ご参加いただきまして、誠にありがとうございました。日々発生するサイバー攻撃は、刻々と変化しており、そのようなインシデントの分析・対応を行う技術者もそれに応じてスキルアップが求められています。一方で、このような技術や知見は国内において共有される場が多くない現状において、日本国内のセキュリティアナリストの底上げ行うためには、国内のセキュリティアナリスト同士が共有し、日本全体でサイバー攻撃に対抗する必要があると考えます。Conference」(JSAC)を開催します。450名ご好評をいただき300席が満席となりましたので、席数を増やしました。申込方法お申し込みありがとうございました。※満席のため参加受付を終了いたしました。事前のご登録無く当日の受付はお受けできません。※プログラムは都合により変更になる場合があります。経て、2016年3月から現職。現在は、マルウェアに関連した最新のサイバー攻撃の調査・研究を行うと共に、日本国内で発生したインシデント対応および関連するマルウェアの解析業務に従事している。プログラム委員他、セキュリティ・キャンプ全国大会講師などを務める。私は如何にして心配するのを止めて暗号を解読するようになったか近年のマルウェアは当然のように通信や各種データを暗号化・符号化している。そんなマルウェアを解析していると、いくつかのマルウェア(特に標的型攻撃で使われるような限定的な範囲でしか使用されないマルウェア)において暗号処理の実装不備のようなものを目にすることがある。呼ばれるマルウェアの暗号処理の詳細解析を行い発見した、マルウェア作成者が暗号を理解しているのか理解していないのか分からない、そんな一面を紹介すると共に、その暗号処理を用いた各種データを復号しインシデント対応に役立てる方法を紹介する。国内セキュリティ系ベンチャー、国内大手SI子会社を経て、2014年5月にIIJ入社。デジタルフォレンジックを中心に技術調査のほか、インシデントレスポンスや社内の技術力向上に努める。スピーカーおよびトレーニング講師。Service(VSS)とはWindowsに標準で搭載されているバックアップ機能である。VSSを使用するとストレージのボリューム単位でスナップショットを作成することができる。ユーザはスナップショットを参照することでスナップショット作成時のディスクのコンテンツにアクセスすることができるため、削除されたファイルや改ざんが行われる前のファイルにもアクセスすることが可能となる。このような特性からスナップショットはディスクフォレンジックにおいて、攻撃者が作成したファイル(攻撃ツールや一時的なアーカイブファイルなど)を復元・解析するための重要なデータとなる。近年では攻撃者やマルウェア作成者もその重要性を認識しており、侵入時や感染時にすべてのスナップショットを削除してしまう事例が発生している。通常、スナップショットは削除されるとアクセスする術がなくなってしまうが、関連データを復元または再構築することでスナップショット内のデータにアクセスできる可能性がある。削除されたスナップショットにアクセスできれば、今まで利用できなかったデータを有用な情報源として活用することができる。本講演では削除されたスナップショットデータへのアクセスの可能性を検討し、実装したツールの紹介と動作デモも行う。通信会社でのCSIRT業務をきっかけにデジタルフォレンジックの調査、研究に取り組むようになり、2014年より現職。現在はインシデント被害PCのフォレンジック調査、ツール開発、トレーニング講師等を務めている。KaniVolaなどがある。講演タイトル:USNジャーナル解析の追求インシデントの発生原因や被害状況を明らかにすることを目的として、攻撃被害にあったエンドポイントのフォレンジック調査を実施するという選択肢があります。PowerShellを活用したマルウェアの台頭や、マルウェアによってはイベントログ等のデータを消去する処理も組み込まれるようになってきており、ディスクに対するフォレンジック調査はこれまで以上に困難になってきているといえます。そのような状況において、フォレンジック調査担当者は、解析ツールの処理結果を盲信せず、必要な情報を見落としなく拾い上げることが求められます。Journal)に焦点をあてて、調査に有益な情報をどのように集め、そして扱うべきか検討した結果を共有します。USNジャーナルはファイルシステムの内部データとして存在し、ファイルシステムレベルで見た際のデータ保存方法に特徴があります。2017年になってからは一部のランサムウェアにおいて、Windows標準コマンドを用いてUSNジャーナルの削除処理を実行するような挙動が組み込まれています。そのため、USNジャーナルを調査、解析する際にはこれらの点を考慮して扱う必要があります。USNジャーナルの構造自体はシンプルであり、いわゆるパーサと呼ばれるツールは無償、有償を含め多数存在します。単純なパーサの実行結果では結果が大量になり、調査に時間がかかる、もしくは重要な情報を見落とす要因となります。パーサ後の結果を読みやすくする試みとして、一部のツールや手法が出てきています。本講演でそれらの現状を紹介するとともに、実際のインシデント調査から得られたノウハウに基づく解析方法を紹介します。Kitに興味を持ち、チームnao_secを結成。