情報システム開発契約のセキュリティ仕様作成のためのガイドライン のバックアップ(No.6)
- バックアップ一覧
- 差分 を表示
- 現在との差分 を表示
- ソース を表示
- 情報システム開発契約のセキュリティ仕様作成のためのガイドライン へ行く。
- 1 (2020-03-26 (木) 12:51:25)
- 2 (2020-03-27 (金) 09:18:48)
- 3 (2020-07-05 (日) 12:36:12)
- 4 (2020-07-15 (水) 17:19:13)
- 5 (2020-07-15 (水) 18:10:57)
- 6 (2020-07-16 (木) 10:08:31)
- 7 (2020-07-17 (金) 16:59:58)
- 8 (2020-07-25 (土) 12:45:13)
- 9 (2020-09-18 (金) 11:22:48)
- 10 (2020-10-19 (月) 09:05:52)
- 11 (2020-11-08 (日) 14:52:38)
はじめに †
本ガイドラインは、重要インフラ、大企業基幹系の受託開発に際して、ユーザーとベンダーがセキュリティ仕様を策定する際の、脅威分析とその対策を検討するためのガイドラインです。
脅威については、NIST（米国国立標準技術研究所）の委託を受け、世界中のCVEの採番を行っている非営利法人 MITRE の ATT&CK® Matrix for Enterprise をベースに、日本国内で発生したインシデントで実際に使われ、かつ、実績の多いものをセキュリティプロジェクトチームの有識者が抽出したものです。また、脅威に対する対策は、MITRE ATT&CK Matrix for Enterprise の推奨する緩和策に加え、以下のガイドラインの緩和策を参照しています。
- 米国国防総省 Security Technical Implementation Guides (STIG)
- 米国 Center for Internet Security Benchmarks
- Microsoft® Security Baseline 及び Security Configuration Framework
重要：攻撃者と彼らが生み出す脅威は日々、進化を遂げています。本ガイドラインは過去の実績のある脅威に対する緩和策の提案であり、このガイドラインを適用することでサイバー攻撃の被害をゼロにすることが保証されるわけではありません。
本ガイドラインを参考に、定期・不定期でシステム固有の脅威に対するリスクを認識し、そのリスクの緩和に向けた検討を続けることを強く推奨します。
本ガイドラインの策定の経緯 †
2020年4月の改正民法（債権法）施行に伴い、経済産業省の「情報システム・モデル取引・契約書」の改訂作業を独立行政法人情報処理推進機構社会基盤センターモデル取引・契約書見直し検討部会が実施しました。この見直しに際し、セキュリティ関連に特化して、「モデル取引・契約書」改定版あるいは追補版に盛り込むべき内容を検討し、その結果を提案することを目指しセキュリティ検討プロジェクトチームが設置され、その議論においてユーザーとベンダーがセキュリティ仕様を策定する際の、検討のためのたたき台として一定のセキュリティ設定を提示すべきとなり、本ガイドラインが作成されました。
セキュリティ検討プロジェクトチームメンバー:
https://www.ipa.go.jp/ikc/about/committee-01.html#model_wg1pt
本ガイドラインの改訂について †
日々、攻撃者は脆弱性を発見し、新たな攻撃手法やユーザーを騙すテクニックを開発しています。従って、防御のためのセキュリティ設定も日々、進化することが求められます。MITRE ATT&CKは四半期に1回、主に新たな攻撃手法の追加の改訂がされるため、本ガイドラインもATT&CKの改訂に応じて、対応策や設定値を追加していく予定です。 また、対応策や設定によって、システムへの不具合や運用に影響が及ぼすことがあります。こうした特定環境でのセキュリティ設定に対する不具合の情報は、ITに依存する社会全体にとって有益で重要な情報と考えることができます。こうした観点から、設定における課題や代替策についても改訂版に追加してく予定です。
対象システム †
本ガイドラインは、以下の環境を対象とします。
- Server OS： Windows Server 2016 以上
- Client OS： Windows 10 (1903) 以上
- ドメイン： Active Directory
- Office： Office 2016/2019 （バージョン16）
- その他：
- Windows 8.1, Windows Server 2012R2以降に実装されたセキュリティ機能は、Windows 8.1, Windows Server 2012R2で動作しませんが、本ガイドラインの適用で、限定的ではありますが、脅威に対する緩和策となるものもあります。
- 対象外：
- サポートが終了している Windows 7、Windows Server 2008/2008R2は本ガイドラインの対象外となります。
- 重要 サポートの終了しているOS、アプリケーションの使用は、被害を被るだけでなく、第三者にインシデントを起こす原因となる可能性が高いため、すぐに使用を中止し、ネットワークから切り離すこと検討してだください。
利用上の注意 †
本ガイドラインを適用した際に、以下のネットワーク接続や共有ができなくなることがあります。事前の調査、検証をお勧めします。
SMBv1 の禁止 †
SMBv1 は脆弱性が報告されており、この脆弱性を利用したランサムウェアの被害が発生しています。このため本ガイドラインでは、使用を禁止する設定がなされています。この設定を実施した場合、古いNAS やファイルサーバー、複合機などに接続できない場合があります。
SSL3.0、TLS1.0、TLS1.1 の禁止 †
SSL3.0、TLS1.0、TLS1.1 は脆弱性が報告されており、主要ブラウザーベンダーは2020年上半期までにサポートを終了する旨の告知をしています。このため、本ガイドラインでは、使用を禁止する設定がなされています。~この設定をした場合、組織内、組織外のWebサーバーとの接続ができない場合があります。
サイバー攻撃の実態 †
・攻撃ベクトルの研究 †
攻撃は様々な手法が存在しており、2020年3月現在、MITRE ATT&CK で330もの攻撃手法が確認されています。本項では、代表的なマルウェアの攻撃ベクトルを紹介します。
サイバー攻撃に対する防御 †
サイバー攻撃に対する防御は大きくセキュアコーディングで守るものと、OSやアプリケーションの設定で守るものに判別できます。また、取り扱う情報資産の重要度に応じて様々な設定が考えられますが、ここでは、最低限検討すべき設定や運用と、重要な情報資産を防御するための積極的な設定や運用を解説します。
セキュアコーディングガイド? †
OWASP Application Security Verification Standard 4.0.1 と、Java Spring Fremwork のセキュアコーディングガイドラインについて解説しています。
最低限検討すべきデフォルト緩和策 †
最低限検討すべきデフォルト緩和策 端末編 †
マルウェアの侵入経路の大半は、端末での電子メール添付ファイルやWebリンクです。本項では、最低限検討すべき端末での効果的な設定や運用方法を提案しています。
最低限検討すべきデフォルト緩和策 セキュリティ仕様・Webアプリケーション編 †
Webアプリケーションのコンポーネントの脆弱性や弱いセキュリティ設定は攻撃の的になります。本項では、最低限検討すべきセキュリティやWebアプリケーションの仕様を提案しています。
詳細設定対策に必要な措置 †
セキュリティ対策は、OS、アプリケーション、ネットワーク、運用と幅広い対応が必要です。本項では、OS、プロトコル、パスワードといった基本的な設定事項について解説しています。
MITRE に基づく設定対策? †
本項では、MITRE ATT&CK に基づき、実際に発生し、かつ、頻繁に利用されている手法を絞り込み、それぞれの脅威に対して、効果的かつ具体的な設定対策を解説しています。
著作権表示 †
このページからリンクされているグループポリシーの説明は、米国Microsoft Corporation. の著作物が含まれています。
商標 †
Microsoft®、Windows®、Windows® Server 2016、Windows® 10は、米国Microsoft Corporation.の米国およびその他の国における登録商標です。 その他、すべてのページに記載の会社名、製品名は、それぞれの会社の商標もしくは登録商標です。
LICENSE †
© 2020 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.