IIJ Technical WEEK 2010 三日目

yoppy3 @yoppy3

保全の推奨事項: 保全が実施されるまでは状態維持に努める。保全対象は未使用領域も含めたメディア全体。揮発性の高いデータから優先して。書き込み禁止で実施 #iij_tw2010

yoppy3 @yoppy3

フォレンジックツールでは、システムのAPIに頼らずに独自にメディアの構造を0からパースする。マルウェアなどの影響を受けにくいということと、削除された(というようにマークされた)データやその断片を抽出可能であるため #iij_tw2010

yoppy3 @yoppy3

インシデントの対応例: WebProxyのログから Drive by Downloadによってマルウェア感染したノートPCが判明。ディスクを簡易解析(暗号化解除、検体取得、特徴的なファイル/レジストリ取得)、ディスクイメージ作成、イメージを解析 #iij_tw2010

Toshiboumi Ohta @bugbird

解析の一つ；タイムライン調査　時系列をおいかける #iij_tw2010

yoppy3 @yoppy3

解析の例: タイムライン調査。時系列にWeb履歴を見てどこにアクセスしていたか、どこに転送されたかを追いかける #iij_tw2010

Toshiboumi Ohta @bugbird

マルウェアに解析を妨害する機能が実装されている場合がある #iij_tw2010

Toshiboumi Ohta @bugbird

タイムスタンプの改竄でタイムライン調査を望外する #iij_tw2010

yoppy3 @yoppy3

起こりうる問題: マルウェアによるアンチフォレンジック、感染した疑いのあるPCが多数ある、感染したPCが遠隔地に存在する。アンチフォレンジックの例としては、タイムスタンプの改ざんなど #iij_tw2010

Toshiboumi Ohta @bugbird

API で操作できないタイムスタンプも評価する #iij_tw2010

yoppy3 @yoppy3

NTFSのMFT(メタデータの保存先)は、2種類のタイムスタンプセットを持つ。SI属性はAPIによって変更可能、FN属性は変更できない #iij_tw2010

Toshiboumi Ohta @bugbird

メモリフォレンジックを高速化して実用性を確保する #iij_tw2010

yoppy3 @yoppy3

対応スピード上げる取り組み: メモリフォレンジックツール。ディスクの前にメモリを調べる。終了したプロセスやクローズした通信を調べることが可能。仮想アドレスを変換してポインタを解決したり、カーネルオブジェクトをcarvingしたり #iij_tw2010

Toshiboumi Ohta @bugbird

マルウェアの「エントロピー」を疑わしいイメージと比較する #iij_tw2010

Toshiboumi Ohta @bugbird

仮想化システムに対応したフォレンジックも実施されるようになってきた #iij_tw2010

yoppy3 @yoppy3

遠隔地対応では、エージェントを介した遠隔プレビュー・保存なども。メモリ上に展開されたプロセスやDLLの特徴量を計算して既存マルウェアとマッチングすることで対応速度高速化 #iij_tw2010

Toshiboumi Ohta @bugbird

クラウドセキュリティ管理の現状と動向 #iij_tw2010

yoppy3 @yoppy3

仮想計算機を使って、ハイパーバイザレイヤからゲストOSのメモリ情報をプレビュー・保全・解析することも #iij_tw2010

yoppy3 @yoppy3

セキュリティ2010最後、加藤さん「クラウドセキュリティ管理の現状と動向」 #iij_tw2010

Toshiboumi Ohta @bugbird

クラウドの捉え方の差異（ステークホルダの立ち位置依存）が問題をややこしくしている #iij_tw2010

yoppy3 @yoppy3

クラウドといえば「　　　」である: Google/Amazon/SF/Azure/XaaS/欲しいときに欲しいだけ使える/ネットに繋がればどこからでもアクセスできる/使ったら使っただけお支払い #iij_tw2010

MORI Tomoya @moritomoya

アプリからタイムスタンプをいじってもフォレンジック調査でバレると... RT @yoppy3: NTFSのMFT(メタデータの保存先)は、2種類のタイムスタンプセットを持つ。SI属性はAPIによって変更可能、FN属性は変更できない #iij_tw2010

Toshiboumi Ohta @bugbird

…ということで、クラウドのモデルについて説明（ステークホルダの明確化） #iij_tw2010

yoppy3 @yoppy3

概念としてのクラウド: 5つの性質、4つのデリバリーモデル、3つのデプロイモデル #iij_tw2010

yoppy3 @yoppy3

利用が進むにつれて現実が見えてきた: リソースにも限界がある、障害でサービスが止まる、従量課金はメリットにもデメリットにも。　ブラックボックスに対する不安 #iij_tw2010

Toshiboumi Ohta @bugbird

クラウドとはいえ、物理的限界は存在するので、その乖離が問題 #iij_tw2010