MITコース「コンピューターシステムのセキュリティ」。 講義23：セキュリティ経済学、パート1

マサチューセッツ工科大学。 講義コース6.858。 「コンピューターシステムのセキュリティ。」 ニコライ・ゼルドヴィッチ、ジェームズ・ミケンズ。 2014年

コンピューターシステムセキュリティは、安全なコンピューターシステムの開発と実装に関するコースです。 講義では、脅威モデル、セキュリティを危険にさらす攻撃、および最近の科学的研究に基づいたセキュリティ技術を扱います。 トピックには、オペレーティングシステム（OS）セキュリティ、機能、情報フロー管理、言語セキュリティ、ネットワークプロトコル、ハードウェアセキュリティ、およびWebアプリケーションセキュリティが含まれます。



講義1：「はじめに：脅威モデル」 パート1 / パート2 / パート3

講義2：「ハッカー攻撃の制御」 パート1 / パート2 / パート3

講義3：「バッファオーバーフロー：エクスプロイトと保護」 パート1 / パート2 / パート3

講義4：「特権の共有」 パート1 / パート2 / パート3

講義5：「セキュリティシステムはどこから来たのか？」 パート1 / パート2

講義6：「機会」 パート1 / パート2 / パート3

講義7：「ネイティブクライアントサンドボックス」 パート1 / パート2 / パート3

講義8：「ネットワークセキュリティモデル」 パート1 / パート2 / パート3

講義9：「Webアプリケーションのセキュリティ」 パート1 / パート2 / パート3

講義10：「シンボリック実行」 パート1 / パート2 / パート3

講義11：「Ur / Webプログラミング言語」 パート1 / パート2 / パート3

講義12：ネットワークセキュリティパート1 / パート2 / パート3

講義13：「ネットワークプロトコル」 パート1 / パート2 / パート3

講義14：「SSLおよびHTTPS」 パート1 / パート2 / パート3

講義15：「医療ソフトウェア」 パート1 / パート2 / パート3

講義16：「サイドチャネル攻撃」 パート1 / パート2 / パート3

講義17：「ユーザー認証」 パート1 / パート2 / パート3

講義18：「インターネットのプライベートブラウジング」 パート1 / パート2 / パート3

講義19：「匿名ネットワーク」 パート1 / パート2 / パート3

講義20：「携帯電話のセキュリティ」 パート1 / パート2 / パート3

講義21：「追跡データ」 パート1 / パート2 / パート3

講義22：「情報セキュリティMIT」 パート1 / パート2 / パート3

講義23：「セキュリティ経済学」 パート1 / パート2



James Mickens：今日は、スパムの経済性についてお話します。 これに先立ち、講義でセキュリティの技術的側面について議論しました。 バッファオーバーフロー、同じソースの原理、Torなどを調べました。 議論の背景は、攻撃者がシステムを侵害する方法を検討したことです。 防止したいことを説明する脅威モデルの開発を試み、この脅威モデルから身を守るのに役立つシステムを設計する方法を考えました。







それでは、今日は、攻撃者がなぜシステムをハッキングしようとしているのかという疑問である、別の観点を検討しますか？ なぜ彼は私たちを傷つけようとしているのですか？ 攻撃者がこれらの恐ろしいことをしようとする理由はたくさんあります。 これらの攻撃の一部は、イデオロギー上の理由で、政治活動家などと見なされる人々によって実行されます。 Stuxnetコンピュータワームを思い出してください。政府が他の政府を攻撃することがあることを示しています。 したがって、これらのタイプの攻撃では、お金、経済が攻撃の主な動機ではありません。 興味深いのは、単にコンピューターをより安全にするだけでは、これらの攻撃を防ぐことは実際には難しいことです。 そして、これらの攻撃者を他の活動に向け直すための財政的手段はありません。



ただし、強力な経済的要素を含む攻撃にはいくつかの種類があり、これらは今日私たちが検討するものの一部です。 興味深いことに、攻撃がハッカーの経済的利益に基づいていない場合、それらを防ぐためのルールは使用できません。 このような攻撃を阻止する方法を理解するのが難しい場合があるため、先ほど言ったように、コンピューターのセキュリティを強化しようとしています。



たとえば、Stuxnetは素晴らしいアイデアです。 このウイルスは、イランの核研究に関連する産業用ソフトウェアを攻撃しました。 そのため、Stuxnetがどこから来たのか、ほとんどがアメリカ人とイスラエル人です。 しかし、法廷でそれを証明できますか？ たとえば、Stuxnetをマシンに接続したと言って誰を訴えることができますか？



したがって、そのような攻撃では、誰が訴えられるかは明確ではありません-連邦準備制度、イスラエル、または他の誰か。 さらに、それが彼らであると公式に述べた人はいません。 そのため、このような攻撃を防ぐ方法を考えると、非常に興味深い法的および経済的な問題が発生します。







経済的理由に動機付けられたコンピューター犯罪には多くの種類があります。 たとえば、国が支援する産業スパイは、以前の講義で議論されたものの1つです。 政府は、知的財産などを盗むために、他の政府や他の業界に侵入しようとすることがあります。



面白いのは、スパマー攻撃を組織するとき、後でいくらかのお金を稼ぐために最初に少しのお金を投資する必要があることです。 スパマーは、メッセージを送信する前にインフラストラクチャに投資する必要があります。



この種の攻撃がある場合、ハッカーツールの金融チェーンがどのように見えるかを把握することができます。そして、チェーンの上位リンクに金融プレッシャーを適用して、下位リンクで悪意のある攻撃またはセキュリティ問題を防ぐことを考えることができます。



重要な点は、スパムのコンテキストを見ると、スパマーが不利益になったときにのみスパムの送信を停止することを理解できるということです。 世界の悲しい真実の1つは、スパムを受信し続けているということです。スパマーは、リンクをクリックしてスパムを表示するユーザーのわずか2％から3％の利益しか得られないため、スパマーにとっては安すぎます。 これらのメッセージを送信するためのコストが非常に低い限り、スパマーは被害者からの活動が最小限であっても、そのようなことでお金を稼ぐことができます。



したがって、今日は重要な経済的要素を含む攻撃を検討します。 先ほどお読みした興味深い例を挙げましょう。これは中国で起こっています。 彼らには「テキストメッセージングマシン」と呼ばれる問題があります。 ここでの考え方は、人々が携帯電話と携帯電話塔の間の「中間者」スキームに従って動作するアンテナを側面に向けて車を運転するということです。 このようなマシンで運転すると、彼らは携帯電話の番号を収集し、それがテキストメッセージの形で同じマシンからスパムとして送信されます。



このように動作すると、これらのテキストメッセージング車は1日に最大200,000件のメッセージを送信できます。これは膨大な数であり、人件費は非常に低いです。 ドライバーを雇い、ルートに沿って運転し、人々のトラフィックをスパイし、スパムを送信するのは非常に安価です。

このプロセスの経済学を見てみましょう。 モバイルトラフィックを監視するためのアンテナのコストはいくらですか？ 大まかに言えば、これはプラスまたはマイナス$ 1,600の領域のどこかにあります。 これらの人々は1日あたりどのくらいの利益を得ることができますか？ 成功したシナリオでも、約1600ドルです。 とても興味深いです。 つまり、1日で費用を回収し、純利益を得ることができます。



あなたは警察があなたを捕まえ、それから彼らがあなたを刑務所に入れるか罰金を払わなければならないと言うことができます、しかしそれは５千ドル以下であり、さらに、これらの人々はめったに遭遇しません。 これらのスパマーを経済的に封じ込める方法を考えるとき、このような計算に注意を払う必要があります。 したがって、スパマーが1年に2〜3回捕まって、1日で機器のコストを返す場合、そのようなことを金銭的に防止する方法を見つけることは非常に困難です。



興味深いことに、中国では、モバイルオペレーターもこのスキームに参加していることが理解されています。スパムを送信するたびに、モバイルオペレーターに文字通り数セントの小額のお金を送るからです。 ヨーロッパでは、多くの携帯電話会社が、常にスパムを受信して​​いると報告する怒っている顧客を必要としないことを決定しています。 しかし、多くの中国の携帯電話事業者、少なくとも3社は、これらのスパムメッセージを収入源と考えています。 彼らは本当にこれがいくらかの余分なお金を得る良い方法だと思います。







聞いたことがあるかどうかはわかりませんが、電話会社のネットワークでは電話番号に106-というプレフィックスが付いています。 このプレフィックスの最初の目的は、非営利目的で電話番号を使用することです。 会社を経営していて、従業員全員に大量のテキストメッセージを送信したいとします。 これらの106個の番号のいずれかを使用して、すべてのメッセージを一括して送信し、携帯電話ネットワークに組み込まれている速度制限の一部を回避できます。



スパマーはこれを利用できます。中国で送信されたモバイルスパムの55％は、これらの106個の数字のいずれかによるものだと思います。 これは、特定のひねくれたインセンティブがモバイルオペレーターを詐欺師との共通のビジネスに従事させる傾向がある場合の、金融スキームの仕事の興味深い例です。 講義ノートには、エコノミスト誌の興味深い記事へのリンクが含まれています。







興味深いことに、多くのサイバー兵器会社があります。 マルウェア、エクスプロイト、および同様のソフトウェアを販売しています。 1つの例はEndgameです。 たとえば、この会社は150万ドルで、保護されていない何百万台ものコンピューターのIPアドレスと物理的な場所を提供します。 彼らはインターネット上に多くのポイントを持っています。そこでは、コンピューターに関するあらゆる種類の興味深い情報が収集され、攻撃、またはその逆、たとえば、政府、別の機関、またはそのようなものである場合、保護することができます。



約250万ドルで、「ゼロデイパッケージサブスクリプション」と呼ばれる単純に素晴らしいものが提供されます。 購読すると、1年に25個のエクスプロイトを受け取り、彼らの助けを借りて何でもできます。 最も興味深いことに、これらのサイバー武器ディーラーと協力する人々の多くは、CIAやNSAなどの元intelligence報機関です。



これらのサイバー商人の実際の顧客が誰なのかを考えるのは興味深いです。 一部の顧客は政府、たとえばアメリカ政府です。 彼らはこれらのことを使って他の国を攻撃します。 しかし、ほとんどの場合、これらの製品は企業によって購入されます。 講義の最後で、企業がサイバーセキュリティの問題を自分の手に渡して、ハックバックまたは内部ハッキングと呼ばれるものを整理する方法について説明します。 サイバー犯罪者に攻撃された企業は、この問題に政府の公的組織を関与させませんが、知的財産を盗もうとした企業に対処しようとします。 同時に、彼らは彼らの行動を正当化するために非常に独創的な法的議論を非常にうまく使用しています。 したがって、これはサイバー戦争の興味深い側面です。



対象者：これはどの程度合法ですか？



教授： 「情報は自由になりたい、男」ということを知っていますか？ そのようなことについて言えば、「合法または違法」という用語を使用するのではなく、「日陰で」何かが機能するだけです。 たとえば、ドアロックが機能しない家がどこかにあると言って、20ドルを要求した場合、必ずしも違法とは限りません。 結局のところ、これらの企業にはそのようなことを研究する弁護士の群衆がいます。 しかし、多くの場合、ダーティトリックの実行方法を検討している場合は、インターネットで検索し、爆弾の作り方を説明するサイトにアクセスできます。 そのような情報を投稿することは違法ではありません。なぜなら、それは単に学習という点で教育的なものだからです。 たとえば、私が化学者である場合はどうなりますか？ したがって、誰かに知識を提供することは必ずしも違法ではありません。



しかし、たとえば、これらのハックバックなど、いくつかの「灰色の領域」があることは正しいことです。これについては後で説明します。 私が銀行であり、政府ではなく銀行であると仮定すると、彼らは私をハッキングしました。 ボットネットなどを隠蔽する法的権限を常に持っているとは限りません。 企業はそのようなことをしますが、法律は人生に遅れをとっています。 したがって、攻撃者が同じことを行う場合、製品を販売する際に著作権侵害法を使用します。 ボットネットを使用している場合、IP違反法を使用します。



これはおそらく、トーマス・ジェファーソンが考えていたものではなく、法律が実際にどのように機能するかを仮定すると、これは一種の猫とマウスのゲームです。これについては後で説明します。

原則として、これはすべて、攻撃を組織したい人が使用できるあらゆる種類のコンピューティングリソースの市場があることを意味します。 たとえば、ハッキングされたシステムの市場があります。 インターネットの「暗い領域」に移動し、ボットネットの一部である可能性のある侵害されたコンピューターをすべて購入できます。 感染したサイトへのアクセスを購入し、そのようなWebサイトを使用して、スパムまたは悪意のあるプログラムへのリンクを投稿できます。







お金のために、GmailやYahooなどのハッキングされたメールアカウントにアクセスできます。これらは攻撃者にとって大きな価値があります。 また、ボットネットのサブスクリプションなどを購入し、必要に応じて、たとえばDDoS攻撃を組織するために使用することもできます。 ですから、これをすべて購入できる市場があります。

また、ハッカーツールの市場もあります。攻撃者は、既製のマルウェアキットを購入したり、サイバー兵器ディーラーのサービスを利用したり、ゼロデイエクスプロイトなどにアクセスしたりできます。



盗まれたユーザー情報の大きな市場もあります。 これらは、社会保障番号、クレジットカード番号、電子メールアドレスなどです。 したがって、検索の準備ができていれば、これらはすべてインターネット上にあります。



そのため、本日お話しする講義の記事は、主にスパムエコシステムという1つの側面に焦点を当てています。 特に、著者は医薬品、偽物、およびソフトウェアの販売を検討しています。 そうすることで、スパムエコシステムを3つのコンポーネントに分解します。



最初の部分は広告です。 このプロセスにより、ユーザーはスパムリンクをクリックする必要があります。 ユーザーがこれを行うとすぐに、2番目の部分（クリックサポートの必要性）が発生します。 これは、ユーザーが移動するスパムサイトを表すWebサーバー、DNSインフラストラクチャなどが必要であることを意味します。 スパムエコシステムの最後の部分は実装であり、実際にユーザーがサイトで購入できるようにします。 彼は特定の製品を手に入れたいと思って、スパマーにお金を送ります。これがお金の出所です。







したがって、これらの多くはアフィリエイトプログラムに外部委託されています。 ほとんどの場合、これらのプログラムはアフターサービスに従事しており、銀行、Visa、MasterCardなどと連携しています。 ただし、多くの場合、スパマーはそのような困難に対処するつもりはなく、単にリンクを作成したいだけなので、スパマーは広告コンポーネントとして認識されます。 同時に、スパマー自身が取引の手数料の利益のために働き、商品の販売価値の30％から50％を受け取ります。



この講義では、スパムエコシステムの各コンポーネントを調べ、その仕組みを確認してから、これらの各レベルでスパマーを排除する方法について考えます。

最初に注意することは、広告コンポーネントです。 前述したように、広告の主なアイデアは、ユーザーがリンクをたどるようにすることです。 これが私たちに関係する主な問題です。 ご存知のように、そもそもスパムはテキストメッセージとして電子メールで送信されます。 ただし、スパマーはソーシャルネットワークを含む他の形式の通信を積極的に使用し始めています。 現在、Facebookにアクセスすると、本当の友達のコンテンツだけでなく、スパムメッセージにも「感染」しています。



私たちの議論は経済性に関するものなので、これらのスパムメッセージを実際に送信するコストは興味深い質問です。 それほど高価ではないことがわかりました-約60ドルで100万通のスパムメールを送信できるため、非常に低価格です。 また、ボットネットをすぐにこれに接続すると、さらに低くなります。これは、同時に仲介者のサービスを拒否できるためです。 しかし、市場でボットネットシステムの1つをレンタルしても、それは非常に安価です。



対象者：これらのメッセージのどの部分が本当に効果的ですか？ つまり、メールクライアントによって除外されていないのはどれだけですか？



教授：これは次のポイントに私を連れて行く良い質問です。 たとえば、100万件のスパムメッセージを送信しますが、それらはパスのさまざまなポイントで破棄され、スパムフィルターに分類されます。 人々はそれらに気付き、すぐに削除します。たとえば、「$ 18」アイコンでマークされた電子メールにスパムが含まれていることがわかります。



したがって、コンバージョン率を見ると、スパムフィルターやユーザー認識などの理由により、クリックスルー率が実際には非常に低いことがわかります。 したがって、スパミングは非常に安価である必要があります。そうでない場合、大きなメリットは得られません。 たとえば、クリックスルー率を決定する実証研究が実施されました。 3億5千万件のスパムメッセージを表示した場合、クリック数は約10,000回でした。つまり、大量の「ドロップ」メッセージがありました。 さらに、これらの10,000回のクリックは、提案された製品を購入しようとする28回の試行に過ぎません。 これらは非常に低いレートであるため、スパマーにとってスパムエコシステムのコストが非常に安いことは非常に重要です。







– . , , , , «» 10 , . , .



: 10000 – 350 ? , , , .



: , , .



: , , 20% 40% , , «» . , «», .







, , . , .



: , . , , , , Gmail , , . . . , . , , , . , . , « » , . , , , , .



, , , , . , .







: , ?



: . , . , , Viagra Windows. , , , , . 1000 , .



, , , – . .



— IP-. , - - IP-, , . - , , DNS , . , , -, « » IP- .



, — . , , . , , . , , , , . , .



, , . , , , - , - . , .



, . , 9 , - , , - .



, . , .







, , , . , . , , ? , - Gmail 350 , .



したがって、これらのスキームのいくつかがどのように実装の準備ができているかは完全には明らかではありません。ただし、これらは送信者の悪意のある活動を制限する方法のトピックに関する興味深い思考実験です。



26:10分



MITコース「コンピューターシステムのセキュリティ」。 講義23：セキュリティ経済学、パート2





コースの完全版はこちらから入手できます 。



ご滞在いただきありがとうございます。 私たちの記事が好きですか？ より興味深い資料を見たいですか？ 注文するか、友人に推薦することで、私たちをサポートします。私たちがあなたのために発明したエントリーレベルのサーバーのユニークなアナログのHabrユーザーのために30％の割引： VPS（KVM）E5-2650 v4（6コア）についての真実20ドルまたはサーバーを分割する方法？ （オプションはRAID1およびRAID10、最大24コア、最大40GB DDR4で利用可能です）。



VPS（KVM）E5-2650 v4（6コア）10GB DDR4 240GB SSD 1Gbpsまで1か月間無料で6か月の期間をお支払いの場合は、 こちらで注文できます 。



Dell R730xdは2倍安いですか？ オランダと米国で249ドルからIntel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TVを2台持っているだけです！ インフラストラクチャビルの構築方法について読んでください。 クラスRは、1米ドルで9,000ユーロのDell R730xd E5-2650 v4サーバーを使用していますか？