2016-ShowNetステージ-ShowNetを守るセキュリティ

Transcript

1. Copyright © Interop Tokyo 2016 ShowNet NOC Team ShowNetを守るセキュリティ ～ 機器連携による自動防御への取り組みと運用 ～ ShowNet NOC チームメンバ 6/8 13:30 – 13:50 神谷 6/9 10:30 – 10:50 岡田 6/10 10:30 – 10:50 遠峰
2. Copyright © Interop Tokyo 2016 ShowNet NOC Team Scratch and Re-build the Internet
3. 3 Copyright © Interop Tokyo 2016 ShowNet NOC Team ShowNet 2016 セキュリティの見どころ • セキュリティ検査によるネットワーク堅牢性の確保 ➢攻撃者の存在を前提としたネットワーク構築・運用 • 100Gキャプチャによるネットワークフォレンジック ➢100Gバックボーン時代のネットワークフォレンジック基盤 • ベンダを越えたセキュリティ機器連携 ➢多様化するサイバー攻撃への多面的な分析と防御
4. Copyright © Interop Tokyo 2016 ShowNet NOC Team ShowNet 2016 全体像
5. Copyright © Interop Tokyo 2016 ShowNet NOC Team NFV ShowNet 2016 セキュリティ BGP Flowspec + DDoS Mitigation インラインFW（無線） インラインFW（会議棟） インラインFW（ライフ） TAP/ミラートラフィック解析 マネジメント監視
6. 6 Copyright © Interop Tokyo 2016 ShowNet NOC Team ShowNet 2016 セキュリティの見どころ • セキュリティ検査によるネットワーク堅牢性の確保 ➢攻撃者の存在を前提としたネットワーク構築・運用
7. 7 Copyright © Interop Tokyo 2016 ShowNet NOC Team C2サーバ模擬通信 ネットワーク検査による堅牢性向上 • ShowNet内の全デバイス（800台 以上）を検査し脆弱性を一元的に 監視 • ホワイトハッカーによるペネト レーション試験により、実影響の ある脆弱性のみを抽出 • セキュリティテスタで遠隔操作 サーバ（C2サーバ）の通信を模擬 • クラウドからDDoS攻撃耐性検査 を実施 Outbound 脆弱性 確認 脆弱性 検査 DDoS攻撃 ShowNet 45.0/15 Inbound SecurityCenter SecurityLab AvlancheNext PerfectStormOne TeraVM NimbusDDoS
8. 8 Copyright © Interop Tokyo 2016 ShowNet NOC Team 実際にShowNet で見つかった脆弱性 • 準備期間中 (5/27 - 6/10) に複数回に渡って脆弱性 検査を実施 • 23種 114件の脆弱性を検知 • 設定ミスからパッチ適応／アップデートが必要なものまで 脆弱性名 詳細 SNMP Agent Default Community Names community名がわかってしまう，実 施方法不明 5.5 < Build 3568722 / 6.0 < Build 3568940 glibc DNS Resolver RCE (VMSA-2016-0002) (remote check) glibcの脆弱性，DNS問い合わせない ので影響なし Management Controller Default Credentials UDPxxx でIPMIログイン可能 MS14-066: Vulnerability in Schannel Could Allow Remote Code Execution (2992611) (uncredentialed check) Windows Update必要 Rogue Shell Backdoor Detection port xxxx で認証なしアクセス
9. 9 Copyright © Interop Tokyo 2016 ShowNet NOC Team ShowNet 2016 セキュリティの見どころ • 100Gキャプチャによるネットワークフォレンジック ➢100Gバックボーン時代のネットワークフォレンジック基盤 • ベンダを越えたセキュリティ機器連携 ➢多様化するサイバー攻撃への多面的な分析と防御
10. 10 Copyright © Interop Tokyo 2016 ShowNet NOC Team 昨今のセキュリティ事例 • マルウェア感染に起因し、不 正送金、身代金、情報漏洩な どの実被害が発生 • DDoS攻撃によるサービスダウ ン事例が頻繁に発生 • Webサイトへの不正アクセス 被害も継続的に発生 2016年のニュース 不正送金被害額30億円、過去最高に。（ば らまき型不正送金マルウェア） ランサムウェアが大流行。ファイルを暗号化 し、身代金を要求。 ホテルチェーンで、マルウェア感染、カード 情報流出。 製造業サイトや省庁サイト、DDoS攻撃でア クセスしづらく。「アノニマス」の攻撃か。 複数のメディア企業Webサイトへ不正アク セス、個人情報流出のおそれ。 複数の脅威に対応する必要 →多様な検知・防御手段が登場
11. 11 Copyright © Interop Tokyo 2016 ShowNet NOC Team 検知・防御連携の難しさ • 攻撃の多様化 • 全ての攻撃を単一のセキュリティ機器で検知できない • 誤検知や見逃しの発生 • 検知と防御の連携が困難 • 検知結果の記述形式が様々 • フィルタ、流量制限といった防御駆動方法が多種多様 • e.g. NETCONF, REST API, ...
12. 12 Copyright © Interop Tokyo 2016 ShowNet NOC Team レイヤ1アグリゲーションとモニタリング ShowNetを守るセキュリティ • TAPやルータ・スイッチ のミラーポート機能でト ラフィックを抽出 • 複数ポートへのコピーや 重複排除にL1アグリ ゲーションを利用 • スイッチの機能としての 実装や、SDNでコント ロールする実装も導入 L1 Aggregation nto6221 tap switch Z9100-ON big tap ShowNet 45.0/15 1 tap flex tap router L1 Aggregation nto5293 tap switch Arista 7280SE-68
13. 13 Copyright © Interop Tokyo 2016 ShowNet NOC Team 光TAP／ミラー箇所
14. 14 Copyright © Interop Tokyo 2016 ShowNet NOC Team セキュリティ機器連携の構成 TAP IDS/IPS NGFW xFlow Monitor オーケストレータ エクスターナル ルータ群 インラインFW （有線/無線） BGP Flowspec REST API/netconf/CLI PA7050 FG3200D SRX1500 ThreatARMOR nirvana改 vMX ASR9904 MX2010 ①タップ／ミラートラフィック を集約し検知装置に分配 ②検知結果をsyslogで通知し集約 ③各種装置にフィルタを設定
15. 15 Copyright © Interop Tokyo 2016 ShowNet NOC Team デモ概要 • デモ概要の説明 1. 無線セグメントからマルウェアファイルをダウンロー ド 2. 各種装置での検知結果をオーケストレータにて確認 3. オーケストレータから無線LANセグメントに設置され ているセキュリティデバイスでのフィルタを実行 4. 端末からの通信が遮断されたことを確認
16. 16 Copyright © Interop Tokyo 2016 ShowNet NOC Team まとめ • セキュリティ機器の検知・防御の連携 • 検知装置：10社14装置／防御装置：5社5装置 • 一つのインシデントを複数の検知装置で多面的に分析可能 • 個々の防御方法をオーケストレータで隠蔽することで装置 の違いを意識しない • 課題 • 検知結果の統合（現在はsyslogをパース） • 防御駆動用APIの抽象化 • インシデントに対する最適な防御箇所の決定
17. Copyright © Interop Tokyo 2016 ShowNet NOC Team