Internet Infrastructure Review（IIR）Vol.24
2014年8月22日

エグゼクティブサマリ

2014年4月8日に、OpenSSLで発見された脆弱性の概要と、それに対する対応を呼びかけるセキュリティアドバイザリが公開され、様々な事業者が対応に追われました。OpenSSLは、インターネットショッピングやインターネットバンキングなどで個人情報や機密情報を暗号化してやりとりする際に用いられる、SSLという方式を実装したオープンソースソフトウェアで、UNIX系の環境で、広範囲で利用されているものです。今回見つかった脆弱性は、遠隔地からサーバ上の比較的大規模なメモリ領域にアクセスできるというもので、悪用すると、パスワードや秘密鍵などを簡単に盗みだせるため、その問題の深刻さから、Heartbleed（心臓出血）という呼び名が付けられています。

また、7月には教育関連事業を営む大手企業で、大規模な顧客情報の漏えい事件が発生しています。こちらは派遣社員が顧客の個人情報を持ち出して、何らかの方法でいわゆる名簿業者に売り渡した事件ですが、情報漏えいを起こしてしまった企業は総額200億円の補償を行う準備をすると表明しました。この額は当該企業の今期最終利益見込額に匹敵する額だそうですが、企業による顧客の個人情報管理の責任は大きく、もし万一、情報漏えい事件が起こった場合に被る損失は、企業経営に相当なインパクトを与えてしまうものになっています。

本レポートは、このような状況の中で、IIJがインターネットというインフラを支え、お客様に安心・安全に利用し続けていただくために継続的に取り組んでいる様々な調査・解析の結果や、技術開発の成果、ならびに、重要な技術情報を定期的にとりまとめ、ご提供するものです。

「インフラストラクチャセキュリティ」の章では、2014年4月から6月までの3ヵ月間に発生した主なインシデントを時系列に並べ、分類し、月ごとに概要をまとめると共に、期間全体での統計と解析結果をご報告します。また、対象期間中のフォーカスリサーチとして、4月8日に公開されたOpenSSLの脆弱性についての解説や、国内金融機関の認証情報を窃取するマルウェア「vawtrak」の解析結果と対策について、及び、クラウドの安全性確認と監査制度についてそれぞれ解説します。

「ブロードバンドトラフィックレポート」の章では、IIJが運用しているブロードバンド接続サービスの、2007年から7年間の月平均トラフィックの推移を解析し、長期的なブロードバンドトラフィックの傾向についての分析結果を報告します。更に、2014年5月26日から6月1日までの1週間分のトラフィックデータを分析し、前回行った2013年6月3日から6月9日までの分析結果と比較し、この1年間のトラフィック傾向の変化について詳細な解析を行い、報告します。

「技術トレンド」の章では、インターネットの重要なサービスの1つであるDNSを取り巻く環境の最新動向について解説します。特に、近年のTLDの追加で顕在化した名前衝突の問題や、コンテンツ配信事業者などが行っているDNSを用いた通信制御の実際と課題、そして、DNSに対する攻撃の現状と対策について詳しく解説します。

IIJでは、このような活動を通じて、インターネットの安定性を維持しながらも、日々改善し発展させて行く努力を続けております。今後も、お客様の企業活動のインフラとして最大限に活用していただくべく、様々なソリューションを提供し続けて参ります。