コンピュータセキュリティシンポジウム2007 (CSS2007)

第2研究室 > 学会/セミナー報告 > コンピュータセキュリティシンポジウム2007 (CSS2007)

【会議名】コンピュータセキュリティシンポジウム2007 (CSS2007)
【日程】2007年10月31日(水)〜11月2日(金)
【場所】奈良新公会堂
【主催】情報処理学会 コンピュータセキュリティ研究会
 URL:http://css2007.naist.jp/

参加者:約200人(目算) 
10月31日は4つの並列セッション
11月1日〜2日は3つの並列セッション
招待講演:2件
発表論文:114件

以下 藤井研究員による報告


11月1日(水)
**************************************************
 セッション1B
  社会・法律 − 座長:佐々木 良一 (東京電機大学)
**************************************************
▼状態遷移図を用いる安全性証明プログラム
*福島 和英、清本 晋作、田中 俊昭 ((株)KDDI研究所)

PCCとは、安全性証明付きプログラムの安全性を検証する
技術のこと。PCCを実用化を目標に、まず、利用者が定義
したセキュリティポリシから推論規則を導出する方法を提案。
その手法では、状態遷移図を用いる。

Q:セキュリティポリシ、プログラムが大きくても大丈夫?
A:懸念してる。ソフトウェア工学の分野で対応できないか検討予定
Q:説明にあったプログラムは番地が固定だったが、動的なものは対応可?
A:今後の課題

▼16th USENIX Security Symposium,およびThe Third
 International Symposium on Information Assurance
 and Security 参加報告
*藤井 雅和、高橋 健一、櫻井 幸一
((財)九州システム情報技術研究所)

16回USENIXとIAS2007の参加報告

Q:その二つの雰囲気の違いは?
A:実際に参加したのはUSENIXなので比較はできない
 USENIXは人が多く活気があった。

▼電子署名複写システムにおける署名データ欠損耐性の向上
◎重里 豪太、宇田 隆哉 (東京工科大学)

紙文書+OHP(署名入り)でコピーをすることで電子データの
存在しない紙文書に署名をいれる提案を昨年した。その際に
指摘された課題(署名と文字が重なったら署名が壊れる)を
改善する方法を提案。
提案:文字はドットが連続するので連続するドットを除去
   同じ署名を複数個入れて冗長性を持たせる

Q:そもそも必要? OHPと文書を重ねて印刷は面倒では?
A:セキュリティ向上のため会社のルールで社員に必ず実施する
 ようにしてもらいたい
C:書類の保存はこれからはデジタル化されると思うよ


**************************************************
セッション2A
アクセス制御 − 座長:白石 善明 (名古屋工業大学)
**************************************************

▼仮想計算機環境におけるネットワークアクセス制御層の提案
◎諏訪 公洋 (奈良先端科学技術大学院大学)、
 平野 学 (豊田工業高等専門学校)、
  奥田 剛、河合 栄治、山口 英 (奈良先端科学技術大学院大学)

仮想環境では、VMM(バーチャルマシンモニタ)上にゲストOSを
作る。そのVMM上に、アクセス制御ができる機能を持たせることで
よりゲストOS間のセキュリティ強度を上げる提案がされた。
アクセス制御ポリシーは、ユーザ毎に定義できるように
している。

C:仮想環境でアクセス制御する必要がある?
 ユーザ毎のアクセス制御ならサーバ側ですればいいと思う
C:課題と狙いを明確にしたほうがよい

**************************************************
セッションS1
**************************************************
司会:寺田 真敏((株)日立製作所)
特別講演1:わが国の情報セキュリティ政策の概要と
	  研究開発コミュニティへの期待
山口 英(奈良先端科学技術大学院大学 教授、内閣官房
情報セキュリティ補佐官)

国内の情報セキュリティ政策について
+情報システムの基盤化を目指している。
 しかし、日本のエンジニアはオープン化の感性が弱い。
 個別のテストは得意だが、総合テストは苦手。
 だから、トラブルが発生する。
+基盤化の上手く行った例
 阪神高速に監視カメラを設置。異常時のみ録画するので
 データが少ない。交通事故発生時も、まずレッカー移動、
 その後、録画で検証。現場検証がなくなり渋滞が減った。
+内閣官房がなぜできたのか
 2000年に政府WEB改竄を中国がした。
 防御だけでは駄目な世界になった。
+情報セキュリティ基本計画というものがある。
 3ヵ年計画。これは基盤化のための基礎作り
+官僚は民間に対して厳しい指導をするが、自身に甘い
 各省庁のセキュリティの成績表を作った。
 外務省などは結果がDレベルと最低だったが、翌年Aになった。
 彼らは成績が出ると頑張る。だからこれからもそうする。

**************************************************
11月1日(木)
**************************************************
セッション3C
ボットネット − 座長:毛利 公美 (岐阜大学)
**************************************************
▼ボットネットの特性解明に向けてのIDSルール作成とその検討
◎渡邊 昌幸、安村 通晃 (慶應義塾大学)、小池 英樹 (電気通信大学)

ハニーポットによる定点観測から得られたログより、C&Cの情報を抽出し
NIDS(snort)のルールファイルを作成。そのルールの有効性について
検討、考察した。結果、ボットが使用しているドメインは短期で存在し
なくなるかダイナミックDNSを利用しているため、ルールの更新が定期
的に必要とのことだった。

Q:ルールがたくさんできてしまうのではないか?
A:1000検体で62ルールでした。
Q:検体がC&Cを複数持った場合は?
A:C&Cが無効になったらルールから削除する。
Q:False Negativeへの対応は?
A:ログ採取期間を長く持つことで対応
Q:文字でボットを引っ掛けてるが、ドメインだけでは駄目なのか?
A:ルールの作成時にキーワードが必要

▼セキュリティインシデントをトリガとしたボット検知方式:
 スパム発信に注目した異常検知
◎高見 知寛 (静岡大学)、竹森 敬祐、三宅 優 ((株)KDDI研究所)、
  西垣 正勝 (静岡大学)

ユーザPCからスパムが発信されたことをトリガとして
ボットを検知する手法を提案。スパム発信の有無は自メールサーバ
上で行う。

Q:スパムをボットといっているのか?
A:ボットの一部にスパムがあるということ
Q:OP25B(Outbound Port25 Blocking)の対策がされている場合は?
A:自メールサーバを経由しないものは検知できない。


▼セキュリティインシデントをトリガとしたボット検知方式:
 宛先IPとドメインに注目した不正検知
*竹森 敬祐 ((株)KDDI研究所)、高見 知寛、西垣 正勝 (静岡大学)、
  三宅 優 ((株)KDDI研究所)

自PCから発信される怪しいIPアドレス、ポートへの通信をトリガと
して、ボットへの感染を検知する手法の提案。
ツールを作成し、その評価を行った。

Q:ツールは配らないのか?
A:未割り当てのIPアドレスがばれるので今は駄目。
Q:プライバシの問題はないの?
A:自PCのログ採取なので問題ないはず。企業であれば、むしろ
 監視できてモット良いはず
Q:検知した通信が良いか悪いか判断できずにすぐにOKを押すユーザが
 多いと思うがその対策は?
A:センターサーバに接続してヒントとなる情報を引き出せるようにしてる


▼セキュリティ無効化機能を逆用したマルウェア活動抑制手法の検討
*松木 隆宏 ((株)ラック)、寺田 真敏 (中央大学)

マルウェアの中には、ハニーポットを検知して活動を停止する機能を
もったものがある。その機能を逆手にとってマルウェアの活動を
抑えるという方法を検討した。

Q:APIをフックするときのオーバヘッドは?
A:リアルタイム性は今はない。
Q:これは応急処置?
A:対策の1つ
Q:監視してるプロセスをとめられることはない?
A:あると思う。
Q:13件の有効とあるが分母は?
A:1700件だが、少ないとは思わない

**************************************************
セッション4A
セキュリティ・マネジメント(2) − 
座長:三輪 信介 ((独)情報通信研究機構)
**************************************************

▼セキュリティポリシーを遵守した最適端末設定の算出方式に関する検討
◎松林 大樹、加藤 弘一、勅使河原 可海 (創価大学)

セキュリティポリシーを守りつつ、利便性を損なわない最適な端末設定を
算出することを目的として、フォルトツリー解析を用いて検討した。

Q:結果が20%となったとしても、それを受け取る側で意味がかわるの
 ではないか? 例えば、降水確率20%で、傘を持つ人と持たない
 人がいると思うが・・
A:目安が必要とは思う。
Q:技術の違いをどう捕らえるのか?パスワードでもいろいろ技術があるが。
A:考えられると思う。
C:使う人によって確立が変わる事を考慮したらいいと思う。


▼多リスク・多関与者を考慮した内部統制構築法の提案と一適用
◎守谷 隆史 (東京電機大学)、千葉 寛之 ((株)日立製作所)、
 佐々木 良一 (東京電機大学、(独)科学技術振興機構)

リスクコミュニケーションツール「多リスクコミュニケータ(MRC)」を
使い、内部統制構築を行う提案。MRCは、多リスク、多関与者の場合の
リスク分析するツールとして開発された。目的や制約条件、対策案を
インプットすることで最適な対策案の組み合わせを抽出できる。

Q:過去の情報(蓄積)はどうやって入手する?
A:今は情報はない。今後の情報を蓄積して残す。
Q:未想定のリスクはどうするのか?
A:未想定のリスクは対応できない。だれも想定できないものだから。
Q:制約条件が変わった場合の追従性は?
A:パラメータの数値を変えるだけなので、容易。


▼情報セキュリティ対策ベンチマークにおけるポジショニング提示に関する考察
*菅野 泰子、寺田 真敏 (中央大学、(独)情報処理推進機構)、
 山岸 篤弘、石井 茂 ((独)情報処理推進機構)、土居 範久 (中央大学)

セキュリティ対策がどの程度されているかを統計を取り、考察した。
業種別、規模別、ISMS取得会社別のセキュリティ対策傾向などを分析。
この情報を用いると自社のセキュリティ対策のポジションがある程度
わかる。

Q:分析結果をどう反映するのか?
A:情報の発信については、実務上の課題で今後対応予定。


**************************************************
セッション6C
トレースバック − 座長:石橋 圭介 (日本電信電話(株))
**************************************************

▼カウンタを用いたIP トレースバック方式の検討
◎唐沢 智之 (北陸先端科学技術大学院大学)、
 双紙 正和 (広島市立大学)、
  宮地 充子 (北陸先端科学技術大学院大学)

IPトレースバックの既存研究(パケットマーキング法、ロギング法を
組み合わせた手法)に、カウンタを取り入れた手法を提案した。

Q:処理が重いのでは?
A:性能は考慮していない。
Q:カウンタはどこにもつのか?
A:IPフィールドにもつ
Q:カウンタを増加させているが、初期値を大きくしてディクリメント
 してはどうか?
A:そうですね。


▼IPトレースバックのための出国印方式の試作と評価
◎潘 博文、佐々木 良一 (東京電機大学)

出国印方式とは、エッジルータにエッジルータ自身のIPアドレスなどの
情報を分割してIPフィールドに書き込む方式の提案。

Q:エッジルータに提案された仕組みを導入するような所はIPスプーフィング
 対策などしている。むしろ、エッジルータの手前でトレースバックできる
 方法を検討したほうがよいのでは?
A:確かにエッジルータにいれるのは難しいと思うが、いつか必要になる。


▼インターネットにおけるトレースバック・システムの
 実証実験に至る全体計画案の策定
*若狭 賢 ((財)日本データ通信協会)、木村 道弘 (日本電気(株))、
  中谷 浩茂、甲斐 俊文 (松下電工(株))、
 藤長 昌彦、竹森 敬祐 ((株)KDDI研究所)、
  門林 雄基、櫨山 寛章 (奈良先端科学技術大学院大学)

トレースバックシステムの実証実験を行うことを目的に
ISP・ホスティング事業者にヒヤリングを行い、全体計画案を策定した。
H19年は問題の洗い出し、H20はその問題点の対応、H21は実証実験に入る。

Q:海外からの通信はトレースできる?
A:特定は無理。だいたいのエリアまでの特定となる。
Q:ペイロードを変更するのは駄目なのか?
A:弁護士が法律上駄目だと言っている
Q:海外からの通信と分かったあとはどうアクションする?
A:該当の海外ISPへ連絡するところまでの対応となる


▼CSIRTと情報セキュリティガバナンス
*山川 智彦 ((株)NTTデータ)

CSIRT(コンピュータ・インシデント・レスポンス・チーム)について
解説し、日本での理解のされ方と比較をした。

Q:日本にCSIRTを持ち込む場合、日本仕様にするべきではないか?
A:そう思う。日本オリジナルが必要と考える。

**************************************************
11月 2日(金)
**************************************************
セッションS2
司会:門林 雄基(奈良先端科学技術大学院大学)
特別講演2: トラクタブルネットワークの研究開発
篠田 陽一((独)情報通信研究機構 情報通信セキュリティ研究センター長、
北陸先端科学技術大学院大学 情報科学研究科 教授)
**************************************************

+インターネットの問題
 −インターネットにセキュリティ対策をしていないPCを
  接続した場合、その生存時間は約6分といわれている。
 −1日に検出されるゾンビ化したPCは25万台/日
 −1日の迷惑メールは120億通/日
 −何らかのセキュリティ被害を受けた人、54.7%(H17)
   ↓これらの問題が次世代ネットワークで改善されるか?
 +考え方には2通りある
  −緩制御(GENI/FIND)と強制御(NGN)
  −どちらがよいともいえない
+トラクタブルネットワークとは
 −トラクタブル(すなお、扱いやすい)
 −問題を容認するとか、制限が少なく自由かつ改善が容易なもの
+セキュリティへのアプローチ
 −Preventive/Proactive
 −Anticipative/Reactive
+情報通信セキュリティセンター
 −インシデント対策G、トレーサブルネットワークGがある
 +インシデント対策Gの目的はnicterを作ること
  −マクロ解析
  −ミクロ解析
  −テレスコープとは、存在しないはずの宛先へ向かうパケット
   から送信元を探ること
  −自己組織化マップによるマルウェア検出
 +マクロ分析は類似研究とどこが違う
  −オペレータ作業と自動化プロセスの組み合わせ
  −自動化プロセスの連携
  −データベースが大きい
 +ミクロ解析
  −検体をハニーポットで収集し、調査する
 +セキュリティテストを作っている
  −800台のPCで擬似インターネットを作る
+新しい脅威
 −データリンクの多様化・高速化
 −ワイヤレスでの脅威(無線でウィルス感染)
 −デジタル放送(一度にたくさん感染)
 −ホームネットワーク
ユビキタス社会に向けて、異なる領域の研究イニシアティブの協調が
不可欠

Q:Nicterのターゲットは?
A:ネットワークを守ること⇒国民を守る
Q:対処療法となっているように見えるがどうか?
A:予防のアプローチは必要だが、難しい。セキュリティバイデザインの
 考えを取り入れていく。
Q:Nicterの適用できる範囲は?
A:プロバイダ、ASなど

**************************************************
セッション7C
信頼管理・定点観測 − 座長:吉岡 克成 ((独)情報通信研究機構)
**************************************************

▼Web of Trustの導入によるコンテンツベースフィッシング対策の改良
◎長谷 巧 (静岡大学)、原 正憲 ((株)株式会社KDDI研究所)、
  西垣 正勝 (静岡大学)

Web of Trustの考え方を導入し、コンテンツベースフィッシング対策の
改良(False Positiveの改善)をした。コンテンツベースフィッシン
グ対策とは、調査対象のWEBページから特徴的なキーワードを抽出し、
そのキーワードをGoogle検索した結果に該当Webページが存在すれば
正規サイトとする手法。
Web of Trustとは、「自分の信用できる知り合いが信用している知り合いは
信用できる」という考え方。この考えをリンクしているWeb間に適用し
改良した。

Q:フィッシングサイトがGoogleの上位に現れた時は?
A:Googleの上位に現れることは少ないと考えている
Q:リンクはいくつ辿った?
A:3000〜4000程度

▼信頼の輪モデルによるP2Pプリンタ共有システム「PrinterSurf」の開発
◎中上 恭介、齊藤 達郎、齊藤 義仰、村山 優子 (岩手県立大学)

インターネット上でプリンタを共有するシステムの開発。
プリンタの管理は大変なので、信頼の輪モデルで認証させるセキュアな
プリンタ利用のモデルを提案。

Q:プリンタ以外への応用サービスを検討しているか?
A:今のところ自宅から大学で印刷できれば良いというものを考えている。

▼GoogleMapsとGeoIPを用いた分散Honeypotのログ解析と視覚化
◎金子 博一、小池 英樹 (電気通信大学)

複数のIDSのログを視覚化することで解析しやすいような
ツールを作った。このツールはGoogleMapsとGeoIPと連携することで
容易にログ解析ができる。

Q:リアルタイム性はある?
A:現段階ではない。
Q:IDSとハニーポットは同義?
A:ハニーポットにIDSが入っている。


▼インターネット上の不正パケットの時系列相関分析に基づく異常検知手法
◎石黒 正揮、村瀬 一郎 ((株)三菱総合研究所)、
 鈴木 裕信、後藤 滋樹 (早稲田大学)、篠田 陽一 (北陸先端科学技術大学院大学)

インターネット上の未割り当てのIPアドレスを観測し、時系列で自己相関分析を
おこなうことで、ワームなどの活動に関する変化を検知する手法を提案した。

Q:周期性を検知するとのことだが、パケットに周期性のないものはどうする?
A:今後調査する
Q:観測ポイントはどこ?
A:7センサで日本全国と海外に1つ
Q:攻撃内容の分析についてはどうなってる?
A:TCPのコネクションを分析するレベルで、まだこれから


**************************************************
セッション8A
仮想化技術 − 座長:奥田 剛 (奈良先端科学技術大学院大学)
**************************************************

▼プログラム実行時に仮想マシン環境での 実行を判断するための一方式
*宮本 久仁男、藤澤 一樹、橋本 正樹、金 美羅 (情報セキュリティ大学院大学)、
 辻 秀典 (情報セキュリティ大学院大学、(株)情報技研)、
 田中 英彦 (情報セキュリティ大学院大学)

仮想環境であることを検知する手法の提案。
仮想マシンと実マシンではプログラムの実行時間に差が現れる。
そこで、その差を用いて仮想環境かどうかを判断できないか
調査した。

Q:実マシンの実行値がわからないと判断できないのではないか?
A:予備的な情報が今後必要と考えている。

▼KVMを用いた完全仮想化上のインシデント駆動型チェックポインタの実装
*安藤 類央、門林 雄基、篠田 陽一 ((独)情報通信研究機構)

KVMを用いて完全仮想化したOSのスナップショットからインシデントの発生を
検知することができることを示した。

Q:インシデントの検知に利用できる?
A:可能である。


▼開発の早期段階におけるセキュリティアスペクトの抽出
*大久保 隆夫 ((株)富士通研究所、情報セキュリティ大学院大学)、
  田中 英彦 (情報セキュリティ大学院大学)

アスペクトとは、アスペクト指向プログラミングにおいて、
横断要素を一箇所に記述できるような言語要素のこと(セキュリティを
分離して開発すること)。
ソフトウェア開発にセキュリティを組み込むために、セキュリティ
アスペクト(要素)の抽出について検討した。

Q:抽出された要素の網羅性はどう評価する?
A:最終的には人によるチェックと思っている。
Q:セキュリティ要件は日々進化してる(脆弱性は更新される)。
 抽出要素の作り直しはどうするのか?
A:現段階では、なんともいえない。


ページトップへ戻る

Copyright © 2006 Institute of Systems & Information Technologies/KYUSHU. All Rights Reserved.