脆弱性の悪用からユーザーを守るために、ベンダーが取り組むべきこと

Slide 1

Slide 1 text

脆弱性の悪用からユーザーを守るために、ベンダーが取り組むべきこと - Microsoft の学びの共有垣内由梨香セキュリティプログラムマネージャーセキュリティレスポンスチームマイクロソフトコーポレーション公式ブログ: https://aka.ms/JPSECURITY 公式ツイッター: @JSECTEAM セキュリティレスポンスチーム窓口 [email protected]

Slide 2

Slide 2 text

2 ミッション：お客様が Microsoft の製品やサービスのセキュリティ脆弱性から被害を受けることを防ぎ、 Microsoft Cloud に対する攻撃を迅速に対応する • リリース製品の脆弱性対応 (脆弱性収集、修正、更新プログラムのリリース） • 脆弱性に関するリサーチ • セキュリティ・リサーチコミュニティとの連携 © Copyright Microsoft Corporation. All rights reserved.

Slide 3

Slide 3 text

信頼できるコンピューティング設立セキュリティ開発ライフサイクル (SDL) 提唱マルウェア保護センターを設立 Microsoft Security Response Center 設立デジタル犯罪対策センター設立 Operations Security Assurance 開始セキュリティ情報提供開始 • 脆弱性にセキュリティ情報(MSxx-xxx) を採番 • セキュリティ更新や回避策を公開 1998 2004 2007 2014 2017 1995 1999 2005 2018 2003 月例でのセキュリティリリース開始 • 毎月第 2 火曜日午前 10 時 (米国時間) • 複数の脆弱性の修正をパッケージ化し、必要なインストール回数・再起動回数を減少 • 詳細なガイダンスの提供月例セキュリティリリースの事前通知開始・3 営業日前に月例更新プログラムを事前予告 CVE 採番機関となり、最初のCVEを採番セキュリティ更新ガイド開設・セキュリティ情報(MSxx-xxx) 番号を廃止・CVE、更新プログラムを公開データベース化 2010 Microsoft Active Protection Program (MAPP) 開始 © Copyright Microsoft Corporation. All rights reserved. 3

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

緩和策名称 Windows 7 Windows 10 Kernel Pool Hardening 〇〇 Kernel ASLR (Images) 〇〇 Fonts (User mode Appcontainer) × 〇 NTVDM disabled × 〇 Kernel ASLR (full) × 〇 Kernel DEP × 〇 Kernel Pool Hardening (Extended) × 〇 SMEP × 〇 Global Safe unlinking × 〇 Improved ASLR entropy × 〇 © Copyright Microsoft Corporation. All rights reserved. 15

Slide 16

Slide 16 text

攻撃面の縮小 (Attack Surface Reduction) • 悪用された脆弱な署名済みドライバーの悪用をブロックする • Adobe Reader の子プロセスの作成をブロックする • すべてのアプリケーションOffice子プロセスの作成をブロックする • ローカルセキュリティ機関サブシステムからの資格情報のWindowsをブロックする (lsass.exe) • メールクライアントと Web メールから実行可能なコンテンツをブロックする • 有病率、年齢、または信頼できるリスト条件を満たしない限り、実行可能ファイルの実行をブロックする • 難読化される可能性のあるスクリプトの実行をブロックする • JavaScript または VBScript のダウンロード済み実行可能コンテンツの起動をブロックする • 実行可能Office作成するアプリケーションのブロック • アプリケーションOffice他のプロセスへのコードの挿入をブロックする • 通信Officeプロセスの作成をブロックする • WMI イベントサブスクリプションによる永続化のブロック • PSExec および WMI コマンドから発生するプロセス作成をブロックする • USB から実行される信頼されていないプロセスと署名されていないプロセスをブロックする • Win32 API 呼び出しをブロックOfficeマクロ • ランサムウェアに対する高度な保護の使用 Office サンドボックス保護 Microsoft Defender アプリケーションガード © Copyright Microsoft Corporation. All rights reserved. 16

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Microsoft Active Protection Program (MAPP) マイクロソフトと、各国政府・セキュリティ業界との連携による脆弱性悪用状況の把握と顧客保護パートナー: ・各国政府機関・ナショナル CERT ・セキュリティ製品ベンダー連携内容: ・マイクロソフトの脆弱性情報の一般公開前提供・マイクロソフト製品の脆弱性悪用情報、テレメトリ・マルウェアサンプル Microsoft Active Protections Program © Copyright Microsoft Corporation. All rights reserved. 22

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

• 脆弱性や攻撃手法の詳細開示による、セキュリティリスク、法的リスク • ドキュメントに必要な時間 vs. 迅速性 • 公開する情報量とサポートコストへの影響 • 間違った情報の伝播、それによるサポートコストの増加 • 最新ではない情報の伝播 • 自動更新が有効ではない環境へのアプローチ © Copyright Microsoft Corporation. All rights reserved. 31