組織の情報セキュリティ対策の盲点 ―事務機器に潜む脆弱性―

独立行政法人情報処理推進機構

技術本部 セキュリティセンター

本日の内容

• ITシステムにおけるセキュリティ対策 • 明日の脅威 予報 • 複合機

– 国際的にも注目か、なぜ検査必要か、複合機はPC？

• 複合機を使った攻撃シナリオ • ISO/IEC15408に基づく認証製品とは • 具体的な検査の観点

– 製品セキュリティ機能の脆弱性 – 安全な運用管理のためのチェックポイント – 製品ライフサイクルのセキュリティ確保

• ISO/IEC15408 認証制度のメリット • まとめ

2

ITシステムとは

• 多数のベンダによる、多種のプロダクトから構成されている。 • 個々のプロダクトの運用管理、及び堅牢性が重要

業務ネットワーク

業務サーバ

専用システム インターネット

アクセスポイント

■構成要素一覧 プロダクト（箱モノ） ・パソコン ・サーバ ・ファイアウォール ・ルーター ・スイッチ ・無線LANアクセスポイント ・プリンタ（複合機）

ソフトウェア ・OS ・ブラウザ ・メーラー ・ドキュメント作成ソフト その他 ・バックアップシステム ・専用システム個別のアプリ ・文書ファイルシステム ・ホームページ ・職員アカウント管理

3

たった１つの問題が・・・

仮に全体の99％の堅牢性があったとしても、たった1％の問題の 残余によって、全体がやられてしまう可能性がある。

業務サーバ

インターネット 専用システム

アクセスポイント

4

業務ネットワーク

一度Windowsマシンの侵入を許してしまうと、様々な 攻撃が可能になる。 場合によっては、ADドメイン管理されたクライアントPCからは、管理のために一時的に保存されている 管理者パスワード関連情報(パスワードハッシュ)

が漏えいしてしまう可能性がある。すると・・・？！

• Windowsのセキュリティ対策は日々進化しています。 • 攻撃者の開発費用もコスト高になりつつあることから、

今後は時々、所によってはこれまでターゲットには ならなかった、他のプロダクトがターゲットになる こともあるでしょう。

明日の脅威 予報

5

ファイアウォール

ルーター

Windows PC

Linuxサーバ

アクセスポイント

複合機？

・・・他のプロダクトってなんだろう？

複合機 世界的にも注目されています

• 国際的なITセキュリティのカンファレンスで 複合機の脆弱性が槍玉にあげられています。

6

複合機 なぜ注目されるのか

7

• Webによる管理画面を始め、多くのサービスが動いている。

– WEBサーバ – プリントサービス（印刷/FAX） – FTPサーバ – Windowsファイル共有サービス – メールサーバ – リモートメンテナンス（トナー管理サービス） – ベンダ独自のサービス etc.

⇒ 一般PCより高機能なネットワーク機器です プラットフォームも共通化が進んでいます

次のような脅威シナリオが実現可能になれば 『情報窃取の起点』となる恐れも…

複合機を使った脅威シナリオ

8

1. Windows系PCへ侵入（これまで通りの攻撃）

2. 侵入したWindows系PCを踏み台に複合機へ侵入

3. 複合機を潜伏先として、以下の活動

• 複合機へ入力されるパスワード等の秘密情報の取得 • 複合機から他のWindows系PCへ侵入 • Windows系PCを踏み台として、外部ネットワークと通信 • FAX回線を介して、外部へ情報を送信

複合機を使った攻撃シナリオ イメージ

執務ネットワーク

インターネット

組み込み機器は… 自分自身のセキュリティ機能＋安全な運用が必要

ファクス回線

9 信頼できる製品の調達が重要

認証製品ならその要望に応えます

ISO/IEC15408 の検査の観点 • 実装されるセキュリティ機能は想定されるリスクきちんと対応

できる？ • マニュアル通りに使用すれば、安全な運用が可能？ • セキュリティ機能は仕様通りに動作する？ • 新しい脆弱性に対してもきちんと対策されている？ （実機を用いたテストにより確認） …

客観的な検査を行い、合格した製品 に対して認証マークを付与

ISO/IEC15408 （Common Criteria)

認証マーク

10

具体的な検査内容の一例 （保守員インタフェース）

• IT製品を、保守員が修理しているのを見かけませんか？ – 保守員は修理のために全て の操作権限を持っている （マルウェア組み込みも） – 保守員のログイン方法は

絶対に秘密ですが – 評価では保守員専用イン タフェースまできっちり 検査します

1. The "TECH MODE" of the 機種名 / 機種名

According to official sources from ベンダ名, the brother of 機種名, the in the same way constructed 機種名, has a so-called "Tech Mode", where a service technician (or you!) can do some tests or

adjust some additional settings.

1.1. Entering and leaving the "TECH MODE"

To enter the TECH MODE (or to leave it) ...

1. Press the Menu key

2. on the keypad quickly enter # 1 9 3 4

If the menu / display is configured to use a language different from English (e.g. German, French, ...) the display will change to the English language (Ready instead of Bereit etc.). There will also be a clock displayed instead of the zoom percentage values. In the end the display will look similiar like this:

Ready

14:32 TECH

Q&A掲示板等に公開されています

11

具体的な検査内容の一例 （ファームウェアアップデート機能）

• オンラインでアップデート可能 – バグ修正や機能追加目的でWebサイトからダウンロード

• 評価では安全な通信経路が確保されている事、改ざんを防ぐための機能がきちんと動作することを検査します

12

具体的な検査内容の一例 （特有の技術に対する脅威・脆弱性）

• IT製品は技術や用途によって脅威・脆弱性も多種多様 – 例えば複合機のPJLはWebと違って攻撃が研

究されてない。だから検査されてない。そして、対策されていない。

– プリンタドライバがネットワークやFAX経由で攻撃される可能性もある。

• 評価では製品特有の技術も徹底的に検査しています 13

ISO/IEC15408の国際的な枠組み

• ISO/IEC15408を利用する国際的な枠組みに加盟しているのは26

ヵ国 – ある国で評価・認証された製

品は、他の加盟国でも相互に通用

• 欧米諸国の政府調達の要件として採用

• 日本でも政府調達要件としての利活用が期待

トルコ

オランダ

フランス 日 本

アメリカ イギリス

ドイツ

ノルウェー

ニュージーランド

カナダ

韓 国 スペイン

イタリア スウェーデン

オーストラリア

マレーシア

ギリシャ イスラエル オーストリア

ハンガリー

フィンランド

デンマーク

インド チェコ シンガポール

パキスタン 2013年4月現在

14

ISO/IEC15408認証製品のメリット

• セキュアなIT製品を手軽に調達可能 – 技術的な観点で網羅的な検査を実施しています

• 海外製品を含めた幅広い選択肢からの調達が可能 – 広い製品分野で多数の認証実績

• セキュリティ対策の「見える化」 – 組織内外に対する説明責任を果たすためのツールとして

安全なIT製品調達をサポートする ツールとして認証製品の有効活用を！

15

ITセキュリティを支える認証製品

認証製品数は 約2,050件 (2012年10月現在)

世界の様々な分野で 活躍しています

ERP

データベース

生体認証

デジタル複合機

ICカード関連

サーバOS

侵入検知/防止システム(IDS/IPS)

ファイアウォール

テレフォニー システム

アクセス制御

アプリケーション サーバ

ネットワークOS

HSM (暗号鍵管理)

データ保護 (ソフトウェア)

16

まとめ

ますます多様化するセキュリティの脅威に対抗し得る、強い組織を造るために…

安全な製品の調達がセキュリティ対策の

第一歩

17

• 具体的な認証製品の情報は？ • 自社の製品も認証を取りたいんだけど… • 制度の事をもっと詳しく知りたい…

続きはIPAブースのパネルで…

ご清聴ありがとうございました

http://www.jitec.ipa.go.jp/ip/

＜PR＞