デザイン活用支援 oidc（旧大阪府産業デザインセンター）

少し遅くなりましたが、前回のBMBオフ会の報告をいたします。
テーマは、「不正アクセス事例に学ぶホームページ管理」。
普段ならば想定しにくいテーマですが、今回のBMB不正アクセスの経験から、皆様にも状況を正確にお伝えし、そこから学んでいただくこともあるでしょうということから、自虐ネタではありますが、実施させていただきました。

当日の内容は以下の通りです。

名　称：ビジネスマッチングブログ(ＢＭＢ)第１９回勉強会（オフ会）産技研技術セミナーとの共同開催
主催者：大阪府産業デザインセンター、大阪府立産業技術総合研究所
と　き：平成２３年　９月６日（火）１５時００分から１７時３０分まで
ところ：マイドームおおさか４階　セミナー室
出席者：４０名（懇親会１４名）

内　容：＜＜不正アクセス事例に学ぶホームページ管理＞＞
司会：竹田　裕紀（大阪府立産業技術総合研究所）

１．「ＢＭＢ不正アクセス経緯報告」（１５時０５分〜１５時２０分）
報告者：川本 誓文（大阪府産業デザインセンター 主任研究員）

本年５月１８日に発生したＢＭＢサイトへの不正アクセスについて、不正アクセスの発生の発見の状況、それに対する初期対応（サイトの閉鎖、サーバー停止、報道発表、会員及び閲覧者に対する情報提供）、原因究明依頼、対策について時間軸に沿って報告しました。



２．「不正アクセスの原因究明」（１５時２０分〜１５時４０分）
報告者：新田 仁（大阪府立産業技術総合研究所 主任研究員）

不正アクセスは検知したものの、原因（セキュリティホール）が分からないことには対策が取れないため、BMBを共同運営している産技総研に原因究明依頼を行い、それに基づき調査した結果を報告していただきました。
時間的な制約から、あたりをつけてのピンポイント調査から、phpMyadminに的を絞ってみました。同じような事例をサイトにて調査したところ、同様の不正アクセス事例を見つけました。そこで、phpMyadminのキーワードで、ＢＭＢサーバーのアクセスログを解析。改ざん時刻との一致等から、原因はphpMyadminの脆弱性（バージョンアップされていない古いバージョン）の可能性が高いと結論付けました。

これらの原因究明から、今回は幸いにも不正アクセスによる会員情報の流出はなかったものの、万全を期するために、サーバーそのものを交換して復旧を行いました。



３．「セキュリティホール検出ソフトの紹介」（１５時４０分〜１６時２０分）
講師：木下 敏夫 氏（TKTools 代表）

不正アクセスの予防策として一般的なセキュリティホールの解説を行い、そのセキュリティホール検出ソフトの有償版・無償版ツールの紹介を行いました。
その中で特に注目されている「Ｗ３af」のツールについて、インストールの方法、その使い方、注意点について解説を行いました。







４．「サイバー攻撃の現状と対策」（１６時３０分〜１７時３０分）
講師：中嶋 聡史 氏（特定非営利活動法人 情報セキュリティ研究所）

サイバー攻撃とはどのようなものか、歴史と現状について解説。最近の攻撃はインターネットの普及に伴い、急激に増えている。過去１０年間の変遷をみると、悪名＆個人的チャレンジ（DDoS攻撃：分散型サービス拒否攻撃）、金銭の誘惑＆専門性（アドウェア、スパイウェア、ルートキット）、サイバー犯罪の組織犯罪化（サイバーギャングの出現）、ソーシャルメディア（ユーザと交流しその情報へのアクセスを入手）の活用などの特徴を備えている。
最近では、社会的抗議・反抗という形で企業・政府・組織をターゲットにしている「ハクティビズム（ハッカーとアクティビズム(積極行動主義)を合わせた造語）と呼ばれる活動が有名。
その手段としてStuxnetワームと呼ばれるウィルスソフトを使い、インフラ企業のコントロールシステム・さらに核施設までも標的としている。中嶋氏は、これらのソフトに対する造詣が深く、制御システムについても詳しく説明していただきました。

次に日本におおけるサーバー攻撃１０について解説。攻撃には特定攻撃と無差別攻撃がある。従来の情報システムに焦点を絞った攻撃に対し、新しい攻撃としては制御システムを攻撃するものが出てきたこと。背景としては、これら制御システムが独自仕様から汎用製品＋標準プロトコルの利用が増加したことにより、攻撃が行いやすくなったことがあげられます。

Symantecから脅威レポートが発表されており、今年度の状況（2010年データ）として紹介。　http://www.symantec.com/ja/jp/business/threatreport/build.jsp
それによるとマルウェアは2億8500万件以上が観測されています。最近ではモバイル端末の脆弱性が発見されたことから、携帯に対する攻撃が増えているそうです。

最後に、世界の取り組み、日本の取り組み状況について説明。日本では、コスト、脅威に対する認識不足、使い勝手の優先等から、セキュリティ対策が進んでいないということです。

★ＢＭＢ交流会
懇親会場（１８時〜２０時）にて、ＢＭＢ会員相互の交流を深めました。