特別捜査官等研修会

警視庁の特別捜査官等研修会で使用した資料です

Transcript

1. 2025/12/18 13:30-15:30 野溝のみぞう @nomizooone
2. 2 自己紹介 野溝のみぞう 趣味でセキュリティをやっている者です。 デザイナー・プリセールス・サービスマネージャー・エンジニア・ マーケティング・カスタマーサクセス……など、数々のIT系職種を 転々としていたある日、 所属していた会社が 情報漏洩事件の被害に遭いセキュリティを本業 にするようになりました。 CISSP/情報処理安全確保支援士 第027975号 合同会社SecuLeap 代表
3. 3 去年、上梓した本 7日間でハッキングをはじめる本 TryHackMeを使って身体で覚える攻撃手法と脆弱性 ITエンジニア本大賞2025 大賞&審査員特別賞 W受賞 サイバーセキュリティアワード 書籍部門 優秀賞
4. 4 今日話したいこと 実際の事例をできるだけなぞってみる 「自分が関わる◦◦だったらどうだろう？」 解像度高く考えられるようになる 実際の事例ではどうなんだ？という疑問 仮説
5. 5 前半のお品書き 項目 テーマ 時間（目安） Chapter.1 実際の事例を元に実際の攻撃の流れを確認する 10分 Chapter.2 ハッカー視点で見てみよう 2回目 Phase.1 偵察 20分 Phase.2 初期侵入から管理者権限の窃取 20分 Phase.3 横展開からデータ持ち出してランサムウェア実行 20分 まとめ まとめと質疑応答とフリートーク 20分 合計 90分 デモンストレーション中心の進行
6. 6 Chapter.1 実際の事例を 確認する
7. 7 ハッキングのすすめかた（概念） NIST SP 800–115 アメリカ国立標準技術研究所のセキュリティテストに関する資料 引用：https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf Discovery（情報収集）して Attack（攻撃）をする 意外と情報収集の方が大事 情報収集が8割（※諸説あり）
8. 8 サイバー攻撃のプロセス サイバーキルチェーンとMITRE ATT&CK® 引用：https://www.microsoft.com/ja-jp/security/business/security-101/what-is-cyber-kill-chain https://attack.mitre.org/
9. 9 直近でランサムウェアといえばこの２つ アサヒGHD https://xtech.nikkei.com/atcl/nxt/news/24/02998 https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf アスクル株式会社
10. 10 並べてみました アサヒGHD アスクル 発覚した日 2025年9月29日 2025年10月19日 主な影響範囲 ・受注・出荷システムの暗号化 ・約190万件以上の個人情報に漏洩の恐れ がある ・データセンター内の物流システム・社内システ ムの暗号化（お客様情報を含む情報の窃取） ・外部クラウドサービスのお問い合わせ管理シス テム内の情報 ・約74万件の個人情報に漏洩の恐れがある 初期侵入の経路 ・ネットワーク機器経由で侵入された ・パスワードの脆弱性を付かれた ・業務委託先用の認証情報を窃取 ・お問い合わせ管理システムのアカウント侵害 身代金 支払っていない 支払っていない 潜伏期間 約１０日 約4ヶ月 攻撃グループ ※公式発表ではない Qilin RansomHouse 参考URL https://www.youtube.com/watch?v=DR Bex9dRLbM https://pdf.irpocket.com/C0032/PDLX/O3 bg/N4O3.pdf
11. 11 アサヒGHD ※NotebookLMに作ってもらいました
12. 12 アスクル株式会社 https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf
13. 13 すでにご存知でしょうが他の事例も 引用：令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について 警察庁サイバー警察局 ←P59 P9→ https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
14. 14 特に初期侵入において 高度な攻撃というよりは シンプルに弱いところから入ってきてるように見える ⇒攻撃側と防御側の非対称性…
15. 15 前回話した狙われやすいところ再掲 ①弱いところ ③ひとと関わるところ ②公開されているところ 脆弱性のあるところや人間の心（ついついうっかり） インターネットから触れるところ 自組織だけではなくて関係する組織とかサービスとか
16. 16 Chapter.2 ハッカー視点で 見てみよう 2回目
17. 17 サイバー攻撃のプロセス（再掲） サイバーキルチェーンとMITRE ATT&CK® 引用：https://www.microsoft.com/ja-jp/security/business/security-101/what-is-cyber-kill-chain https://attack.mitre.org/
18. 18 ATT＆CK® NavigatorでQilinを見てみる 攻撃の傾向分析に役立つ （あとちょっと楽しい） https://mitre-attack.github.io/attack-navigator/
19. 19 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する（時間あれば） Phase.4 ⑤脅迫～⑥データ公開
20. 20 お約束なので一応断り書き 以外には絶対やってはいけません 特別に許可を得た環境 自分が全責任を持って管理している環境 ・ ・
21. 21 鈴木さんの PC 構成 田中さんの PC 山田さんの PC hiyoko サーバー kali 192.168.0.200/24 192.168.0.100/24 192.168.0.101/24 192.168.0.102/24 192.168.0.111/24 デモは侵入後の想定で やっていきます 前回侵害済
22. 22 Demonstration やっていきます 画面きりかえます
23. 23 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する Phase.4 ⑤脅迫～⑥データ公開
24. 24 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する Phase.4 ⑤脅迫～⑥データ公開
25. 25 検索エンジンの例（Shodan） ウェブサーバーだけでなくオフィス機器や情報家電、信号機や発電所の制御機器なども含めて、 インターネット接続されている機器、約5億台分の情報をデータベースに格納している。 利用者はその機器の情報を検索できる。 URL:https://www.shodan.io/
26. 26 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する Phase.4 ⑤脅迫～⑥データ公開
27. 27 辞書攻撃 引用：７日間でハッキングをはじめる本 77ページ ふつうにテキストファイル（辞書）の 上から順番にログイン試行していく 良くあるパスワードトップ100～ 日本人の名前っぽいもの 好みで使い分けます いろんな辞書があります とあるサイトで漏えいしたもの
28. 28 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する Phase.4 ⑤脅迫～⑥データ公開
29. 29 WannaCry（WannaCrypt）の事例 • 2017年５月 世界中で大規模な被害を引き起こしたランサムウェア • ４月に脆弱性のパッチがリリースされていたので適用していれば被害は防げたはず…
30. 30 後半のデモシナリオロードマップ VPN機器の偵察 Phase.1 事前準備 初期侵入から管理者権限の窃取 Phase.2 ①初期侵入～②偵察 横展開してデータ持ち出してランサムウェア実行 Phase.3 ③侵入拡大～④攻撃 リークサイトなどに情報を公開する Phase.4 ⑤脅迫～⑥データ公開
31. 31 Demonstration おわり
32. 32 後半 まとめ
33. 33 今日話したかったこと（再掲） 実際の事例をできるだけなぞってみる 「自分が関わる◦◦だったらどうだろう？」 解像度高く考えられるようになる 実際の事例ではどうなんだ？という疑問 仮説
34. 34 狙われがちなところ ①弱いところ ③ひとと関わるところ ②公開されているところ パスワードが弱かったり脆弱性があるところ VPNとかリモートデスクトップとか ネットワーク的に直接行けるところはやっぱり狙われますよね
35. 35 時間余ったら質疑応答 全体通して質問ありますか？ 研修と関係ないことでもOK
36. 36 時間余ったとき用の話題 ・AppleSiliconのパスワードクラック手法 ・ハッキングされた端末のフォレンジックについて（痕跡発見の着眼点など） ・OSINT（言語の壁を越えた効率の良い海外情報の集め方）の手法について ・日々の情報収集のやり方、入手先 ・流行している攻撃方法について ・現在のランサムウェア被害等 ・AIを使うとハッキングなどの作業が効率化されるが、日頃の業務でAIを使用しているか。 また、使用する場合はどのように使用しているか。 ・常設CTFの紹介 ・ハッキングなどで捜査に活かすことのできる内容があればお伝えください。 ・おすすめのハッキング学習方法 ・最近、一番興味のあること ・モチベーションの保ち方 ・警視庁のサイバー系の入庁希望者を増やす方法
37. 37 お疲れ様でした！