悪意と善意が交差する「内部不正」という名のサスペンス

by Recruit Technologies

Slide 1

Slide 1 text

悪意と善意が交差する「内部不正」という名のサスペンス川崎隆哉セキュリティオペレーションセンター兼インシデントレスポンスグループサイバーセキュリティエンジニアリング部株式会社リクルートテクノロジーズ

Slide 2

Slide 2 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 自己紹介 2 川崎隆哉（かわさきたかや）株式会社リクルートテクノロジーズ 4年生大学の法学部法律学科国際法コースを卒業。新卒としてデジタル・フォレンジック技術を用いた不正調査を専門とするベンダーに入社。不正調査やマルウェア感染時の調査に従事。現在は、Recruit-CSIRTにてセキュリティ監視やインシデントレスポンスに従事。氏名所属略歴

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 5 デジタル・フォレンジックの簡単な説明フォレンジック(Forensics)の言葉の意味  フォレンジック = 法医学の、科学捜査の、(鑑識の)  デジタル・フォレンジック =デジタル鑑識靴跡、指紋、血痕などを調査一般的な鑑識デジタル鑑識 HDD、USB、スマートフォン等のメール、ドキュメント、 Webの閲覧履歴、オフィスファイルなどを復元・調査

Slide 6

Slide 6 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 6 出典:NPO法人デジタル・フォレンジック研究会「証拠保全ガイドライン第6版」 https://digitalforensic.jp/wp-content/uploads/2017/05/idf-guideline-6-20170509.pdf デジタル・フォレンジックの簡単な説明デジタル・フォレンジックのフロー

Slide 7

Slide 7 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 7 デジタル・フォレンジックの簡単な説明フォレンジックの範囲ネットワークフォレンジック (パケット) メモリフォレンジックディスクフォレンジックログ解析スマートフォンフォレンジッククラウドフォレンジック(SaaS:Dropbox等) IOTフォレンジック従来の調査範囲新しい調査範囲ガラケーフォレンジッククラウドフォレンジック (IaaS:AWS等)  技術の発展や生活スタイルの変化によって調査対象デバイスは拡大 VDI等仮装インスタンス

Slide 8

Slide 8 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 8 デジタル・フォレンジックの簡単な説明デジタル・フォレンジックが用いられたとされる事件  オウム真理教事件(1995)  ライブドア事件(2006)  大相撲八百長事件(2011)  遠隔操作ウィルス事件(2012)  年金管理システムに対するサイバー攻撃による情報流出事件(2015)  将棋棋士による将棋ソフト不正疑惑事件(2016) 技術情報の持ち出し (メール誤送信) パワハラ・セクハラ怪文書掲示板への書き込み・過労死不正による個人情報漏洩会計不正その他刑事事件カルテル (PCの紛失) ITサボタージュ (破壊行為) システム悪用利益造反

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 12  架空の情報漏洩事件を元に、被疑者との攻防や企業の対応等にスポットを当ててお話しします  登場人物は下記の通りセキュリティ担当者Bさん被疑者Aさん Bさんの上司Cさん入社5年目、給与に不満。最近子供が生まれ転職を考えている。最近転職してきたA社のセキュリティ担当者。インシデント体質。 Bさんの上司。座右の銘は「笑う門には福来たる」

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 19 参考：個人データの漏えい等の事案が発生した場合等の対応について（平成 29 年個人情報保護委員会告示第１号）漏えい等事案が発覚した場合に講ずべき措置事業者内部における報告及び被害の拡大防止事実関係の調査及び原因の究明影響範囲の特定再発防止策の検討及び実施影響を受ける可能性のある本人への連絡等事実関係及び再発防止策等の公表個人情報保護委員会等への報告  事故が起きたら何をすればよいか？ ※特定個人情報については別途定め有り

Slide 20

Slide 20 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 20 情報持ち出し案件における対応の簡単なフロー例発覚 • 対策チームの発足やCSIRTの支援開始事実確認極小化 • 流出内容の把握/何が/いつからか/他にないか • 流出範囲の把握(二次漏洩等)→回収/消去監督機関に報告 • 発生した案件に応じて、適切な機関に報告プレスリリース等公表問い合わせ対応収束 • 被害者に概要を報告し謝罪する • 事実確認や苦情等に対応 (適切に対応しないと更なる炎上へ) • 平時の体制に移行ここでフォレンジックこの間に再発防止策の検討が必要となる社内デバイスやシステムの調査→黒→私物の調査

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 23  事実確認・極小化フェーズ  内から外へと調査範囲を広げていく社内調査で黒の裏どりをして、その後、ファイルを流出させた先の端末を抑えて更なる拡散を止めなきゃ。発覚事実確認・極小化監督機関に報告公表問い対応収束回収証拠保全調査報告・消去確かに、黒だという根拠がなければ私物の回収には応じてもらえないだろうな。冤罪も怖い。

Slide 24

Slide 24 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 24  回収フェーズ(社内)  社内デバイスには本人に知らせない回収・証拠保全・調査も有りうる  入社時等に、不正調査の可能性を示しておくことが望ましいあまりいい気はしないけど、本人に気づかれないよう秘密裏に調査しよう発覚事実確認・極小化監督機関に報告公表問い対応収束回収証拠保全調査報告・消去休日や夜間に誰にも見つからずに証拠の保全を実施する

Slide 25

Slide 25 text

Slide 26

Slide 26 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 26 回収中は、音声をとって被疑者から目を離さないようにトイレに行くフリをしてスマホからクラウドのデータを削除しよう発覚事実確認・極小化監督機関に報告公表問い対応収束回収証拠保全調査報告・消去想定  回収フェーズ(社外)  準備が大切。被疑者は嘘をつくものと覚悟して臨む。  弁護士同行など、温度感をみせ1回で回収する。

Slide 27

Slide 27 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 27 回収 PC持っていません想定  デバイスの回収  呼び出す口実(本当の要件は言わない)  回収時の想定シナリオを作る  誰が回収に行くか(女性の被疑者に男性がつきまとうのは新事件の元)  記録をとる(録音、録画、写真)  被疑者から目を離さない  被疑者は証拠を隠そうとする  可能な限り被疑者に身分を明かさない  場合によっては代替機を(PC,スマホ)  ID,passをきく

Slide 28

Slide 28 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 28 回収  クラウドデータの回収  被疑者と一緒に確認する  アカウントを抑える  被疑者がアカウントのデータに入れなくする  デバイスにインストールされているソフトウェアやWebの閲覧履歴を調査して、ユーザ未申告のサービスの利用痕跡がないか調べる  (プロに任せるのが望ましいが、手法が確立されているかは微妙) ※ただし、このクラウドデータの回収方法は訴訟時にどのように扱われるかはわからない。プロのツールで証拠保全した方が確実だが、全てのサービスに対応したツールがあるわけではない

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 33 証拠保全  適切に実施するためには知識や経験が必要  改竄を極力を避ける(絶対にデータを変更してはならないわけではない)  記録を取る(写真、メモ)  デジタル指紋(ハッシュ値)の取得よる複製の成功(同一性)確認  後でデータ復元や調査ができるよう暗号化等に配慮して適切にデータを取得  CoC(Chain of Custody) Sheetの作成  専門家に渡すまでは触らないことが重要(保持の状態はベンダーと相談)  調査側が下手に触ると証拠を捏造したのではと思われる可能性がある  触らないように隔離しておくことが推奨される投影のみ

Slide 34

Slide 34 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 34  調査  調査内容やアウトプットに齟齬がないように調整。専門家に任せる。 (勿論保全も含めて専門家が自社にいれば尚良い) 調査結果が、白、黒、グレーだった場合それぞれの今後の対応について考えておこう発覚事実確認・極小化監督機関に報告公表問い対応収束回収証拠保全調査報告・消去

Slide 35

Slide 35 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 35 調査  持ち出されたデータの有無や、2次流出経路の調査  データの復元  デジタル指紋(ハッシュ値)によるファイル検索  文字列検索  拡張子、ファイル名等によるファイル調査  ブラウザの閲覧履歴(クラウドサービスの使用痕跡等)  メールの調査  ファイル、プログラムの実行履歴、サムネイル等ファイルは消えても痕跡は残る投影のみ

Slide 36

Slide 36 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 36 調査結果を用いた被疑者との攻防  持ち出しに使用されたと思われるUSBメモリを回収した。  しかし、USBは空だった。確かに、職場にはUSBを持って行っていた。しかし、何も持ち出していないでも、USBのデータを復元したら、「顧客リスト.xlsx」が出てきたよ調査すると

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Slide 42

Slide 42 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 42  報告・消去  報告を受けて今後の対応を審議  必要があれば復元できないようデータを消去調査結果を受けて、消去対応や更なる調査を検討しないと今回は持ち出しはされたけど、 2次漏洩の可能性は低いという調査結果だから、流出したデータを被疑者の個人端末から探して完全消去しよう発覚事実確認・極小化監督機関に報告公表問い対応収束回収証拠保全調査報告・消去

Slide 43

Slide 43 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 43 報告・消去  報告  情報持ち出しの有無(情報が私物PC等に持ち込まれているか)  持ち出し先からの2次漏洩の有無(更なる第三者への流出があるか)  その他不正の有無  次のアクション  被疑者の処遇  消去  持ち出されたファイルを、持ち出し先のPC等から復元が困難になるよう完全消去する

Slide 44

Slide 44 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 情報持ち出しの現場と注意点 44  その後の対応  隠れた鬼門、問い合わせ対応ここまで適切に対応しても、プレスや問い合わせ対応等が悪いと結局炎上してしまう。最後まで気が抜けないな。監督機関に報告プレスリリース問い合わせ対応収束へ発覚事実確認・極小化監督機関に報告公表問い対応収束バズらないで、、

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 48  不正の3要素 / 3つ揃うと不正が発生すると言われる今も薄給だし、給料もあがらないなー子供を大学までやれるか不安だ動機 (プレッシャー) 正当化機会子供も生まれたし、生きてくためにはしょうがないよね USBの制御されてないな。Web Mail使えるな。今週休日出勤すれば誰もいないな、、、 USBの制御されてないな。Web Mail使えるな。情報持ち出しの現場と注意点

Slide 49

Slide 49 text

Slide 50

Slide 50 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 50  不正実行までのプロセス例醸成 • 意味：動機の醸成や正当化が行われる • 対策：Email監査、人事制度、コンプラ等準備 • 意味：実際に持ち出せるか確認する • 対策：DLP、資産管理ソフト、UBA、DB 監査等実行 • 意味：実際に持ち出す • 対策：DLP、資産管理ソフト、 UBA、DB監査等 ※参考：http://www.kibit-platform.com/solution/information-leakage/ DLP(Data Loss Prevention） UBA(User Behavior Analytics) 情報持ち出しの現場と注意点

Slide 51

Slide 51 text

Slide 52

Slide 52 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 52  対策をすることで、安易な不正を防いで会社と社員の人生を守れる可能性は十分あるだめだよー違反したらちゃんとみてるからね身内を疑うのはちょっとなー情報持ち出しの現場と注意点性善説 (不正の機会を与える) 実は会社も社員も不幸になる性悪(弱)説 (牽制し機会を奪う) 実は会社も社員も守れる

Slide 53

Slide 53 text

Slide 54

Slide 54 text

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Slide 57

Slide 57 text

Slide 58

Slide 58 text

Slide 59

Slide 59 text

Slide 60

Slide 60 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • PCを操作（アクティブウィンドウが変わった、アプリを立ち上げた、USBメモリを挿したなど）すると記録されるログです • このログを見ることで、どのような活動をしているのか概要を知ることができます • ログの出力具合（時間あたりのログ件数や、出力内容）を見ることで、人間が操作しているかを判断することがある程度可能です ※この特性を利用することで、ログが出た時間にそのPCの持ち主が稼働していた可能性がある、ということを推定することができます • 他の情報（例えば、入退館情報やタイムカードの打刻情報）と操作ログの情報を突き合わせすることで、本来はそうされていないはずの時間に操作がある、といったことを検知することで、詳細調査のトリガー情報として利用も可能です • 製品によっては、プリンタへの印刷を行った際にログを記録する機能を有するものもあります 60 PC操作ログ • 不審なツールの利用 • 普段行わない不審な操作 • 業務時間外の稼働など…

Slide 61

Slide 61 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • ファイル操作（新規作成、名称変更、コピー、移動など）を行った際に記録されるログです • このログを参照することで、ユーザーがファイルに対してどのような操作をおこなったかを知ることができます • ファイルの移動やコピー操作、操作されたファイル名称を知ることで、持ち出しの兆候や事実を観測することができます • ログ量が膨大となる為、事前に監視すべきファイル名や、キーワードを検討した上で、特定キーワードに関わる操作のみを抽出・解析するといった対応が必要にることがありますキーワード例）「カード番号」「会員リスト」「顧客リスト」「社外秘」など… 61 ファイル操作ログ • 重要情報資産へのアクセス • ファイルのコピー/移動など… 投影のみ

Slide 62

Slide 62 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • WebブラウザによるWebアクセスを行った際に記録されるログです • 製品によりますが、WebサイトのURL、タイトル、読み出し操作であるか書き込み操作であるか（GETか？POSTか？）、書き込み時の内容、リクエストパラメータなどが記録されます • Webサービス経由での情報の持ち出しはありがちな経路となる為、不正検知の観点では重要なログとなります • ただし、ログ情報から利用サービスの特定や、記録されたリクエストが実際のWebサービス上ではどのような動きに連動するのかを解析する必要がある為、活用の難易度がやや高いという側面もあります • こちらもログ量は非常に膨大となるため、解析対象のサービスを限定（URLを限定）した上でログを抽出して解析するといった対応が必要となります 62 Web アクセス操作ログ • 業務利用外のクラウドサービス利用 • ファイル・メッセージの外部送信 • 不審なツールのダウンロード/利用など…

Slide 63

Slide 63 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み 63 PC操作ログファイル操作ログ Web アクセス操作ログ • 不審なツールの利用 • 普段行わない不審な操作 • 業務時間外の稼働など… • 重要情報資産へのアクセス • ファイルのコピー/移動など… • 業務利用外のクラウドサービス利用 • ファイル・メッセージの外部送信 • 不審なツールのダウンロード/利用など… ログを解析し、不審なイベントを検出します

Slide 64

Slide 64 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • ログ解析を行う際、対象の事業特性や情報資産への理解が必要となります – ログのみ先に取得しログから仮説を組み立てる – 対象事業の担当者へどのような資産を取り扱っているのかをヒアリングする – 事業側の統制担当へどのような行為を不正と見なすのかといったルールをヒアリングする • 解析の基準（ルール）が構築できるものは事前に設計した上で、ユーザー対応や判断を行うセクションと合意形成図ります例) – 「〜というキーワードのファイル操作で、USBメモリへ書き出しをしている場合、レポートします」 – 「〜というWebサービスへの書き込みを検知した場合はレポートします」 64

Slide 65

Slide 65 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • ログ解析はログ解析専用のツールを使用することをお勧めいたします – 単純なキーワードサーチレベルであれば、IT資産管理ツールの検索機能でも対応可能です – 複雑な検索や、統計を使った判定などを行う場合、IT資産管理ツール内の機能では不足することがあります – 全文検索ができるツールがお勧めです • OSSの場合、ElasticSearch(検索) + Kibana(可視化) あたりでスタートするのがお手軽でスモールスタート可能です • スモールスタートして、サイクルを回しながらソフトウェアやハードウェアの拡張・置き換えすることをお勧めします 65

Slide 66

Slide 66 text

(C) Recruit Technologies Co.,Ltd. All rights reserved. 内部不正に対する平時の取り組み • ログ解析のみで不正を発見することは難しい発見したイベントはレポートラインに載せて、しかるべきセクションで最終判断を実施し、ヒアリングも含めたユーザー対応を行う ※明らかに不正とわかるパターンはそれほどなく、不正にも通常業務にも見えるイベントが大多数 • ユーザーヒアリングも含めて、イベントの確認を実施することで、ログ監視を行っていることに周知にもなり、抑止効果が得らます • ヒアリング結果と解析結果を突き合わせし、解析手法の見直しをすることで、以後の解析精度向上を図ります 66 解析イベント検知レポート判定判定結フィードバック解析ロジック改善

Slide 67

Slide 67 text

Slide 68

Slide 68 text