Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。(https://foxestar.hatenablog.com/)をご覧ください。アクセス事件フォックスエスタ(私設研究所)プロフィール2018-03-19産総研のネット遮断1ヶ月から見えてくること考えてみた。読売新聞の3月15日記事に産総研の不正アクセス事件についての続報がありました。(産総研)が不正アクセスを受けた事件は2月13日に公式リリースが出されています。読売新聞の記事を受けて、改めて産総研のHPを確認してみたのですが・・・事件の影響範囲等については、(この記事を書いている3/18現在で)未だ追加発表がありません。お知らせ弊所の情報セキュリティ規程第20条に基づき情報セキュリティ対策本部を設置、外部の専門事業者にも依頼して原因究明を進めているところです。(産総研2/13リリース内容より引用)とあるので、外部のセキュリティベンダーによる、デジタルフォレンジックスの調査レポートを待っている最中、あるいはレポートは既に出ていて、その対応を内部で協議中という段階なのかなと推測します。(※注:本格的なフォレンジック調査であれば1ヶ月以上かかる事もあるかと思います)官房長官が記者の質問に答えたところが、この読売記事に繋がっているようです。官房長官の答弁がありました。www.kantei.go.jp政府は今回の件についてどう把握されているか?まず、現在のご指摘でありますけど、2月6日に外部からの不正アクセスを確認し、関係機関と連携しながら調査中をすすめていると聞いております。被害拡大防止のために、インターネット接続停止等の措置を講じさせておりましたが、安全性が確保できた業務システムから再開をさせており、インターネットの接続再開にも目処が立っているという風に報告を受けております。本事案を踏まえて、内閣セキュリティサイバーセンター、いわゆるNISCが主要な国立研究開発法人に対する同様な不正アクセス事案がないかという事の調査を実施しており、これまでのところは問題はみつかってない、という様な報告を受けております。いずれにせよサイバーセキュリティの脅威は飛躍的に高まっているとの認識をしており、政府としてもしっかりと対応していきたい、こういう風に思います」とは言え、事件調査や1ヶ月以上もネットを止めている事については、内部からはかなり不満が出ている様子で、読売新聞の記事にもそれを伺いしれる部分がありました。報道室によると、不正アクセスは2月6日にあり、すぐに業務システムを停止。経費精算など安全が確認できた部分から順次再開しているが、ネット接続は遮断したままという。「今月中には再開させたい。不正アクセス元や情報流出の有無は調査中」としている。国内外の研究成果を調べる論文検索や研究者同士のネット会議ができなくなっており、男性研究者の一人は「接続できず困っている。(国の研究機関として)恥ずかしい限りだ」と憤る。(読売新聞記事より引用)フォレンジック調査についても、取材に対しての報道室の答えが「不正アクセス元や情報流出の有無は調査中」という答え方については、疑問が残ります。今の段階ではいえないという含みでこの回答をしているのなら仕方が無い部分もありそうですが、1ヶ月も調べれば、断定できないまでも情報流出があったかどうかについては分かるはずです。1ヶ月以上経っても「調査中」という産総研の回答や、それを更に「調査結果が出るのはいつか?」と突っ込まないマスコミサイドも、税金が使われている日本を代表する研究機関で発生した不正アクセス事件への応対では無いのではないかと思います。人口知能部門の職員がフィッシングメールにひっかかった(2月中旬)入所したばかりの海外研究者(2月中旬)フィッシングメールにひっかかったアホがいた。フィッシングで盗まれたIDが悪用されて不正アクセスを受けた(3月初旬)完全に防げないのだから、破られた後の対策も考えておくべきだった(3月中旬)入札制度が安かろう悪かろうに繋がっている。所外メール見れない送れない。Onedrive使えない。ネット接続が無い環境下でプリンタ、NAS、サーバ等のファームウェアアップデートを要求(2月下旬)今日の仕事はWindowsUpdateで終了(2月下旬)情報基盤部は非常に前例にこだわり情報セキュリティ規定を振りかざし情報を隠蔽し、初動を間違えて被害を拡大させた(2月下旬)情報基盤部に専門家が必要。某巨大掲示板に書き込まれた(内部)情報を俯瞰する限り、産総研のインシデント対応や対応組織は非常に問題があったと思われます。感覚的には事務系とトップだけで影響範囲も考えずに「ネット遮断」を決めてしまい、その後のフォローもしてない事が分かります。内部からは当然・・・不満の声が上がり、こうした掲示板に内部リークされてしまうのかなと思います。産総研にはネットセキュリティ専門の研究者も多数在籍していたと思うのですが、少なくても初動においてはその方々が有効に活用された気配を感じません。した事態が発生した際は組織のトップはCSIRTのような「緊急対応チーム」を構成するべきだと思います。産総研がこの対応をしてなかった訳ではありません。(産総研2/13公式発表より引用)とあるので、緊急チームは作られたよう・・・ですが、集められたメンバーが事件とはアンマッチだったのではないかと推測します。縦割り組織では、サイバー攻撃やフィッシングメールによる攻撃が想定外な事が多いのですが、当初のネット遮断が対応として正しかったとしても・・・1ヶ月の間に、モバイルルータを配布したり、別なCloudサービスで代行運用したり・・・あるいはソニーピクチャーズが攻撃を受けた際に行ったように、Windows端末を(当面)あきらめて、Mac端末を買ってきて業務を継続する・・・そんな対応もありえたかも知れません。緊急チームに技術担当(名目上の担当ではなく、技術をよく知っている方)を入れてないのも、内部混乱を拡大させた要因となったようです。フィッシングメール攻撃を受けた場合、アンチウィルスソフト、メールソフト、Windowsのパッチ当てを優先するのが普通ではありますが、それを越えて、ネット環境が無い中ではダウンロードできないプリンタやルータのファームウェア更新を要求する”大本営”は非難されてしかるべきだと思います。一部書込みにありましたが、外部でパッチファイルを(私的に)ダウンロードして、それをプリンタやルータに当てろというのか!という書込みは、個人にパッチ当てを押し付ける、その過程で外部から更にウィルスを持込まれてしまうBYODの持つ可能性を含んでいる訳であり、それすらも理解しない「最新パッチ当てさせとけば良い」通達に対する諦めにも似た怒りを感じました。セキュリティ対策本部」が考えるべきであった事項が考えられずに、普通のセキュリティ対応を(その影響も考えずに)組織全体に課した可能性が高いようです。読売新聞の記事では、ネット遮断1か月続く「恥ずかしい」とされていますが、未だに原因究明が終わらず、1ヶ月以上かかってネット遮断が復帰できてない事に対する責任感が感じられない産総研の上層部(情報セキュリティ対策本部)が「恥ずかしい」と、そろそろ気づくべきではないでしょうか。「サイバーセキュリティの脅威は飛躍的に高まっているとの認識」は政府だけでなく、産総研の上層部の方々も持って頂きたいものです。金沢大学もフィッシングメールにひっかかった様です。総務省の非常勤職員募集を調べてみた。象印の再発防止策を考えてみた。(106)調べてみた。(114)つぶやいてみた。(146)まとめてみた。(調査データ等掲載)フォックスエスタはてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。