マイクロソフト社内事例から考えるサイバー攻撃の...

マイクロソフト社内事例から考えるサイバー攻撃の現状とその対策

Tier 2 Workstation

& Device

Admins

Tier 0Domain &

Enterprise

Admins

Tier 1Server

Admins

1. 1台のPCが感染a. メールの添付ファイルの開封など

2. 他のPCの乗っ取り（横方向の移動）a. 他のID情報の搾取

b. サーバーへの侵入

3. 特権アカウントへの昇格a. ドメイン管理者権限の搾取

4. 目的となる行動の実施a. データの搾取、システムの破壊

侵入ログの消去などb. 潜伏と監視

特権の侵害まで24～48時間

-6-

7

…

https://www.jpcert.or.jp/at/2014/at140054.html

※一般社団法人 JPCERTコーディネーションセンター（JPCERTコーディネーションセンター、英: Japan

Computer Emergency Response Team Coordination Center、略称：JPCERT/CC）は、コンピュータセキュリティの情報を収集し、インシデント対応の支援、コンピュータセキュリティ関連情報の発信などを行う一般社団法人。

Active Directoryがより具体的なターゲットになってきています。

9

マイクロソフトのIT環境

100ヵ国＋ 15万人 60万台+

AVの最新のリアルタイム検知適用率

98%

検出200万件検出 7.0 件/年

感染41件感染 1/7300台/年

2015年7月-12月 (出典SIR20)

ASSUME BREACH

どのような対策が必要なのか？攻撃の ROI (費用対効果)を下げる 4 つのフェーズ

準備やられないようにする防御力向上

検知・分析やられている事をすぐに検知する

検知分析

根絶・復旧・封じ込め

やられても被害を小さくする

被害軽減

事件発生後の対応

やられた後でも、情報を保護する

事後対応

NIST SP 800-61

-11-

Microsoftセキュリティ体制

防御力向上

Protect

検知分析

Detect

被害軽減

Respond

ファイアウォール

サーバーの安全公開

FW/ルータの安全な構成

侵入検知/防止

マルウェアメール対策

スパムメール対策

標的型メール対策

出口対策

完全性検査ツール

ドキュメント暗号化

認証と識別

メール暗号化

アクセス制御

負荷分散

電子文書管理

なりすまし対策

ルールの徹底

ユーザーIDの統合

認証基盤攻撃検知

マルウェア対策

安全なWeb閲覧

多要素認証

脆弱性緩和

盗難紛失対策

不正通信禁止

危険な行為の警告

端末ロールバック

不正アプリ起動防止

ファイル暗号化

管理権限のコントロール

バックアップ

パッチ管理

ライセンス管理

資産管理

構成管理

トラブルシューティング

ソフトウェア利用状況の把握

展開イメージの標準化

稼働監視

ログ管理

セキュリティ運用評価

ソフトウェアの最新化

安全な構成

侵入拡大防止

多要素認証

標的型攻撃検知

無線機器のコントロール

リモートワイプ

事後対応

Respond

シンクライアント


認証基盤要塞化

ネットワーク分離

ネットワーク検疫

ネットワーク境界サーバー認証基盤 PC / モバイルデータ

ファイル追跡

管理特権保護

Security Solution Map

被害分析・復旧被害分析・復旧

不正利用検知

標的・残存脅威検知

権限剥奪



Detectターゲットの情報、行動の監視、機械学習を利用

Respond検出からアクションまでの時間を短縮

Protectセンサーからデータセンターまですべてのエンドポイントを保護

マイクロソフトのセキュリティ体制

-13-

クラウド (SaaS)

ActiveDirectoryドメインコントローラー

サーバーアプリケーション

PCモバイルデバイス

Tier 2 ワーク

ステーション

& デバイス

管理者

Tier 0ドメイン &

エンター

プライズ

管理者

Tier 1サーバー

管理者

2. 横方向の移動の制限a. ランダムなローカルパスワード

1. 特権の昇格の制限a. 強化された管理専用端末b. AD のセキュリティ評価

4. 組織の準備a. 戦略的ロードマップb. 技術的な教育

横方向の移動の制限

特権の昇格の制限

攻撃の検知（認証情報の不正利用など）

3. 攻撃の検知a. 攻撃の検知b. 敵対者の追跡

組織の準備教育

戦略 & 統合

～マイクロソフトのセキュリティへの取り組み～

マイクソフトインテリジェントセキュリティグラフ

10億+ Windows PC ユーザー

-19-

不正ソフト削除ツール毎月世界の7000万件のコンピューターから報告

2005年以降400億超の実行

Azure AD

毎月 3000億件の

認証を処理

世界で年間数百万のマルウェア削除を実行

Windows Defender

世界2億5000万ユーザー

毎月180億の

ウェブページスキャン

10億台の PC に対する

Windows の更新プログラム

Exchange Online Protection

毎月350億件超の

電子メールをスキャン

サイバークライムセンター

-21-

Malware Protection Center(MMPC)

世界最大のウイルス対策及びマルウエア対策サービス

Cyber Hunting Teams

エンタープライズおよびクラウドサービス環境で

敵対者を常に探索

Security Response Center (MSRC)

セキュリティインシデントと脆弱性の特定、監視、対応及び解決を行う

Digital Crime Unit(DCU)

法律及び技術の専門家チーム

法執行機関や学術機関、政府機関、一般企業と連携

Cyber Defense Operations Center (CDOC)24時間365日のサイバーセキュリティ対応

マイクロソフトサービスの保護

-22-

DCU によるボットネットのテイクダウンとマルウェアの分断

2010 - 2012

Conficker2010 年 2 月Botnet Worm

2013 2014 2015

Waledac2010 年 2 月スパム

Zeus2012年 3 月

オンライン金融詐欺

Rustock2011 年 3 月スパム

Nitol2012 年 9 月DDOS/拡散

ZeroAccess2013 年 12 月広告クリック詐欺

Citadel 2013 年 6 月


Bamital2013年 2 月

広告クリック詐欺

Caphaw2014 年 7 月


Bladabindi & Jenxcus2014年 6 月

金融詐欺/プライバシー

Game-over Zeus2014年 6 月


Simda2015 年 4 月マルウェア拡散

Ramnit2015年 2 月


Dorkbot2015 年 12月

DDOS/情報窃取

App and Data

SaaS

Malware Protection Center (MMPC)

Cyber Hunting TeamsSecurity Response

Center (MSRC)

Device

CERTおよびその他のパートナー

Infrastructure

ウイルス対策ネットワーク

PaaS IaaS

ID

インテリジェントセキュリティグラフ

Cyber DefenseOperations Center (CDOC) 法執行機関


-24-

～安全性と生産性・利便性の両立～

人（ID）デバイスデータ・アプリ

Windows PC (95%)AD (95%)

クラウドをオンプレミスと同じように使うだけでは、何も生産性に寄与しない

管理できるかできないかという観点でのみ IT サービスを規定していないか？

日本は、4G 回線および最新のスマートフォンが普及しているのに、マルチデバイスの業務での活用は進んでおらず、海外の先進国と比べ生産性が低い

全員が定時出社することを前提とした働き方では、介護・子育て支援・災害時対応・異なるタイムゾーンの海外との連携などで柔軟性に欠ける

国内の目の届く範囲で台帳管理・申請承認など工数をかけた高いレベルの管理をしていても、海外進出・吸収合併などの大きな変化には対応できない懸念がある適切なポリシーと自由度により、工数をかけない管理を工夫する必要性がある

新しい技術を禁止するのではなくうまく活用することで、迅速に業務への成果につなげることがIT 部門にとって重要

-26-

人（ID）デバイスデータ・アプリ

Windows PC (95%)AD (95%)

必要十分な管理

迅速な海外展開統廃合対応

ポリシーの明確化とセルフ

サービス

SaaS の積極的な活用での業務貢献

強固なID 認証と SSO

端末紛失・盗難時の

情報漏えい対策

-27-

生産性を下げリスクを高めるケース

-28-

場所を問わず仕事がしたい紛失時のリスクを考え端末の持ち出しを禁止

外部ユーザーと情報を共有したい

ZIP にパスワードをかけて共有

外出先から社内サイトを参照したい

VPN や仮想環境を使用し何重もの手順を踏んでアクセス

• 会社に戻るまで作業が進まない

• シャドーITの利用

• パスワード解除後の情報は漏えい危険度高

• 漏えいしても気付かない

• 手順が面倒なためコストに見合う利用がされない


メールや予定表はスマートフォンでいつでも確認したい

紛失時のリスクや情報漏えいのリスクを考え

スマートフォンの利用を禁止

• タイムリーなコミュニケーションができない


生産性

生産性

リスク

リスク

リスク

利用者の要望を実現するためには、セキュリティと生産性の両立が重要

生産性

リスク

社員の生産性向上のためのセキュリティへの投資

-29-

CIO / CISO は IT を通じたビジネスへの貢献のためセキュリティと生産性のバランスを決定していく責任があるセキュリティ上 NG とするのは簡単だが、どんなセキュリティ対策を取れば、OK と言えるのか常に検討し続ける必要がある

生産性・エンパワーメント

リスク

旧来のセキュリティ

ポリシー

セキュリティ要件

セキュリティのみに縛られて新しいテクノロジーのリスクを排除するのみでは生産性の向上は見込めない

セキュリティ要件

生産性・エンパワーメント

セキュリティへの投資を通じた

セキュリティの確保生産性

への寄与

セキュリティと生産性のバランスを見極め、必要なセキュリティ投資を積極的に行うことで生産性への貢献を示す必要がある

-30-

情報の機密区分の分類と保護

SaaSアプリのセキュアな活用

CRM

人事B2B

コラボ財務

サプライチェーン

経理

2,700 のSaaS

アプリの認証連携・統合 ID 管理

社内環境のベースセキュリティ強化

Active Directory への攻撃の検知

PC 統合管理とアンチウィルスPC 上での不審な動作の検出

標的型攻撃メールのブロック DCDC

PC

13,000 のSaaS アプリのアクセス分析と利用の管理

アプリ単位の条件に応じた接続制御モバイル端末での

Office 管理データの保護

Office 365 生産性・セキュリティ強化

iOS / Android / Windows

iOS / Android / Windows

Azure Active Directory

次世代の認証基盤

Office 365 のセキュリティ強化データや働き方の分析電話回線連携

マルチプラットフォームでの暗号化データの参照トラッキングと失効

Office 365 / SaaS 上での機密情報の検出・ブロック手動・自動での機密区分の分離

特権の一時的な付与セルフサービスのID/グループの管理

Customers

オンプレミス

Partners

Azure

クラウド

Publiccloud

Microsoft Azure Active Directory

BYOD

Windows ServerActive Directory

クラウドとオンプレミス、フェデレーション、ID 管理、デバイス登録、プロビジョニング、アプリケーションのアクセス制御とデータ保護を提供する、これからの時代に必要なID 管理システム

コントロールの基礎となる Azure AD

強化～クラウド時代の新たなセキュリティ境界～

1 つの共通 IDによる

利便性の担保

迅速な対応による

セキュリティの向上検出からアクションまでの時間を短縮

より安全に運用するための

管理の簡略化SSO

オンプレミス: 既存のアプリケーション、Windows Server Active Directory、

およびその他のディレクトリ

クラウド: Azure、SaaS、パブリッククラウド、および

Office 365

ID統制による

運用の安全性の向上

ID統制による利便性

の向上

ID統制による

事後対応力の向上 -32-

すべての情報資産が

ユーザー情報と結びつくこと

により安全性と利便性が向上-33-

ID アプリとデータ

インフラストラクチャデバイス

ID の侵害に対する保護を行い、セキュリティ侵害の兆候をすばやく特定

クラウドとモビリティの利便性の向上

クラウド利用時における情報の保護

ユーザー、組織、パートナー間でドキュメントやデータの安全な共有

お客様のハイブリッドクラウド環境全体で可視化と制御を実現

統合されたセキュリティ制御を適用し、既定でセキュリティを保証

デバイスのセキュリティを高めながら、モバイルワークと BYOD を実現

企業データの保護を保証しながらも、ユーザーの生産性を向上

-34-

Azure AD Identity Protection

Advanced Threat Analytics

Multi-Factor Authentication

Privileged Access Management

Privileged Identity Management

Microsoft Identity Manager

Hyper-V containers

Azure Security Center

OMS Security Suite

Shielded VMs

Virtualization-based security

App Locker

Device Guard

Credential Guard

Windows Defender

Windows Defender ATP

Azure Information Protection

Windows Information Protection

Customer Lockbox

Cloud App Security

Advanced Threat Protection

Advanced Security Management

-35-

Microsoftサービスとしてのセキュリティ対策メニューMicrosoft サービスとしてのセキュリティ対策メニューが多数準備されていますこれら多数のメニューを基本として、セキュリティ向上のための施策を実施します

サイバー攻撃対策アセスメント

/ MSR

A(M

icro

soft S

ecurity

Risk

Asse

ssment)

ID管理手法の分析

/ DIF

(Dynam

ic Id

entity

Fra

mew

ork

)

セキュリティリスク

アセスメント(Security Risk Assessment)

Active Directory

ドメインコントローラー

サーバーアプリケーション

クラウド (SaaS)

PC

モバイルデバイス

Active Directory 機構要塞化 / ESAE(Enhanced Security Administrative Environment)

Windows 10 Security Briefing(セキュリティ機能ワークショップ)

サイバー攻撃検知・解析/ETD

(Enterprise Threat Detection)

開発プロセスセキュリティ強化/SDL

(Security Development Lifecycle)

PA

DS（セキュリティ人間ドック）

(Persiste

nt A

dviso

ry D

ete

ctio

n S

erv

ice)

IR

&R（事故対応）

(Incid

ent R

esp

onse

& R

ecovery

)

管理者端末の堅牢化/PAW

(Privileged Access Workstation 強化された管理端末)

拡散検知と抑止Securing Lateral Account Movement

(SLAM)

Persistent Adversary Detection Service (PADS)残存する脅威の調査（セキュリティ人間ドック）

Security Offerings

このようなお客様に特徴

サービス実施内容

セキュリティインシデントが発生する前に、社内に存在するゼロデイ攻撃、標的型攻撃のリスクを徹底的に調査したい

社内に存在する標的型攻撃の脅威に対する対処の方法を提案して欲しい

簡易なエージェントレス展開スクリプトを利用したエージェントレススキャナー

Windows環境であればホストは問わないクライアント端末でもサーバーでも利用可能

フォレンジック機能により活動を時系列に並べ不正な活動の全体像を把握

御社ネットワークの診断データをグローバルな利用統計データと比較

危害の形跡の可能性をベースに脅威報告書を作成

50,000 台におよぶデータの調査*50,000 台を超える場合は別途サービスを追加

既存のIT環境に潜在するセキュリティの脅威を検出するとともに、検出された脅威に対する改善方策を提供

弊社サイバーセキュリティの専門家チームがお客様環境(Windows Platform 中心) を徹底的に調査・分析し、改善策を提供

*オプションとして脅威への対処に関するサポートも利用可能

Security Offerings


サービス実施内容

ウイルス対策製品や既存セキュリティ製品をすり抜ける脅威 (ゼロデイ攻撃や標的型攻撃)を検知、分析

Windows Error Reporting, Windows Defender ATP (Windows 10 対象), Advanced Threat

Analytics (Active Directory対象), その他の情報をもとにした検知、解析

簡易なエージェントレス展開

(Error Reporting を基にした検知は Agent インストールの必要なし)

既存の Error report だけでなく、Defender ATP と ATA についても検知のサポートを実施

(Defender ATP , ATA 環境は別途構築が必要です)

2 種類のレポート• 定期レポート : お客様環境の全体的なセキュリティ状況をオーバービューとして

みることができます。また、弊社アナリストとの定期的な打ち合わせの実施が可能です。

• インシデントレポート：問題発生時にAdhocにレポートをご提示します。

オプションとしてインシデント調査のサポートも利用可能

ウィルス対策ソフトだけでなく、さらなるマルウェアへの対策をしたい（ウィルス対策の限界を感じている）

Active Directory 環境に対する攻撃検知の手助けがほしい

Enterprise Threat Detection (ETD) サイバー攻撃の常時監視サービス

※ Advanced Threat Analytics, Windows Defender ATP を検知対象として利用する場合は別途製品ライセンスが必要になります。

Incident Response & Recovery Service (IR&R)サイバー攻撃の調査、検出・短期手な対策立案サービス

Security Offerings


サービス概要

現在、セキュリティインシデントが発生しているもしくは発生していると疑われる場合、すぐにオンサイトでの対応が必要

攻撃内容（ゼロデイ攻撃、標的型攻撃）と原因を早急に調査したい

汚染された環境からどのようにリカバリーしたらよいかについて提案して欲しい

弊社プレミアサポートサービスをご契約のお客様に対しては、追加の契約等無しですぐに対応を開始することが可能

マイクソフト独自のナレッジを元に作成したスクリプトを用い、一般的なアンチウイルスソフトやIDS（不正検知システム）では発見できない脅威を検出

発見されたマルウェアをリバースエンジニアリングし対処方法と回復方法を分析

Windows環境であればホストは問わないクライアント端末でもサーバーでも利用可能

フォレンジック機能により活動を時系列に並べ不正な活動の全体像を把握

御社ネットワークの診断データをグローバルな利用統計データと比較弊社サイバーセキュリティの高度な専門知識を有する専門家

チームがお客様環境に対し、オンサイトにて約5日間の分析・検出を実施。その結果をもとに約10日間に渡り改善計画を作成

弊社が所有する各種脅威検出ツールを活用し、既存のIT環境に潜在するセキュリティの脅威を検出し分析

弊社の持つ膨大なセキュリティインテリジェンスデータと併せて脅威分析を実施

期待される効果

どこまで攻撃されているか、どのような攻撃をされているかを、短期間に広範囲での調査、検出ができます

それにより、汚染された環境から、どのようにリカバリーをするかの戦略を得ることができます。

防御力向上

Protect

検知分析

Detect

被害軽減

Respond

ファイアウォール

サーバーの安全公開

FW/ルータの安全な構成

侵入検知/防止

マルウェアメール対策

スパムメール対策

標的型メール対策

出口対策

完全性検査ツール

ドキュメント暗号化

認証と識別

メール暗号化

アクセス制御

負荷分散

電子文書管理

なりすまし対策

ルールの徹底

ユーザーIDの統合

認証基盤攻撃検知

マルウェア対策

安全なWeb閲覧

多要素認証

脆弱性緩和

盗難紛失対策

不正通信禁止

危険な行為の警告

端末ロールバック

不正アプリ起動防止


管理権限のコントロール

バックアップ

パッチ管理

ライセンス管理

資産管理

構成管理

トラブルシューティング

ソフトウェア利用状況の把握

展開イメージの標準化

稼働監視

ログ管理

セキュリティ運用評価

ソフトウェアの最新化

安全な構成

侵入拡大防止

多要素認証


無線機器のコントロール

リモートワイプ

事後対応

Respond

シンクライアント


認証基盤要塞化

ネットワーク分離

ネットワーク検疫


ファイル追跡

管理特権保護

Microsoft Security Solution Map EMS 365 OS標準

サービス/その他

被害分析・復旧被害分析・復旧

不正利用検知

標的・残存脅威検知

権限剥奪



MS製品無し

AAD App Proxy

MS製品無し

MS製品無し

EO/ATP

EO/ATP

EO/ATP

MS製品無し

MS製品無し

AIP

AD

AIP

AIP

MS製品無し

SPO/AIP

GPO

AADP/MIM

ATA

Windows Defender

Smart Screen

Hello

Windows 10

BitLocker

Windows Firewall

Defender ATP

Windows 10

Device Guard

AIP

AD / WS 2016

SharePoint Online

SCCM

SCCM

SCCM

SCSM

SCCM

SCCM

SCCM

SCOM

Azure Log Analytics

MSRA

SCCM

Intune/SCCM

Credential Guard

AD Premium / MFA

ETD/PADS

MS製品無し

Intune

Microsoft VDI

ASC / Log Analytics

ESAE

Windows

Remote Desktop

Microsoft VDI

IPSEC

Windows 10 EdgeのApplication Guard

MS製品無し


PIM/PAM

Microsoft Security Solution Map EMS 365 OS標準

サービス/その他

ETD

WDATP

IRIR

Cloud App Security

AADP

AD AADP

Intune

AD

Intune

防御力向上

Protect

検知分析

Detect

被害軽減

Respond

事後対応

Respond

AIP

AIP

AIP

Microsoft Azure Active Directory

Security Solution 全体像 Secure Productive Enterprise SaaSアプリのセキュアな活用

2,700 の SaaS アプリの認証連携・統合 ID 管理

13,000 の SaaS アプリのアクセス分析と利用の管理

Azure Active Directory Premium P1

情報の機密区分の分類と保護

Office 365 / SaaS 上での機密情報の検出・ブロック

手動・自動での機密区分の分離

Cloud App Security

マルチプラットフォームでの暗号化データの参照

ドキュメントの追跡と失効

Azure Information Protection P1

Active Directory へのサイバー攻撃の検知


特権の一時的な付与セルフサービスのID/グループの管理


不正な添付ファイルや不審なURLの検知と防止

Office 365 Advanced Threat Protection

Advanced Threat Analytics Azure Active Directory へのサイバー攻撃の検知と防止

Intune

マルチプラットフォーム環境でのデバイスの管理

Intune

マルチプラットフォーム環境でのデバイスの接続制御

Azure Information Protection P2

ドキュメントの自動ラベリングと暗号化機密

社外秘

公開可

多要素認証によるなりすまし防止


ID 同期

PCへのサイバー攻撃の検知

Windows Defender ATP

System Center Configuration Manager

社内PCの管理とインベントリ情報の収集

Intune

マルチプラットフォーム環境での安全ななアプリケーション

管理による情報漏えいの防止

PCからの認証情報の搾取を防止

Credential Guard

社内環境のベースセキュリティ強化

標的型攻撃に対するセキュリティ強化

マルチプラットフォーム環境でのセキュリティ強化

App and Data

SaaS

Malware Protection Center (MMPC)

Cyber Hunting TeamsSecurity Response

Center (MSRC)

Device

CERTおよびその他のパートナー

Infrastructure

ウイルス対策ネットワーク

PaaS IaaS

ID

インテリジェントセキュリティグラフ

Cyber DefenseOperations Center (CDOC) 法執行機関


-44-

本書に記載した情報は、本書各項目に関する発行日現在の Microsoft の見解を表明するものです。Microsoftは絶えず変化する市場に対応しなければならないため、ここに記載した情報に対していかなる責務を負うもの

ではなく、提示された情報の信憑性については保証できません。

本書は情報提供のみを目的としています。 Microsoft は、明示的または暗示的を問わず、本書にいかなる保証も与えるものではありません。

すべての当該著作権法を遵守することはお客様の責務です。Microsoftの書面による明確な許可なく、本書の如何なる部分についても、転載や検索システムへの格納または挿入を行うことは、どのような形式または手段

（電子的、機械的、複写、レコーディング、その他）、および目的であっても禁じられています。これらは著作権保護された権利を制限するものではありません。

Microsoftは、本書の内容を保護する特許、特許出願書、商標、著作権、またはその他の知的財産権を保有する場合があります。Microsoftから書面によるライセンス契約が明確に供給される場合を除いて、本書の提供は

これらの特許、商標、著作権、またはその他の知的財産へのライセンスを与えるものではありません。

© 2017 Microsoft Corporation. All rights reserved.

Microsoft, Windows, その他本文中に登場した各製品名は、Microsoft Corporation の米国およびその他の国における等力商標または商標です。

その他、記載されている会社名および製品名は、一般に各社の商標です。

マイクロソフト社内事例から考える サイバー攻撃の...

Documents

マイクロソフト社内事例から考えるサイバー攻撃の...