情報処理安全確保支援士 2015年 秋期 午後1 問03

　　 　W社は、精密機器を製造している従業員数500名の会社である。W社では、取引先との間で設計データを共有するためにWebサイト（以下、サイトXという）を利用している。サイトXは、W社の情報システム部が開発、運用しており、W社の従業員と取引先の従業員が利用している。サイトXのネットワーク構成を図1に、システム概要を図2に示す。

〔セキュリティインシデントの発生〕 　ある日、DMZに設置している3台のサーバで、同様のタスク実行失敗を示すイベントが出力されたので、サイトXの運用を担当しているB氏は、システム障害として調査を行った。DMZの各サーバのイベントログを表1に示す。

　調査の結果、図3の事象が確認できたことから、B氏は、不正侵入のセキュリティインシデントが発生したと判断した。

　B氏は、DMZのサーバ3台をネットワークから切り離し、取引先にサイトXの停止を通知した後、セキュリティ担当A氏の協力を得て、侵入経路の調査を開始した。 　 〔侵入経路の調査〕 　A氏は、DMZに設置しているサーバのOSへのログイン履歴を基に、タスク実行失敗を示すイベントが出力された日時の前後のログを調査して、どのサーバが最初に侵入されたかを特定した。Webサーバ、WebAPサーバ1及びWebAPサーバ2の3台の2015年1月1日以降のログイン履歴は、表2～4のとおりである。 　

　次は、侵入経路の調査の過程におけるA氏とB氏の会話である。

　A氏：ログイン履歴には、複数の利用者IDのログインが記録されています。利用者IDはどのように使い分けているのですか。 　B氏：運用では、“unyou”を使用しており、“administrator”は使用していません。 　A氏：そうだとすると、“administrator”という利用者IDを使ってサーバにログインした者が攻撃者であると推測できます。aからbに、bからcにという順番でログインしていますね。 　B氏：それでは、最初に侵入されたサーバは、aということでしょうか。 　A氏：その可能性が高いですね。侵入された原因を特定するためには、aのアクセスログを調査する必要があります。 　B氏：ところで、ログイン履歴を見ると、失敗することなく短時間で他のサーバへのログインが成功しています。攻撃者は、どのような方法で他のサーバにログインしたのでしょうか。 　A氏：DMZの各サーバには、“unyou”、“administrator”という利用者IDが、全サーバに同じパスワードで設定されているようです。そうした設定では、あるサーバから他のサーバにアクセスする際、自動的にログインが行われます。攻撃者は、そのようなOSの仕様を利用して、他のサーバにもログインしたようです。 　 〔侵入された原因の特定〕 　A氏は、インターネットから侵入された原因を特定するために、aのアクセスログを調査した。担当者にヒアリングしたところ、設定に誤りがあり、インターネットから管理画面にアクセスできるようになっていたことが分かった。aのアクセスログのうち、攻撃者のIPアドレスからのものを表5に示す。調査の結果、①サーブレットコンテナの管理画面に対して、よく使われる利用者IDとパスワードでログインが試行され、その結果、ログインが成功したものと推測された。管理画面から、バッチファイルをaにアップロードされた後、タスクが登録されたり、バッチファイルが実行されたりしたと推測された。

　次は、aのアクセスログの調査過程における A氏と B氏の会話である。 　 　A氏：侵入された後、demo ディレクトリに index.jsp という名前のファイルをアップロードされたようです。アクセスログの No.dのステータスコードがeであり、No.fのステータスコードがgであるということから、demo ディレクトリは攻撃者が No.fの直前で作成したことが分かります。 　B氏：確かに、aには、demo ディレクトリは元々ありませんでした。 　A氏：index.jsp を調査したところ、攻撃ツールであることが分かりました。指定したファイルをインターネット上のサーバにアップロードする機能、OSのファイル共有機能を使って他のサーバにファイルを転送する機能、OSのファイル共有機能を使って他のサーバ上でOSコマンドを実行する機能、及びDBMSに対してSQLを発行する機能をもっています。 　 〔影響範囲の特定〕 　A氏は、内部LAN及び管理LANへの影響を特定するために、FWのフィルタリングルールを確認して、侵入されたサーバからどの範囲がアクセス可能だったかを調査することにした。FWのフィルタリングルールを表6に示す。W社のポリシでは、業務上必要なサービスだけをFWで許可することになっているが、②FWのフィルタリングルールにはポリシを満たしていないものがあることが判明した。

　次に、A氏は、タスク実行失敗を示すイベントが発生した日以降の、FWのログを調査し、内部LAN及び管理LANへの影響がないことを確認した。 　 〔対策とシステム再稼働〕 　A氏とB氏は、影響範囲がDMZのサーバ3台だけであったことから、それらのサーバの再構築を行った後、次の対策を実施した。 　(a)　WebAPサーバ1とWebAPサーバ2に、図4のアクセス制御の設定を行うことで、送信元のIPアドレスが127.0.0.1である場合だけ、サーブレットコンテナの管理画面へのアクセスを許可する。

　(b)　各サーバの利用者ID“administrator” を無効化し、利用者ID“unyou” は、サーバごとに異なる利用者IDに変更し、さらに、パスワードもサーバごとに異なるものに変更する。 　 　W社では、B氏が経営幹部に不正アクセスの調査結果を報告し、承認を得てシステムを再稼働させた後、取引先に通知し、インシデント対応を完了した。