Signal(ウィズセーフセキュリティシグナル)」を本日より開設いたします。Diary」においてセキュリティに関する情報を発信してきました。それぞれ、特定の事象に関する詳細な調査研究結果、ハニーポットやクローラーなどの独自の観測結果を基にした情報を提供しています。Signalでは、IIJの提供するセキュリティ事業「wizSafe」において取り扱う、実際の攻撃や事案が発生している場所における観測情報や、それらの分析結果を基にした情報発信を行います。従来よりも広範で網羅的な情報を基にしていることから、お客様のICT環境においても即応性の高い情報を提供することが可能となります。分析対象となる情報の範囲は、セキュリティ事業「wizSafe」の中核である情報分析基盤の活用が進むとともに、今後も拡大していく予定です。Webにおける情報提供に注力することで、今日の脅威となっている事象に対して、即応性の高い情報を提供できるものと考えています。Signal」という名に、お客様のセキュリティ対策に役立てていただきたいという思いを込めて情報を公開して参りますので、今後もご参照いただければ幸いです。観測レポートサマリー9月18日は満州事変の発端となった柳条湖事件が起こった日であることから、この前後の期間において日中間で攻撃が発生しやすい期間としてよく知られています。過去にはDDoS攻撃等のセキュリティインシデントが発生していましたが、ここ数年はあまり大きな動きはなく、今年も目立った攻撃はありませんでした。一方で、9月14日ごろから9月25日ごろにかけてFXや仮想通貨の取引所Webサイトに対して断続的にDDoS攻撃が発生していました。一連の攻撃の中には、攻撃の発生中に脅迫メールを受け取っていた場合があることがわかっていますが、実際にどの攻撃グループによって引き起こされたものであるか明確ではありません。外部からの攻撃については、継続してサーバへの脆弱性スキャン行為を数多く観測していますが、そのほとんどが、古い脆弱性に関する調査行為でした。これは、現在もシステム設定に不備があったり、脆弱なソフトウェアを利用し続けていたり、最新の脆弱性でなくても攻撃者の目的を満たすことができるためであると考えられます。電子メールの利用においては、継続して日本語メールによるばらまき型攻撃が発生しています。その多くはマイクロソフト社のOfficeドキュメントに不正なコードが埋め込まれたものです。2017年9月はソフトウェアの脆弱性を悪用した情報漏えい事件が複数明らかになりました。2の脆弱性を悪用され、大規模な被害が出た事例もあります。ご使用中のソフトウェアについては、深刻な影響を及ぼす脆弱性へ確実に対応していることをご確認ください。DDoS攻撃の観測情報2017年9月にIIJでは、1日あたり19.16件のDDoS攻撃を観測しており、最も大規模な攻撃は12.06Gbpsでした。例年、9月は満州事変の開始日となる9月18日などがあることから、IIJではDDoS攻撃に対して警戒態勢を敷いていますが、今年は関連するDDoS攻撃は観測されませんでした。一方で、FXや仮想通貨を取り扱うWebサイトに対して、9月14日から9月25日ごろにかけて断続的にDDoS攻撃が発生していました。Floodを用いて、数Gbps規模の攻撃を行っていました。攻撃の観測データDDoS攻撃には、回線容量に対する攻撃、サーバリソースに対する攻撃など多くの攻撃手法が存在し、攻撃対象となった環境の規模によって、その影響度合いが異なります。DDoS攻撃は、攻撃者にとって容易に行えるものであるため、一般の企業に対しても日常的に攻撃が発生するようになっています。IIJではIIJマネージドセキュリティサービスやバックボーンなどでDDoS攻撃に対処しています。DDoSプロテクションサービスで検出した2017年9月のDDoS攻撃を取りまとめました。今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は575件であり、1日あたりの件数は19.16件となっています。今回の対象期間で観測された中で最も大規模な攻撃は、最大328万ppsのパケットによって12.06Gbpsの通信量を発生させました。Amplificationによるものでした。以下は、今回の対象期間で検出したDDoS攻撃の検出件数を示したものです。攻撃の継続時間は、30分未満が85.56%、30分以上24時間未満が14.26%、24時間以上が0.17%でした。今回最も長く継続した攻撃は、46時間57分にわたるもので、この攻撃は主にICMPプロトコルを利用したものでした。以下は、今回の対象期間で検出したDDoS攻撃の攻撃継続時間の割合を示したものです。対象期間で観測されたDDoS攻撃について攻撃開始時間(日本時間)での時刻分布で確認したところ、夜間帯と比較して日中のビジネス時間帯に攻撃が多く、朝7時から攻撃件数が増えていることがわかりました。日中のビジネス時間帯にDDoS攻撃を行うことで、ビジネスへの影響が大きくなることを狙ったものと考えられます。以下は、今回の対象期間で検出したDDoS攻撃の攻撃開始時間の分布を示したものです。2の脆弱性を悪用する攻撃を多数観測しました。2の新しい脆弱性(CVE-2017-9805など)が9月5日に公開されたことに関連した攻撃だと考えられます。インターネット上には古いソフトウェアを更新しておらず、脆弱性に対処していないサーバが多数存在するため、攻撃者は新しい脆弱性を利用しなくても、容易に侵入することができます。攻撃者は、日常的にこのような容易に侵入できるサーバを調査しており、IIJでもソフトウェアの脆弱性を調査するスキャン行為を観測しています。攻撃の観測データインターネット上では、Webサーバに対するSQLインジェクション攻撃、セキュリティ境界を越えようとする不正侵入の試み、特定のソフトウェアの脆弱性を対象としたスキャンなど様々な攻撃が日常的に発生しています。IIJでは日常的にこれらの攻撃を防御、検出しています。IIJマネージドセキュリティサービスのうち、IIJマネージドIPS/IDSサービス、IIJマネージドファイアウォールサービスで検出した2017年9月の攻撃を取りまとめました。今回の対象期間における不正侵入攻撃のピークは9月15日で、日常的に攻撃が発生していることを観測しています。以下は、今回の対象期間で検出した、1サイトあたりの攻撃の検出件数を示したものです。Scanner”は、直接侵入を試みる攻撃ではなく、脆弱性スキャンによる調査行為と考えています。Execution”は、2017年9月にもこの攻撃による大規模な情報漏えい事件が発生しています。以下は、今回の対象期間で検出した攻撃種別トップ10の割合を示したものです。各攻撃の内容は、以下の通りです。送信元の国別で集計したところ、日付により送信元の国に特徴があることがわかりました。送信元が中国(CN)からの攻撃については、9月中旬から下旬に検知件数が増加しています。2の脆弱性を狙った攻撃でした。例年この時期は日中間の関係による攻撃の増加が見込まれますが、脆弱性スキャンは時期に関係なく日常的に発生しているものです。次に、送信元がフランス(FR)からの攻撃については、9月12日、13日に脆弱性スキャンの検知件数が増加したことを観測しています。最後に、日本(JP)からの攻撃については、9月15日、16日に特定の脆弱性を調査するスキャン行為が急激に増加していました。これは特定のホスト間で観測されたものであり、全体的な傾向ではありません。以下は、今回の対象期間で検出した1サイトあたりの攻撃送信元の国別検知数を示したものです。今回の対象期間中における、攻撃送信元を国別と種類別で集計しました。攻撃の多くは、上位4ヵ国の日本(JP)、中国(CN)、米国(US)、クロアチア(HR)で検知しております。上位4ヵ国のうち日本(JP)、中国(CN)、米国(US)については検知数に比例して、種類数も多くなっています。一方で、クロアチア(HR)については攻撃の検知数は多いものの、種類数は極端に少なくなっています。2の脆弱性を悪用するものでした。以下は、今回の対象期間で検出した1サイトあたりの攻撃送信元の国別検知数と種類数を示したものです。1サイトあたりの攻撃送信元の国別検知数と種類数SQLインジェクション攻撃の動向SQLインジェクション攻撃とは、Webサーバに対するリクエスト内にSQLコマンドを含ませ、その背後に配置されているデータベースを操作する攻撃です。この攻撃は、データベースの内容を権限なく閲覧、改ざんすることにより、機密情報の入手やWebコンテンツの書き換えを行うことが可能です。今回の対象期間中に検知したSQLインジェクション攻撃の送信元は、韓国(KR)が全体の6割以上を占めていました。以下は、今回の対象期間で検出したSQLインジェクション攻撃の送信元国別検知数の割合を示したものです。Tomcatなどのアプリケーションサーバ上で動作します。Strutsは、公開Webサーバで広く利用されています。2への攻撃の送信元は、クロアチア(HR)が全体の半数近くを占めていました。続いて、中国(CN)が26.3%、日本(JP)が19.5%、米国(US)が7.2%となっており、この上位4ヵ国でほとんどの検知数を占めています。2に対する攻撃の送信元国別検知数の割合を示したものです。以下は、2017年9月にIIJセキュアWebゲートウェイサービスで観測したマルウェアの割合を集計しています。攻撃の観測データインターネット上には、攻撃者によって改ざんされたWebサイトが多数存在し、このようなWebサイトを閲覧することで、マルウェアに感染させる攻撃が行われています。攻撃者が電子メールにマルウェアを添付し、感染させる攻撃も頻繁に発生しています。IIJでは日常的にこれらの攻撃を防御、検出しています。IIJマネージドセキュリティサービスのうち、IIJセキュアWebゲートウェイサービス、IIJセキュアMXサービスで検出した2017年9月の攻撃を取りまとめました。今回の対象期間中に検出したマルウェアのほとんどは、悪意あるJavaScriptによるものでした。正規のWebサイトが攻撃者によって改ざんされ、悪意あるJavaScriptが埋め込まれたものも確認しています。IIJでは、改ざんされたWebサイトが1ヵ月間マルウェアを埋め込まれた状態であったことも確認しています。以下は、今回の対象期間にIIJセキュアWebゲートウェイサービスで検出したWebサイト経由のマルウェアの種類の割合を示したものです。今回の対象期間中に検出したマルウェアは、その多くがOfficeドキュメントの中に悪意あるVBScriptを埋め込んだものであったと考えられます。Officeドキュメントを用いたマルウェア感染では、多くの場合に「保護ビュー」で「編集を有効にする」操作を、利用者が行う必要があります。したがって、安易に「編集を有効にする」をクリックしないことで、マルウェア感染のリスクを下げることができます。以下は、今回の対象期間にIIJセキュアMXサービスで検出したメール経由のマルウェアの種類の割合を示したものです。メール経由のマルウェアの種類の割合セキュリティインシデントカレンダーIIJでは日々、セキュリティに関連した情報を収集しています。以下に、2017年9月の主要なトピックとセキュリティ関連情報を記載します。FXおよび仮想通貨の取引所へのDDoS攻撃9月には、国内で複数のFXおよび仮想通貨の取引所へのDDoS攻撃が発生しました。被害を受けたWebサイトでは、一時的にユーザによるログインや取引が難しい状況に陥ったようです。この一連のDDoS攻撃が単一の攻撃者(あるいはグループ)によるものなのかは現時点で分かっていません。1が発表されています。一連の攻撃が行われていた時刻と前後して、国内の複数の組織が脅迫メールを受け取っていたことも判明しています。実際にどの攻撃グループによって引き起こされたものであるか明確ではありません。今回の攻撃では、IIJでもDDoS攻撃のトラフィックを観測していました。Floodを用いて、数Gbps規模の攻撃を行っていました。攻撃では、被害を受けた組織がFXや仮想通貨の取引所に集中している点が特徴的です。通貨の取引ではレバレッジをかけることが一般的なことから、取引ができないことは短時間であってもユーザにとって大きな脅威となることでしょう。これはあくまで推測に過ぎませんが、取引所の仕組みを利用することで攻撃者が金銭の入手を試みていた可能性も考えられます。通貨の取引では異なる取引所間で価格差が生まれると、裁定取引によって利ざやが得られます。DDoS攻撃を用いることで、そのような状況を人為的に作り出すことができるかもしれないためです。それ以外には、サービスの特性を考えれば攻撃者がそもそも金銭の入手すら目的としていない可能性もあります。FXや仮想通貨の取引によって不利益を被った者による逆恨みの犯行かもしれません。傘下のソフトウェア会社です。1.07.3191」であり、Piriformの正規サーバを経由して配布されていました。Cloud)にリリースされています。それらによると、CCleanerは2段階に分けて攻撃者のサーバに通信を行い、2段階目の通信で実際にマルウェアがダウンロードされます。Softwareのレポートによると、1段階目の通信を行った端末は、160万台以上と広範囲に影響があったことが分かります。攻撃者のサーバは停止していますが、CCleanerを利用している方はバージョンの確認と、最新のバージョンへのアップデートをお勧めします。企業や団体など、端末の利用状況についてすぐに把握することが難しい環境では、判明している攻撃者サーバのIPアドレスやドメイン宛ての通信を遮断する対応も併せて実施することをお勧めします。7社において、不正アクセスによる情報漏えいがあったことが発表されました。漏えいした恐れがあるとされています。約21万人のクレジットカード番号と、約18万人の調査情報も漏えいしたことが確認されているとのことです。この情報漏えいは歴史上においても大規模なものであり、また個人情報を取り扱う信用調査会社からの情報漏えいであることから、各種メディアでも大きく報じられました。本件が発覚した後の9月15日には最高情報責任者(CIO)及び最高セキュリティ責任者(CSO)が、26日には最高経営責任者(CEO)が辞任しており、調査や対応が完了していない状況下における辞任についても、一部メディアでは報じられました。これにより、本件に対する経営者の姿勢に疑念が生じ、インターネット上などではその姿勢を批判する声が見受けられました。11)であり、5月13日から7月30日にかけて不正アクセスが確認されているとのことです。Multipartパーサの機能を用いたファイルのアップロード時に、リクエストヘッダ内に特定の値が含まれているとリモートからコードを実行出来てしまう脆弱性です。Equifax社でもこちらの脆弱性は把握しており、ソフトウェア更新に向けての準備を進めていたとされています。本インシデントでは、3月に公開された脆弱性を用いた攻撃を、5月から7月にかけて受けているものであり、十分な速さで対策が出来ていなかったものと考えられます。大規模・複雑なシステムであるほど検証に時間は掛かることが想定されますが、危険度の高い脆弱性が公開された際の対応速度が、攻撃を防ぐためには重要であることを示した事例となりました。14)公開されています。16されていたりと、インターネット経由での攻撃に利用されるソフトウェアの更新が複数発表されています。ご使用中のソフトウェアについて未確認の場合は、影響の有無を早急にご確認してください。影響があると判断される場合は、早めのソフトウェア更新または回避策の適用をお勧めいたします。大手ガス会社のWebサイトで、外部から不正アクセスがあり、顧客情報が流出した可能性があることが明らかになった。ログインページに大量のログインエラーが発生していたことから、リスト型アカウント攻撃による不正ログインとみられる。2に任意のコード実行の可能性を含む複数の脆弱性が見つかり、修正された。連携して、重要IoT機器を中心にIoT機器の実態調査を行い、脆弱なIoT機器を特定した場合には、所有者等に対し注意喚起を行うと発表した。スターバックスコーヒージャパン株式会社は、自社ホームページにおける「TLS1.0/1.1」を無効化することを発表した。非行内容で、大阪府の中学2年の男子生徒を児童相談所に通告した。容疑者が作成および拡散したとされるのはiOS上で大量のアイコンを作成する不正プロファイルであり、「ヤジュウセンパイウイルス」として知られている。音楽教室のWebサイトで、入力された個人情報が一定期間Webで閲覧可能な状態になっていたことが明らかになった。2に任意のコード実行の可能性を含む複数の脆弱性が見つかり、修正された。米国の信用調査会社であるEquifax社は、不正アクセスによる情報漏えいがあったことを公表した。2の脆弱性(CVE-2017-5638/S2-045及びS2-046)だったことが明らかになっている。製薬会社のWebサイトで、外部から不正アクセスがあり、ログインID・パスワードが閲覧された可能性があることが明らかになった。大阪府富田林市は、他の職員になりすまして市役所のサーバーに不正アクセスし、人事情報等を閲覧したとして、懲戒処分を行ったことを公表した。脆弱性について、注意喚起を行った。Playerに不正終了や任意のコード実行の可能性がある複数の脆弱性が見つかり、修正された。Armis社は、Bluetoothの実装に任意のコード実行の可能性を含む8つの脆弱性(総称はBlueBorne)があることを発表した。Microsoft社は、2017年9月のセキュリティ情報を公開し、修正をリリースした。2017年9月14日頃から国内の仮想通貨やFXを取り扱う複数のサイトでDDoS攻撃と見られる大量のアクセスを受けたことによる障害が発生した。Cisco社のセキュリティチームであるTalosは、Avast社の傘下にある、Piriform社製のシステムクリーナーソフト「CCleaner」にマルウェアが混入していることを明らかにした。7.xにリモートで任意のjspファイルをアップロードし、実行できる可能性を含む複数の脆弱性が見つかり、修正された。オープンソースのCMSであるJoomla!に情報窃取の可能性がある複数の脆弱性が見つかり、修正された。オープンソースのCMSであるWordPressに任意のスクリプトが実行できる可能性を含む複数の脆弱性が見つかり、修正された。IDとパスワードを使ったなりすましによる不正アクセスが発生したことが明らかになった。自動車販売会社のWebメールシステムで、外部からの不正アクセスが行われた可能性があることが明らかになった。2′′にDNS経由で情報漏えいする可能性があることが明らかになり、修正された。アメリカ証券取引委員会(SEC)は、2016年に外部から不正アクセスがあり、非公開情報にアクセスしていたことを明らかにした。Sambaに中間者攻撃ができる可能性を含む複数の脆弱性が見つかり、修正された。複数のApple社製品に任意のコード実行の可能性を含む複数の脆弱性が見つかり、修正された。Chromeに脆弱性が見つかり、修正された。Store」からの文面を装った不審メールに対する注意喚起を行った。Teamが、ブログに誤ってPGPの秘密鍵を公開してしまったことが明らかになった。米国の会計コンサルティング会社に対して、外部から不正アクセスがあったことが明らかになった。社製品に任意のコード実行の可能性を含む複数の脆弱性が見つかり、修正された。コーポレートエディションに任意のコード実行の可能性を含む複数の脆弱性が見つかり、修正された。