[論文レビュー] Breaking the Target: An Analysis of Target Data Breach and Lessons Learned

Xiaokui Shu, Ke Tian+2 more|arXiv (Cornell University)|Jan 18, 2017

Advanced Malware Detection Techniques参考文献 4被引用数 44

ひとこと要約

この論文は、4000万枚のクレジットカード番号と700万件の個人情報が漏洩した2013年ターゲットのデータ漏洩事件について、技術的・法的分析を詳細に行っている。ブラックポスマルウェアの解析、アラート処理およびネットワークセグメンテーションにおけるシステム的失敗の検証、そして決済システムの整合性、効果的なアラート設計、ネットワークセグメンテーションの3つのセキュリティガイドラインの提言に加え、EMVおよびトークン化によるクレジットカードセキュリティの強化を提唱している。

ABSTRACT

This paper investigates and examines the events leading up to the second most devastating data breach in history: the attack on the Target Corporation. It includes a thorough step-by-step analysis of this attack and a comprehensive anatomy of the malware named BlackPOS. Also, this paper provides insight into the legal aspect of cybercrimes, along with a prosecution and sentence example of the well-known TJX case. Furthermore, we point out an urgent need for improving security mechanisms in existing systems of merchants and propose three security guidelines and defenses. Credit card security is discussed at the end of the paper with several best practices given to customers to hide their card information in purchase transactions.

研究の動機と目的

• 2013年のターゲットのデータ漏洩事件——歴史的に最大級のものである——を引き起こした技術的および手続的失敗を分析すること。
• ブラックポスマルウェアの設計、回避技術、およびデータの外部持ち出しメカニズムを解体すること。
• TJXの漏洩事件を法的事例として用いて、サイバー犯罪の捜査および起訴における課題を評価すること。
• 小売業者がポイント・オブ・サイド（POS）システムを強化するために実行可能な、根拠に基づいたセキュリティガイドラインを提言すること。
• EMVおよびトークン化といった現在のクレジットカードセキュリティ技術を評価し、顧客向けのベストプラクティスを提供すること。

提案手法

• 2013年11月の公的レポートおよびインcidントログを用いた、タイムラインベースの漏洩再構築。
• ブラックポスマルウェアのリバース工学および行動分析により、その不審性の低さとデータ外部持ち出し方法の理解。
• 既存のセキュリティツール（例：FireEye）の有効性を評価し、誤設定およびアラートの過剰発生（アラートファットイグ）が主な失敗要因であると特定。
• 3つのセキュリティガイドラインの提言：決済システムの整合性の強化、効果的なアラートシステムの設計、適切なネットワークセグメンテーションの実装。
• EMVおよびトークン化技術のレビューを行い、カード提示およびカード未提示の不正利用を防ぐ際の強みと限界を分析。
• 顧客レベルのベストプラクティスの提供：PayPal、Apple Payを介した一時的トークンの使用、および銀行が提供する仮想クレジットカード番号の活用。

実験結果

リサーチクエスチョン

• RQ1 攻撃者はどのようにターゲットのネットワークに初期アクセスを取得し、何週間も検知されないまま残留したのか？
• RQ2 ブラックポスマルウェアが検知を回避し、効果的にデータを外部に持ち出すために使用した技術的特徴は何か？
• RQ3 FireEyeなどの既存セキュリティツールが導入されていたにもかかわらず、なぜこの漏洩を防げなかったのか？
• RQ4 大規模な漏洩事件におけるサイバー犯罪者の起訴を妨げる法的および捜査上の課題は何か？
• RQ5 EMVおよびトークン化といった現在のクレジットカードセキュリティメカニズムは、データ漏洩リスクをどの程度軽減できるのか？

主な発見

• 漏洩は、第三者のベンダー（ファジオ・メカニカル・サービス）の侵害によって引き起こされ、ターゲットのネットワークへの初期アクセスが得られた。
• ブラックポスマルウェアは、セキュリティツールの無効化と、暗号化された小分けのデータ持ち出しを可能にするように特別に設計されていた。
• FireEyeやSymantecからの複数のアラートが無視されたり、誤設定されたりしており、セキュリティ監視および対応におけるシステム的失敗を示している。
• ネットワークセグメンテーションが不十分であり、初期アクセスポイントから決済システムへの横方向移動が可能だった。
• EMV技術は、対面取引のセキュリティを向上させているが、PINなし攻撃や端末の改ざんに対しては依然として脆弱である。
• トークン化は、実際のカード番号を一時的で業者固有のトークンに置き換えることで、露出リスクを顕著に低減し、特にPayPalやApple Payを介した利用時に顕著である。