オンラインゲーム事業者でのサプライチェーン攻撃によるインシデント対応

M社は従業員100名のオンラインゲーム事業者である。M社のゲームは利用者がWebブラウザからインターネット経由でアクセスして利用する。M社には開発部及び運用部があり，各従業員にはPCが貸与されている。M社の各PC及び各サーバには，固定のIPアドレスが割り当てられており，コンテナエンジンがインストールされている。M社のネットワーク構成を図1に，機器の概要を表1に示す。

図1　M社のネットワーク構成（抜粋）

凡例：FW：ファイアウォール，LB：負荷分散装置，L2SW：レイヤー2スイッチ

M社の構成：

• 内部サーバLAN：L2SW，ソースコードサーバ，レジストリサーバ（L2SWにソースコードサーバとレジストリサーバが接続）
• PC-LAN：L2SW，PC（複数台。L2SWに各PCが接続）
• 本番LAN：本番FW，LB，L2SW，ゲームサーバ1〜ゲームサーバ4（本番FW－LB－L2SW－ゲームサーバ1〜4の順に接続）
• 業務用FW：インターネット，内部サーバLANのL2SW，PC-LANのL2SW，本番LANのL2SWの4か所に接続
• 本番FW：インターネット，本番LANのLBに接続

表1　M社の機器の概要（抜粋）

M社では，定期的にゲームアプリを更新する。開発部は新たなバージョンのゲームアプリに対して品質テストを行い，品質テストが完了したゲームイメージのタグを運用部に伝達する。運用部は図2に示す更新手順でゲームアプリを更新する。

図2　更新手順

1. LBメンバをゲームサーバ3及びゲームサーバ4だけにする。
2. ゲームサーバ1及びゲームサーバ2上で次の(a)〜(c)を実施する。
   • (a) 稼働しているコンテナを終了する。
   • (b) 開発部から伝達を受けたタグのゲームイメージを，レジストリサーバから取得する。
   • (c) 当該ゲームイメージを基にコンテナを起動する。
3. LBメンバをゲームサーバ1及びゲームサーバ2だけにする。
4. その後，4時間経過して異常がなければ，ゲームサーバ3及びゲームサーバ4に対し，上記2.の(a)〜(c)を実施する。
5. LBメンバをゲームサーバ1〜4にする。

〔セキュリティインシデントの発生〕

運用部のHさんは，3月6日に開発部からタグ367を伝達され，同日10時に更新手順を開始し，3.までを終えた。同日13時40分，Hさんは，ゲームサーバ1が応答していないことに気付き，LBメンバをゲームサーバ3及びゲームサーバ4だけにした後，ゲームサーバ1上のコンテナを確認した。Hさんが確認したコンテナの一覧を表2に示す。

表2　ゲームサーバ1上のコンテナの一覧

Hさんはゲームサーバ1での更新の際に誤ってタグ 【 a 】 のゲームイメージを取得したことに気付いた。またゲームサーバ1で稼働中のコンテナ内ではgame.out及びprogというプロセスが実行中であったが，ゲームサーバ2で稼働中のコンテナ内にはprogというプロセスがなかったので，開発部に確認した。その結果，図3に示す内容が判明した。

図3　判明した内容

• タグ 【 a 】 のゲームイメージに，progという名称のファイルは含まれていない。
• progプロセスの実行ファイルのハッシュ値が，セキュリティベンダーの公開するマルウェアデータベースに登録されている。
• 当該ゲームイメージに含まれるOSSの一つに，コードZという悪意のあるプログラムコードが混入しているとの情報があった。当該ゲームイメージを調査したところコードZを発見した。コードZは，呼出し元プログラムの起動から3時間後に呼出し元プログラムの処理を中断させ，同時に，攻撃者が用意した外部のサーバに接続して，指示された任意の命令を実行する。

Hさんは，ゲームサーバ1上でコードZが実行されたと判断し，運用部のK主任に報告した。次は，その時のHさんとK主任との会話である。

Hさん：progという名称のファイルはタグ 【 a 】 のゲームイメージに含まれていないのに，どうしてprogというプロセスが実行中だったのでしょうか。

K主任：①攻撃者がコードZに指示した命令が原因だと考えられます。

Hさん：初動対応としては，ゲームサーバ1で，まず，詳細調査に用いるOSのメモリダンプを取り，次に，稼働中のコンテナを終了すればよいでしょうか。

K主任：コンテナを終了すると，メモリ上のデータに加えて 【 b 】 も消失してしまいます。コンテナは終了するのではなく，一時停止してください。

Hさん：分かりました。初動対応でそのほかにすべきことはありますか。

K主任：過去に，②対策情報が公開される前の脆弱性を悪用した攻撃がコンテナを介して行われ，コンテナエスケープと呼ばれるホストへの侵害が発生した事例があったので，注意してください。それから，ほかのサーバへの被害も調査してください。

Hさん：分かりました。

〔各サーバ上での被害の調査〕

Hさんが同日の業務用FWのログを確認したところ，ゲームサーバ1はインターネット上のIPアドレスa3.b3.c3.d3及びレジストリサーバに対してだけ接続していた。そこでHさんは，同日のレジストリサーバのHTTP及びHTTPSのアクセスログを確認した。Hさんが確認したアクセスログを，表3に示す。

表3　レジストリサーバのHTTP及びHTTPSのアクセスログ（抜粋）

注記1　1件のゲームイメージの登録又は取得のリクエストに対して複数行のログが出力されるが，各リクエストに対してログ1行だけを記載している。 注記2　項番8から46まで，リクエストURIの末尾の数値が1ずつ減っていくログが連続していた。 注記3　項番46より後のログは存在しなかった。

Hさんが調査したところ，項番1及び2は，Hさんがゲームイメージを取得した時のもの，項番3は，開発部の従業員がソースコードをソースコードサーバに格納したことによって，自動的にタグ379のゲームイメージが生成され，登録された時のものであると特定された。一方，項番4以降については，開発部及び運用部ともに誰も該当する操作を行っていなかったので，K主任に相談した。次は，その時のK主任とHさんとの会話である。

K主任：時刻から考えて，攻撃者に指示された命令によってコードZが送信したリクエストと考えるとつじつまが合いそうです。攻撃者は当社のネットワーク構成について詳細を知らずに項番4のアクセスをし，③そのレスポンスの内容から，レスポンスを返したホストはコンテナイメージが登録されているサーバだと判断したようです。項番5及び項番6は，レジストリサーバに登録されたコンテナイメージを列挙するAPI呼出しを行っています。それ以降のログを見ると，レジストリサーバ上のタグ341から379までのゲームイメージが上書きされた可能性があります。したがって，ゲームサーバ3及びゲームサーバ4に対して更新を行うべきではありません。

Hさん：分かりました。

その後，K主任は，被害の拡大を防止するために，Hさんに④レジストリサーバへの対処を指示した。

〔再発防止及び被害低減のための対策〕

初動対応と原因分析を終えたHさんは，再発防止及び被害低減のための対策を検討することにし，K主任に相談した。次は，その時のHさんとK主任との会話である。

Hさん：調査では，ゲームサーバ1は攻撃者からの攻撃の指示をIPアドレス 【 c 】 のサーバから受け取っていたことが分かりました。 【 d 】 はマルウェア感染によって攻撃者の制御下となったコンピュータで構成されますが，ゲームサーバ1もそのままにしておくと 【 d 】 に加えられてしまっていたかもしれません。そこで，IPアドレス 【 c 】 への接続を業務用FWで拒否するのはどうでしょうか。

K主任：それだけでは，攻撃者が同種の方法で攻撃の指示をしたときに⑤対策として有効でない場合があります。再検討してください。

Hさん：分かりました。

K主任：レジストリサーバについての対策は，どうするつもりですか。

Hさん：REST APIによるゲームイメージの新規登録及び上書き登録の呼出しについて，呼出し元IPアドレスを 【 e 】 のIPアドレスからだけに制限するというのはどうでしょう。

K主任：それは効果がありますね。

Hさんは，ほかにも必要な再発防止及び被害低減のための対策を検討した。