-----BEGIN PGP SIGNED MESSAGE----- ====================================================================== JPCERT-ED-2002-0001 JPCERT/CC 技術メモ - 関係サイトとの情報交換 初 版: 1999-11-17 (Ver.01: JPCERT-E-TEC-99-0001-01) 発 行 日: 2005-04-01 (Ver.05) 最新情報: http://www.jpcert.or.jp/ed/2002/ed020001.txt ====================================================================== 一般的に、インターネットに接続されたシステムの運用に際しては、セキュ リティ上の問題として捉えられる事象が発生する可能性があります。このよう な事象 (コンピュータセキュリティインシデント、以下インシデント) の典型 的な例としては、侵入、サービス妨害、破壊、データの盗用や、それらの準備 段階と推測されるアクセス、そのほか他サイト/システムからの原因不明のア クセス等々が挙げられます。 インシデントが発生した場合には、原因の特定、拡大の防止、再発の防止等 の目的により、アクセスに関係した各サイトの管理者に連絡を行ない、情報提 供、情報交換を行なうことが望ましい場合があります。しかし一方で、他のサ イトに連絡を行なうことには種々のリスクが伴なうため、慎重な配慮が望まれ ます。 本文書では、関係サイトとの情報交換の目的、情報交換に伴なうリスクと回 避策、連絡先の決定方法、及び連絡すべき情報について説明します。また、参 考資料 [1] もご参照下さい。 I. 情報交換の目的 (1) 調査の依頼 不審なアクセスについて、インシデントとして対処する場合であっても、そ のアクセスは必ずしも意図的な攻撃とは限りません。一般的には、アクセス元 システムのソフトウェアやシステム設定等に含まれる誤り、何らかの操作ミス や障害等である可能性が考えられます。 また、アクセス元のシステムが、侵入やアカウント盗用等により外部から悪 用されたり、あるいは、トロイの木馬やコンピュータウィルス等の影響を受け たりした結果、不審なアクセスが行なわれた可能性も考えられます。 そこで、まずは問題となるアクセスについて、先方 (アクセス元) に事実関 係の確認を依頼することが先決です。 (2) インシデントの解決、拡大防止 各関係サイトの管理者の注意を喚起することは、インシデントの解決や拡大 防止につながります。 例えば、外部からのアクセスを含むインシデントであった場合には、一般的 な解決策として、アクセス元システムにおける原因の特定と再発の防止が望ま れます。特に、アクセス元システム自体が悪用されていた場合には、それを放 置すると、自サイトへのアクセスが継続する可能性や、さらに他のサイトへの インシデントの拡大を招く可能性も考えられます。積極的に問題の所在と状況 内容を伝え、先方の調査と対応を促すことが、インシデントの速やかな解決、 拡大防止へつながると期待されます。 一方で、自サイトのシステムが外部への攻撃に悪用されていた場合には、自 サイトにて対策を実施した後も、引き続き、そのアクセス先サイトへの攻撃が (第三のサイトを介して) 行なわれる可能性があります。この場合には、アク セス先サイトに対してアクセスの事実を伝え、先方の対応、対策を促すことが 望まれます。 人為的なインシデントを放置しておくと、将来いずれかのサイトのシステム が踏み台として悪用され、自サイトや自サイトと関係のあるサイトへの攻撃に つながる可能性も否定できません。インターネット全体の円滑な運用のため、 各関係サイトと適切な情報交換を行ない、インシデントの解決を図ることが望 まれます。 (3) 再発防止策の検討 各関係サイトに連絡を行なうことにより、自サイトだけでは入手できない情 報の提供を受けられる可能性があります。 例えば、侵入を受けた結果、自サイトの情報が破壊や改ざんを受けたとして も、いずれかのサイトで情報が確保されていれば、それを元に侵入を受ける原 因となった弱点を推測できる可能性があります。 また、未知の弱点が攻撃された場合、プロダクトの開発元等に連絡すること により、弱点を除くための改善に寄与できる場合もあります。 II. 情報交換に伴なうリスク しかしながら、インシデントに関する情報交換は、それ自体リスクを伴ない ます。典型的なリスクとしては、例えば以下のものが考えられます。 (1) 盗聴、改ざん、妨害 連絡内容の盗聴や改ざん、妨害が行なわれる可能性があります。特に連絡先 サイトや通信経路が侵入等の影響下にある場合においては注意が必要です。 (2) 情報の漏曳、悪用 自サイトにかかわるインシデントについて、外部に知らせることになります。 そこで知らせた情報は、送信者の期待するように取り扱われるとは限りません。 先方においてインシデントが発生した結果、第三者に漏曳する可能性も考えら れます。最悪の場合には、自サイトの担当者を対象とした情報の詐取や、その 他のアタックの参考情報として悪用されるおそれもあります。 特に、自サイトが攻撃を受け一定の影響を被っている場合や、自サイトが攻 撃元として外部から悪用されている場合には、その事実を悪用されるリスクは 高いと考えられます。 (3) 事実関係の誤認 侵入等の結果として、連絡内容の元となる情報が既に偽造や改ざんを受けて いる可能性があります。例えば、IP アドレスの偽造や DNS の偽造を伴なうイ ンシデントにおいては、一見してアクセス元と思われるサイトであっても、実 はアクセスに関与していない可能性があります。 また、一見して自サイトへの攻撃と思われるアクセスであっても、操作ミス や偶発的な事故を起因とする場合があります。もしくは、先方のシステムが攻 撃や侵入を受け、悪用されている可能性もあります。 このような場合、インシデントの円滑な解決が阻害されたり、先方との間の 紛争を招くおそれがあります。 (4) 連絡先の不在、誤認 連絡先は、慣行や公開情報に基き決定することになります。インターネット 接続サイトへの連絡手段としては電子メールが一般的ですが、必ずしもあるア ドレスに宛てたメールは期待する頻度で読まれるとは限りません。 また、連絡先は、一般的には、コンピュータセキュリティインシデントに関 する担当者でないと考えられます。例えば、連絡先サイトが接続しているプロ バイダ(の担当者)や、連絡先サイトの業務を請け負っているサイト(の担当者) についての情報が登録されている場合があります。時には、インターネット接 続時の外注先であったり、退職等により既に先方のサイトから去った人間であ る場合もあります。 このような場合には、対応の遅延、情報の握り潰し、情報の漏曳、改ざんを 招く可能性があります。 (5) 欺瞞情報 外部からインシデント情報が提供された場合、悪意に基く欺瞞情報である可 能性があります。逆に、自らが提供した情報が、そのような悪意に基くもので あると受け取られるリスクも考えられます。 III. リスクの回避策 (1) 複数の連絡手段の併用 インターネット接続サイトへの連絡手段としては電子メールが一般的ですが、 侵入等による影響が考えられる場合には、他の連絡手段も併用します。これに より、連絡内容の改ざんや妨害による影響をある程度回避することができます。 (2) 複数の連絡先への連絡 複数の宛先に対して連絡を試みます。個別の連絡先に関するリスクを軽減す ることは可能ですが、一方で、情報の漏曳という意味でのリスクは増加します。 また、複数の受信者の誰が扱うべきかが先方において不明瞭になり、先方の対 応が遅れるという可能性も否定できません。 (3) 暗号技術の利用 信頼できる鍵が利用可能な場合には、暗号やデジタル署名を利用することに より、盗聴や改ざんを防止することができます。 (4) 情報開示の内容 既に自サイトの情報管理 (機密管理) ポリシーがある場合は、そのポリシー に従って内容や範囲、方法を判断します。連絡内容の悪用を回避するためには、 第一報においては最小限の情報だけを開示し、先方の反応を見て今後の情報の 開示を検討することも考えられます。 (5) 表現 状況については、可能な限り断定的な言い回しを避け、可能性としての指摘 にとどめることが考えられます。第一報では、事実関係の確認と注意の喚起を 中心とし、その他のリクエストは、万が一事実であった場合に、という姿勢で 述べることも考えられます。 (6) CSIRT への連絡 自サイトもしくは連絡先サイトのいずれかを対象としたサービスを行なって いる CSIRT (CSIRT: Computer Security Incident Response Team, コンピュー タセキュリティインシデント対応チーム) に連絡し、あらかじめ助言を受ける ことが考えられます。もしくは、電子メールにて連絡を行なう場合に CSIRT の 連絡先を Cc: に含むことも考えられます。 CSIRT は、事実の分析や、その他インシデント対応全般について、ノウハウ や知識を有しており、事実関係の誤認により生じるリスクの軽減につながりま す。また、自サイトが特に CSIRT の支援を必要としていなくとも、先方にとっ て CSIRT からの助言が有益である可能性もあります。 (7) CSIRT を介した連絡 連絡先サイトに直接連絡を行なう代わりに、CSIRT に連絡し、連絡を仲介し てもらうことが考えられます。 一般的に、CSIRT は情報提供者の希望しない情報開示を行なわないように配 慮し、必要に応じて情報のフィルタリングを行なっているため、連絡内容に関 するリスクをある程度回避することが可能です。また、CSIRT はサイトへの連 絡方法についてのノウハウや知識を有しており、事実関係の誤認により生じる リスクの軽減につながります。 この場合には、CSIRT に対しては必要な情報を開示するとともに、CSIRT か ら連絡先に連絡する際の情報の開示条件を明示することを推奨します。 なお、各 CSIRT は各々独自の、サービス内容、対応ポリシー、および報告 フォームを採用しています。連絡の際には、事前に各組織の Web 等にて公開 されている情報を確認することを推奨します。 (8) ポリシーの策定と遵守 想定するインシデントの内容や影響の程度毎に、標準的な対応を事前に検討 し、ポリシーとしてまとめておくことが考えられます (渉外一般に関して諸規 定、業務手順等が既に策定されている場合には、それらとの整合性に注意が必 要です)。 実際に関係サイトに連絡する場合には、ポリシーを参照し、遵守す るようにします。 IV. 連絡先の決定 (1) サイトへ直接連絡する場合 サイトへ直接連絡する場合に使用できる連絡先としては、おおむね以下の連 絡先が考えられます。 (a) インターネットレジストリに登録されている連絡先 (b) ホストまたはドメインを管理するポストマスタ (postmaster@〜) (c) RFC 2142 で紹介されているメールアドレス (ABUSE, NOC, SECURITY 等) (d) ホストの管理用アカウント (root@〜, Administrator@〜 等) (e) DNS の SOA レコードに登録されたメールアドレス いずれの連絡先についても、第 II 章で述べたように、読まれていない、メー ル着信の設定がされていない、当該サイトのセキュリティ管理者ではない、退 職者である、等々の可能性が考えられるため、文面や内容に配慮が必要です。 a) インターネットレジストリに登録されている連絡先 インターネットレジストリ (NIC 機関等) が公開する検索サービスを 用いて IP アドレス割り当て情報ないしドメイン情報、経路情報等を 検索します。そこに登録されているメールアドレス、電話番号、FAX 番号に連絡することが考えられます。 このとき、サイトのコンタクト情報のほかに、データの更新について 通知されるアドレスや、最終更新を行なった担当者のメールアドレス が付随することがあります。通知アドレスや最終更新者は、サイトの 担当者以外にも、上流 ISP の担当者等のアドレスが記載されている 場合も多く見受けられますので、注意が必要です。 なお、検索の結果得られる情報は、各機関が利用の目的を定めている 場合がありますので注意が必要です。 a-1) IP アドレス、ドメイン名から情報を検索する方法 日本国内で割り当てられた IP アドレスおよび JP ドメインについて は、JPNIC と JPRS が共同で運用する WHOIS サービスを利用して検 索することができます。 http://whois.jp/ whois.jp は、検索キーワードとして入力した文字列から、その情報 が JPNIC の Whois か、JPRS の Whois のどちらに登録されているも のかを自動で判別し、該当する Whois からの検索結果を応答するサー ビスです。JPNIC、JPRS の各データベース、海外サイトの情報は以下 をご参照ください。 a-2) IP アドレスから情報を検索する方法 日本国内で割り当てられた IP アドレスについては、JPNIC が公開す る JPNIC データベース検索サービスを利用して検索することができ ます。 http://www.nic.ad.jp/ja/whois/ 海外で割り当てられた IP アドレスについては、ARIN, RIPE NCC, APNIC から情報を入手することが可能です。また、ARIN データベー スでは、すべての IP アドレス割り当てについて何らかの情報が提供 されている模様です。 http://www.arin.net/ http://www.ripe.net/ http://www.apnic.net/ a-3) ドメイン名から情報を検索する方法 JP ドメインについては、JPRS が公開する JP ドメイン名登録情報検 索サービスを利用して検索することができます。 http://whois.jprs.jp/ その他の国名コードトップレベルドメイン (ccTLD) については、 IANA が提供するインデックスを利用して各 ccTLD を管理する機関を 調べ、その上で各 ccTLD 管理機関が提供する検索手段を用いて、該 当するドメインの連絡先を検索します。 http://www.iana.org/cctld/cctld-whois.htm EDU, NET, ORG, COM の各一般トップレベルドメイン (gTLD) につい ては、InterNIC から情報を入手することが可能です。 http://www.internic.net/ b) ホストまたはドメインを管理するポストマスタ (postmaster@〜) インターネット標準に準拠したメール配送システムを運用しているホ ストに対しては、postmaster@〜 宛てのメールは送達可能であると期 待できますが、必ずしもオペレータが当該アドレスへの着信を確認し ているとは限らないため、注意が必要です。 c) RFC 2142 で紹介されているメールアドレス RFC 2142 "Mailbox Names for Common Services, Roles and Functions" にて紹介されている、ABUSE, NOC ないし SECURITY のよ うなメールアドレスに連絡できる場合もあります。ただし、必ずしも すべてのサイトが RFC 2142 に準拠したアドレスを設定しているとは 限りません。しかしながら、これらのアドレスが設定されているサイ トについては、担当者が割り当てられ、一定以上の頻度でメールボッ クスが参照されることが期待できます。 d) ホストの管理用アカウント (root@〜, Administrator@〜 等) このようなアカウント宛てに届くメールについて配慮していないサイ トの存在も予想されます。メールが送達可能であっても、必ずしもオ ペレータが当該アドレスへの着信を確認しているとは限らないため、 注意が必要です。 e) DNS の SOA レコードに登録されたメールアドレス 登録されているメールアドレスが、連絡先サイトに属していないか、 メールボックスを参照していないことが考えられるため、注意が必要 です。特に逆引き用のゾーンにおける SOA レコードの場合には、上 流の ISP 等、連絡先サイトではないアドレスが記載されている場合 も多く見受けられます。 (2) CSIRT に連絡する場合 自サイトもしくは連絡先サイトのいずれかを対象としたサービスを行なって いる CSIRT がある場合は、そちらに連絡することが考えられます。世界各地 の CSIRT については、例えば以下の URL に情報があります。 http://www.first.org/team-info/ 一般的に、各 CSIRT は各々独自の、サービス内容、対応ポリシー、および 報告フォームを採用しています。連絡の際には、事前に各組織の Web 等にて 公開されている情報を確認することを推奨します。 特に、日本国内の組織が関係するインシデントについては、JPCERT/CC にご 連絡頂ければ幸いです。JPCERT/CC への連絡方法については以下の URL をご 参照ください。 http://www.jpcert.or.jp/form/ V. 連絡すべき内容 秘匿すべき情報が含まれている場合には、一つの手段として、伏せ字や抜粋 等により、関係サイトに開示しても差し支えない部分のみを提供することも考 えられます。 (1) 連絡を円滑に進めるための情報 自サイトの連絡先、担当者を明確に伝える必要があります。また、他に既に 連絡を取っているサイトや CSIRT 等があり、その事実を今回の連絡先に伝え ても差し支えがない場合には、先方にその旨を伝えるか、電子メールの Cc: に加えておくことが考えられます。 また、暗号通信を希望する場合は、自サイトの鍵や、鍵のダイジェスト情報 (フィンガープリント、チェックサム) を妥当な方法で伝えます。 レポートを追跡するための番号 (JPCERT の場合は"JPCERT#nnnnnnnn" 形式 の番号) を発行している組織も、CSIRT に限らず多く見受けられます。よって、 既に連絡を行なっている組織から追跡番号が発行された場合には、その番号を 添えることが望まれます。 (2) アクセスの事実を調査するための情報 少なくとも、 ・アクセスの内容 (プロトコル、ポート番号、パケットの内容等) ・発生した日時 ・関係するホストの IP アドレス (ホスト名) またはそれに相当する情報を連絡する必要があります。日時情報については、 タイムゾーンを明確にしておく必要があります。 可能であれば、 ・アクセスの事実が記載されたログ を添付されることをお勧めします。ログに記載された日時については、タイム ゾーンと時計の誤差についての情報をあわせて記載することが望まれます。 (3) その他有益な情報 侵入を受けていた場合には、侵入者が残したファイル類が有効な情報となり ます。特に、侵入者が残したファイル類に他のサイトを攻撃するツールが含ま れている場合には、攻撃の対象となったプロダクトの開発元が弱点を特定し改 善するのに非常に有益です。しかしながら、そのようなツールは悪用されるお それもあるため、取り扱いには十分に配慮が必要です。 VI. 参考資料 [1] Finding Site Contacts http://www.cert.org/tech_tips/finding_site_contacts.html __________ 注: JPCERT/CC の活動は、特定の個人や組織の利益を保障することを目的とし たものではありません。個別の問題に関するお問い合わせ等に対して必ずお答 えできるとは限らないことをあらかじめご了承ください。また、本件に関する ものも含め、JPCERT/CC へのお問い合わせ等が増加することが予想されるため、 お答えできる場合でもご回答が遅れる可能性があることを何卒ご承知おきくだ さい。 注: この文書は、コンピュータセキュリティインシデントに対する一般的な情 報提供を目的とするものであり、特定の個人や組織に対する、個別のコンサル ティングを目的としたものではありません。また JPCERT/CC は、この文書に 記載された情報の内容が正確であることに努めておりますが、正確性を含め一 切の品質についてこれを保証するものではありません。この文書に記載された 情報に基づいて、貴方あるいは貴組織がとられる行動 / あるいはとられなかっ た行動によって引き起こされる結果に対して、JPCERT/CC は何ら保障を与える ものではありません。 __________ 1999-2002,2005 (C) JPCERT/CC この文書を転載する際には、全文を転載してください。情報は更新されてい る可能性がありますので、最新情報については http://www.jpcert.or.jp/ed/ を参照してください。やむを得ない理由で全文を転載できない場合は、必ず原 典としてこの URL および JPCERT/CC の連絡先を記すようにしてください。 JPCERT/CC の PGP 公開鍵は以下の URL から入手できます。 http://www.jpcert.or.jp/jpcert.asc __________ 改訂履歴 2005-04-01 JPNIC/JPRS whois 運用形態の変更に伴う更新 2002-04-11 参照 URL の更新 2001-12-27 参照 URL 及び文面の更新 2000-08-25 参照 URL の更新 1999-11-17 初版 -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBQkyLS4x1ay4slNTtAQGiXgP/dHeP4+A6JBj7Li/OxbiMEW3pnSSuCMBi R0yy3nGaNyUVKC/DfxePM6nerZXvyhPyAHJh2KKWq6NdHPYYrRehbkg1zXHggqLv q7belf/Ap8mp4el9wBjTkukJRDsB6+Ltj55eVYEtj2QrPf5SB6gZPrBkYxMOwJ7a mRSol8oibp4= =OL7J -----END PGP SIGNATURE-----