バズワードに踊らされないために 流行技術と向き合うための心得

 Armorisでは、サイバーセキュリティ人材育成の他にも、さまざまな講座やワークショップを展開しています。今回は、本多暁が講師を担当する「DOJO Lite 流行技術概要解説」を紹介します。

 この講座は、サイバーセキュリティに限らずIT全般について、ほやほやの最新情報を継続的にインプットしたい方にオススメです。その名の通り、流行技術を扱っているので、内容は毎度アップデートされます。生成AIなんてまさにそうですが、昨日までの常識が、明日にはもう古くなっていたりします。本多講師も開催2日前まで資料をアップデートして臨むものの、それでもフォローしきれない新情報があって口頭で補っています。本記事では、個別のテーマに限らず流行技術との向き合い方の本質について、本多講師のトークをまとめてお伝えします。

Armoris DOJO Operation Manager 本多暁 SI界から来た何でも屋さん

DOJO Lite 流行技術概要解説」の概要と目的

 世の中には、いろんな流行り廃りがあります。2023年は、AIの話題が随分増えた印象です。この講座では、2023年に話題になった技術がどんなものだったのか、そして、それが2022年以前にはどのように予測されたり扱われたりしてきたのか振り返っていきます。流行以前の世の中の期待、技術的に成熟していく過程を時系列で理解することで、話題の技術の正体、そして、自分で調査する際の観点を養うことができるでしょう。

流行技術との付き合い方

1.背景技術について理解する

 完全に新しい概念は、そうそう出てきません。新しく見える技術も、たいてい裏でコンピュータが何らかの処理をしています。既存の技術の組み合わせや応用もあります。いろんな人が研究や検証を繰り返し、その中の一部が商業的に成功して表に出てくるわけですから、「これはもともと何だったんだっけ?」と考えてみると面白いです。

 例えば、ビットコイン。これはハッシュ関数と署名とP2Pネットワークの組み合わせです。個々の技術はかなり古いものです。

 流行るタイミングによって背景技術が変わるものもあります。たとえば、AIという概念は、1950年代頃からあり、これまで大きく分けて3回のAIブームがありました。しかし、ずっと同じものをAIと言っていたわけではありません。「大昔にAIが流行ったけど大したことなかったし、今回もどうせそんな感じでしょ」では、読み間違えることになります。

2.なぜ流行っているのか考察する

 なぜ流行っているのか考察するのも面白いです。真に技術的に優れている・画期的であるから流行っているというケースは、そんなに多くないかもしれません。既存サービスとの差別化がうまくいったから、メディアでよく取り上げられるからという一見すると技術的なところとは関係のない理由も少なくありません。いろんな人の思惑があって表に出てくることもあります。

3.定義に固執しない

 定義に固執しないことも大事です。「DX」なんかまさにそうかもしれませんが、商業化された技術やサービスには利害関係者がいます。利害関係者がポジショントークを展開するのは当たり前のことです。誰が、どんな目的でその技術に関わっているのか、邪推にならない程度に考えてみましょう。

 物事を前に進めるために大切なのは、私とあなたの定義を一致させることではなく、今この技術について、どういう背景・考え方で話しているのか見極めることです。一方で、技術的に正しい説明は、それはそれで大事。揉めそうになったら、「まぁ、諸説ありますよね」と、争いを避けながら話を進めるほうが得策かなと思います。

4.適度に近づく

 新しいものに対して、熱狂し過ぎてもいけないし、冷淡であり過ぎてもいけません。大人になると冷淡になりやすくなります。新しいものが怪しく見えることも珍しくありません。でも、仮に自分がそれをあまり好きではないとか、胡散臭いなと思ったとしても、自分なりに分析・考察できる程度にはアンテナを張っておかないと、情報収集すらできなくなってしまいます。

 それに、世間的に使われるようになれば、何らかの形で自分にも影響が及んできます。たとえば、ChatGPTが出始めた頃は、「何だか気持ち悪い」「リスクがありそうだから使わない」と言っていた人もいました。しかし、周りが使い始めたら、生成AIで作られたデータは勝手に外から飛んでくるようになりました。

 新しい技術が何に使えるのか、自分や周囲にどういった影響があるのか、継続的に考察しましょう。疑ってかかることは重要ですが、慎重になることと感情的な非難は別物です。

5.適切に距離を取る

 そうは言っても、適切に距離を取りましょう。先ほど利害関係者と言いました。認知バイアスといって、当事者はどうしても思い込みに陥りやすいです。自分にとって都合の悪い情報を軽視する正常性バイアスや、生存者バイアスなんかもあります。成功の裏側には、無数の失敗や敗北者たちがいることを想像できないと、リスク回避ができなくなってしまうかもしれません。だからこそ、これまでお話ししてきた1~4までが重要になってくるのです。

6.特定のポジションと争わない

 誰にでも「ポジション」があります。私だって、こんな講座やっていて、なるべく客観的な情報を伝えたいところなのですが、真に客観的になることは無理です。私はもともとシステム開発に従事していました。だからどうしても、プログラム的にこれは適切なのか、という部分に目を向けたくなってしまいます。

 ですから、「私は客観的に話しています」という人の話でも一歩引いてみることが大切だと思っています。そして、自分の背景を具体的に表明した方が良いです。私には私のポジションがある。あなたにはあなたのポジションがある。そのポジション同士は混ざり合わないことを前提に、違いを理解することが大事です。

7.「銀の弾丸はない」と心得る

 最後に、「銀の弾丸はない」と心得る。これは、ソフトウェア技術者 フレデリックブルックスの1986年の論文『銀の弾丸などない』に書かれていたフレーズです。銀の弾丸とは、ヨーロッパの伝承神話で、モンスター、特に狼人間を一撃で撃ち倒す強力な武器の例えです。「そういった便利なものは、ソフトウェアエンジニアリングの世界には存在しませんよ」ということを言っています。

 でも、悲観主義ではありません。「新機軸をもたらすための継続的な一貫した努力はそれはそれで認めている」という内容になっています。言い換えれば、「There is no royal road, but there is a road.(王道はないけど道はある)」。このフレーズも確かこの論文の中に書かれています。

8.試しに使ってみるのが一番手っ取り早く理解できる

 こんにちのコンピュータの新しい仕組みは、原理を正確に理解しようとすると、高いレベルの数学の知識が求められます。大学以上、少なくとも行列やベクトルの知識がないと本当の意味での理解は難しいかもしれません。でも、それではハードルが高すぎる。この講座では、じっくり聞いたら理解できるようにポイントをまとめています。ただし、「試しに使ってみるのが一番手っ取り早く理解できる」ということは申し上げておきましょう。

――ということで、次回の「DOJO Lite 流行技術解説」は、5月31日。テーマは、「ダークパターン」を予定しています。ダークパターンとは、消費者を騙して不利な契約や意思決定に誘導するUIやサービスデザインの総称です。ダークパターンの類型、ダークパターンの起源、サービスの企画・開発・提供者として気を付けるべき点など、2時間で徹底解説します。ぜひご参加ください!

現実世界がサイバー空間に与える影響――日本企業も要注意、中国と台湾をめぐるサイバー空間の動き

 こんにちは、Armoris 広報の酒井です。エストニアのサイバーセキュリティの権威で、Armorisの協力メンバーでもあるRain Ottis(レイン・オッティス)が、2023年12月、企業向けに講演し、現実世界がサイバー空間に与える影響と2023年のサイバー紛争について、2023年11月11日時点の情報を語りました。今回は、中国と台湾、その同盟国を交えて繰り広げられるサイバー空間の動きについて、Rainが語ったエッセンスを紹介します。(以下は、Rainによる講演内容の要約です)

レイン・オッティス――タリン工科大学サイバーオペレーション学科教授で、以前は、NATO Cooperative Cyber Defence Centre of Excellenceとエストニア国防軍に勤務していました。

中国から台湾に向けたサイバー攻撃が激化

 最後のお話は、中国と台湾をめぐるサイバー空間の動きです。こちらもかなり活発化しています。日本の皆さんにとっても興味深い情報となるでしょう。

 ここ数年、中国から台湾に向けたサイバー攻撃が激化しているとされています。これらの動きは軍事作戦の準備だと捉えることもできるでしょう。なぜなら、つまり、台湾の軍事ネットワークやその他の重要なネットワークにアクセスすることで、軍事衝突が発生した場合、重要なシステムの電源を切ったり、無効にしたり、潜在的な紛争の過熱期に防御システムを混乱させることができるのです。いざ軍事攻撃が発生した際に、防御システムが妨害される可能性も考えられます。

 しかし、こうしたサイバー攻撃は、市民社会全体や民主的な統治システムも標的にしており、国民と政府、そして国民の間に不信感を植え付けることで、台湾側の潜在的な攻撃的動きを統治しづらくしているという主張や報告もあります。

 台湾に対するサイバー攻撃には潜在的な経済的影響があります。台湾はICチップの生産の最重要拠点です。したがって、サイバー攻撃が成功して台湾のサプライチェーンが侵害されれば、台湾経済だけでなく、日本経済、世界経済全体に大きな影響を与えます。これが、台湾に向けてこれほど多くのサイバー攻撃をしている理由の一つと推察されます。

同盟国が狙われる

 日本の人々が中国と台湾に注目すべきもう一つの理由は、中国が台湾の同盟国、潜在的な同盟国も標的にしているとされているからです。中国のマルウェアは、グアムを含むさまざまな米国政府および軍のネットワークで発見されています。これがアメリカ軍の航空作戦や一般的な軍事作戦を妨害するための軍用マルウェアである場合、中国側からすれば、このマルウェアを適切な時期に使用することは理にかなっています。また、中国の脅威アクターが、日本の防衛ネットワーク、防衛省、サイバーセキュリティ機関ネットワークを含む日本のさまざまなネットワークに侵入していることも報道でよく知られています。

 中国は今後も、アメリカ、台湾、日本、および中国が潜在的な競争相手とみなす国々のネットワークを侵害し続けるでしょう。現状これは確実に行われています。というのも、ほとんどの国はこの種の攻撃が実際の武力攻撃に相当するものであると主張したがらないため、サイバー攻撃はこの種の国際紛争で、自らの地位を高めるための効果的な手段の一つとなっているのです。(ですから、実際にリアルな軍事衝突まで引き起こす可能性は低いと考えられます)

エストニアの海底ケーブルと海底ガスパイプラインに起きた怪しい事象

 今日議論したい最後の例は、私の身の回りからかなり近いものです。それは、過去数か月で、エストニアと欧州の他の地域とを結ぶ海底ケーブルと海底ガスパイプラインに関連していくつかの事件が発生しているというものです。

 具体的には、2本の海底光ファイバーケーブルが損傷し、エストニアフィンランドを結ぶ海底ガスパイプラインの1つが損傷しました。これらの事件の真相はまだ調査中ですが、エストニアフィンランド、およびスウェーデンの当局はすでに、これは意図的に行われたもので、外部のアクターが関与している可能性があると述べています。

 事実として、中国のコンテナ船がこれらの侵害地点を通過したことが分かっています。侵害が発生していた時点で、おそらく船が海底に錨を引きずっており、それによって少なくとも2つのインフラが壊れたようです。

 中国の船は、ロシアに到達した際に写真を撮られ、その船が錨の一つを失くしていることが確認されました。そして、海底には錨が一つ放置されているのが見つかりました。

 なぜこの例が日本にとって興味深いと言えるのでしょうか。それは、日本が島国だからです。日本はエストニアよりもはるかに世界と接続するケーブルが多数あります。日本が世界の国々とあらゆる接続を持っているかぎり、同様の攻撃に脆弱だということです。

 平時においてもこのようなインフラの混乱が起こり得ると考えるべきです。つまり、冗長化が重要で、複数のケーブル、理想的には衛星接続も必要です。

 ここまでお話したことは、あなたの国、あなたの会社でしっかり認識すべき問題です。仮に、国に対してサービスを提供する企業であるならば、敵対勢力が侵入する理由になります。考え得るさまざまな事象を検討し、インシデント対応計画を策定し、事業継続性を高めるために、演習が有効です。

――以上が、Rainが語った中国と台湾をめぐるサイバー空間の動きです。最後に、インシデント対応への準備の重要性が示唆されました。Armorisでは、個人向けのトレーニングジムのように各自の課題に好きな時間に取り組む講座から、企業・団体向けのインシデント対応演習講座、さらに合宿型の演習サービスなど、受講者のレベルやニーズに合わせたさまざまな講座を用意しています。まずはサイトを覗いてみてください!

Armorisのトレーニング一覧:https://www.armoris.jp/top/service

サイバーインシデント対応者向けインシデント調査を学ぶ合宿

このブログは、今年度から株式会社Armorisの社員になり様々なトレーニングのサポートなどをしているKaepiが書いています。

Armorisでは多種多様なトレーニングプログラムを提供しており、お客様のニーズに応じて様々な形式で研修を実施しています。
また、すべてのトレーニングプログラムが対面/オンラインでの実施に対応しています。
その中で、今回Armorisとしては2019年以来となる合宿を行ったので、事例紹介を交えつつ、ティーチングアシスタント(以下「TA」)として参加した立場で見た合宿の様子を紹介いたします。

ティーチングアシスタント(TA)とは、講師をサポートするスタッフのことです。
合宿当日において、TAは演習中に参加者からの質問に応じたり、進行状況を見て適宜ヒントを提供するなどの役割を担っています。
そのほかにも、演習の円滑な進行のために、様々な面から参加者・講師のサポートを行いました。

実施形態について

近年では感染症の流行などの影響もあり、多くのトレーニングがオンラインでの実施となっていますが、最近は対面での研修依頼も増えてきています。

こういった流れの背景には、単に感染症の影響の増減だけではなく、ある程度リモートワークやオンライン研修を続けることで、それぞれの違いが明確になってきたことも一因だと思います。

オンライン研修では感染リスクを抑える以外にも、場所を問わず受講が可能な点や、移動時間が短縮できる分柔軟なスケジュールを組むことができる点などのメリットがあります。

しかし、どうしてもチャットやオンラインミーティングでは質問がしづらいという方や、講師側もサポートが必要なのかがわかりづらいなど、できるだけコミュニケーション面での不便さを解消しようとはしているものの、現時点では完全には解決できていないという課題もあります。

その点、対面での研修では現地参加ならではのコミュニケーションの取りやすさ・活発な交流などが期待できます。

ようやく感染症が収束に向かってきている現在、対面・オンライン双方の特性を考慮した結果、対面での研修も選択肢に入ってきたのではないでしょうか。

合宿について

2023年11月中旬に行った合宿を事例として紹介します。

この合宿は首都圏のホテルにて一泊二日で実施し、所属企業は伏せさせていただきますが、6名程度の参加者の方に参加いただきました。
参加者は2グループに分かれて、インシデント発生時のログ調査・原因究明という点に焦点を当てた演習を行いました。

また、合宿当日の演習をより効果的な学びにするために、合計12時間程度の事前勉強会を3日に分けて実施しました。

合宿と事前勉強会のスケジュール

日程 内容
事前勉強会1日目 コンピュータ・ネットワークの基礎
事前勉強会2日目 Linux基礎・ログ分析
事前勉強会3日目 Windowsセキュリティ・調査
合宿1日目 環境構築・ログ分析
合宿2日目 ログ分析・調査結果発表

事前勉強会について

事前勉強会では、合宿当日の演習を円滑に進めるため、WindowsLinuxの基礎知識に加え、合宿当日の演習に使用するツールの使い方やログ分析に必要な知識をハンズオンを交えて講義を行いました。
また、結果的に合宿に向けて参加者同士の交流を深めるきっかけになったと思います。

概要

演習は2日間にわたり、演習環境の構築とログ調査を行いました。
演習に使用するサーバなどの環境は、参加者が調査を行う環境に対して理解を深めるため、運営側が基本的なセットアップをしたLinuxサーバと必要な手順をまとめた資料を提供し、最終的な環境構築は参加者が行いました。

環境構築が完了するとTAから演習環境に対していくつかの攻撃が行われ、脆弱性を突いたwebサイトの改変や不審メールに起因するマルウェアの侵入・情報漏洩などのインシデントを再現しました。
参加者はwebサイトの改変や不審メールの報告を受け、プロキシサーバのアクセスログやWAFの検知ログ、Windowsのイベントログ・レジストリ・プリフェッチなどの調査を行い、最後に各チームが調査結果をまとめ、発生事象・被害・原因・影響範囲・対策などを発表しました。

TAから見た合宿の様子・感想

異なる所属部署・企業の参加者の方が同じグループとして演習に取り組む形でしたが、合宿中は活発にコミュニケーションが取られており、参加者の方の中でも教えあいながら知見を共有していました。
また、合宿自体は2日間と短期間でしたが、事前勉強会を行ったことにより全員が取り残されることなく演習に参加できていて、より良い学習につながったと思います。

長時間かつボリュームの大きい演習内容だった事もあり、演習終了時には疲労困ぱいの様子でしたが、その中にはやりきったような雰囲気がありました。

合宿をサポートしていて気づいた点としては、今回のような共通の目的を設定して複数人で問題解決をするタイプのトレーニングでは、全員が現地に集まって実施するほうが学習効果が高いように見えました。

理由としては、合宿中に些細なところでも気軽に質問できる雰囲気があったと感じた点や、複数人で協力して取り組む上で、やはりコミュニケーションや連携といったところが重要になってくることから、対面での実施が有効だと考えた点が挙げられます。

また、合宿ならではというところでは、普段の業務などから切り離した環境で行うことで、より集中できる環境を用意できるといったメリットもあると思います。

最後に

今回のブログでは昨年の11月中旬に行った合宿について紹介をさせていただきました。
今回紹介した事例などは一例であり、お客様の要望に合わせて組み上げられますので、お気軽にお問い合わせください。

お問い合わせ: https://www.armoris.jp/contact/inquiry

※あるもりすぶろぐの内容は個人の意見です。

現実世界がサイバー空間に与える影響――パレスチナ・ガザ地区をめるぐ展開

 Armoris 広報の酒井です。エストニアのサイバーセキュリティの権威で、Armorisの協力メンバーでもあるRain Ottis(レイン・オッティス)が、2023年12月、企業向けに講演。現実世界がサイバー空間に与える影響について、2023年11月11日時点の情報を語りました。今回は、パレスチナガザ地区を実効支配する武装組織「ハマス」によるイスラエルへの攻撃とイスラエル軍によるガザへの侵攻におけるサイバー空間の動きについて、Rainが語ったエッセンスを紹介します。(以下は、Rainによる講演内容の要約です)

レイン・オッティス(Rain Ottis)――タリン工科大学サイバーオペレーション学科教授で、以前は、NATO Cooperative Cyber Defence Centre of Excellenceとエストニア国防軍に勤務していました。

止まぬ混沌

 今回は、パレスチナガザ地区を実効支配する武装組織「ハマス」によるイスラエルへの攻撃とイスラエル軍によるガザへの侵攻におけるサイバー空間の動きについて解説します。この紛争をめぐっては、少なくとも20年間、定期的にサイバー攻撃が行われてきました。ハクティビズムに関連した活動も数多く見られます。

 はじめに、ガザ地区は非常に小さな土地です。サイバーの観点では、ターゲットになり得るインフラが比較的少ないと言えます。一方、イスラエルには多くの重要インフラ、ハイテク企業があります。その意味で、非常に大きな攻撃目標が存在します。イスラエルもそれを自覚して備えていて、イスラエルのサイバーセキュリティ能力は非常に優れていると一般に認められています。ですから、この紛争は、比較的同じレベルの技術、同じレベルのインフラを持つ者同士のロシア・ウクライナ戦争とは大きく異なります。

2023年10月7日、イスラエルへの奇襲攻撃がもたらしたもの

 2023年10月7日、ハマスガザ地区からイスラエルに奇襲攻撃を開始しました。イスラエルにとっては不意を突かれたもので、ハマスの攻撃は成功しました。これにはハマスの同盟者たちも驚いたようです。エストニアにいる私たちも、日本の人々もこの出来事には驚いていました。

 この攻撃で、ハマスは一時的にいくつかの入植地と軍事施設を占領し、多くの民間人が無差別的な暴力に巻き込まれました。これらの出来事の多くは、彼ら自身、もしくはTVカメラやジャーナリストを通じて発信され、国際世論は反ハマスに傾きました。なぜなら、彼らの行為には何の名誉も大義名分もなく、明らかにテロと見なされるものだったからです。予想通り、イスラエルは報復し、ガザに駐留するハマス部隊とそのインフラを排除するため、地上作戦を開始しました。

暗躍するハクティビスト

 米国と西側諸国がイスラエル支持を表明する一方で、イラン、ロシア、中国は政治的にハマスを支持しています。そして、おそらくサイバー空間でもハマスをある程度支援しているでしょう。では、サイバー空間での紛争において親ハマス側、親パレスチナ側には誰がいるでしょうか。そこにはハクティビズムが多く存在しています。

 ハクティビストにもいろいろな目的を持った集団がいるということは、前回の記事でも解説した通りです。この紛争でも、一部は特定の理念を強く支持して自発的にサイバー攻撃を実行する言葉通りのハクティビストですが、中には、ロシア・ウクライナのケースと同様、”ハクティビスト”と引用符で囲む必要がある組織もあります。つまり、自発的ではなく、政府関係機関の要請で、ハクティビスト的な活動をしている集団です。また、イランからの脅威と見られるいくつかのアクターも存在しています。

 具体的なサイバー攻撃の内容としては、DDoS攻撃をはじめとした典型的なサイバー攻撃がほとんどのようですが、イスラエル側にはより攻撃対象が多く存在することに注意すべきでしょう。

 また、ここでもメディアが標的にされています。攻撃者は世論をコントロールしたいと考えていますし、メディアが彼らの正体や行為を報じることを避けたいと思っています。従って、イスラエルでは、メディアやさまざまな政府機関に対する弾圧キャンペーンが行われています。

ハクティビスト”に期待されるのは、”脅威”を作り出すこと

 ポイントは、多種多様なハクティビストが存在するものの、現実世界の戦争に大きく影響するような成果は上げていないということです。それは、ウクライナ・ロシアも同様です。彼らはしばしば自分たちの成果を誇張し、成功を声高に主張することがありますが、実際には単なるサイバー攻撃の試みに過ぎないことも多いのです。例えば、どこかのウェブカメラにアクセスできた場合、それを利用してまるで州全体の監視カメラシステムが彼らの支配下にあるかのように見せかける、といったこともありました。

 世界中のさまざまな紛争で、こういった動きが発生しています。大手メディアがこの問題をかなりの範囲で取り上げている場合、たとえそのサイバー攻撃が現実世界の紛争に多大な影響を与えなかったとしても、脅威と思わせること、脅威を作り出すことが可能になるのです。

サイバーセキュリティ演習の分類について(番外編)

 こんにちは。Armorisでいろんな案件にたずさわる川崎です。昨年、とある組織を対象とした経営層向けサイバー演習プロジェクトについて、このブログでその概略をご紹介させていただきました。その中で、他の形態の演習プログラムも提供していることについて少し触れましたが、今回のブログでは弊社が提供する各種演習プログラムについて、その概略や狙い、主な想定受講者層等について、比較しながら簡単にまとめたいと思います。

動画を用いたセキュリティワークショップシリーズ

 サイバーインシデント・情報セキュリティインシデント事案をドラマ形式の動画を視聴しながら優しく学ぶシリーズ。動画のシーンごとに自分の考えを発言する機会を設けていますので、受講者自らの思考を鍛錬する効果も期待できます。
※想定受講者の異なる2つの講座があります
詳細はこちら
https://www.armoris.jp/top/service/group/respons-exp

参加人数:5人程度×3グループ【共通】
実施に必要な時間:
2時間程度(サイバー)
1時間程度(情報セキュリティ)
特にお薦めする組織:

  • セキュリティ部門の育成を図りたいと考えている組織(サイバー)
  • 一般従業員のセキュリティリテラシの向上を図りたいと考えている組織(情報セキュリティ)

 

DOJO CORE

 架空の組織を舞台として、その組織のメンバーとして発生したサイバーインシデントへの対応を行う机上演習です。参加者は演習事務局から提示された状況付与に基づき、必要なアクションを検討して実施します。 ※参加者が自らログ分析を行うAタイプと、参加者がログ分析をシステム保守事業者に指示するBタイプの2種類があります
詳細はこちら
https://www.armoris.jp/top/service/group/dojo-core

参加人数:5人程度×3グループ
実施に必要な時間:5時間程度
特にお薦めする組織:セキュリティ部門の育成を図りたいと考えている組織

経営層向けサイバー演習支援サービス

 自組織の特定のサービス、事業、エリア、部門等でサイバーインシデントが発生したことを想定した経営幹部向けの机上演習です。単なる技術的なサイバーセキュリティの観点のみならず、ビジネスインパクト、事業継続、対外的なリスクコミュニケーションといった、経営幹部が対応すべき様々な事項についてシミュレーションを行います。
詳細はこちら
https://www.armoris.jp/top/service/group/exercise-executive

参加人数:ASK
実施に必要な時間:ASK
特にお薦めする組織:サイバーセキュリティ上の課題を経営視点で洗い出したいと考えている組織

演習サービスまとめ

 上記のとおり、Armorisはサイバーセキュリティに係る多種多様な演習プログラムを提供しております。「サイバー演習」とは、自組織におけるサイバーインシデント発生時の対応体制の過不足の検証や課題の洗い出しを行い、改善を行う取り組みの一つです。是非、こうしたプログラムをご活用いただき、組織のサイバーレジリエンス向上につなげるお手伝いができましたら幸いに思います。
ご不明点などございましたら、下記お問い合わせフォームからお気軽にご相談ください。
株式会社Armoris - お問い合わせ

OSINTBuddyで調査する(実践編)

このブログは、株式会社ArmorisアルバイトのShaderoが書いています。

あるもりすぶろぐの内容は個人の意見です。


はじめに

今回は、OSINTBuddyというオープンソースで開発されているOSINTツールを使って実際のフィッシングサイトを調査します。この調査を通じて、OSINTBuddyの現時点での実用性を紹介します。

OSINTBuddyのバージョンが変わった影響で手順は若干変わっていますが、環境構築については前回の記事をご参照ください。

Entity一覧

OSINTBuddyでは、標準でいくつかのEntityが用意されています。用意されているEntityは以下の通りです。

名前 説明
CSE Result Google カスタム検索の検索結果を表すEntity。
CSE Search Google カスタム検索を用いて検索するためのEntity。
DNS ドメインDNSレコードが格納されたEntity。このEntityから、IP Entityに変換できます。
Google Result Google検索の検索結果を表すEntity。
Google Search Google検索を用いて検索するためのEntity。
IP IPアドレスを表すEntity。IP Geolocation等に変換できます。
IP Geolocation IPアドレスから取得した位置情報。
Subdomain サブドメイン名を表すEntity。
Telegram Websearch Telegram内で検索するためのEntity。内部実装では検索にCSEを使用しています。
URL URLを表すEntity。Website Entityに変換できます。
Username ユーザ名が格納されているEntity。
Username Profile ユーザ情報を表すEntity。カテゴリ名とサイト名、URL、ユーザ名を格納できます。
Website ドメイン情報を表すEntity。IPアドレスWhois情報等を取り出せます。
Whois 指定ドメインWhois情報を表示するEntity。

一部Entityでは、新しい情報を外部から収集することが出来ます。例えばDNS Entityでは、指定ドメインDNSレコードに紐付けられたIPアドレスを取得することが出来ます。

新しい情報を外部から収集することが出来るEntityは以下の通りです。また、現時点では収集機能が正常に動作しないEntityもあるため、その点についても記載します。

名前 情報収集機能の有無 動作の可否
CSE Result × --
CSE Search
DNS
Google Result × --
Google Search ×
IP
IP Geolocation × --
Subdomain × --
Telegram Websearch ×
URL × --
Username
Username Profile × --
Website × --
Whois × --

動作の可否を△としたIP Entityでは、IPアドレスから位置情報を取得する機能は正常に動作しましたが、IPアドレスからドメインや、サブドメインを逆引きする機能が正常に動作しませんでした。

なお、構築した検証環境での結果のため、他環境では結果が異なる場合があります。

OSINT調査

それでは実際にOSINTBuddyを用いて調査を行います。今回は、OSINTによって該当フィッシングサイトの情報を収集し、その情報を元に他フィッシングサイトを収集するという流れで調査を行います。

なお、調査に必要になるグラフは作成済みとします。グラフの作成方法等は前回の記事をご覧ください。

環境

今回の検証で用いる環境は以下の通りです。 基本的にOSINTBuddyはサーバ側で動作させ、クライアント側からアクセスする形で使います。

また、予め3000ポートと8000ポートをクライアント側にフォワーディングしています。

ssh username@serverIP -L 3000:localhost:3000 -L 8000:localhost:8000

サーバ

Name Value
OS Ubuntu 22.04
OSINTBuddy v0.1.0

クライアント

Name Value
OS Windows 11
Browser Microsoft Edge

フィッシングサイトの情報を収集する

OSINTBuddyのグラフを用いて、フィッシングサイトの情報を収集します。

Website Entityに、フィッシングサイトのFQDNを入れた後、Entityを右クリックして、情報を収集します。

本来は、IPアドレスGoogleの検索結果、Whois情報、DNS情報の4つがWebsite Entityから取得できるはずなのですが、不具合によりIPアドレスWhois情報しか取得できませんでした。

その後、取得できた情報から、さらに収集した結果が以下の画像になります。

他フィッシングサイトを見つける

先ほどの工程で、フィッシングサイトの情報を収集しました。ここでは、その情報を元に他フィッシングサイトを見つけます。

収集したIPアドレスを紐付けている別ドメインを収集することで、他フィッシングサイトを見つけたいのですが、OSINTBuddyにはその機能が用意されていませんでした。そのため今回は、VirusTotalを用います。

先ほど収集したIPアドレスVirusTotalに入力した結果、紐付けられているドメインを10件取得できました。

OSINTBuddyを使って、VirusTotalから取得したドメインから情報を収集します。

IPアドレスは取れたものの、ほとんどのドメインWhois情報を取得できませんでした。ログを見ると、Whois情報取得の過程でCAPTHA認証を求められた事がWhois情報取得失敗の原因でした。

またIPアドレスが同じでも、別Entityとして登録されており、これらを纏める事が出来ませんでした。OSINTにおいて、同一情報を纏める事は重要なので、現状の機能では実用性に欠けると感じました。

おわりに

今回は、OSINTBuddyを用いて実際のフィッシングサイトを調査しました。

調査の過程で、不具合が多い点が気になりました。具体的には、Website EntityからDNS情報、Google検索結果を取得できない点や、Whois情報の取得に失敗するケースがある点などです。また同一Entityを纏める機能や、VirusTotalと連携するPluginが無い点も気になりました。

現状では実用性に欠けると感じましたが、Web上でOSINTが行える点やOSSである点は大きなメリットです。今後のアップデートに期待したいです。

特定期間に発生したインシデントとその報道されたニュースとかのリンクをまとめたもの18

このブログは別の場所でSOCにも携わっている経験のある株式会社Armorisのseanが、本人の興味範囲に基づいて収集したサイバーセキュリティ関連の出来事をまとめたものです。
各出来事に関するコメントは個人の意見です。

サイバー世界情勢

地域的なサイバーセキュリティの話題。サイバー攻撃の話題の場合は、攻撃を受けた側の地域別に分類。地域分けが間違っていたらご容赦ください。

アジア

12/4

12/7

12/8

12/11

12/14

12/16

北米

12/15

12/29

ヨーロッパ

12/4

12/7

12/8

12/13

12/29

中東

12/14

12/16

12/29

アフリカ

12/20

12/27

脆弱性関連

12/4

12/7

12/8

12/11

12/12

12/13

12/29

分析手法、ツール関連

12/7

12/8

12/11

12/14

12/15

12/16

12/29

解析・分析・研究記事

マルウェア

12/4

12/5

12/8

12/15

12/16

12/19

12/21

12/25

攻撃手法

12/27

フィッシング

12/14

APT

12/5

12/6

12/8

12/15

12/16

12/26

ランサムウェア

12/4

12/22

悪意あるパッケージ

12/7

Bot

12/29

マルバダイジング

12/5

RAT

12/25

インフォスティーラー

12/26

ローダー

12/29

悪意あるプログラムのアプリストア配布

12/6

偽のアップデートメッセージ

12/11

認証情報窃取

12/8

OAuthの悪用

12/14

スミッシング

12/20

SMTPスマグリング

12/19

HTMLスマグリング

12/7

偽のセキュリティアドバイザリ

12/5

偽のブラウザ機能拡張

12/25

サイドチャネル攻撃

12/8

Javascript Web インジェクション

テイクダウン・逮捕

12/4

12/12

12/14

12/21

12/25

レポート・まとめ

12/4

12/5

12/6

12/8

12/13

12/16

12/19

12/21

12/27

12/29

官公庁・組織・団体公表

NASA

12/28

経済産業省

12/22

IPA

12/20

JC3

12/28

OT

12/8

12/12

12/16

システム・セキュリティ業界の動向

Apple

12/13

Google(Android)

12/14

Microsoft

12/14

攻撃側の動向ほか

12/12

業界別インシデント

金融・証券・保険・ローン

12/22

12/29

暗号資産

12/15

会計

12/25

製造

12/6

12/11

12/20

自動車関連

12/7

12/8

12/13

サービス

12/21

情報

12/4

12/5

12/16

12/21

12/28

教育

12/4

12/11

12/12

12/29

医療・医薬・ヘルス

12/8

12/16

12/27

12/28

バイオ

12/5

食品、飲料

12/16

12/28

小売、卸売

12/8

12/11

12/14

電気機器

12/26

12/28

出版、書籍販売

12/13

12/25

ゲーム

12/12

12/14

12/25

  • UBISOFTの約900GBものデータが危うくハッキング、セキュリティチームが防衛成功

12/28

放送

12/20

メディア

12/25

官公庁、国家・公的機関

12/5

12/11

12/15

県立機関・組織

12/26 

農業

12/19

協会

12/5

12/20

独立行政法人

12/28

航空・宇宙

12/5

宿泊

12/4

  • 【重要なお知らせ】不正アクセスによりお客様の個人情報が第三者に閲覧された可能性とフィッシングサイトに誘導するメッセージ配信についてのお詫びとお知らせ(ホテル八重の翠東京)

宝くじ

12/28

セキュリティ

12/8

SBOM関連

12/13

12/26

啓蒙・教育・人材関連

12/4

12/6

12/22

12/26

12/27

サプライチェーン関連

12/14

気になった記事

12/7

12/8

12/11

12/12

12/19

12/25