IPAなどの注意喚起情報では間に合わない~脆弱性を狙う攻撃とその対策(EGセキュアソリューションズ、ジェイピー・セキュア) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.12.18(月)

IPAなどの注意喚起情報では間に合わない~脆弱性を狙う攻撃とその対策(EGセキュアソリューションズ、ジェイピー・セキュア)

研修・セミナー・カンファレンス セミナー・イベント

EGセキュアソリューションズ株式会社(※)と株式会社ジェイピー・セキュア(JP-Secure)は、東京・新橋において「危険な脆弱性にいかに対処するか 実践的ウェブサイト防衛」をテーマとした無料セミナーを4月26日に開催した。(※EGセキュアソリューションズ株式会社は、旧商号であるHASHコンサルティング株式会社から2017年5月12日に商号変更された)

●十分に早くても間に合わない脆弱性対応

EGセキュアソリューションズの代表取締役である徳丸浩氏は、「脆弱性によるウェブサイト侵入の現状と今できる対応策」と題する講演を行った。徳丸氏は最近の重大な脆弱性を紹介し、その脆弱性を悪用する攻撃のほとんどがゼロデイ、あるいは公表の数時間後に発生しているとして「攻撃者は脆弱性情報の公表を待ち構えている」という現状を示した。

特に象徴的な事件として、徳丸氏はGMOペイメントゲートウェイのクレジットカード情報漏えい事件を取り上げた。この事件は「Apache Struts 2」の脆弱性(S2-045:CVE-2017-5638)を悪用されたものであるが、同社では3月8日午後にIPA、3月9日午前にJPCERT/CCが発表した同脆弱性の情報を受け、3月9日20時には対象となるシステムの洗い出しが完了、21時56分にはWAFによる対策を完了した。

しかし、同日23時53分に不正アクセスの痕跡を発見したため、Apache Struts 2が動作しているシステムを全て停止し、ネットワークに未接続だったバックアップシステムに切り替えた。翌10日2時には同社のシステムを利用する複数のサイトで不正にデータを取得された可能性が高いことを確認した。ところが、その後の調査によって、同脆弱性を悪用した不正アクセスは3月8日の早朝に発生していた。

この脆弱性は、3月6日夜にApacheがS2-045のアドバイザリを公開し、3月7日夜に修正バージョンがreleaseに移されている。つまりサイバー攻撃者はApacheの公開情報をいち早く把握し、素早くエクスプロイトを作成、日本のIPAやJPCERT/CCの注意喚起情報の発表より前に不正アクセスを実施していた。

《吉澤 亨史》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

研修・セミナー・カンファレンス カテゴリの人気記事 MONTHLY ランキング

  1. C&Cサーバへの攻撃デモ、サイバーセキュリティに報復攻撃は認められるべきか

    C&Cサーバへの攻撃デモ、サイバーセキュリティに報復攻撃は認められるべきか

  2. CODE BLUEのハッキングコンテストで優勝、賞金2万ドルを獲得(NHNテコラス)

    CODE BLUEのハッキングコンテストで優勝、賞金2万ドルを獲得(NHNテコラス)

  3. x86 アーキテクチャに潜む脆弱性、未定義命令実行後の挙動

    x86 アーキテクチャに潜む脆弱性、未定義命令実行後の挙動

  4. 2017年8月25日 名和利男の目に映った光景

  5. イスラエル発の国際セキュリティ会議「Cybertech」、11月30日開催(Cybertech Tokyo 運営事務局)

  6. DMARCの国内ISP導入事例

  7. Scan勉強会「サイバー空間における日本企業及団体の情報漏えい実態」開催(イード)

  8. サイバー犯罪対策、産学官連携の成果 -- JC3 間仁田氏報告

  9. 企業のネットワーク管理者必見!Internet Week 2017 セキュリティセッション紹介 第5回「知らないと困る?! 認証局とHTTPSの最新動向」について語る

  10. ランサムウェアの歴史と未来 - 世界最初のランサムウェアはフロッピーを郵送?(ESET)[Security Days Spring 2017 レポート]

全カテゴリランキング

特集

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×