このような攻撃が登場したことから、自組織のセキュリティ対策だけで外部からの攻撃を完全に防ぐことが更に困難になっています。一般的に、信頼されている提供元からのソフトウェアであれば、改ざんの有無を疑うことはあまり無いものと考えられます。して一度サプライチェーンの中で改ざんが行われてしまうと、多くのセキュリティ対策の仕組みでは検知することが困難であり、攻撃を完全に防ぐことができません。外部から新しい製品や更新プログラムを導入する場合、製品仕様の確認や組織のポリシーに応じた事前検証を行うことが多くあります。これは、仕様に存在しない動作の有無を確認するといった、導入前の動作検証などを指します。信頼できる提供元からの製品であっても、このようなチェックを徹底することで、不正なプログラムの侵入を防げる可能性が高まります。万が一侵害されてしまった場合のリスク軽減の方法として、定期的なシステム内の健全性の確認が効果的です。この中で、被害の回避、低減のため重点的に点検するべき項目が挙げられています。(1)利用製品(プラグインなど追加の拡張機能も含む)のバージョンが最新であることの確認(2)Webサーバ上のファイルの確認(3)Webアプリケーションのセキュリティ診断(4)ログインIDとパスワードの確認この内、「(2)Webサーバ上のファイルの確認」はあらかじめ記録しておいたファイルのメタ情報(ファイル名、サイズ、更新日時、ハッシュ値など)やバックアップなどと現在のファイルを比較することで、意図しないファイルの変更や追加、削除が行われていないかを確認するものです。新しい機能の導入時及びシステム更新時だけでなく、導入後もシステム内を定期的に確認することで、改ざんの早期発見に繋がる可能性があります。Webサイトが侵害されてしまった際の被害を低減する効果も期待できます。国内ではまだMagecartによるWebサイトの改ざんや情報漏えいの事例は報告されていません。これまでに確認されたWebサイトの改ざん及び情報窃取の手法は国内のECサイトでも悪用可能なものです。国内のECサイトが攻撃対象になった場合、海外の事例と同様に被害を受ける可能性があります。Webサイトの改ざんに対する対策は特別なものではなく、一般に公開されている方法でのセキュリティ対策と運用、及びそれらの継続的な見直しを行うことです。基本的なセキュリティ対策を確実に実施することで、このような被害の多くは防ぐことができます。Support、LTS)版となりました。LTSとは、標準のサポート期間に比べてサポート期間が長いことを指し、オープンソースソフトウェアのサポート期間として規定されることが一般的です。Support(STS)と呼ぶ場合もあります。JavaのSTSは6ヵ月とされていますが、LTSは5年以上となっています。Branch(LTSB)と呼ばれるサポート期間がLTSであるバージョンが提供されています。LTSBは安定して長期間稼働させることを目的として作られており、アップデート時もセキュリティパッチが提供され、新機能は提供されないなどの特徴があります。LTSはサポート期間が長いため、安定して長期間稼働することが必要なサーバなどの用途に適していると言えます。一方で、STSはサポート期間が短く、安全性を保つためにはなるべくバージョンを追従する必要があります。頻繁にアップデートが行われることから、互換性の問題によって他のソフトウェアとの整合性が保てなくなるまでの期間が短くなる傾向があります。その反面、そのソフトウェアの最新機能を利用できるといった長所もあり、STSのソフトウェアが適しているケースもあると考えられます。利用するソフトウェアのバージョンは、サポート期間も考慮の上でご検討ください。80/tcpを利用したSYN/ACKリフレクション攻撃9月26日に単一の送信元から80/tcpへのアクセスが急増したことをIIJマネージドファイアウォールサービスで確認しました。この通信の送信元IPアドレスは偽装されていることを確認しています。偽装された送信元IPアドレスにおける80/tcp宛の通信は、9月26日の4時35分ごろから11時45分までの約7時間発生していました。日常的に観測している80/tcp宛の通信回数を上回る量であることがわかります。上図では、通信量ではなく通信回数を表している点にご注意ください。この通信はDoS/DDoS攻撃の試みで増加したものであり、SOCで観測した通信は攻撃の一部であると推測しています。Flood攻撃の場合、防御側としては比較的容易に攻撃を防ぐことができます。Flood攻撃ではなく、インターネット上に80/tcpを公開しているサーバを利用したSYN/ACKリフレクション攻撃であると考えています。今回のようにSYNパケットを送信する送信元IPアドレスが偽装されている場合、偽装されたIPアドレスにSYN/ACKパケットが返送されます。この攻撃は、返送パケットの容量を増幅させて回線の帯域を埋めるAmplification攻撃ではありません。偽装されたIPアドレスに届いたSYN/ACKパケットは通常破棄されますが、破棄するためにマシンリソースを利用するため、破棄しなければならないSYN/ACKパケットの量が多ければその処理にかけるマシンリソースも比例して増加します。その結果、マシンリソースが枯渇してしまう可能性があります。Flood攻撃を仕掛けるものではありません。Flood攻撃が成立してしまう可能性があります。よって、偽装された側から見るとインターネット上に80/tcpを公開しているサーバが攻撃元となり、サーバ側から見ると偽装されたIPアドレス利用者が攻撃元に見えます。インターネット上にサーバを公開している管理者における、この攻撃に対して抜本的な解決策はなく、通信相手となっているIPアドレス利用者と連絡を取り合うことやISPと連携しながら対応を行うことが必要です。当月より「ソフトウェアのリリース」を主題とするイベントは別表として掲載しています。そのソフトウェアに関するインシデントがあった場合は、インシデントとして掲載しています。仮想通貨Monacoinのウォレットサービス事業者は、外部からの攻撃により、同事業者のサーバ上にあるホットウォレット内すべてのMonacoinが盗難されたことを公表した。同サービスの全残高の50%以上はコールドウォレットで保管しており、コールドウォレット内のMonacoinについては影響がないとのこと。その後、同社の追加報告により、原因は高負荷時におけるギフトコード機能の不備を利用した悪意ある攻撃によるものであったことが公表された。攻撃者が外部受け取り機能(ログインせずにギフトコードを受け取れる機能)でギフトコードを受け取る際、高い頻度でリクエストを実施したことで、一つのギフトコードに対し複数回の送金が行われてしまっていたとのこと。Chromeブラウザ向け拡張機能MEGAの最新バージョンにトロイの木馬が含まれていることを公表した。該当のバージョン3.39.4は攻撃者によってアップロードされたとみられている。該当のバージョンを使用した場合、Webサイトの資格情報がウクライナのサーバへ送信されるとのこと。該当のバージョンは現在削除され、トロイのの木馬が取り除かれたバージョン3.39.5が公開されている。Airwaysは、同社Webサイト及びモバイルアプリケーションから顧客のクレジットカードまたはデビットカードの情報が流出したことを公表した。旅行履歴やパスポートに関する情報は含まれていなかったとのこと。JPCERT/CCは、2018年7月より仮想通貨を要求する脅迫メールが出回っていると注意喚起を行った。メール本文にメール受信者が実際に使用しているパスワードがされている場合があるとのこと。Updates(ESU)を2023年1月まで提供することを公表した。Enterpriseとなる。停止したことを公表した。同機能ではユーザの位置情報及びIPアドレスを収集し、QRコード作成者に提供していたとのこと。Scannerの名称で検出した通信を多く観測した。当月は18日、20日、24日、25日、26日にも検出件数の増加が確認でき、これらは同一IPアドレスからのスキャンであることが確認できている。Store上にて同社が提供していたmacOS向けアプリケーションが、インストール時に過去24時間のブラウザの閲覧履歴をアップロードしていたと公表した。Services(AWS)上に構築されたホストにアップロードされたとしている。Intel社は、Intel製CPUのデータ保護に使われている暗号化の仕組みに存在する脆弱性を緩和するパッチを公開した。データの保存に使用されているメモリーファイルシステム(MFS)の暗号鍵4種のうち2種が入手可能となる方法が発見されたことにより、MFSの状態を操作され、重要な情報を抽出される恐れがあるとのこと。IIJマネージドIPS/IDSサービスで全体的に攻撃の検出件数が増加した。18日にも同様の傾向がある。スマートフォン向けゲームを運営する会社は、9/14から9/17の間、運用中のスマートフォン向けゲーム「宮廷女官」において不正アクセスがあったことを公表した。不正アクセスによる個人情報やカード情報の流出は確認されていないとのこと。国内情報通信業者は、同社が運営する仮想通貨取引所が不正アクセスを受け、約67億円の被害を受けていることを公表した。Monitorをリリースした。メールアドレスを入力することで過去の情報漏えい情報を照会し、漏えいの有無やどのような情報が流出したかの確認が可能となっている。IIJマネージドファイアウォールサービスで単一の送信元から80/tcpへのアクセスが急増したことを観測した。この送信元IPアドレスからの通信は9月26日の4時35分ごろから11時45分までの約7時間継続していた。送信元IPアドレスは偽装されたものであり、DoS/DDoS攻撃の試みで増加したものであると考えられる。大手通信キャリアは、iPhone/Android向けアプリケーション「+メッセージ」において情報窃取の恐れがある脆弱性が存在することを公表した。悪意をもって設置されたWi-Fiアクセスポイントに接続した場合、メッセージ情報などを窃取される恐れがある。3キャリアともこの脆弱性に対処する修正版ソフトウェアを公開している。Facebook社は、同社が運営するSNSサービスの脆弱性を悪用され約5,000万人のユーザのアクセストークンが流出したことを公表した。アクセストークンはユーザのログイン状態を保持するために使用され、これを用いることで攻撃者は認証情報の入力なしでユーザのアカウント情報にアクセス可能となる。静岡県島田市は、農林課が業務上使用を禁止されているフリーメールを業務に使用して、不正アクセスを受けていたことを公表した。9/26現在、不正アクセスにより2,446件の個人情報が流出した可能性がある。「インターネットフリーメールへの不正アクセスによる個人情報の漏えいの可能性について」https://www.city.shimada.shizuoka.jp/kouhou/freemail.htmlソフトウェアリリース情報ここでは、不具合や脆弱性などの修正が行われたソフトウェアのリリース情報について示します。69.0.3497.81が公開された。境界外メモリ参照/書き込みなど、計40件の脆弱性が修正された。本バージョンより、HTTPSを利用したWebサイトについては、アドレスバーの鍵マークが灰色になり、「保護された通信」の文字が表示されなくなった。HTTP利用したWebサイトについては、引き続き「保護されていない通信」の文字が灰色で表示される。Systems社は、同社が提供する複数ソフトウェアの脆弱性に対応する更新版ソフトウェアを公開した。これにより、Web管理インターフェイス内のディレクトリトラバーサルの脆弱性(CVE-2018-0421)などが解消された。これにより、メモリ処理の問題に起因する任意のコード実行など、重大度criticalを含む9件の脆弱性が解消された。31.0.0.108を公表した。TLS1.3に対応したOpenSSL1.1.1が公表された。TLS1.3については前月の観測レポートを参照。Microsoft社は、2018年9月のセキュリティ更新プログラムを公表した。この更新プログラムにより、任意のコードが実行可能となる脆弱性など、複数の脆弱性が修正された。7.2.10を公表した。Apple社は、同社が提供するOSやWebブラウザのセキュリティ更新プログラムを公開した。これにより、Webブラウザ上で自動補完されたデータが悪意あるWebサイトに窃取される可能性がある脆弱性など、複数の脆弱性が修正された。DCに関する複数の脆弱性(CVE-2018-12775、CVE-2018-12778、CVE-2018-12801、CVE-2018-12840、CVE-2018-12848、CVE-2018-12849、CVE-2018-12850)を修正する更新プログラムを公表した。10.14のセキュリティコンテンツにおいてサンドボックス化されたプロセスがサンドボックスの制約を回避できる可能性がある脆弱性(CVE-2018-4353)など、8件の脆弱性を修正する更新プログラムを公表した。XEソフトウェアの定例更新において、複数製品の更新版ソフトウェアを公開した。これにより、OSPFv3実装の脆弱性により、認証されていない隣接した攻撃者がデバイスをリロードし、サービス拒否(DoS)状態を引き起こすことが可能な脆弱性(CVE-2018-0466)などが修正された。