MITコース「コンピューターシステムのセキュリティ」。 講義23：セキュリティ経済学、パート2

マサチューセッツ工科大学。 講義コース6.858。 「コンピューターシステムのセキュリティ。」 ニコライ・ゼルドヴィッチ、ジェームズ・ミケンズ。 2014年

コンピューターシステムセキュリティは、安全なコンピューターシステムの開発と実装に関するコースです。 講義では、脅威モデル、セキュリティを危険にさらす攻撃、および最近の科学的研究に基づいたセキュリティ技術を扱います。 トピックには、オペレーティングシステム（OS）セキュリティ、機能、情報フロー管理、言語セキュリティ、ネットワークプロトコル、ハードウェアセキュリティ、およびWebアプリケーションセキュリティが含まれます。



講義1：「はじめに：脅威モデル」 パート1 / パート2 / パート3

講義2：「ハッカー攻撃の制御」 パート1 / パート2 / パート3

講義3：「バッファオーバーフロー：エクスプロイトと保護」 パート1 / パート2 / パート3

講義4：「特権の共有」 パート1 / パート2 / パート3

講義5：「セキュリティシステムはどこから来たのか？」 パート1 / パート2

講義6：「機会」 パート1 / パート2 / パート3

講義7：「ネイティブクライアントサンドボックス」 パート1 / パート2 / パート3

講義8：「ネットワークセキュリティモデル」 パート1 / パート2 / パート3

講義9：「Webアプリケーションのセキュリティ」 パート1 / パート2 / パート3

講義10：「シンボリック実行」 パート1 / パート2 / パート3

講義11：「Ur / Webプログラミング言語」 パート1 / パート2 / パート3

講義12：ネットワークセキュリティパート1 / パート2 / パート3

講義13：「ネットワークプロトコル」 パート1 / パート2 / パート3

講義14：「SSLおよびHTTPS」 パート1 / パート2 / パート3

講義15：「医療ソフトウェア」 パート1 / パート2 / パート3

講義16：「サイドチャネル攻撃」 パート1 / パート2 / パート3

講義17：「ユーザー認証」 パート1 / パート2 / パート3

講義18：「インターネットのプライベートブラウジング」 パート1 / パート2 / パート3

講義19：「匿名ネットワーク」 パート1 / パート2 / パート3

講義20：「携帯電話のセキュリティ」 パート1 / パート2 / パート3

講義21：「追跡データ」 パート1 / パート2 / パート3

講義22：「情報セキュリティMIT」 パート1 / パート2 / パート3

講義23：「セキュリティ経済学」 パート1 / パート2



対象者：スパム送信者はメーリングリスト、特に巨大なリストでどのように機能しますか？







教授：メーリングリストの集約には問題があります。大量のメーリングを提供するのは非常に難しいからです。 おそらく、スパマーはヒューリスティックを使用する必要があります。これにより、リストのサイズに応じて支払いを調整します。 たとえば、3億5千万人またはそのような人ではなく、1000人に手紙を送る方が発見的により賢明です。 しかし、メーリングリストには実際的な制限があることは間違いありません。

では、スパマーは上記のスパム保護方法を回避するために何ができますか？ 攻撃者には3つの回避策があります。



1つ目は、スパマーが使用できる多くのIPアドレスを持つボットネットネットワークです。 誰かがIPアドレスの「ブラックリスト」を作成しようとしても、攻撃者はボットネットネットワーク上の多数のIPアドレスを通過し、「ブラックリスト」のフィルタリングをバイパスできます。



2つ目は、ハッキングされたメールアカウントを使用してスパムを送信することです。 最も人気があるため、Gmail、Yahoo、またはHotmailのメールサービスはブラックリストに登録できないため、これは非常に有益な方法です。 サービス全体をそのようなリストに載せると、数千万人にサービスを閉鎖したことになります。







もちろん、これらの別個のサービスがヒューリスティック分析を使用している場合は、メールボックスをブラックリストに登録できます。これは、以前に通信したことがない多くの人に手紙を送信することなどを示します。 メールサービスのWebサーバー側には、不審なアクティビティを検出できるテクノロジーがあります。



ただし、ハッキングされたアカウントはスパマーにとって大きな価値があります。侵害されたアカウントが大量メール送信に適していない場合でも、連絡先リストから知人に手紙を送信するために使用できるためです。 これにより、攻撃者はフィッシングを簡単に行えるようになります。人々が知っている誰かから手紙で送られてきたリンクをクリックする可能性が高いからです。 これは、スパム攻撃のための非常に強力なツールです。



3番目の回避策は、正当な所有者からIPアドレスを取得することです。 前の講義でマークが言及したように、BGPと呼ばれるネットワークプロトコルがあり、インターネット上のルーティングを制御するために使用されます。 したがって、ハッカーがIPアドレスの所有者であると主張する攻撃がありますが、実際には所有していません。 このため、これらのアドレスに関連付けられたすべてのトラフィックは攻撃者に送られ、攻撃者はこれらのIPアドレスを使用してスパムを送信できるようになります。 スパマーが発見されるとすぐに、ある自律システムでBGPの使用を停止し、別の自律システムに切り替えます。



IPアドレスのキャプチャを防ぐためにBGP認証を実装する方法については多くの研究があり、攻撃者が回避しようとすることができるさまざまなセキュリティ方法がたくさんあります。 しかし、これらの回避策はすべて無料ではありません。なぜなら、攻撃者は何らかの形でボットネットの代金を支払ったり、電子メールアカウントを取得したりする必要があるからです。 したがって、保護対策のいずれかは、スパム生成のコストを増加させます。 したがって、これらの保護手段は有用ですが、理想的ではありません。



それでは、ボットネットネットワークはどのようなものでしょうか？ 一般に、Command＆Controlインフラストラクチャが配置されているクラウドがあり、すべての下位ボットにコマンドを発行します。 そのため、スパマーはC＆Cに目を向け、「ここに私が送信したい新しいスパムメッセージがあります」と言います。その後、ボットはコマンドアンドコントロールインフラストラクチャに代わって行動を開始し、グループにメッセージを送信します。







ボットが役立つのはなぜですか？ すでに述べたように、それらはIPアドレスを持ち、帯域幅を持ち、計算サイクルを実行します。これらのボット自体がWebサーバーとして使用されることもあります。 したがって、これらはスパマーにとって非常に有用であり、間接アドレス指定のレイヤーとしても機能します。 間接アドレス指定は、攻撃者にとって非常に便利です。 これは、法執行機関または他の誰かがC＆C自体のインフラストラクチャに影響を与えずにこのレイヤーを無効にした場合、スパマーは単にコマンドおよび制御インフラストラクチャを別のボットに接続してビジネスを継続できることを意味します。



これが、ボットが役立つ理由の1つです。 ボットネットネットワークは数百万のIPアドレスまで拡張できるため、マルウェアを使用して常にランダムリンクをクリックします。 ですから、これらは非常に大きくなる可能性があります。 企業全体がボットネットネットワークに関与しているため、数百万台のコンピューターが存在する可能性があるため、これらのネットワークは技術的に非常に複雑です。



これらすべてのボットにマルウェアをインストールするのにどれくらいの費用がかかりますか？ 原則として、これらは通常のエンドユーザーコンピューターであることを覚えておく必要があります。 コンピュータの1つにマルウェアを配置するコスト、またはホストあたりの価格は、アメリカのホストで約10セント、アジアのホストで約1セントです。 価格がこれほど異なる理由はいくつかあります。 おそらく、人々は米国から確立された接続がより信頼に値すると考える傾向があります。 同時に、アジアのコンピューターは、セキュリティパッケージによって更新されない海賊版ソフトウェアを使用する可能性が高いため、アジアでのボットネットネットワークの編成ははるかに安価です。



マイクロソフトなどの企業が著作権侵害を根絶しようとしているため、これらのコストがどのように変動するかについて、非常に興味深い統計が表示されます。 しかし、いずれにしても、これは概算です。 それはあまり高価ではないと言うだけで十分です。



このC＆Cセンターは何をし、どのように見えますか？ 最も単純な形式では、1つ以上のマシンの中央集中型コンピューターシステムです。 攻撃者は単にこれらのマシンで作業し、そこからボットネットネットワークにコマンドを送信します。 これは一元化されたシステムであるため、攻撃者にとって「防弾ホスティング」と呼ばれるものがあれば非常に便利です。 彼の考えは、そのようなサーバーを無効にするための金融機関や法執行機関からの要求を無視するインターネットサービスプロバイダーのサーバーでCommand＆Controlインフラストラクチャをホストすることです。 「防弾サーバー」は存在します。







このようなビジネスにはリスクがあるため、価格は高くなりますが、C＆Cセンターをそこに置くことができれば大成功です。 なぜなら、アメリカ政府またはゴールドマン・サックス銀行がそのようなプロバイダーに「ねえ、スパムを送信するこの男をオフにしてください！」と言うとき、彼は答える：「どうして私にこれをさせることができるか？ 私は別の管轄区域で働いており、知的財産法を順守する必要はありません。」 私が言ったように、これらのタイプのホストは、実際にサーバーでそのようなサービスを実行するリスクに対してプレミアムを請求します。



C＆Cインフラストラクチャを起動する別の方法は、ミニボットネットであるP2Pピアツーピアネットワークです。 ここでは、管理インフラストラクチャ全体が異なるコンピューターに分散されており、C＆Cの役割を担い、これらすべての作業ノードにコマンドを提供する別のコンピューターが常に存在します。 これらの「防弾ホスト」のいずれかにアクセスする必要がないため、これは良いことです。 通常のボットを使用してC＆Cインフラストラクチャを構築できます。 P2Pでは、このクラウドにあるホストの可用性を保証することは困難ですが、他の利点もあります。 一般的に、これらは攻撃者がスパムを送信するために使用できる2つのアプローチです。







それでは、ホスティングが閉鎖されるとどうなりますか？ この場合、スパマーができることはいくつかあります。 たとえば、DNSを使用してリクエストをリダイレクトできます。 誰かがスパマーに対抗してサーバーのシャットダウンを開始するとします。 しかし、サーバーがまだ稼働している間に、攻撃者はサーバーIPアドレスのリストを作成します。これには、これらのアドレスが数百または数千含まれている可能性があります。 その後、非常に短い時間、たとえば300秒間、各アドレスをホスト名にバインドし始めます。 これにより、攻撃者はサーバーをシャットダウンした結果に対処できます。サーバーは、ヒューリスティックに基づいてスパマーと見なされます。 実際、300秒ごとにスパムの場所が変わります。 したがって、間接的なアドレス指定はスパマーにとって大きな見通しです。 先ほど言ったように、間接的なアドレス指定の使用は、スパマーが法執行機関やヒューリスティックな保護方法を回避する主な方法です。



スパマーのDNSサーバーを破壊するだけで何が起こるのだろうか？ これはどれほど難しいですか？ 講演記事では、スパマーを反撃できるレベルがいくつかあると述べています。 たとえば、攻撃者のドメイン登録を削除しようとすることができます。 たとえば、「ロシア語pharma.rx.biz.orgを探している場合は、このDNSサーバーにアクセスして通信します！」と言います。 つまり、誰かがスパマーのDNSサーバーにアクセスしようとするとすぐに、トップレベルドメインにリダイレクトします。 ただし、困難なのは、攻撃者がメソッドを使用して、別のレベルでフローをすばやく切り替えることができることです。 たとえば、スパムDNSサーバーとして使用されているサーバーを「スクロール」することができます。つまり、スパムの送信に使用するサーバー間を切り替えることができます。 したがって、これらの人々が複数のマシンを使用して検出を回避する方法を確認します。



前述したように、ハッキングされたメールアカウントを使用してスパムを送信できます。 誰かのアカウントにアクセスできれば、ユーザーのコンピューターにマルウェアをインストールする必要さえありません。 どこにいても、自分のコンピューターから他の人のアカウントにアクセスできます。 この方法は、友人が信頼する人に代わってスパムを送信するため、フィッシング攻撃に最適です。



したがって、メールサービスプロバイダーはこれを防ぐことに非常に興味があります。そうしないと、ブラックリストに登録される危険があります。 さらに、プロバイダーは何らかの形でサービスを収益化する必要があります。 メールページに表示される法的な広告をクリックする実際のユーザーが本当に必要です。 ただし、スパムを送信するユーザーの割合が高いほど、広告主がそのようなメールサービスのサービスを使用することを決定する可能性は低くなります。 したがって、ウェブメールプロバイダーはスパムの防止に非常に興味を持っています。



ヒューリスティックを使用して、このタイプのスパムを検出します。 彼らはキャプチャを使用しようとする場合があります。 あなたが連続して5つのスパムメッセージを送信したと疑われる場合、これらのぼやけた写真のいずれかまたは類似のものから番号を入力するように求められることがあります。

ただし、これらの方法の多くはうまく機能しません。 ハッキングされたアカウントの価格を見ると、スパマーとして、Yahoo、Gmail、またはHotmailアカウントごとに1〜5セントという非常に安価なものに気付くでしょう。 とても安いです。 そのため、このような保護では、スパマーがハッキングされたアカウントの購入を拒否することはできません。 これは少し残念です。どこに行っても、何かを購入したり、メールを送信したい場合は、キャプチャを解決する必要があるようです。 それでは、悪意のあるものを防ぐためにキャプチャーに何が起こったのでしょうか？



結局のところ、攻撃者はキャプチャを解決するためのサービスを作成でき、キャプチャを入力するプロセスは、他のすべてと同様に自動化できます。 判明したように、1つのキャプチャを解決するコストは約0.001ドルであり、これは非常に低い遅延で実行できます。 したがって、キャプチャはスパムに対する重大な障壁ではありません。 キャプチャはコンピューター、ソフトウェアによって解決されると考えるかもしれません。 しかし、実際にはそうではありません。ほとんどの場合、実際の人々はキャプチャを決定し、攻撃者は2つの方法でこのビジネスを外部委託できます。



まず第一に、ハッカーは単純に非常に安い労働力を持つ労働市場を見つけ、人々をキャプチャのソルバーとして使用できます。 たとえば、スパマーはGmailのキャプチャに夢中になります。その場合、その人が座っている場所に送信し、小額のお金でスパマーのためにそれを解決してから、スパマーは法的サイトに応答を送信します。 Mechanical Turkを使用してこれを行うこともできます。 皆さん、「メカニカルターク」について聞いたことがありますか？







彼は非常にエレガントで、悪を行う方法として「エレガント」を意味します。 Mechanical TurkのWebサイトにこれらのタスクを投稿して、「ちょっと、パズルを解いているだけです」などと言うことができます。 または、解決する必要があるキャプチャがあることを公然と宣言できます。 価格を公表すると、市場はこのタスクを実行する準備ができている人々とあなたを結び付け、彼らは答えを与え、あなたはそれらを公表します。 この方法では、スパマーのワークフローを自動化できますが、Mechanical Turkを所有するAmazonが使用料を請求することに注意してください。



アウトソーシングの2番目の方法は、スパマーが必要なサイトからキャプチャを取得し、それを合法的なサイトにコピーして、ユーザーをリダイレクトすることです。 彼は実際に攻撃者のキャプチャを決定し、攻撃者は疑いを持たないユーザーの労力の成果を使用して、自分のサイトに正しい答えを入力します。 さらに、スパマーがユーザーを信頼していない場合、クラウドソーシングを使用して作業を複製できます。



たとえば、2〜3人に解決策としてcaptchaを送信し、多数決を使用して、captchaへの回答として多数決で受け入れられるものを選択します。



上記の理由により、captchaは思ったほど機能しません。 したがって、GmailまたはYahooプロバイダーは、スパマーが生活を困難にするために、できるだけ頻繁にcaptchaを使用しようとします。 ただし、問題は、captchaを頻繁に使用すると、主に立派なユーザーを悩ますことです。



スパム生成の複雑さの良い例は、Gmailの2要素認証です。 これは実際には非常に良い考えです。 知らないコンピューターからGmailアカウントにログインしようとしているとGmailが判断した場合、「サービスを使用する前にこの確認コードを入力してください」というテキストメッセージを携帯電話に送信します。



これが素晴らしいアイデアであることはおもしろいですが、少なくともそれは私を大いに困らせます。 これは私自身の安全のために行われていることを理解していますが、私はまだ怒っています。 別のコンピューターを頻繁に使用しない場合、そのような条件に同意します。そうしないと、非常に不便になります。



したがって、人々が話すセキュリティと、彼らが我慢しようとするセキュリティ対策の間には、非常に興味深い妥協点があります。 その結果、メールサービスプロバイダーがキャプチャの使用頻度と顧客の利便性の最適なバランスを見つけることは非常に困難です。 クリックサポートを検討する前に質問がありますか？



対象者：暗号化された電子メールが広く認識されていない理由の1つは、スパムフィルターの大きな役割です。



教授：そうするとフィルターは手紙の内容を見ることができなくなり、何が起こっているのか理解できなくなるということですか？ これはいい質問です。 実際、答えるのは困難です。これは、卵や鶏など、以前の永遠の問題のようなものです。







大量の暗号化された電子メールは存在しないため、スパマーがこれから利益を得ることができるかどうかは不明です。 しかし、これが問題になることはありません。 つまり、人々は暗号化されたデータを使用して計算を行う方法を学びました。 それで、おそらく、これはスパマーを止めないでしょう。 たとえば、マルコフモデルに基づいたスパムフィルターがあります。 では、スパマーは何を思いついたのでしょうか？ , , -. .



, . ? , DNS-, , , IP-. - -, IP-. , , DNS- -. , , .







, «» IP-, , , -URL? - ? - 183.4.4… russianjewels.biz?



: .



: , , , . , , . , - , . , DNS — . DNS, -, . , «» IP- -.



, , , -URL , , bit.ly. , - . HTML JavaScript, - . , . , , -, .



, , « » 10% URL, 90%. .







- DNS-, . , , , , .



, -.



. .



, ? , SPECTRE . , . - , , , . , , .



多くのスパミングフォーラムで、スパマーは欧米諸国のユーザーに有用かつ合法的なサービスを提供していることを公然と宣言しています。彼らは、ライセンスされたソフトウェアの価格が高すぎると主張しているため、人々はリンクをクリックして、ウイルスを含んでいる可能性のあるWindowsの海賊版を低価格で購入する必要があります。多くの場合、スパマーは自分が悪いことをしていることに気付いていません。後ほど、スパマーが実際に価格に見合ったものを提供することが多いという事実について説明します。私個人にとって、これは彼らの活動の最も予期せぬ結果の一つでした。



52:00分





コースの完全版はこちらから入手できます 。



ご滞在いただきありがとうございます。 私たちの記事が好きですか？ より興味深い資料を見たいですか？ 注文するか、友人に推薦することで、私たちをサポートします。私たちがあなたのために発明したエントリーレベルのサーバーのユニークなアナログのHabrユーザーのために30％の割引： VPS（KVM）E5-2650 v4（6コア）についての真実20ドルまたはサーバーを分割する方法？ （オプションはRAID1およびRAID10、最大24コア、最大40GB DDR4で利用可能です）。



VPS（KVM）E5-2650 v4（6コア）10GB DDR4 240GB SSD 1Gbpsまで1か月間無料で6か月の期間をお支払いの場合は、 こちらで注文できます 。



Dell R730xdは2倍安いですか？ オランダと米国で249ドルからIntel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TVを2台持っているだけです！ インフラストラクチャビルの構築方法について読んでください。 クラスRは、1米ドルで9,000ユーロのDell R730xd E5-2650 v4サーバーを使用していますか？