ゴールデンウィークの長期休暇期間におけるコンピュータセキュリティインシデント発生の予防および緊急時の対応に関して、要点をまとめましたので、以下を参考に対策をご検討ください。

長期休暇期間中は、インシデント発生に気がつきにくく、発見が遅れる可能性があります。休暇期間中にインシデントが発覚した場合に備えて、対応体制や関係者への連絡方法などを事前に調整し、休暇明けには、不審なアクセスや侵入の痕跡がないか、サーバなどのログを確認することをおすすめします。

また、インシデントの発生を未然に防止するためにも、休暇期間に入る前に、自システムのセキュリティ対策が十分か、今一度確認することもあわせてご検討ください。

I. 適切な設定が行われていないサービスの悪用への注意 (例:memcached)



図 1：memcached を悪用した DDoS 攻撃のイメージ図
クリックすると拡大されます

1.	アクセスに用いる IP アドレスやポートを制限する
	システムへのアクセスを必要最小限の IP アドレスからのみに制限したり、外部からアクセス可能なポートを必要最小限に制限したりすることを検討してください。
2.	アプリケーションやサーバを最新の状態に保つ
	使用しているアプリケーションやサーバを、問題の対策が施された最新のバージョンにアップデートしてください。

II. システムにおける脆弱性への注意 (例:Oracle WebLogic Server)


図 2：Oracle WebLogic Server を悪用した攻撃のイメージ図
クリックすると拡大されます

1.	アプリケーションやサーバを最新の状態に保つ
	使用しているアプリケーションやサーバを、脆弱性の対策が施された最新のバージョンにアップデートしてください。
2.	アクセスに用いる IP アドレスやポートを制限する
	システムへのアクセスを必要最小限の IP アドレスからのみに制限したり、外部からアクセス可能なポートを必要最小限に制限したりすることを検討してください。

III.不審なメールへの注意 (例: ばらまき型メール攻撃、ビジネスメール詐欺)

1.	ばらまき型メール攻撃
	昨年度より見られる「URSNIF（別名：GOZI）」や、今年に入ってから確認されている、Tor（The Onion Router）を利用した通信経路の秘匿を行う機能を持つマルウエア「DreamBot」などを引き続き確認しています。 マルウエアに感染すると、保存されているデータが窃取され、不正送金などの被害を受けたり、保存されているデータが暗号化され、攻撃者よりランサム（身代金）の支払いを要求されたりする可能性があります。
2.	ビジネスメール詐欺
	手法として、取引先担当者のメールアカウント、請求書の偽装や、経営者や社外の権威ある第三者等へのなりすましが挙げられます。攻撃者は企業間の取引内容や経営者等が作成するメールの特徴を事前に把握している場合が多く、攻撃に使われるメールは通常の業務メールと見分けがつかない巧妙な作りとなっています。 結果として、取引担当者が正当な請求や指示と誤認し、攻撃者の用意した口座へ送金してしまう被害が発生しています。

図 3：ビジネスメール詐欺のイメージ図
クリックすると拡大されます

1.	ばらまき型メール攻撃への対策
	マルウエア感染を未然に防ぎ、感染時の被害を低減するために、次のような対策を実施することをおすすめします。また、休暇中に外部へ持ち出した PC などの機器を組織内部のネットワークに接続する際にはセキュリティ対策が行われていることを確認してください。 OS などのソフトウエアのセキュリティアップデートの適用 ウイルス対策ソフトなどの定義ファイルを更新 ハードディスクなどのウイルスチェック 使用している機器やソフトウエアのセキュリティ関連情報の確認
2.	ビジネスメール詐欺への対策
	ビジネスメール詐欺のように取引担当者を騙し、金銭窃取を目的とする攻撃の場合、技術的な対策に加えて、組織的な対策も有効です。メール本文や請求内容に少しでも不審な点がある場合は、送金前にシステム管理者・取引担当者・経理担当者が連携し、次のような対策を実施することをおすすめします。 送信元メールアドレスの偽装有無の確認 取引先または本人(取引先担当者や経営者等)に対する、メールと異なる手段(電話等)を用いた事実確認 送金先口座の変更有無の確認（既に取引がある場合） 複数人による送金内容の確認

図 4：ビジネスメール詐欺への対策例
クリックすると拡大されます

IV.休暇前の対応

長期休暇に入る前に、以下の対応を行ってください。

　[システム管理者向け]

1.	インシデント発生時の緊急連絡網が整備・周知されていることを確認する
2.	休暇中に稼動する機器が必要最小限であることを確認する 休暇中に稼働の必要がない機器は、電源を落とすなどの適切な対応をしてください
3.	重要なデータのバックアップを行う
4.	サーバの OS やソフトウエアなどに最新の修正プログラムが適用されていることを確認する。Web サーバ上で動作する Web アプリケーションの更新もあわせて行う
5.	社員が業務で使用している機器(PC やスマートフォンを含む)の OS やソフトウエアに修正プログラムの適用漏れがないかを確認し、社員向けに同様の確認を行うように周知する

　[社員、職員向け]

1.	インシデント発生時の連絡先を確認する
2.	業務で使用している PC やスマートフォンの OS やソフトウエアなどに、最新の修正プログラムが適用されていることを確認する 　- Adobe Acrobat/Reader 　- Adobe Flash Player 　- Microsoft Office 　- Microsoft Windows 　- Oracle Java 　※これら以外の OS やソフトウエアも必要に応じて修正プログラムを適用する
3.	パスワードに容易に推測できる文字列や単純な文字列を設定していたり、異なるシステムで同じパスワードを設定したりしている場合は、適切に変更する
4.	業務遂行の為、PC やデータを持ち出す際には、自組織のポリシーに従い、取り扱いや情報漏えいに細心の注意を払う

V.休暇後の対応

休暇明けは、以下の対応を行ってください。

　[システム管理者向け]

1.	導入している機器やソフトウエアについて、休暇中に修正プログラムが公開されていた場合は、修正プログラムを適用するとともにその情報を社員、職員に向けて周知する
2.	社員、職員に対して、休暇中に持ち出していた PC などを確認するとともに、それらを組織内のネットワークに接続する前に、ウイルスチェックを行うよう周知する(必要に応じて確認用のネットワークを別途用意する)
3.	休暇期間中のサーバへの不審なアクセスやサーバの不審な挙動がないかを確認する (サーバへのログイン認証エラーの多発、深夜など利用者がいない時間帯のログイン、サーバやアプリケーションなどの脆弱性を狙った痕跡など)
4.	Web サーバで公開しているコンテンツが改ざんされていないかを確認する (不正なファイルが設置されていないか、コンテンツが別のものに書き変わっていないか、マルウエア設置サイトに誘導する不審なコードが埋め込まれていないかなど)

　[社員、職員向け]

1.	出社後すぐに、ウイルス対策ソフトの定義ファイルを最新の状態に更新する
2.	休暇中に持ち出していた PC や USB メモリなどは、使用前にウイルスチェックを行う
3.	休暇中に修正プログラムが公開されていた場合は、システム管理者の指示に従い、修正プログラムを適用する
4.	休暇中に受信したメールの中には攻撃者からの不審なメールが含まれている可能性があるため、本文の内容および添付ファイルを十分に確認し、安易に添付ファイルを開いたり、メールに記載されているリンク先にアクセスしたりしないように注意する

VI. JPCERT/CCからのお願い

JPCERT/CCでは、改ざんされた Web サイトや不正なプログラムの配布サイトなどに対して、関係機関を通じて調整活動を行っています。もし、これらに関する情報をお持ちの場合は、以下の Web フォーム、または電子メールで、JPCERT/CCまでご連絡ください。

　Web フォーム: https://form.jpcert.or.jp/
　電子メール : info@jpcert.or.jp

　※インシデントの報告についてはこちらをご参照ください
　https://www.jpcert.or.jp/form/


VII.修正プログラム情報

最近公開された重要な修正プログラムは以下をご参照ください。







VIII.参考情報

Topへ