prowise business forum - hitachi solutions•waf（web application firewall） –...

© Hitachi Solutions, Ltd. 2011. All rights reserved.

いまどきのネットワークの ”出口対策” “標的型攻撃” に対抗する

最新トピックス

Prowise Business Forum

Contents


１．“標的型攻撃”と“出口対策” ２．ファイアウォール再考３．無線ＬＡＮのセキュリティは？４．ボットは検知できるか８．まとめ


1 “標的型攻撃”と“出口対策” ～防ぎきれない侵入への対応～


“標的型攻撃” と “出口対策”

3

• 明確な目的を持ち執拗に狙いを定める – 情報の奪取 – システムダウン

• 完全に防御するのは不可能 • 最も困るのは“情報漏洩” • 最悪でも“情報漏洩”だけは防ぎたい

標的型攻撃

出口対策 • 侵入されたとしても、情報奪取だけは防ぐこと

入口対策 • 攻撃・侵入されることの防御


“標的型攻撃” の情報奪取方法

4 4

ＦＷでは検知できない

密かに潜伏

ポート８０などを利用

コントロール

情報奪取

ボット型マルウェア

ハッカー


一般的な情報漏洩の経路

5 5

① 正規経路

② ポータブルＷｉＦｉ

媒体持出 ③


“標的型攻撃” は正規経路から

6

• “入口”も“出口”も、正規ルートの不完全性を突く • ファイアウォールが正規ルートの基本セキュリティ • プラスアルファのセキュリティをどう整備するか

– ＡＶ、ＵＲＬ、ＩＰＳ、ＷＡＦ、ｅｔｃ – 専用機？ＵＴＭ？ – 新しいソリューションは？


２ファイアウォール再考～ＦＷはこのままでいいのか～


ファイアウォール（ＦＷ）とは

8 8

• 外部からの攻撃に対する防火壁 • トラフィックをフィルタリング

– ＩＰアドレス／ポートＮｏ • 定番のオープンポート

– ポート８０（ＨＴＴＰ） – ポート４４３（ＨＴＴＰｓ／ＳＳＬ）

• 情報漏洩対策としてほとんど無力


だからこんな製品が必要になった

9

• ＵＲＬフィルタリング – 危険なポート８０通信をブロック

• ＡＶ（アンチウィルス） – ポート８０通信中のマルウェアをブロック

• ＷＡＦ（ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ） – ポート８０通信によるＬ７脆弱性を突いたサーバ攻撃をブロック

• ＩＰＳ（ＩＤＰ） – ＤｏＳやワームなどシグネチャや振る舞いで攻撃をブロック


UTMや独立製品で対応してきた。

従来のファイアウォール

ネットワークレイヤについておさらい

10

Web、メール、アプリケーションの種類、URL、HTTPメソッド（Get, Put）、ユーザID、メールの添付ファイル、等実際のコンテンツ部分

L1

L2

L3

L4

L5

L6

L7

Physical

Datalink

Network

Transport

Session

Presentation

Application

TCPとUDPのポート番号

IPアドレス（L3スイッチ／ルータの世界）

MACアドレス（L2スイッチの世界）

ケーブル等


Ｌ７ファイアウォール

従来のファイアウォール

ネットワークレイヤについておさらい

11

Web、メール、アプリケーションの種類、URL、HTTPメソッド（Get, Put）、ユーザID、メールの添付ファイル、等実際のコンテンツ部分

L1

L2

L3

L4

L5

L6

L7

Physical

Datalink

Network

Transport

Session

Presentation

Application

TCPとUDPのポート番号

IPアドレス（L3スイッチ／ルータの世界）

MACアドレス（L2スイッチの世界）

ケーブル等


従来のファイアウォールの限界

12

ポート８０（ＨＴＴＰ）の危険性

ポート４４３（ＳＳＬ）はそれ以上


Ｌ７ペイロードを検査

アプリケーションを識別

ＨＴＴＰメソッドを理解（Get/Put）

Ｉｄｅｎｔｉｔｙを理解（LDAT等と連携し、 ”誰の”通信かを識別）

ポート４４３（ＳＳＬ暗号）を解読、８０と同様に制御

Ｌ７ファイアウォール（次世代ＦＷ）

13


ＦＷからＵＴＭへの進化

14

• Unified Thread Management – URLフィルタ、アンチウィルス、IPS等を統合

• 問題は – 性能が出にくい、機能が中途半端になりがち

• 中小規模では普及してきたが。


ＦＷからＵＴＭへ

15

付け加えアーキテクチャゆえ機能と性能に限界

Physical

Datalink

Network

Transport

Session

Presentation

Application

Physical

Datalink

Network

Transport

Session

Presentation

Application

Physical

Datalink

Network

Transport

Session

Presentation

Application

Physical

Datalink

Network

Transport

Session

Presentation

Application

FW AV URL IPS


ＵＴＭからＬ７-ＦＷへ

16

• 寄せ集めから、統合へ – 性能面で大きな改善 – ＩＰＳとＦＷの融合で効果的な防御

ゼロから製品作り上げが必要。（基本アーキテクチャの変更）


“アイデンティティ” が分かるということは？

17

システム管理者

従来のＦＷＬ７‐ＦＷ

システム管理者

１０.２１２.１９７.７のＰＣが、インターネットに対してＰｏｒｔ８０で通信している。

総務部の秋山が、インターネットに対して、Ｓｋｙｐｅでチャットしている。

アイデンティティ

アプリケーション


具体的製品の状況 ---

18

ＳＲＸシリーズ

“ＡｐｐＳｅｃｕｒｉｔｙ” ”ＩＤ認識” 等、Ｌ７-ＦＷとしての実装を進行中

ＳＳＧシリーズ

安定したレガシーファイアウォールモデル


具体的製品の状況 ---

19

• “次世代ファイアウォール”の代名詞 • 成熟度の高さ、実効性の高さから成長

Source：ミック経済研究所『情報セキュリティソリューション市場の現状と将来展望2011』

0

500

1000

1500

2000

2500

2009 2010 2011

Ｍ￥ PaloAlto出荷金額


国別に脅威を把握、通信の遮断

20

攻撃の早期検知

日本向けサイトなら海外通信を一切遮断も

攻撃拠点国からの通信を遮断


３無線ＬＡＮのセキュリティは？～スマホとＷｉＦｉの普及スパイラル～


無線ＬＡＮはセキュアか

22

• 問題 – 暗号化しない設定で無線利用

• 企業向け無線ＬＡＮ – 高い強度の暗号 – 認証 – 有線部分も暗号化

無線ＬＡＮコントローラ

無線端末

有線端末

認証と暗号化


“勝手アクセスポイント” の問題

23

不正ＡＰ

悪意ある情報奪取

経営情報システム管理者

勝手に設置されたＡＰ

不正APの存在に気づかない

暗号設定漏れによる盗聴

認証設定漏れにより部外者がアクセス可能に

個人や部門が、統制外のアクセスポイントを設置、社内ＬＡＮに接続


ポータブルＷｉＦｉの問題

24 24

経営情報システム管理者

ポータブルＷｉＦｉルータ

会社のネットは遅いし、制限多すぎ！

社内情報を何でも送信可能

認識不能、打つ手なし…

スマホ／タブレット用に個人で持ち込み業務用ＰＣで外部と直結するケースも

ゆるゆるの “出口”に


情報を盗み見られること

無線ＬＡＮのセキュリティリスクとは

25

情報を盗み見られること

統制外の無線ＬＡＮから情報漏えいすること


対処はいろいろ

26

• エンドポイントセキュリティでデータ持ちだしをコントロールする – 正規のネットも、勝手ＷｉＦｉも同様に

• ＭＡＣアドレス認証を導入する – 勝手アクセスポイントはシャットアウトできる

• “番犬”を設置 – 統制外ＷｉＦｉを技術的に検知 – さらに、それを無効化 – 正規の無線ＬＡＮが“番犬”に


デバイス認証の強化

27 正規クライアント

ＭＡＣアドレス認証＆ＤＨＣＰで接続可能デバイスを統制

MA

ｏｒ

不正クライアント

ＭＡＣアドレス認証ＤＨＣＰ

ＪｕｎｉｐｅｒＥＸスイッチ

Ａｒｕｂａ無線ＬＡＮ

Ｉｎｆｏｂｌｏｘ

オープンネットガード

ユーザＩＤ認証

正規アクセスポイント

不正アクセスポイント

不正無線クライアント

正規無線クライアント

経営情報

ＤＨＣＰスヌーピング

© Hitachi Solutions, Ltd. 2011. All rights reserved. 28

①無線の干渉を逆手にとって、他のアクセスポイントの存在を検知

正規無線ＬＡＮを “番犬” に

②遮断パケットを送出し、不正アクセスポイントの通信を遮断

③不正アクセスポイントまでの距離も検知

④三点測量の原理で不正アクセスポイントの位置を推定管理ソフトにて図面上で位置を特定可能

管理者は、勝手ＷｉＦｉの所在、保有者を突き止め、

除去することが可能


４ボットは検知できるか？～スパイを見つければ漏洩は防げるが～


標的型攻撃への新たな対策

31

• ターゲット組織にバックドアやマルウェア – ボット、トロイの木馬

• 密かに感染拡大、コントロール • ターゲット情報にコンタクト、奪取 • ボットは顕在化しにくく、

ウィルス駆除ソフトでも検知しにくい

仕込まれてしまったマルウェア（ボット）やその通信を検知して対処する

標的型攻撃は入口対策が難しい


通信を分析して感染ＰＣを検出

32 32

ゾンビ化したＰＣ

Ｌ７-ＦＷ

ハッカーとの通信

ハッカー

既知のマルサイトへのアクセス

ＤＤＮＳへのアクセス

ｕｎｋｎｏｗｎアプリケーション

ＩＲＣ通信

ゾンビＰＣの通信の特徴


ボット検出レポートの画面例

33


標的型攻撃のリアルタイム検出に挑む

34

シグネチャの事前入手は困難

標的型は、感染して初めてマルウェアと分る

感染をシミュレーションしてマルウェアを検出

ハニーポットサンドボックス

ハッカーをおびき寄せるワナ

ＰＣやサーバを、独立した安全な環境でシミュレーションし、怪しい通信に晒してマルウェアの感染や行動を確かめる


クラウド上のサンドボックス

35 35

Ｌ７-ＦＷ

信頼できないゾーンからの未知のファイル

被害を最小化新たな感染・ゾンビ化抑止

サンドボックスでマルウェアを検出


ＷｉｌｄＦｉｒｅの実証実験から

36

７％のファイルがマルウェア

うち５７％は未知

うち１５％は独自通信

ポート８０Ｗｅｂ経由がほとんど

既存顧客に対するＷｉｌｄＦｉｒｅの実証試験では３５,３８７のファイル提供があり、そのうち７％以上がマルウェア

発見されたマルウェアのうち、５７％はどのアンチウィルスベンダでも検知できず、またウィルス報告サイトでも未発見

新しく発見されたマルウェアのうち、１５％は独自暗号したバックドア通信とみられる未知のプロトコル通信を行う

特に多くのマルウェアが確認されたのは、Web ベースのファイル共有や Web メールアプリケーションの通信

※出典：パロアルトネットワークス社


８まとめ～明らかな時代の流れ“Ｌ７化”～


Ｌ７-ＦＷへのシフトは妨げようがない

38

情報漏洩も防ぐＦＷへ

Ｌ７でトラフック制御し、ユーザを識別

足し算でなく、Ｌ７-ＦＷとしてのアーキテクチャ

攻撃を防ぐＦＷから、

だから脅威や漏洩を最大限に防御。

性能の出ないＵＴＭは卒業。


統制外へのアクセスを防げる無線ＬＡＮ

39

勝手アクセスポイントの排除

認証されたデバイスのみ接続許可

ポータブルＷｉＦｉなど、外への情報漏洩ルートをシャット


ありがとうございました！

prowise business forum - hitachi solutions•waf（web application firewall） –...

Documents