武平太)は、2007年3月および第1四半期のコンピュータウイルス・不正アクセスの届出状況をまとめました。寄せられるワンクリック不正請求の相談件数が、2007年2月に引き続き過去最悪の記録を更新し、3月は316件となりました。通常のホームページに掲載された写真や動画をクリックすると、パソコンに既にインストールされている画像表示ソフトや動画再生ソフトが起動します。プログラムをダウンロードして当該プログラムを実行するかどうかの警告画面(図a)を表示します。そのようなときは、先には進まず、[キャンセル]をクリックしてください。警告画面には、ファイルの「名前」、ファイルの「種類」、ファイルの「発信元」欄があります。図の例では、「種類」が「アプリケーション」となっていますが、これはプログラムであることを意味します。画像などをダウンロードしようとしたときにプログラムであるのは、問題があることを意味します。「種類」や「発信元」などの欄を確認し、自分が要求したものと異なるときは、[キャンセル]をクリックしてください。図aの警告画面で[実行]をクリックすると、ユーザのパソコンにプログラムがダウンロードされて、そのプログラムを実行するかどうかの警告画面(図b)が表示されます。プログラムの発行元が正統なものであるかどうかを証明する仕組みを活用しています。この警告画面で、「発行元」の欄をみれば、証明された発行元であれば、その発行元の名称が表示されます。図bの例では、発行元が不明とされており、この発行元を信頼することはできません。先に進まないようにしてください([実行しない]をクリック)。Control)という機能により図cのような画面が表示されます。警告内容を確認してください。機能により警告画面が表示されて警告を促すことにより、ウイルスやスパイウェアなど悪意あるソフトが不用意にインストールされることを未然に防いでいます。機能は、初期状態では有効になっていますので、無効にしてはいけません。インターネット定点観測(詳細は、別紙3を参照)IPAで行っているインターネット定点観測について、詳細な解説を行っています。約66万個と、2月の約69万個から4.6%の減少となりました。3月の届出件数(※2)は、2,933件となり、2月の3,098件から5.3%の減少となりました。同じ届出者から寄せられた届出の内、同一発見日で同一種類のウイルスの検出が複数ある場合は、1日何個検出されても届出1件としてカウントしたもの。3月は、寄せられたウイルス検出数約66万個を集約した結果、2,933件の届出件数となっています。計533040525043被害あり(e)372023252820被害なし(f)161017272223合計(a+d)755450847356被害あり(b+e)522832474229被害なし(c+f)232618373127(1)不正アクセス届出状況3月の届出件数は13件であり、そのうち被害のあった件数は9件でした。不正アクセスに関連した相談件数は43件(うち4件は届出件数としてもカウント)であり、そのうち何らかの被害のあった件数は20件でした。攻撃1件、アドレス詐称2件、その他(被害あり)4件でした。侵入届出の被害内容は、外部サイトを攻撃するための踏み台にされていたものが1件、サーバ内のデータが破壊されていたものが1件でした。侵入の原因は、SSH(*2)で使用するポート(*3)へのパスワードクラッキング攻撃(*4)を受けてパスワードが破られたことと、cgi(*5)の脆弱性を突かれたことでした。例データベースを運用しているウェブサーバが、突然停止した。調査したところ、データベースファイルが破壊されたためと判明。攻撃はツールによって自動化され、無差別に大量に行われるという特徴があります。日頃から注意してログ(*6)監視していないと気付きにくいのが現実です。データベースを運用しているサーバが侵入されると情報漏えいにつながることが多く、その対応費用は膨大なものになるため、注意が必要です。対策として最も重要なのは、アプリケーション開発段階からセキュリティを意識し、脆弱性を排除することです。アプリケーション完成前に十分なペネトレーションテスト(*7)を実施しましょう。IDS(*8)/IPS(*9)を導入することで、外部からの攻撃に対して、より早く適切な対処ができます。例オークションサイトである商品に入札しようとしたが、自分のアカウント(*1)が利用停止状態になっていることに気付いた。理由は、「違法な商品を出品していたため」となっていたが、自分には身に覚えが無い。思えば2週間前に、オークションサイトのアカウントの使用継続確認のメールが届いており、メールから導かれたサイト上でID・パスワード・クレジットカード番号を入力してしまっていた。そのメールを再度確認してみたら、差出人は明らかにオークションサイトのものではなかった。策オークションサイトからのメールであると見せ掛けたニセのメールに騙されてフィッシングサイトに誘導され、個人情報を盗まれてしまった可能性が高いです。一刻も早くクレジットカード会社に連絡し、カード番号を変更する必要があります。通常、メールで誘導したサイトでクレジットカード番号を入力させるようなことはありません。被害に遭わないために、メール本文中にあるリンクは安易にクリックしないことが肝要です。念のため、こまめにサイトにアクセスし、不正に利用されていないかチェックするなどの自衛策も必要です。(参考)フィッシング対策協議会http://www.antiphishing.jp/3.相談受付状況3月の相談総件数は1,127件となり、今までの最高を記録しました。関連する相談が5件(2月:14件)などでした。関連、その他情報セキュリティ全般についての相談を受け付けています。計』件数を内数として含みます。(参考)ワンクリック不正請求相談件数の推移ワンクリック不正請求についての対策については下記をご参照ください。コンピュータウイルス・不正アクセスの届出状況[9月分および第3四半期]について2.ワンクリック不正請求http://www.ipa.go.jp/security/txt/2006/10outline.htmlコンピュータウイルス・不正アクセスの届出状況[8月分]について2.依然として相談の多いワンクリック不正請求による被害http://www.ipa.go.jp/security/txt/2006/09outline.html(参考)セキュリティ対策ソフトの押し売り・相談件数の推移セキュリティ対策ソフトの押し売り行為については下記をご参照ください。2006年5月の呼びかけ:「セキュリティ対策ソフトウェアの押し売りに注意!!」http://www.ipa.go.jp/security/txt/2006/05outline.html主な相談事例は以下の通りです。最近はアダルトサイトでの詐欺が多いと聞いていたので、安全なサイトを探そうと思った。大手ポータルサイトからの検索で、キーワードを「エロサイト」「だまされない」としてヒットしたサイトにアクセスした。動画ファイルと思われるリンクをクリックしたら、年齢確認画面が出たがよく確認せずに[OK]をクリック。その結果、「ご登録ありがとうございます」という料金請求画面が表示された。自分の意図とは裏腹に、簡単にワンクリック不正請求のワナに掛かっています。不正請求を行っている業者は、ユーザが検索しがちなキーワード(今回の場合、「エロサイト」や「だまされない」)でヒットするように不正請求サイトを構築しているようです。検索でヒットしたサイトは、安全なものばかりではないことを十分認識し、注意してアクセスしなければなりません。偽造ソフトの被害?!相談ある日を境として、パソコン画面の右下に「お客様は偽造ソフトウェアの被害に遭われた可能性があります」と表示されるようになった。ウイルスに感染したのか。パソコンは自作のもので、知人から譲り受けたもの。最初から組み込まれています)。正規のものではなく、違法コピー品や海賊版である可能性があるということです。パソコンの入手元に問い合わせましょう。正規品でなかった場合は、正規のライセンスを購入する必要があります。Notificationsの概要http://www.microsoft.com/genuine/AboutNotifications.aspx4.インターネット定点観測での3月のアクセス状況インターネット定点観測(TALOT2)によると、2007年3月の期待しない(一方的な)アクセスの総数は、10観測点で402,140件ありました。1観測点で1日あたり327の発信元から1,297件のアクセスがあったことになります。1観測点の環境は、インターネットを利用される一般的な接続環境と同一なので、インターネットを利用される皆さんの環境へも同じくらいの一方的なアクセスがあると考えられます。言い換えれば、あなたのコンピュータは、毎日、平均して、327人の見知らぬ人(発信元)から、発信元一人当たり4件の不正と思われるアクセスを受けていると言うことになります。2006年10月~2007年3月までの各月の1観測点での1日あたりの平均アクセス数および、それらのアクセスの平均発信元数を図4.1に示します。この図を見ると、期待しない(一方的な)アクセスは、2007年2月に比べて多少の減少傾向で、ほぼ2006年11月の状況に戻りました。全体的なアクセス内容については、定常化していると言えます。2007年3月のアクセス状況は、全体的には2007年2月とほぼ同じ状況です。リモートアクセスで操作されるパソコンの脆弱性を突いて攻撃するアクセスは、インシデント(*11)事例の報道もあり、さらなる注意が必要です。探し出し、脆弱なパスワード認証を破ることを目的としたアクセスであると考えられます。このアクセスに応答するコンピュータに対しては、パスワードを破るためにブルートフォース攻撃や辞書攻撃(*4)を仕掛けます。このことにより、脆弱な(安易な)パスワード設定の場合は、破られる可能性が高くなります。使用している企業では、サーバ等の管理体制とセキュリティポリシーの見直し、監視体制の強化をお願いします。ユーザ認証http://www.ipa.go.jp/security/awareness/administrator/secure-web/chap6/6_userauth-1.html以上の情報に関して、詳細はこちらのサイトをご参照ください。ファイルをご参照ください。『他機関・ベンダーの各種統計情報は以下のサイトで公開されています。(account)コンピュータやネットワーク上の資源を利用出来る権利のこと。Shell)ネットワークを介して別のコンピュータにログインしたり、遠隔地のマシンでコマンドを実行したり、他のマシンへファイルを移動したりするために使うプロトコルもしくはプログラムのこと。ネットワーク上を流れるデータは暗号化されるため、インターネット経由でも一連の操作を安全に行なうことができる。(port)コンピュータが外部との情報の受け渡しの際に使う、コンピュータ内の各種サービス窓口のこと。ポートは0から65535までの値が使われるため、ポート番号とも呼ばれる。cracking)他人のパスワードを、解析するなどして探り当てること。総当り攻撃や辞書攻撃といった手法があり、クラッキング用のプログラムも存在する。何らかの規則にしたがって、文字の組み合わせを総当りで試行する攻撃方法のこと。いわゆる力ずくの攻撃方法のことで、ブルートフォース攻撃ともいう。*:辞書攻撃パスワードを破るために、辞書にある単語などを片端から試行する攻撃方法のこと。Interface)ウェブサーバが、クライアントからのリクエストに応じてウェブサーバ上でプログラムを動作させ、その処理結果をクライアントに送信するための仕組みのこと。(log)コンピュータの利用状況やデータ通信の記録のこと。Test)システムを実際に攻撃することで、脆弱性が無いか確認するテスト手法のこと。System)システムに対する侵入/侵害を検出・通知するシステムのこと。システムを監視し、セキュリティポリシーを侵害するような行為を検出した場合に、その行為を可能な限り早く管理者に伝えるとともに、調査分析の作業を支援するために必要な情報を保存・提供することが目的である。System)システムに対する侵入/侵害を阻止するシステムのこと。(Phishing)正規の金融機関など実在する会社のメールやウェブページを装い、それを見た利用者のIDやパスワードなどを詐取しようとする行為のこと。"の短縮形という説、などがある。(incident)情報セキュリティ分野において、情報セキュリティリスクが発現・現実化した事象のこと。サイト上に公開しております。答えることにより、セキュリティ対策の取組状況を自己採点できるシステムです。診断結果は、「貴社のスコア」と「望まれる水準」とが同時に表示され、各社が優先的に取り組むべきセキュリティ対策項目が明らかになります。推奨される取り組み事例も提示しますので、今後の対策を強化する上での具体的な改善策がわかります。30分程度で自己採点できますので、ぜひ、今後のセキュリティ対策の参考とすべく、ご活用ください。