情報処理安全確保支援士 2015年 春期 午後1 問03

　Z社は、従業員数300名の衣料品販売企業であり、インターネット上で衣料品を購入できるショッピングサイト（以下、Zサイトという）を7年前から運営している。Zサイトは、携帯電話、スマートフォン及びPCを対象としたサイトであり、オンライン決済にはクレジットカードを採用している。クレジットカード情報は会員情報として保存せずに、決済の都度入力してもらう方式にしている。利用者は、会員登録をすれば、購入金額に応じたポイントをためて、購入代金への充当や、他社のギフト券への交換ができる。Zサイトの現在の会員数は約400万人である。 　Zサイトの会員の利用者IDは、会員のメールアドレスであり、パスワードは、携帯電話での利便性を考慮し、数字6桁の固定長となっている。同じ日の0時から24時の間に連続5回認証に失敗した利用者IDは、アカウントロック状態となり、翌日にその状態が解除される仕組みとなっている。 　 〔不正アクセスの発生〕 　ある日、Zサイトの問合せ窓口の担当者から、Zサイトの運用を担当しているシステム運用部のA主任に連絡があり、ポイントが勝手にギフト券に交換されたという被害の連絡を、会員11名から受けたことが報告された。報告を受けたA主任がログサーバを調査したところ、特定のIPアドレスから、Zサイトの会員ページへのログイン試行が、短時間のうちに大量に発生していたことが分かった。A主任は、上司であるB部長の指示の下、全会員に事象を告知するとともに、経営陣の承認を経てZサイトを緊急閉鎖し、以前にセキュリティ診断を依頼したことがあるY社に、この不正アクセスの調査を依頼した。大量のログイン試行のログを表1に示す。

〔不正アクセスの調査結果〕 　3日後、Y社による、不正アクセスの詳細な調査が終了した。次は、A主任がB部長に調査結果を報告した際の会話である。 　 　A主任：Y社の調査によると、パスワードを固定した上で、約70万個の文字列を次々に利用者IDとして入力し、ログインを試行するという攻撃があったとのことでした。試行された利用者IDのうち、7万個については、利用者IDとして実在していました。また、実際に560件の利用者IDについては、不正ログインまで成功しており、さらに、130件については、ポイントが不正に交換されていました。 　B部長：ポイントが不正交換された会員への連絡は済んでいるのかね。 　A主任：はい、不正交換された会員を含め、不正ログインされた会員への個別連絡と、全会員への注意喚起は完了しています。 　B部長：分かった。経営陣には私から報告しておく。 　A主任：不正ログインされた会員に対して、パスワードリセットを実施したいのですが、よろしいでしょうか。 　B部長：Zサイトの再開までにはパスワードリセットも必須だが、それよりも、今回のような攻撃は今後も繰り返される可能性があるので、Y社に依頼して、現在のZサイトのアカウント管理の問題点を調査してもらってくれ。パスワードリセットとZサイトの再開時期については、問題点の調査結果を見た上で考えることにする。 　A主任：分かりました。それでは再度Y社に調査を依頼します。 　 　A主任は、早速Y社に調査を依頼し、当日中にY社による調査が開始された。 　 〔問題点の調査結果と改善案〕 　調査開始から4日後、Zサイトのアカウント管理における問題点の調査結果の報告がY社からあり、複数の問題点が存在することが分かった。Y社が報告したZサイトのアカウント管理の主要な問題点を図1に示す。

　

　また、Y社は、これらの問題点についてそれぞれ図2の改善案を提示した。

　

　A主任は、これらの改善案を実施するためのシステム改修の見積作業に取り掛かった。 　 〔暫定再開の検討〕 　見積りの結果、ハッシュ値の保存に必要な領域が、1アカウント当たり16バイトからaバイトに変更されるのに加え、ソルトの保存領域の追加などの改修やディスクの増設が必要となり、再開まで3か月掛かることが分かった。A主任は、そのことをB部長に相談したところ、3か月間のZサイト閉鎖は、経営上の影響が非常に大きいので、何らかの対応を行った上で暫定再開する方法をY社と検討するよう指示を受けた。次はその時の、A主任とY社のC氏との会話である。 　 　A主任：システム改修の3か月間、Zサイトを閉鎖することは、当社にとって影響が非常に大きいことから、何らかの対応を行った上で暫定再開させたいのですが、良い方法はないでしょうか。 　C氏　：経営上の影響を考えると暫定再開はやむを得ないですね。図3のようなパスワードに対する攻撃（以下、パスワード攻撃という）を検知し対応する仕組みを導入し、攻撃を検知した場合は都度対応する運用とした上で、暫定再開する方法はいかがでしょうか。ただし、暫定再開に当たっては、不正ログインされた会員のパスワードリセットを忘れずに実施してください。また、ポイントの交換については、システム改修が完了するまで停止した方が良いと思います。

　A主任：分かりました。ところで、三つの方法は、それぞれどのようなパスワード攻撃を検知することができるのですか。 　C氏　：方法(ア)では、パスワード総当たり攻撃や辞書攻撃を検知します。方法(イ)では、今回の攻撃のように、同一IPアドレスからのリバースブルートフォース攻撃を検知します。方法(ウ)で、cから行われるパスワード攻撃を検知します。ただし、どの方法も、攻撃を 100%検知できるというわけではありません。 　A主任：分かりました。それらの対応であれば1週間でできそうです。 　 　A主任は、暫定再開に向けた作業を行い、1週間後、Zサイトを暫定再開した。 　 〔本格再開の検討〕 　A主任は、本格再開に向けた作業を確認するために、再び C氏に相談した。次はその時の A主任と C氏との会話である。

　A主任：パスワード攻撃の監視と対応を継続すれば、システム改修にもう少し時間を掛けてもよいのではないかと考えているのですが。 　C氏　：それは危険です。実は問題が幾つかあります。例えば、パスワード攻撃には、方法(ア)～(ウ)を組み合わせても検知できないものがあります。現行のパスワード強度と改善後のパスワード強度を比較評価するため、その攻撃が行われた場合に、どのくらいの時間で攻撃が成功するかを計算してみましょう。 　 　C氏は、方法(ア)～(ウ)を組み合わせても検知されずに行われるパスワード攻撃が成功するまでの所要時間を、図4のように説明した。

　A主任：なるほど、暫定期間を延ばすと、検知を擦り抜けて不正ログインされる可能性が十分に現実的になるということですね。それでは、パスワード強度の変更とパスワード保存方法の変更が完了したことを条件として本格再開の時期を設定します。他に気をつけることはありますか。 　C氏：会員には②他のサイトで使っていないパスワードを設定してもらうよう注意喚起した方がいいですね。 　A主任：分かりました。 　 　A主任は、Zサイトの本格開に向けたシステム改修計画をまとめ、B部長とともに経営陣の承認を取り、3か月後に本格再開を果たした。