ezily

行政書士と脆弱性（サイバー攻撃）⓲

行政書士と脆弱性（サイバー攻撃）⑱

最近では、世界各国がサイバー戦争に備えている。

サイバー攻撃に方法にはどんな方法があるだろうか？

①国の重要な組織や重要インフラに対する大規模簿な

「DDos」攻撃

　悪意のある第三者（攻撃者）が複数のコンピュータから、標的になる単一のネットワークやコンピュータに向けて、いっせいに大量の通信や接続要求を送る攻撃

②サイバー兵器「Stuxnet」

　きわめて危険度の高いマルウェア。ウラン濃縮を行う遠心分離機の動作を阻害する機能を持つ。USBメモリにStuxnetを仕込み、施設内でばらまきマルウェアを感染させた。「ＳＩＭＡＴＩＣ

ＷｉｎＣＣ」（制御システムの管理ための」ソフトウェアの設定上の不備をついて感染する。

サイバー空間は、陸・海・空・宇宙空間に次ぐ「第五の戦場」と言われている。日本も２０１４年に、防衛省・自衛隊が「サイバー防護隊」を設立した。

法や制度のサイバー戦争に備えての「タリン・マニュアル」と「ワッセナー・アレンジメント」という文書がある。

「Ｃｙｂｅｒ　Ｇrand Charennge」というプログラムが自動的に脆弱性と発見から攻撃までを行えることが実証され、攻撃ツールという武器を自動的に大量生産できるようになった。サイバー戦争が現実的になったわけである。

にほんブログ村
[0回]
PR
行政書士と脆弱性（サイバー攻撃）⑰

行政書士と脆弱性（サイバー攻撃）⑰

最近では、脆弱性奨励金を採用している企業が増えている。

IT会社のサイボウズでは、同社の製品の脆弱性を発見した場合、１件あたり１０００円から５０万の奨励金支払われている。

クラウド型の脆弱性報告プラットホームサービスまど誕生している。脆弱性奨励金制度の報償金だけで生計立てている「バクハンター」もいる。

さらに、非常に需要の高い脆弱性情報が売買されている。脆弱性を売買する正規市場も存在している。つまり、脆弱性が販売されているのだ！脆弱性情報の買取り値段は１５０万ドルまで達するという。仕事にネットを利用する頻度が高い士業は脆弱性の危機

に見舞われている現状をしっかりと認識して仕事を行うことが必要である。我々行政書士は脆弱性と隣り合わせで仕事をしているのが現状なのである。行政書士会もいずれ脆弱性について対応することが求められるはずだ！ひょっとしたら、脆弱性に対応する行政書士業務が誕生するかもしれない。

にほんブログ村
[0回]
行政書士と脆弱性（サイバー攻撃）⑯

行政書士と脆弱性（サイバー攻撃）⑯

サイバー犯罪市場で、高度な技術なくても使用できる「Exploit Kit」ツールが流通しており、金銭の窃取を目的としたマルウェアを巧妙に感染させることができる。Exploit Kitは、悪性のWebサイトを構築するフレームワークである。Exploit Kitは利用は非常に簡単である。決められた手順に従ってコンピュータにインストールし、ボタンを何回かクリックするだけで、悪性Ｗｅｂサイトが構築できてしまう。攻撃者はそのＷｅｂサイトにユーザがアクセスしてｋるのを待つだけで、高度な技術は一切必要ない。

ユーザにとっては、Ｗｅｂサイトを閲覧しているだけ、という認識なので自分が被害にあっていることに気がつかない。

ちなみに、悪性Ｗｅｂサイトを閲覧しただけでマルウェアに感染する攻撃を専門的にはＤＲive-by- Dwownloadという。

ＤＲive-by- Dwownload攻撃により金銭目的のマルウェアには様々な種類があるが、まずはバンキングマルウェアが挙げられる。

バンキングマルウェアは「不正送金マルウェア」とも呼ばれ、ユーザの知り得ないところで、銀行口座から不正な送金を行うマルウェアである。

Exploit Kitを経由して感染マルウェアに身代金要求型マルウェア

ランサムウェアがある。アンチウィルスソフトに見せかけたマルウェア、不正に広告をクリックさせマルウェアも存在する。

Exploit Kitを利用した犯罪ビジネスおいては、通常のビジネスと同様、次々と新しいビジネスモデルが構築されている。

にほんブログ村
[0回]
行政書士と脆弱性（サイバー攻撃）⑮

Webに関する脆弱性として、XSSの脆弱以外にも「SQLインジェクション」という脆弱性がある。「SQLインジェクション」とは、アプリケーション（主にWebアプリケーション）の脆弱性を利用してデーターベースを不正攻撃することである。

社会の高度情報化にともない、データ管理方法の効率化（データベース管理システム（DBMS）」が求められるようになった。

つまり、多くののWebアプリケーションの裏ではDBMSが稼働しているのである。DBMSは非常に身近な技術と言ってもよい。

DBMSの代表的なものに「リレーショナルデータベース管理システム（RDBMS））がある。RDBMS[はSQLと呼ばれる言語を利用している。SQLインジャクションというWebアプリケーション狙って

行われる攻撃方法がある。

SQLインジェクションは、Webサーバに設置されているWebアプリケーション対して、不正なSQL文文字列を送る。Webアプリケーション不備が存在した場合、当初開発者が想定していなかった不正なSQL文がデータベースに対して発行されるその結果、想定外のデータがデータベースから取り出される。SQLインジェクションによるデータ窃取がされるのである。SQLインジェクションよる攻撃方法に対する攻撃に対する次の対策がある。

①Webアプリケーション脆弱性診断

　無料診断ツールで診断する。特定の脆弱性診断に特化した診断

　ツールがある。

②ファイアウォールによる保護

③適用すべきポリシーをCSP技術（サイバーセキュリティ技術）によって確認にする。

にほんブログ村
[0回]
行政書士と脆弱性（サイバー攻撃）⑭

行政書士と脆弱性（サイバー攻撃）⑭

XSS（クロスサイト・スプリクティング）の手法には次の３種があ。

①反射型XSS

②持続的XSS

③DOM　Based　XSS

いずれも、Webページに入力したHTMLやJavascriptなどがそのまま反映される箇所を悪用して乗っ取りを行う（セッション・ハイジャックー悪意のあるHTMLやJavascriptを埋め込む）手法である。

反射型XSSは、作動するのは一過性であるが、持続型XSSは持続的に作動する。つまり、持続的XSSはWebサーバーに持続的に悪意のあるコードが保存される。悪意のあるコードは削除しないかぎりＷｅｂに残り続けるのである。問題なのは、一般ユーザを攻撃者用意した悪性Ｗｅｂサイトに誘導してしまうことである。不運にも一般ユーザが悪性Ｗebサイト（自動的に転送するHTMLやJavascriptが埋め込まれているサイト）に転送されてしまうこになる。悪性Webサイトで行われることは様々であるが、攻撃が、対象ユーザに悟られないしくみになっている。

③のDOＭ　Ｂased XSSは、ＤＯＭとは、ＨＴＭＬなど文書の各要素にアクセスするしくみである。ＤＯＭ　Ｂａｓｅｄ　ＸＳＳはこのしくみを利用して行う攻撃方法である。具体的な悪用方法については説明を行わない。最近では、各Ｗｅｂブラウザには「Ｘｓｓフィルター」と呼ばれる機能が備えられている。

にほんブログ村
[0回]