LINE2019.08.13今回は以下のニュースを見かけて、多少に気になったので記事にしていきます。ウェブメールなど標的になお、内容については個人的な見解も入りますので認識に相違がある可能性がございますので、予めご了承ください。ニュースの概要オーストラリアサイバーセキュリティセンター(ACSC)は、大規模なパスワードスプレー攻撃が展開されているとして注意を呼びかけた。同センターによると、オーストラリア国内の組織に対する大規模なパスワードスプレー攻撃が展開されているという。Directoryフェデレーションサービス(ADFS)」などが標的となっていた。同国外に対する攻撃状況については言及していないが、国をまたがって攻撃が展開されている可能性もあり、注意が必要だ。今回「パスワードスプレー攻撃」という単語が出てきましたね。こちらは「ブルートフォース攻撃」の一種とのことです。ちなみにこういった攻撃手法はIPA試験の午前1や午前2で出題されやすいものですので、ちゃんと覚えておくと資格試験にも役に立つかも!ちなみに「総当たり」や「辞書」、「リスト型」といったものもあります。簡単にそれぞれ解説しますので、覚えておくと助かる時がくるかもしれません。あれば、0000から9999までを片っ端から試す方法となり、この場合であれば1万通りしかないので機械にやらせれば一瞬で解いてくれる。文字の長さが増えれば増えるほど指数的(比例じゃないですよ!)に増えていくので、文字列が長いほどクラッキングに物凄い時間がかかる。一つのIDに対して膨大な量の試行を行う。古い情報ですがIPAより以下の表が出ていました。ちなみにWebアプリケーション等ではあまり見かけない攻撃手法ですね。ZIPファイルなどの暗号化されたファイルを複合化するのには用いられると思いますが、実際のサーバに対してはアクセス数が物凄く増えますので見つかりやすいです。人が特に意識せずに決めるパスワードの場合、ワンパターンな事が多いために、良く使われるパスワードを「辞書」としてに登録しておき、パスワードクラッキング攻撃に利用する攻撃。有名どころのミドルウェアやアプリケーションのデフォルトパスワード等も辞書登録されている場合も多い。使用する辞書によるが一つのIDに対してかなりの試行を行う。ペネトレーションテストなどを行う際に実際にやったりする手法ですね。攻撃者も同じように攻撃してくる可能性がありますので注意してください。自分の管理するサーバが心配な方はKaliLinuxだとhydra等で試してみることができますね。攻撃者が何らかの方法で事前に入手したIDとパスワードのリストを使用し、自動的に入力するプログラムなどを用いて、ログイン機能を持つインターネットサービスにログインを試みる攻撃手法パスワードを使いまわしていた場合、いくら長いパスワードを設定していても攻撃者に取得されてしまっていたら認証を突破できてしまう。一つのIDに対しての試行は多くない。この攻撃は非常によく聞く攻撃です。7iDパスワードを一斉リセット他にもたくさんあります。氏名や住所、身体のサイズなど流出IPAに分かり易い図がありまたので紹介します。(流石IPA、感謝!)攻撃で使用するリストは他サーバ取得したものや販売されているもの等、色々なパターンがあります。内容については以下を読んだうえで記載しています。Spraying通常のパスワードクラッキングは特定のID(リスト型のように仕入れたIDも含む)に対してパスワードを特定して認証を突破しようとする。パスワードスプレー攻撃については特定のよく使用されるパスワード(例だと「Password1」や「Summer2017」)を使用しているユーザを特定する手法。よって値の変更はパスワードではなくIDを変更して試行する。一通りIDを確認し終わったら次のパスワードの値で試行といった具合に試行していく。アカウントロック等の回避も想定されており、時間間隔を数分から数十分に設定してゆっくりと攻撃を行ったりすることから「low-and-slow攻撃」とも言われる。時間は非常にかかりますが、攻撃者は複数のサービスに対して同時(並列)に攻撃を行うため、時間当たりだとそれなりの数の試行をすることができるみたいですね。この攻撃手法だと管理者側も攻撃に気付かない可能性も多いとのことです。サイトではGitも公開されているみたいなので、今度使用してみようかなと。(悪さをするわけではないですよ。)パスワードスプレー攻撃の対策ユーザ側での対策としては以下の二点が重要です。・パスワードの使い回しはしない・簡単なパスワード「passw0rd」等ではなく、ランダムなパスワードを使用するパスワードスプレー攻撃にだけではなく、どこでも言われている内容かと思いますが効果的な対策ですね。サイト側については色々ありますが、効果的なのは「多要素認証」ではないでしょうか。Authenticator」のような物を使用するなどすることで、パスワードが突破されてしまった場合の最後の砦として活用できる可能性があります。(追加で実装する場合は大変そうですが・・・)また、攻撃手法の研究を行い、検知パターンの改良を行うことも重要かと思います。(一定期間にどんな振る舞いをしているかをチェックし、攻撃か否かを判断する等。)守る側としては非常に大変だとは思いますが、攻撃側が常に狙っているということを意識してやっていかないといけないですね。不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。LINEtokoroten0813をフォローするtokoroten0813猫とセキュリティ関連記事ニュース攻撃の対処要否を自動判断するための学習データ生成技術を開発のニュースについて最近に始まったことではないですが、機械学習は最近物凄い人気ですよね。私の知り合いでも機械学習を脆弱性診断に取り入れられないかを研究している人がいますね。Learning)を使用して何かをしようとしたりしてる人もきっといますよね。2019.01.29ニュース中堅企業「情シス」、4割弱が1人以下!?今回は以下のニュースについて記事にしていきます。前年から7ポイント増先日CISMのカンファレンスに行ったこともあり色々刺激を受けたので、その内容のフィードバックも兼ねたいなーと考えています。2019.02.23ニュースセキュリティの人材マッチングサービスのニュースについて12月になりましたが、皆様いかがお過ごしでしょうか。年末はセキュリティ業界だけではなく、どこの業界も忙しい時期かと思います。私も、先日に子供が産まれたばかりですが、忙しさを感じています。今回はGSXという会社が始める新しいサービスについて記事にしていきます。Server2008のサポートが終了します。今回はその啓発も兼ねて記事にしていきます。記事の内容については個人的見解も含まれていますので、予めご了承ください。2019.01.21ニュース車載ネットワークのハッキングコンテストで日本人優勝のニュースセキュリティのニュースや記事についてはいつも複数のサイトを追っているのですが、その中でも気になった記事を紹介します。26」で行われた暗号化車載ネットワークのハッキングコンテストで優勝した際の記事が中々面白かったので紹介します。2018.08.24ニュース世界で68%の企業がサイバー攻撃被害を経験-日本は24%ってどうなの?そろそろ平成も終わりが見えてきましたね。皆様令和対応でお忙しいところでしょうか?今回は「世界で68%の企業がサイバー攻撃被害を経験」というニュースを取り上げます。興味深い内容でしたので、興味がある方は読んでいってくれると幸いです。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。