「情報セキュリティ最前線」- 山口 英さん
奈良先端科学技術大学院大学の山口 英さんと聞いて、真っ先の思いつくのは、今は無き UNIX Magazine での「UNIX Communication Notes」。当時の自分は、UNIX 系 OS は「とりあえず、触れる」程度で、UNIX Magazine 自体にあまりついて行けてなかったのですが、それでも、あのちょっと独特の硬派な雰囲気にあこがれて読んでいました。
で、テーマ通り、情報セキュリティを取り巻く「今」に関して、幅広いお話しを聞けました。
まず、昨今は、
- マフィアやギャングのような、裏家業で儲けるため
- 国家レベルでの諜報合戦
が多く、ここに Anonymous に代表されるような、ハクティビストによる動きが加わってきた、というところで、ここに「坊主」たちがぶら下がっている感じで、「坊主ばっかり捕まえてないで、もっとも上を捕まえろよ、○○府警*1」といった話から始まりました。
とにかく、いろんなお話しがあったのですが、手元のメモに残っていて、おもしろかったお話を紹介します。
掃除婦は見た
物理的なアクセスで、清掃業者の格好をするのが効果的で、データセンターとかはともかく、一般企業だと、結構、中まで入れる。あっ、うちの会社は、自分たちで掃除当番だから関係ないや(^^;
Botnet vs. Amazon EC2
ボットネットの相場の話で、いろんな値段があるけど、1000 台 1 時間で 360$ ぐらいという話。ところが、同じ規模、時間なら Amazon EC2 で 120$ で使えちゃう。ということで、Amazon EC2 を使うケースも多いそうです。こうなると、まっとうな Amazon EC2 を使っているサイトも多いので、フィルタしづらくてやっかい、という話がありました。
Amazon EC2 でパスワードのブルートフォースをすると、英数字（おそらく、記号文字は含まない）パスワードで、下記のような金額になるそうです。
| 文字数 | 金額($) |
|---|---|
| 8 | 45 |
| 12 | 75,935,598 |
記号を入れると、30 倍ぐらい*2で、1350$ にはなりますが、それでも、それほどの金額では無いです。パスワードクラッキングツールで有名な John the Ripper が GPGPU に対応した*3、なんていう話もあるので、もう、８文字のパスワードは不十分と言って良いかもしれませんね。
マルウェアの主流はドライブ・バイ・ダウンロード
というのは知っていましたが、最初につながるサイトは、本来はまっとうなサイトに仕掛けを入れられたもので、そこからいくつかリダイレクトした上で、本当にマルウェアダウンロードさせるサイトにたどり着く、となっている事が多いそうです。
しかも、そのダウンロードサイトは時間限定だったり、実際にダウンロード出来るためには、Cookie や Referrer などの条件が揃っていないとダメだったり、で、気づいた時には、もう、どんな相手だったかは分からないそうです。
What is manageable should be measureable
管理する物は計測できなければいけない。第８回せきゅぽろで Microsoft の小野寺さんも同じ事を言ってましたね。まずは、計測すること。ログを取るだけじゃなくて、それを集計して計測していれば、何かが起きれば気づく事が出来る。がんばろっと。
「不審なファイルを開くな」は宗教
激しく同意。そんな物に期待しちゃいかん。だけど、それに対応したシステムを入れると、メールで 2000 万円、Web で 2000 万円、計 4000 万円は高い！ 標的型攻撃にシステムで対応するのは、まだまだ、コストが高いなぁ。
