはいかないと感じています。そして、最近の傾向としてこのようなマルウェアによらない、フィッシング等の詐欺的な手法にもさらに注意を払っていかなければなりません。

話をマルウェアに戻して、日本国内でどのような種類のマルウェアが跋扈しているかを見て見たのが、左のグラフです。最も高いのが Worm の26.71%ですが、2007年の上半期から、Trojan Downloaderが急速に伸びており、25.90%に達しています。このダウンローダーが結局 WormやTrojanをダウンロードして感染したり、別のDownloaderをさらにダウンロードしたりと、複雑な状況を作り出しています。また、検出を難しくする要因になっていたりもします。

文書ファイルの脆弱性を悪用し侵入するマルウェアも Trojan/Downloaderが多くなっており、その後にダウンロードされてるマルウェアは刻々と姿を変えています。このような状況を考えると、マルウェア対策は今まで通りしっかりと実施しつつ、Office用のMOICEの導入や、一度ゲートウェイやクラインでのチェックをすり抜けたファイルが保存されていても大丈夫なように、ファイルサーバーや、文書共有サーバー上での定期的な検査などの多層的な防御を検討してみたいところです。また、Web経由で脆弱性を悪用して侵入するマルウェアの多くも Downloaderです。こちらについては、基本に立ち返り、OSを含めて常に最新の更新を必ず適用することです。そして、アプリケーションの更新も忘れないようにしないといけません。極端ではありますが、更新機能のないアプリケーションや、情報発信に問題のある提供元のアプリケーションは、今後使用について検討が必要なのかもしれません。もちろん、更新をする必要がないのが最高なのですが、人間の作るものですから、更新の必要がある前提で考えていった方がより安全なのかもしれません。

では、実際にどのマルウェアが日本で流行っているTop5なのかを調べてみたのが、下のグラフです。

一位は幸か不幸か、Antinnyではありません。一時話題となった CnsMin が最上位に来ています。これは、スパイウェアなのですが、たまたま国内で同じコンポーネントを使った、スパイウェアではない製品があった事も要因の一つかもしれませんが、8.6%とそれなりの比率を占めています。2位が Zlobの 4.3%、3位がAntinny の 3.9%となっています。 Antinny がいまだに日本の全検出数の 4% 近くを占めると思うと、まだまだ啓発が行き届いていない事がうかがえてしまいます。「永遠のビギナー」ということばもありますが、技術やプロセスも絡めて、何とかしたいと思いつつ、一足飛びでは対策できない数字なのだと重さを感じてしまいます。

しかし、そう悲観したする必要もないことが、以下のTop5を月別推移をグラフ化したものでわかります。諸々の事情で数値は省きますが、横軸ひとつで万単位だと思ってください。

これを見ると、Antinnyは一月からみると、減少傾向にあることがわかりますが、依然として結構な数が検出されています。 CNSMinの検出も非常に興味深いものがあり、なぜか昨年の夏ごろに乱高下していました。これについては、理由は明確ではないのですが、現在は緩やかに減少傾向になっています。ただ、グラフには出ていませんが、国内のスパウェアの状況をみると、もう少しスパイウェアの対策が進む必要がある様に感じています。このスパイウェアがまた、厄介で情報の流出の危険ももちろんありますが、システム(PC)を中途半端に不安定にします。ブルースクリーンの原因の多くがスパイウェアであった時期もあります。また、Internet Explorerの異常終了、動作の遅さの原因になっている場合も多く報告されています。こういう背景もありWindows Vistaでは、スパイウェア対策ソフトのWindows Defenderを標準機能としています。XPでは残念ながら、Windows Defenderをダウンロードして導入する必要があり、これを知っているユーザーはまだまだ十分ではないと言わざるを得ません。または、この辺が難しいと感じる場合は、ISPが提供するセキュリティサービスに一任してしまうのも手だと思います。

シマンテックの調査では、「保存データがすべて失われたりした時のストレスは失恋を上回る」という面白い結果もでており、もし、マルウェア等により写真等のデータが失われれば相当にいやな思いをするということです。そうなる前に対策を打つか、いやな思いをしてから反省するかは利用者次第・・・とは言いたくないので、以下の3点で〆ておきます。

1) Microsoft Update を実施し、できれば自動にしてしまう
2) マルウェア対策とスパイウェア対策をするソフトを導入するか、ISPのサービスを導入する
3) ファイアウォールをオフにしようなんて考えない

次のSecurity Intelligence Report は、2008年上半期を分析したものになりますが、そのときには、さらに日本の感染率が低くなっていることを祈ります。

2008年6月のセキュリティリリース

JSECTEAM — Wed, 11 Jun 2008 00:17:00 GMT

小野寺です

今月は、事前通知でお伝えしていたとおり計 7 件 (緊急3件, 重要 3件、警告1件)を公開しました。また、MS06-078 と MS07-068 を改定しています。

では、内容を見ていきます。

MS08-030 (Bluetooth): 今回初となる Bluetooth(ブルートゥース)に関する脆弱性です。Bluetoothは、ご存じの通り無線接続方式の一つですが、その通信スタックに脆弱性が発見されたものですが。ReqSD (service description request) を大量に送られることで、結果としてコードが実行される可能性があります。 Bluetoothが有効になっている環境では、可能な限り早めに当てておきたいですね。とはいえ、10m ～ 100m 以内に攻撃者 (または攻撃用マルウェアに感染した PC) が存在する必要がありますので、屋外で攻撃を受けるケースよりも、社内やPC持ち込み可能な喫茶店等のある程度の人口密集度がある場所が危ないのかもしれませんね。

MS08-031 (IE): ２つの脆弱性に対応していますが、一方の CVE-2008-1544 (要求ヘッダーのクロスドメインの情報漏えいの脆弱性) が一般に公開され CVE-2008-2243 としても知られていますが、これを書いている時点では具体的な悪用の事例は確認していません。

MS08-032 (Kill Bit): Speech API に関するコントロールを Kill Bitしています。"Vista Speach Recognition "として、セキュリティコミュニティーで知られていましたが、悪用の報告例はありません。また、あわせてサードパティー製品をについても、1件 Kill bit しています。また、この脆弱性については悪用方法が、ユニークでその為に非常に困難になっています。

MS08-034 (WINS): WINS を運用している企業では、可能な限り早期の適用をお勧めします。「重要」としていますが、不正なパケットをWINSが受信することで攻撃が成立する可能性があります。WINSですので、LAN内からの悪用が最も懸念されると思いますが、LAN利用者が完全に信用できる場合は、適用時期を考慮する余地もあります。とはいえ、社内に侵入した攻撃者やマルウェアがより高い権限を得るために、悪用を試みる可能性もあるので早いに越したことはありません。なにより、WINSが動いているサーバは、AD/DC であることが多いと考えると油断はしたくないですね。

MS08-036 (PGM): まず最初に、PGM ってなに？と言われそうですが、簡単に言うと、「受信側が、データを正しく受信できる仕組みを色々と備えたマルチキャストプロトコル」です。Windows では、MSMQ (非同期メッセージキュー) を使っている環境でのみPGMが使用できます。サーバだけではなく、クライアントアプリケーションがMSMQを使っていることもありますので、その点は注意です。

あと、更新した2件は、MS06-078/MS07-68を適用していない環境で、Windows XP SP3を導入した場合に、Microsoft Updateで更新が検出されるように、検出ルールの見直しを図った事をお知らせするものです。

最後に、悪意のあるソフトウェアの削除ツール (MSRT)ですが、今月は、多くのオンラインゲームのIDを狙ったマルウェアに対応しています。市場調査をしたわけではないですが、オンラインゲームの利用者の多くが、「ウイルス対策ソフトは重い」という理由で対策ソフトを導入していないという話を良く耳にします。以前のバージョンで実際に動作の”重かった”対策ソフトもありましたが、最新版では改善されてきているようです。ちなみに、OneCareは、私も使っていますが、軽いですよ。
もし、MSRTで検出された時は、覚悟を決めて導入をお勧めします (できれば、感染してなくても)。

今月もセキュリティ情報のストリーミング配信を予定しています。公開次第、Blogでもお知らせします。
http://www.microsoft.com/japan/technet/community/events/webcasts/security.mspx

2008年5月のセキュリティリリース予定

JSECTEAM — Fri, 09 May 2008 05:37:00 GMT

小野寺です。
今月は、計 4 件 (緊急3件, 警告1件) の公開を予定しています。
リリース日は、週明け水曜日 (05/14) です。今年は、GW後に１週間の余裕があったので、正直なところ助かりました。昨年は、GW明けすぐのリリースだったため、色々と大変でした・・・さて、話がそれましたが、セキュリティ更新のほかに、「悪意のあるソフトウェアの削除ツール」とセキュリティ以外の更新プログラムを Microsoft Update 経由で配信します。詳細は、http://www.microsoft.com/japan/technet/security/bulletin/ms08-may.mspx をご覧ください。

ちなみに、セキュリティ情報の識別番号を (セキュリティ情報 1等)を、より内容のわかる名前に変更しましました。今月からは、セキュリティ情報の識別名と名前を変え、”Wordのセキュリティ情報”といった形で製品・テクノロジ名を含む形にしてみました。
さて、今月対応予定の製品として、「Diagnostics and Recovery Toolset (DaRT) 6.0 の Standalone System Sweeper」なるものがありますが、多くの方はあまり見慣れていないのではないかと思います。これは、MDOP (Microsoft Deplyment Optipazation Pack)というSA契約者向けに提供しているツールキットに含まれるものひとつです。この Standalone System Sweeper は、ウイルスやスパイウェアなどのマルウェアに感染したPCをオフラインで駆除するものとなります。事前に別のPCで最新の定義ファイルを含めて、CDを作成する事で、感染PCでCD起動して駆除できるという意外と便利な一品だったりします。

そのほか、JETの更新も予定しています。どんな更新かは、たぶん皆様のご想像のとおりです。

	影響を受ける製品	最大深刻度	影響	検出方法	再起動
Word のセキュリティ情報	Microsoft Office	緊急	リモートでコードが実行される	MBSA	不要
Publisher のセキュリティ情報	Microsoft Office	緊急	リモートでコードが実行される	MBSA	不要
Jet のセキュリティ情報	Microsoft Windows	緊急	リモートでコードが実行される	MBSA	必要な場合あり
セキュリティソフトウェアのセキュリティ情報	Windows Live OneCare, Microsoft Antigen, Microsoft Windows Defender, Microsoft Forefront Security	警告	サービス拒否	MBSA	不要

VB100% Award 受賞

JSECTEAM — Tue, 08 Apr 2008 04:44:00 GMT

小野寺です。

イギリスの Virus Bulletin Ltd で定期的に VB100 と呼ばれるマルウェア対策ソフトの検出能力テストが行われています。
このテストでは、Wild List (広く出回っているもの), Worm & Bot, 誤検出 (FP) の有無などの幾つかの項目について、どの程度の精度があるかをテストします。

2008年3月に行われた試験では、個人向け・企業向け製品の両方で100%検出、FP 0%の結果となり、VB100% Awardを受賞することができました。これまで、対応するプラットフォームでのテストにはすべて参加しているのですが、OneCareが過去4回のテストで3度目の受賞、Forefrontは、5回のテストですべて受賞することができています。

Microsoft Forefront Client Security (1.5.1937.0)
Microsoft Windows Live OneCare (2.0.2500.22)

より詳細な結果は、以下から誰でも見ることができます。(登録は必要ですが・・・)
http://www.virusbtn.com/vb100/archive/results?display=vendors

この結果だけで、すべての性能が決まるわけではありませんが、やはり受賞できるというのは、中々に良いものです。

セキュリティインテリジェンスレポート第3版を公開

JSECTEAM — Tue, 23 Oct 2007 04:50:00 GMT

小野寺です

2007年上半期 (1月～6月)のセキュリティの脅威の動向をまとめた、セキュリティインテリジェンスレポートの第３版を公開しました。もちろん、日本語版もあります。
今回から、要約版 '主要な調査結果の概要 (Key Findings Summary)'を公開しています。日本語版は、約 10 ページとなっており、第２版のボリュームに比べると、かなり読みやすくなっているのではないかと思います。

2007年上半期のデータとして、興味深いのはマルウェアのタイプとしてダウンロード型が劇的に増加している点です。

従来のウイルス・ワームやBotがメール等にそのまま添付されてくるのに対して、添付は、ダウンローダーのみであり、その後に攻撃者の意図したマルウェア本体が侵入したダウンローダーにより外部より取得され、インストールされるわけです。
そのため、ダウンローダーとダウンロードされたマルウェアの両面に対処する必要があります。
私見ですが、攻撃者側が今まで以上に組織的で戦略的に攻撃を仕掛けているように思います。これに対して、企業のITシステムを個々のPCではなく、一つの大きな塊として企業全体を見通して継続的にリスクを集中管理できているのか、不安に感じることがあります。

ちなみに、要約版ではない、完全版は 92 ページあり、最初は英語版のみのていきょうとなります。完全版の日本語版については、時期も含めて検討しています。

日本のセキュリティチーム (Japan Security Team) : Bot

セキュリティ インテリジェンス レポート 第7版(2009年上半期)

2009年7月のセキュリティ情報

無償マルウェア対策ソフト: Microsoft Security Essentials (Morro)

2009年6月のセキュリティ情報

Internet Explorerのセキュリティ更新プログラム提供開始

Internet Explorerの更新の事前通知

ワームとMS08-067

セキュリティに関する 10 の鉄則

マルウェア対策研究人材育成ワークショップ 2008

Microsoft Updateと再起動とネットワーク

日本は安全か？ - Security intelligence Report Vol4

2008年6月のセキュリティリリース

2008年5月のセキュリティリリース予定

VB100% Award 受賞

セキュリティ インテリジェンス レポート 第3版を公開

セキュリティインテリジェンスレポート第7版(2009年上半期)

セキュリティインテリジェンスレポート第3版を公開