サイバー捜査員研修（後半）

千葉県警様のサイバー捜査員研修で使用した資料です

Transcript

1. 千葉県警察様 2026/8/3 14:45-16:05 野溝のみぞう @nomizooone
2. 後半の進め方（再掲） Slidoを使って質問やコメントをリアルタイムで受け付けます ←お手持ちのスマホで 当日のみ 読み取ってください 読み取れない人は slidoで検索⇒アクセスコード：XXXXXX インターネットに公開されていますので 機微情報の書き込みはお控えください 2
3. 後半で話したいこと 仮説 実際の事例ではどうなんだ？という疑問 実際の事例をできるだけなぞってみる 「自分が関わる◦◦だったらどうだろう？」 解像度高く考えられるようになる 3
4. 前半のお品書き デモンストレーション中心の進行 項目 テーマ Chapter.3 実際の事例を元に実際の攻撃の流れを確認する Chapter.4 ハッカー視点で見てみよう 後半戦 まとめ 時間（目安） 10分 Phase.1 偵察 20分 Phase.2 初期侵入から管理者権限の窃取 20分 Phase.3 横展開からデータ持ち出してランサムウェア実行 20分 Phase.4 リークサイトなどに情報を公開する 5分 今日のまとめ 5分 合計 80分 4
5. Chapter.3 実際の事例を 確認する 5
6. 直近でランサムウェアといえばこの２つ アサヒGHD アスクル株式会社 https://xtech.nikkei.com/atcl/nxt/news/24/02998 https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf 6
7. 並べてみました アサヒGHD アスクル 発覚した日 2025年9月29日 2025年10月19日 主な影響範囲 ・受注・出荷システムの暗号化 ・約190万件以上の個人情報に漏洩の恐れ がある ・データセンター内の物流システム・社内システ ムの暗号化（お客様情報を含む情報の窃取） ・お問い合わせ管理システム内の情報 ・約74万件の個人情報に漏洩の恐れがある 初期侵入の経路 ・ネットワーク機器経由で侵入された ・パスワードの脆弱性を付かれた ・業務委託先用の認証情報を窃取 ・外部クラウドサービス上のお問い合わせ管理シ ステムが窃取されアカウント侵害 身代金 支払っていない 支払っていない 潜伏期間 約１０日 約4ヶ月 攻撃グループ Qilin RansomHouse https://www.youtube.com/watch?v=DR Bex9dRLbM https://pdf.irpocket.com/C0032/PDLX/O3 bg/N4O3.pdf ※公式発表ではない 参考URL 7
8. アサヒGHD ※NotebookLMに作ってもらいました 8
9. アスクル株式会社 https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf 9
10. すでにご存知でしょうが他の事例も 引用：令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について 警察庁サイバー警察局 ←P59 P9→ https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf 10
11. Chapter.4 ハッカー視点で 見てみよう 後半戦 11
12. サイバー攻撃のプロセス（再掲） サイバーキルチェーンとMITRE ATT&CK® 引用：https://www.microsoft.com/ja-jp/security/business/security-101/what-is-cyber-kill-chain https://attack.mitre.org/ 12
13. ATT＆CK® NavigatorでQilinを見てみる 攻撃の傾向がわかったり する（ちょっと楽しい） https://mitre-attack.github.io/attack-navigator/ 13
14. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 14
15. お約束なのでもう一度言います 特別に許可を得た環境 自分が全責任を持って管理している環境 ・・ 以外には絶対やってはいけません 15
16. 構成 デモは侵入後の想定で やっていきます kali 192.168.0.111/24 hiyoko サーバー 192.168.0.200/24 田中さんの PC 山田さんの PC 鈴木さんの PC 192.168.0.100/24 192.168.0.101/24 192.168.0.102/24 16
17. Demonstration やっていきます 画面きりかえます 17
18. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 18
19. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 19
20. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 20
21. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 21
22. 後半のデモシナリオロードマップ Phase.1 事前準備 VPN機器の偵察 Phase.2 ①初期侵入～②偵察 初期侵入から管理者権限の窃取 Phase.3 ③侵入拡大～④攻撃 横展開からデータ持ち出してランサムウェア実行 Phase.4 ⑤脅迫～⑥データ公開 リークサイトなどに情報を公開する 22
23. Demonstration おわり 23
24. 後半 まとめ 24
25. 後半で話したかったこと 仮説 実際の事例ではどうなんだ？という疑問 実際の事例をできるだけなぞってみる 「自分が関わる◦◦だったらどうだろう？」 解像度高く考えられるようになる 25
26. 前半の内容を踏まえてポイントだと思うところ ①弱いところ パスワードが弱かったり脆弱性があるところ ②公開されているところ VPNとかリモートデスクトップとか ③ひとと関わるところ ネットワーク的に直接行けるところはやっぱり狙われますよね 26
27. 時間余ったら質疑応答 全体通して質問ありますか？ 研修と関係ないことでもOK 27
28. お疲れ様でした！ 28