CODE BLUE 2013 過去の講演

ジェフ・モス

ジェフ・モス JEFF MOSS

Black Hat & DefCon 創立者、ICANN最高セキュリティ責任者、米国国土安全保障アドバイザリーボード。アンダーグラウンドのセキュリティコミュニティと法執行機関の橋渡し役であり、国際セキュリティ会議のみならず多くの世界的メディアのカンファレンスにて基調講演を務める。外交問題評議会のメンバー。

基調講演:Code Blue in the ICU!
- Thinking about network safety in a public health light -

ネットワークの安全性を公衆衛生にたとえて解説。

SLIDE SHARE

クリス・イーグル

クリス・イーグル CHRIS EAGLE

カリフォルニア州モントレーの米海軍大学校にて上級講師として活躍中。コンピュータエンジニア/研究者として28年以上のキャリアを持ち、研究内容はコンピュータネットワーク運用、フォレンジックとリバースエンジニアリングに関連する。Black Hat, Defcon, InfiltrateやShmooconなどのカンファレンスにて講演また、IDA Proに関するハンドブックの決定版と呼ばれる"The IDA Pro Book"の著者でもある。DEFCONのCapture The Flag Competionで複数回優勝しており、2009年から2012年までは、同CTF競技の開催運用側で活躍。現在はDARPAと共同でCyber Grand Challenge競技の構築を行っている。

基調講演:CTF: クールな奴らは皆やってるよ

ここ10年でCapture the Flag(CTF:キャプチャー・ザ・フラッグ)と呼ばれるネットワークセキュリティゲームが台頭してきた。このゲームに参加している人ならこれらのゲームの面白さは既に理解済みだろう。
このようなゲームは参加者に対して常に新しいチャレンジを提供するだけではなく、似たような事に興味を持つ人同士の交流や仲間内での高い評価を得るのみならず、最近では様々な賞品を勝つ機会を与えるまでになっている。このようなゲームは、正しく運用された場合は次世代のコンピュータープロフェッショナルを育てる事を可能にする点でも、非常に重要な要素の一つと言えるだろう。本講演ではこのようなゲームをトレーニングや人材育成的評価面で使用する際の課題と改善策に付いて発表する。

SLIDE SHARE

スクハー・リー

スクハー・リー SEOK-HA LEE (wh1ant)

韓国のハッキングチームWiseguysのメンバー。子供の頃からソフトウェア開発を初め、徐々にセキュリティ研究に興味を持つようなる。2011年に就職、企業でリナックスカーネルのモジュールを使ったセキュリティソリューションに関するセキュリティ研究を行うようになる。複数の脆弱性を発見する傍ら、韓国内のカンファレンスにてセキュリティに関する発表を行っている。エクスプロトに関す るチャレンジ制作者として韓国で行われるCTF競技の運営やサポートを行っている。

リナックスに置ける様々なリモートエキスプロイト手法

セキュリティの強化された最新版の現在のLinuxOSの保護機能を迂回し、リモートからの攻撃を成功させる方法と対策について詳細に説明する。

近年のオペレーティングシステムにはエクスプロイトから保護する強化されたセキュリティ技術が多く使われています。ASLRとNX (DEP)の2つはそうしたセキュリティを目的とした技術です。しかしながら、これらの技術も高度なエクスプロイト技術を使う事で迂回する事が可能です。昨今は、クライアント起点からの、サーバーのデーモン等を対象としたリモートからのコード実行を目的とするエキスプロイトは徐々に難しくなって来ています。このような場合、多くは対象システムに関する情報の入手が難しくなって来ており、ゆえにコード実行も困難になってきています。ターゲットとするプロセスのメモリー内レイアウトはリモートからのエクスプロイトに置いては必要不可欠な情報の一つと言えます。最近ではメモリー漏洩を使ってメモリー内にどのようなライブラリーが読み込まれてるかを判断する 技術が登場しており、このような技術を使う事でASLRを迂回する事が可能になります。これ以外にもリモートでターゲットとするプロセスのメモリーレイアウトを解析する方法があります。この手法は対象となるリモートプロセスに対して有効なメモリーアドレスを探る方法です。

リナックス環境ではforkされた子プロセスは常に親プロセスにおいてランダム化されたメモリーレイアウトを常に継承しています。よってサーバーのデーモンに対するクライアントのコネクションは同じメモリーレイアウトを共有します。メモリーレイアウトのランダム化は親プロセスの起動時のみに行われ、クライアントから接続を処理するため子プロセスが発生した時には行われません。子プロセスの継承により各接続から情報を集約することでターゲットとするリモートなプロセスのメモリーレイアウトの全体像を垣間見る事が可能になります。ターゲットとするリモートプロセスに対して特定なアドレスが有効なメモリーアドレスかどうかを探り、得られた情報を集約する事でメモリー内のlibcライブラリーの場所が特定でき、更なるコード実行を行うエクスプロイトが可能になります。このようなやり方をブルートフォース型攻撃とする意見もありますが、効率的なブルートフォース技術を使うことで多くの場合は最低限必要な試みを10回以下にする事が可能です。

本講演では、どのようにして特定のコードを使う事でメモリーレイアウトスペースにてターゲットがブロック状態になるのかの証明や、そうして得た情報を元にリモートからのエクスプロイト攻撃シナリオの中で安定したコードの実行について、リナックス環境に置けるリモートエクスプロイト開発によく使われる手法とともに発表します。

SLIDE SHARE

しもがいと だい

しもがいと だい DAI SHIMOGAITO

大阪データ復旧(株)代表取締役 創業1998年、日本データ復旧協会 理事
データ復旧手法を極限まで探求したいと思い、国内外の同業エンジニアとの情報交換や自らの実験研究を日々行っています。
■講師歴(敬称略):データ復旧トレーニング(警視庁、IDF講習会など)
■講演歴(敬称略):デジタルフォレンジック研究会 第10期第2回技術分科会、NTTセキュアプラットフォーム研究所、他、非公開で企業、官公庁

ハードディスクのディザスタリカバリとファームウェア改竄攻撃への対応策

自然災害や人為的措置によりストレージデバイスとしての機能を失ってしまったHDDから高いレベルでデータを復旧するための事前対策と事後対策について紹介。ハードウェアレベルではファームウェア改ざん攻撃について説明した上で、ソフトウェアレベルでの災害復旧について解説する。

第一部
ファームウェア改竄攻撃(ソフトウェアレベルのダメージ)
1. HDDにおけるファームウェアの役割
2. ストレージデバイス機能が崩壊するとき
3. 自然故障かFW攻撃かの見極め
4. 発生後のデータ復旧には限界がある
5. 事前にできるデータ復旧のための対策

第二部
HDDのディザスタリカバリ(ハードウェアレベルのダメージ)
1. プラッタとスライダの動作のしくみ
2. 浸水による汚損や磁気ディスクのスクラッチは最大の難関
3. これまでのデータ復旧手法の限界を越える
4. プラッタ表層部の措置方法や残留磁気情報の確認
5. HiDR技法による保全性の高いデータ復旧

SLIDE SHARE

大坪 雄平

大坪 雄平 YUUHEI OOTSUBO

1987年頃よりプログラムに興味を持つ
2005年警察庁入庁
2007年警察庁生活安全局情報技術犯罪対策課
2010年警察庁情報通信局情報技術解析課
2012年より内閣官房情報セキュリティセンター出向

o-checker:悪性文書ファイル検知ツール
~ファイルサイズからにじみ出る悪意(仮)

標的型メール攻撃対策として従来の不正なコードの検知技術ではない、ファイルフォーマットに着目した構造解析のアプローチを紹介する。ファイルサイズだけでマルウェア検知が可能になった実態や、不正なコードの中身に依存しない汎用的な検知方法を実装したo-checkerについて解説する。
標的型メール攻撃では,実行ファイルを埋め込んだ文書ファイルがよく用いられる。このような悪性文書ファイルを検知するため,これまでは不正なコードに着目した検知法が研究されてきた.ところが,不正なコードは攻撃側が任意に記述することができるため、不正なコードに着目した検知法では未知のマルウェアに対しどうしても後追いになってしまう。そこで、文書ファイルのファイルフォーマットに着目した構造解析を実施した結果、例えばファイルサイズだけで悪性文書ファイルを見ぬくことができることが判明した。その他、不正なコードの中身に依存しない悪性文書ファイルの検知法を実装したo-checkerというツールを紹介する。

SLIDE SHARE

イゴール・スコチンスキー

イゴール・スコチンスキー IGOR SKOCHINSKY

イゴール・スコチンスキーは、世界的に有名なInteractive DissasemblerとHex-Rays Decompilerの主要開発者の1人として活躍中。2008年にHex-Raysと合流する以前 からリバースエンジニアリングに興味を持ち、iTunesのDRMを解除するQTFairUse6と初期のアマゾンキンドル端末のハックで名声を得る。Recon,Breakpointと Hack.LUなどにて講演。

インテルのマネジメントエンジンの秘密

最近のすべてのIntelのマザーボードのチップセットに組み込まれた専用マイクロコントローラであるIntel Management Engine(ME)はシステム電源がオフの場合でもメインCPUから独立して動作しネットワークインターフェースへの専用接続を持っている。その構造分析と攻撃を受ける可能性および対策について解説。

インテルマネージメントエンジン("ME")は最近のインテル系マザーボードチップセットに組み込まれてる専用のマイクロコントローラです。マザーボードのメインのCPUから完全に独立しており、システムが稼働していなくとも稼働でき、 ネットワークインターフェイスへの専属のコネクションを持っている為メインの CPUとインストールされているOSを回避するout-of-bound通信が可能です。従来の目的に関連する管理タスクの処理だけに止まらず、Intel Identity Protection Technology(IPT)、Protected Audio-Video Path、Intel Anti-Theft, Intel TPM, NFC 通信などの様々な機能を実装しています。現在、 このマイクロコントローラがどのように動くかについて関する情報は非常に少なく、本プレゼンテーションでは情報のギャップを埋める共に低レイヤーに関する詳細について話す予定です。

SLIDE SHARE

クリス・ヴァラセク

クリス・ヴァラセク CHRIS VALASEK

総合的コンピューターセキュリティサービスを提供する業界のリーディング企業のIOActiveにてセキュリティインテリジェンス部門のリーダーして活躍。Valasekは攻撃的なリサーチ手法を専門としリバースエンジニアリングとエクスプロイトに注力している。Valasekは多大な自動車関連の研究とウィンドウズのリバースエンジニアリングで知られている。Chrisは米国最古のハッカーカンファレンス「SummerCon」の理事としても活躍。ピッツバーグ大学コンピューターサイエンス理学士。

自動車セキュリティの現状

車内の音響、機能強化、安全管理など自動制御を司る車載用コンピュータ電子制御ユニット(ECU)への、セキュリティ専門家としての分析結果を解説。

エレクトロニックコントロールユニットとも呼ばれる自動車用コンピューターは、元々は燃料の効率的な仕様は排気ガス制御を管理する為に1970年代に登場したが、現在では車内のエンターテイメントから安全制御、その他様々な自動車の機能を管理するまでに発達しました。本講演ではセキュリティ研究者の視点から2つの最近の自動車のコントロールに関しての考察を発表します。まず始めにController Area Network(CAN)バスを解析するのに必要なツールやソフトウェアについて触れます。次にCANバスからデータを読み取ったり、書き込んだりするソフトウェアのデモを行います。さらにODB-II接続を使う事で自動車の基幹的なシステムといえるブレーキ制御やステアリング制御を管理する独自メッセージを書き換える事を可能にするデバイスを紹介します。最後に最近の自動車に組み込まれてるECUをファームウェアを読み込んだり、変更したりする事による影響に付いての考察を発表します。

SLIDE SHARE

戸田 賢二

戸田 賢二 KENJI TODA

独立行政法人 産業技術総合研究所にて、30Gbps侵入検知装置、60GbpsURLフィルタリング装置、ネットワーク機器試験装置などのハードウェアの研究開発を行ってきた。現在、技術研究組合制御システムセキュリティセンターと連携してセキュリティバリアデバイスの開発を行っている。

OSやアプリを問わず装着するだけで重要データを防御する
セキュリティバリアデバイス

セキュリティバリアデバイス(SBD)は、PCや制御機器などの防御対象機器(以降PC)のマザーボードと周辺機器の各種ポートの間に挿入し、これらを中継することにより防御を実現するハードウェアである。PCからはSBDは透過的で全く見えず、OSやアプリケーションを問わず装着可能である。本講演では、SBDがSATAポートの中継により実現したストレージ保護機能について論ずる。SBDは、自分だけアクセス可能なセキュリティ情報ディスクを備えており、そこにPCのオリジナルディスクに対するアクセス可否情報を保持している。PCからオリジナルディスクに対しデータアクセス要求があると、SBDはその部位のアクセス可否情報を参照し、リード禁止であれば0などのダミーデータを返し、ライト禁止であればそのライトを行わない。さらにこの領域単位の保護に加え、ファイル単位の保護を実現した。ファイルのライト禁止では、メモリ上のディスク関連キャッシュとの齟齬、ディレクトリ上のファイルへのポインタ位置の変動(NTFSはB-tree)などの問題があったが、それらを解決した手法を示す。SBDは、ブートデータ領域やシステムファイル改変を伴うゼロデイを含むマルウェアからの防御に有効であり、アクセス違反の検出からイーサネットポートを遮断して遠隔操作を切断してマルウェア感染防止を行う様子も紹介する。

SLIDE SHARE

堀部 千壽

堀部 千壽 YUKIHISA HORIBE

Panasonic株式会社 解析センター所属
Panasonic-PSIRT 所属メンバー
ネットワーク家電や組込み機器に対する脆弱性診断、および机上リスク解析などに10年以上従事

ネットワーク家電と脆弱性

ネットワーク機能を持つ家電が出現、市販されて10年以上が経過した。年を追うごとに機能の高度化、機器間連携や携帯電話/スマートフォンとの連携、サービスサーバ/クラウドサービスとの連携など、 利用シーンの拡大とともに家電が取り扱う情報の量および価値が高まり続けている。
このような状況下で、仮に家電に脆弱性が存在した場合、そこを起点にさまざまな機器および情報へのアクセスを許すことになりかねない。現実として、そのようなリスクが顕在化しうるかを、ネットワーク家電の機能の変遷とそれにまつわる脆弱性を追いながら考察し、 今後ネットワーク家電とどのように付き合っていくか、利用者および開発者の目線から考えて行く。

SLIDE SHARE

中津留 勇

中津留 勇 YOU NAKATSURU

情報セキュリティインシデント対応支援業務、マルウェア分析・対策研究業務を経て、2013年4月から現職。現在は、高度化するインシデント対応としてのマルウェア分析を行うと共に、インシデント対応技術・マルウェア対策技術の高度化に関しての調査・研究に従事。マルウェア分析者の育成にも力を入れている。

Fight Against Citadel in Japan

近年日本国内における相次ぐインターネットバンキングの不正送金の背後に存在するマルウェア「Citadel」。
Citadel は、ZeuS をはじめとする「バンキングトロイ」と呼ばれるマルウェアの一種であり、 感染ユーザがインターネットバンキングを使用する際にその認証情報を摂取しようとWeb ブラウザ上の表示を改ざんする「Web Injects」という特徴的な機能を持つ。
この Citadel感染によるインシデントに対応するには、感染端末上で Citadelがどのような設定で Web Injects を行い、 どのサーバと通信していたのかを明らかにする必要がある。そのためには、Citadel の細部までを理解した上で、Citadel が残したファイル群を調査しなければならない。
この発表では、インシデント対応において Citadel を詳細に分析した結果得られた知見、およびインシデント対応のため作成した Citadel 関連ファイル および通信データの復号ツールを紹介する。

SLIDE SHARE

千田 雅明

千田 雅明 MASAAKI CHIDA

TBA

IDAの脆弱性とBug Bounty

IDA Proとは、高機能な逆アセンブラソフトウェアで、主に脆弱性調査やマルウェアの解析・分析に利用されている。IDA Proはソフトウェアの詳細な動作を解析するためにものであり、もし脆弱性により利用者が攻撃された場合には、 裁判の結果に影響を及ぼすなどの社会的に大きな影響を及ぼすこともあるとも考えられる。本講演では、見つかった脆弱性の解説、脆弱性を利用する攻撃のデモ、そしてHex-rays社側の対策内容やHex-rays社とのやり取りについて解説する。

SLIDE SHARE

重森 友行

重森 友行 TOMOYUKI SHIGEMORI

一般社団法人JPCERTコーディネーションセンター 早期警戒グループ 情報セキュリティアナリスト。
JPCERT/CC 早期警戒グループ情報分析ラインにおいて情報セキュリティアナリストとして従事。主に情報収集や早期警戒情報のf提供などを行っている。
オープンソースカンファレンス 2013 .Enterprise、Parallels Summit 2013 Japan など、非公開のものも含めた多数の講演を行い、 「サイバー攻撃からビジネスを守る(NTT出版)」等の書籍の共著も行っている。

HTML5 Security & Headers
- X-Crawling-Response-Header -

HTML5の利用により、Webサイト閲覧者のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など利便性の高いWebサイトの構築が可能となる一方で、それらの新技術が攻撃者に悪用された際にWebサイト閲覧者が受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されている。
JPCERT/CCでは、2013年10月に「HTML5 を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」を公開した。本報告書の調査は、HTML5 を利用した Web アプリケーションを開発する際に注意すべき点や、HTML5 への移行が Web アプリケーションのセキュリティに及ぼす影響などについて、現時点における知見を可能な限り体系的に整理し、Web セキュリティ研究者および Webアプリケーション開発者のための基礎資料を提供することを目指した。
本講演では、この調査報告書をもとに、HTML5 を利用した Web アプリケーション開発時のセキュリティ上の注意点をデモを交えて対策とともに紹介する。また、約 95 万サイトを対象としたレスポンスヘッダのデータから見えてきた、HTML5 を利用したWeb アプリケーションの危険な実装とその対策や、HTML5 を使用した Web アプリケーションのセキュリティに関する現状なども併せて紹介する。

SLIDE SHARE

チェリ・ウヌベール

チェリ・ウヌベール CELIL UNUVER

チェリ・ウヌベールは、SignalSEC Ltd. のセキュリティリサーチャー兼共同創立者。セキュリティ会議「NOPcon」の創立者でもある。彼の専門領域は、脆弱性探索と発見、エクスプロイト開発、ペネトレーションテスト、リバースエンジニアリングである。過去に CONFidence、Swiss Cyber Storm、c0c0n、IstSec、Kuwait Info Security Forum で講演。彼は、バグハンティングをとても楽しみ、Adobe、IBM、Microsoft、Novell 等の有名ベンダーに影響を与える重大な脆弱性の発見をしている。

SCADAソフトウェアの実態はスイスチーズのごとく穴だらけ?

SCADAの脆弱性とエクスプロイトの可能性とその対策に関する講演である。講演の中で、SCADAソフトの脆弱性に関するいくつかの疑問点に対して技術的な詳細情報とともに回答する。

[ 疑問点は下記3点 ]
- SCADAアプリはなぜ古いのか?
- 脅威の現状とそのインパクトはなにか?
- 研究者はどのようにしてそうした脆弱性を検知するのか?

本講演では、有名なSCADA/HMIベンダーに影響を与える可能性のあるSCADA脆弱性に触れ、リバースエンジニアリングやファジングを通してどのようにしてそうした脆弱性を探索するのかを紹介する。

SLIDE SHARE

ニック・ガルブレス

ニック・ガルブレス NICK GALBREATH

ニック・ガルブレス氏は、オンライン広告取引システム開発の世界的リーディング企業である IPONWEB の技術担当副社長である。IPONWEB 以前は、セキュリティ・詐欺・認証・その他大企業的機能を扱う監視グループ Etsyの技術部長。Etsy 以前は彼はソーシャルとeコマース企業に所属し、それらには Right Media、UPromise、Friendster、Open Marketなどがある。彼の著書に「Cryptography for Internet and Database Applications (Wiley)」がある。彼は、Black Hat、Def Con、DevOpsDays、OWASP関連イベントでの講演経験を持つ。ボストン大学の数学修士を保有、現在は東京在住である。

[ 講演歴 ]
2013年
- LASCON http://lascon.org/about/, 基調講演者,
  米国・テキサス州オースティン
- DevOpsDays 日本・東京
- Security Development Conference (Microsoft),
  米国・カリフォルニア州サンフランシスコ
- DevOpsDays 米国・テキサス州オースティン
- Positive Hack Days http://phdays.com, ロシア・モスクワ
- RSA USA, San Francisco, CA, 講師とパネリスト

2012年
- DefCon 米国・ネバダ州ラスベガス
- BlackHat USA 米国・ ネバダ州ラスベガス
- その他

libinjection : SQLi から XSS へ

SQLi攻撃の迅速で正確な検知をする libinjection は Black Hat USA 2012 で紹介された。2年たった現在、そのアルゴリズムは多くのオープンソースや専用WAFsやハニーポットで利用されている。本講演では、XSSを検知する新しいアルゴリズムを紹介する。SQLi 同様、libinjection アルゴリズムは正規表現を使わず、とても速く、誤検出率が少ない。そして、オリジナルの libinjection アルゴリズムのように、GitHubで無償の使用許諾で入手できる。

SLIDE SHARE

SPONSORS

EMERALD SPONSORS :

DIAMOND SPONSORS :

PLATINUM SPONSORS :

GOLD SPONSORS :

SILVER SPONSORS :

BRONZE SPONSORS :