※回答一覧

 出題者   カテゴリ   作成日

Mr.SEQ		 ITセキュリティ&リスクマネージメント担当 2013-10-01 10:50:17
 問題   ヒント   回答数 
■自称ホワイトハッカーからメールが届いた。どう対処する?

あなたは企業のWeb管理者です。
webadmin宛てに自称ハッカーより以下のメールが届きました。
「貴社のWebサイトで利用されているCGIは既知の脆弱性が発見されています、
自身のウェブサイトを守る為にも、対処を行ったが良いと思います。
　～ホワイトハッカーより～」

メールアドレスはプロバイダのアドレスで、返信することは可能です、
あなたならどのような対処を行いますか?		 実際にこのようなメールが企業のWeb管理者向けに来ることがあります、
ここでの自称ホワイトハッカーが何を考えてこのようなメールを送ってきたのか、
あとは企業のWeb管理者として対処するべきことを優先順位をつけて
考えてみてください。
単純にセキュリティ対策をするではなく、企業内の人との対応、
企業外の人との対応と考えると、やるべきことは山程あります。		 5

 

メンバーの回答一覧　お疲れ様でした！
※講師コメント詳細は冊子に掲載されています。

なるほど
票数		 回答 講師コメント
2 丸田
メールの送信者には、メールアドレスを取得して悪用するなどの意図があると思います。

(1)不用意に返信しない・させない
社内に以下の主旨のことを連絡する。
対応は管理者がおこなうので、社員はメールが来たことだけ報告し、返信しないこと。
すでに返信してしまった社員がいた場合は、その後おかしなことがないか気をつけてもらうほか、システム担当者にもフォローしてもらう。


(2)裏をとる
JPCERT、IPAなどの信頼できる機関で、参考になる情報がないか探す。
既知の情報がなかった場合はメール等で相談してみる。


(3)社内システムのセキュリティチェック
対処が必要なセキュリティホールはないか調べ、
セキュリティホールがあったら対処する。


(4)(2)で相談を受けた場合は、結果をフィードバックする

以上です。		 銀 (Mr.SEQ)
実際に自称ホワイトハッカーからのメールのほとんどは対象企業からの情報搾取目的がほとんどです。 対応の順番、手順ともによく考えられた模範的解答といえます。いろいろな想定がありますが、自称ホワイトハッカーからのメール通りの脆弱性が発見された場合、の対処はどうするべきでしょうか？
0 嘉田
・社内のコーダー(プログラマ)に確認してもらう。
・CGIの脆弱性がどのようなものなのか、どのようなリスクがあるのかをハッカーに問合せる		 なし (Mr.SEQ)
社内に確認してみるのはいいですね、詳細を自称ホワイトハッカーに問い合わせるのはちょっと、リスクかもしれません（自称なので）、対策については社内の技術トップ、マネージャ層に判断してもらう必要はあります。
0 YN
セキュリティ対策をしているつもりでも、どこかにセキュリティホールがある可能性は常に捨てきることができません。自称ホワイトハッカーからの警告をきっかけに、体制を見直すことが必要だと思います。ただし、ホワイトハッカーは偽称である可能性もあるため、返信はしない方が良いのではないかと思います。

対処
1. セキュリティ会社(または社内のセキュリティ担当者)、システム管理会社(またはシステム管理者)と、自称ホワイトハッカーからのメールを受信した旨を共有。
2. サーバへのアクセスログを解析し、不正なアクセスなどが無いか確認をし、個人情報が危険に晒されていないかチェックする。
3. CGIの部分だけでなく、サイト全体のセキュリティソフトや体制が、最新のものであるか確認する。
4. セキュリティ対策の点検(見直し)を定期的に行っていない場合は、コストなども吟味しながら現実的なセキュリティ定期点検の体制作りをする。		 銅 (Mr.SEQ)
対処として、共有→ログ確認→該当する脆弱性の確認→見直しといういい流れになっています。共有において、自社内の他の方にもメールが来ているか確認、対処も共有しておくとよいでしょう。
0 yamataco
送られてきたメールアドレスへの返信は行いません。

IPAなどセキュリティ団体のサイトで、同様の脆弱性について書かれている内容がないかを調べます。

もし同様の内容が見つかれば、上司に報告をし、自分で対処できる内容に関しては対処し、CGIであればレンタルサーバのサイトより対処方法を確認し対処します。

技術的に対処が難しい場合、システム会社へサポートをお願いします。		 銅 (Mr.SEQ)
対処の流れを理解されており、自身はWeb担当者という立場でよく考えられていると思います。上司への報告内容、自称ホワイトハッカーへの対処として、言われた内容が正しかった場合、無視をすると逆恨みされ攻撃される恐れがあり、そのあたりも考えてみてください。
0 kamino
・企業内の人との対応
社長に連絡 → 社内SEと相談 → 調査 という流れだと思います。
もし事実であれば、SEに対応してもらいます。

・企業外の人との対応
サーバー管理者に連絡する