趣味の範囲でサイバーセキュリティの話この広告は、90日以上更新していないブログに表示しています。2017に参加してきました。備忘録的に興味深かった内容をさらっと書いておこうかと思います。理解できていない部分もあるので、間違っている可能性もあるとご理解ください。基調講演:サイバースペースにおける国家主権サイバー犯罪と国家の主権に関する話。書いていたメモが消えたので、感想だけ軽く......。サイバー戦略および政策に関して企業として組織に助言しているとのこと。陸・海・空の軍事関係にサイバー空間を足してどう対応していくべきかを考える。原子力潜水艦や船舶、衛星などの実際の攻撃事例が面白かった。様々な課題がありますが、協力していきましょうというのはよくある国際社会とサイバー犯罪に関する講演の結論です。今回も教育や学習という面でこのカンファレンスを通じて理解を深めましょうといった内容で、最初の基調講演としてはふさわしい内容だったのではないでしょうか。講演者の坂井弘亮氏は独自組み込みOS「KOZOS」を作成している。それと、SECCONの実行委員の方。Programming)という方法で攻撃ができる(一般的な名称ではない?)組み込み機器ではRSPプロトコルを使ってリモートデバッグを行う組み込みのデバッグではプログラムカウンタを簡単にいじれるので、ROPのように既存のコードを使ったコード実行が容易SECCONでSOPを利用して解く問題を出したところ、みんなSOPを利用して問題を解いていたので、この手法自体は誰もが簡単に思いつくものである技術的な内容は難しかったですが、SECCONの問題の解説はなかなか面白かったです。実際にリモートデバッグを使ったコード実行のデモを行っていたので、漠然と何をやっているのかは理解できました。する人たちからしたら、今回の攻撃の手法はROPからすぐに思いつくのかなあという感想。いうマルウェアはとても多機能で、後からモジュールをロードできる攻撃者は多数のモジュールを用意し、攻撃対象に合わせたモジュールをロードし、目的を達成する結局のところ、狙われているのはWindowsであり、今回の解析対象もWindowsマルウェアでした。質疑で日本も標的になりうるかとい質問に、個別システムのモジュールを攻撃者が用意することができれば、どんなシステムも標的になりうるという点が印象深かった。APT攻撃インシデントSTIXデータベースJPCERTの方の発表。対象STIX形式で各内容まとめてみると、攻撃者の動向が把握できる各キャンペーンの活動時期をTimelineとして並べるデモを行ったただ、標的型攻撃のインシデント詳細をそこまで大量に持っているのはJPCERTくらいじゃないかと思う。問題提起がそもそもJPCERTの内部の問題なんじゃ......。JPCERTの持っている情報も機微なものが含まれるので、そのまま公開はできないとのこと。手軽な情報共有の基盤を作ったのなら分かるが、STIX形式の入力は現状「頑張って」やっているそうで、頑張らなきゃ使えないシステムは普及しないのでは......。JPCERT以外の組織での利用シーンはあまり思いつかないのが正直なところ。マルウェアの挙動なんかは面白かったので、もう少し掘り下げてほしかったけど、そこは次の講演者の発表で。-行動パターンに基づく横断的侵害の把握と調査-引き続きJPCERTの方の発表。イベントログの削除(イベントログを見ることもできるので、他の用途でも利用される)こうしたマルウェアの挙動を見るにはイベントログがもっとも有用ただし、デフォルトではコマンドの内容までは取れないので、監査ポリシーの設定は必要Sysmonというツールを併用するとよい攻撃者によってイベントログが削除されることを考えて、イベントログサスクリプションを利用するさすが、JPCERTは見ている量が違うなと。やっているその内容も逐次公開してくれているので、ありがたい限りです。ほとんどはJPCERTのサイトで公開している内容ですが、こうして改めて話を聞く機会があるのはとてもうれしい。v5のみという制約があり、また、ASMIをバイパスする手段も存在する.NETネイティブコードをフックして対象外のWindows、Powershellのバージョンで動作するASMIを実装するPowershellコードの実行時のメソッドをフックすることで、難読化されたスクリプトを解除した状態で表示できるスライド、実際のコードは公開されています。ASMIという機構については知らなかったので、勉強になりました。Powershellは最近攻撃によく利用されるので、勉強しなくちゃならないなーと。Teamに所属する西村宗晃氏の講話。国産IT資産管理ソフトウェアと聞くと、最近注意喚起のあった某社製品を思い浮かべますが、今回の話はそれではなく、(その事例に端を発してはいますが、)国産IT資産管理ソフトウェア一般に色々な脆弱性がありますという内容。IT資産管理ソフトウェアとは社員のPCを一元管理するためのソフトウェアソフトウェアファイルの管理、デバイスの利用制限、プログラムの配布(アップデート配信)、社員のPCの遠隔操作といった機能と持つ(話者曰く、つまりMeterpreterみたいなもの)通常、社内のイントラ内で利用しているが、持ち出し用のPCでUSBタイプのモデムを使うなど、グローバルIPが振られたときに攻撃される恐れがある。管理機通信の偽装クライアントPCと管理機は暗号化された独自プロトコルを利用して通信しているが、暗号化通信の鍵がインストーラに埋め込まれており、復号可能。復号した通信に管理機のドメインとポートが書いてあり、そこを書き換えることで管理機を偽装することができた。鍵は全て共通のものを利用しており、製品を利用している他社のPCにも同じことができる。クライアントPCの遠隔操作クライアントPCとVNCで接続するタイプのソフトウェアだが、認証がかけられていなかった。試したところ、特定のバージョンのVNCで接続すると、簡単にリモート接続ができてしまった。管理機へ認証なしでアクセスが可能だった。管理機にSQLインジェクションの脆弱性があり、社員のPCの情報をすべて見ることができるようになっていた。CryptAPIを利用しており、APIをフックするといった手法で暗号が解かれることがある。一度暗号化を解いてしまうと、SQLインジェクションや管理者のパスワードを窃取されるなどの攻撃が行われる。管理機に社員番号のディレクトリが作成されるようなタイプのソフトウェアでは、社員番号にディレクトリパスを指定することでディレクトリトラバーサルが可能な事例も存在した。したソフトウェアは体験版を個人で取り寄せることも可能で、おそらく攻撃者もそうやって脆弱性を探している例のソフトウェアの脆弱性の話をするのかと思っていましたが、予想とは違っていました。面白い内容で、こういうソフトウェアって意外と脆弱性多いんだな、と率直に思いました。別にIT資産管理ソフトウェアだけでなく、他の国産ソフトウェアもきっと似たような事例はあるんじゃないかと思っています。特定の国を狙った標的型攻撃にその国でよく利用されていているソフトウェアをハックする方法は以前からありますし、最近は特に増えている気もします。Teamの活動の重要性が分かりました。各社の公開資料や自動車のリバースエンジニアリング(OpenDBC)から自動車を運転するためのAPIを作る運転に必要なAPI:ブレーキ、ガス、ステアリングを既存APIをもとに組み立てるcabana:自動車のハッキングのためのオープンソースのPythonライブラリopenpilotのデモwww.youtube.com主に自動運転の話でしたが、リバースエンジニアリングや、自動車のAPIなど、普段聞かない話は面白かったです。法整備や国ごとの特色など、課題は多そうですが、自動運転は未来の技術として期待したいです。日本の国内外問わず、セキュリティに関するさまざまなトピックを聞くことができました。普段聞かない領域の話も多くあり、とても勉強になりました。今回は特に日本の事例が面白かったです。色々なセキュリティの記事やニュースを見ていると国外のすごい人は色々いますが、国内にもすごい人はいるなあ、と感じました。これからもセキュリティ業界をますます発展させていきたいですね。CTF2週間連続でCTFに参加しましたので、まとめて記事にします。Go...2017-05-27野生のWannaCryを捕まえたい話題になったWannaCryに関するお話です。脆弱性(CVE-2018-2894)についてXdebugとNetBeansを使ったDrupalのデバッグ環境をdocker-composeのみで立てる月別アーカイブはてなブログをはじめよう!blueBLUEさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。