次の方法で共有

今日のコンピューティング環境における一般的なセキュリティの脅威

適用対象: 2015 2019 サブスクリプション エディション

Skype for Business Serverはエンタープライズ クラスの通信システムであるため、インフラストラクチャと通信に影響を与える可能性がある一般的なセキュリティ攻撃に注意する必要があります。

危害を受けたキーによる攻撃

キーとは、機密情報の暗号化、復号化、または検証に使用される秘密のコードまたは数値です。 公開キー インフラストラクチャ (PKI) では、次の 2 つの機密キーを使用する必要があります。

  • 1 つは各証明書所有者が持つ秘密キーで、

  • もう 1 つは通信するパートナーによる識別とセッション キーの交換が成功した後で使用されるセッション キーです

侵害されたキーによる攻撃は、攻撃者が秘密キーまたはセッション キーを割り出した場合に発生します。 攻撃者がキーの割り出しに成功した場合、攻撃者はそのキーを使用して、データの送信者に関する知識がなくても、暗号化されているデータを解読できます。

Skype for Business Serverは、Windows Server オペレーティング システムの PKI 機能を使用して、トランスポート層セキュリティ (TLS) 接続の暗号化に使用されるキー データを保護します。 メディアの暗号化に使用されるキーは、TLS 接続を介して交換されます。

ネットワークのサービス拒否攻撃

サービス拒否攻撃は、有効なユーザーによるネットワークの正常な使用または機能が、攻撃者によって妨害された場合に発生します。 この攻撃では、正当なユーザーによるサービスの使用を圧倒するために、攻撃者がサービスに対する正当な要求を氾濫させます。 サービス拒否攻撃により、攻撃者は以下のことを行うことができます。

  • 攻撃対象のネットワークで実行されているアプリケーションまたはサービスに対して無効なデータを送信して、そのようなアプリケーションまたはサービスが正常に機能するのを妨害する。

  • 大量のトラフィックを送信してシステムを過負荷状態にして、適正な要求に対するシステムの応答を停止または低速化する。

  • 攻撃の証拠を隠蔽する。

  • ユーザーがネットワーク リソースにアクセスできないようにする。

盗聴 (スニッフィング、スヌーピング)

盗聴は、攻撃者が、ネットワークのデータ パスにアクセスし、トラフィックの監視と読み取りの機能を持っているときに起こる可能性があります。 これは、スニッフィングまたはスヌーピングとも呼ばれます。 トラフィックがプレーン テキストの場合、攻撃者は、ネットワークのパスにアクセスしたときにトラフィックを読み取ることができます。 例としては、データ パス上のルーターを制御することによって実行される攻撃があります。

Skype for Business Server内のトラフィックの既定の推奨事項と設定は、信頼されたサーバーとクライアントからサーバーへの TLS の間で相互 TLS (MTLS) を使用することです。 この保護措置により、特定の会話が発生した期間内に攻撃を達成することが困難または不可能になります。 TLS はすべての関係者を認証し、すべてのトラフィックを暗号化します。 これにより、傍受が妨げられますが、暗号化が壊れていない限り、攻撃者はトラフィックを読み取ることはできません。

リレー NAT (TURN) プロトコルを使用したトラバーサルでは、トラフィックの暗号化は必須ではありません。送信される情報はメッセージの整合性によって保護されます。 傍受は可能ですが、送信している情報 (つまり、IP アドレスとポート) は、パケットの送信元アドレスと宛先アドレスを調べることで直接抽出できます。 A/V Microsoft Edge サービスでは、クリア テキストで送信されない TURN パスワードなど、いくつかの項目から派生したキーを使用して、メッセージのメッセージの整合性を確認することで、データが有効であることを確認します。 Secure Real Time Protocol (SRTP) を使用すると、メディア トラフィックも暗号化されます。

ID スプーフィング (IP アドレスと発信者 ID スプーフィング)

ID スプーフィングは、攻撃者が、有効なユーザー (発信者 ID) の電話番号、またはネットワーク、コンピューター、またはネットワーク コンポーネントの IP アドレスを、承認されずに特定して使用するときに発生します。 攻撃が成功すると、攻撃者は通常、電話番号 (発信者 ID) または IP アドレスによって識別されるエンティティであるかのように動作できます。

Skype for Business Serverのコンテキスト内では、管理者が次の両方を実行している場合にのみ IP アドレススプーフィングが実行されます。

  • 伝送制御プロトコル (TCP) のみをサポートする構成済みの接続 (TCP 通信は暗号化されていないため、推奨されません)。

  • このような接続の IP アドレスを信頼されたホストとしてマークした。

トランスポート層セキュリティ (TLS) 接続では、TLS がすべての関係者を認証し、すべてのトラフィックを暗号化するため、このような問題は生じません。 TLS を使用すると、特定の接続 (相互 TLS 接続など) で攻撃者が IP アドレス スプーフィングを実行できません。 ただし、攻撃者は引き続き、Skype for Business Server使用する DNS サーバーのアドレスを偽装する可能性があります。 ただし、Skype for Businessの認証は証明書を使用して実行されるため、攻撃者は通信の当事者の 1 人を偽装するために必要な有効な証明書を持たないでしょう。

一方、発信者 ID スプーフィングは、プロバイダー、PSTN ゲートウェイ、または別の PBX システムとSkype for Business Serverの間に SIP トランクを確立したときに機能します。 このような場合、Skype for Business Serverでは、発信者 ID のスプーフィングを防ぐための保護は提供されません。 つまり、Skype for Business ユーザーは、別のSkype for Business ユーザーの電話番号または表示名 (逆引き番号参照が適用される場合) を表示するスプーフィングされた発信者 ID で SIP トランクから通話を受信できます。 これに対する保護は、プロバイダー側、PSTN、または PBX ゲートウェイに適用する必要があります。

中間者攻撃

中間者攻撃は、攻撃者が 2 人の通信ユーザー間の通信を双方に気づかれることなく攻撃者のコンピューターを介するように再ルーティングすることで行われます。 攻撃者は、目的の受信者に到達する前にトラフィックをモニターし読み取ることができます。 通信の各ユーザーは、意図したユーザーとだけ通信していると考えながら、知らないうちに、攻撃者との間でトラフィックを送信したり、攻撃者からのトラフィックを受信したりします。 これは、攻撃者が Active Directory ドメイン サービスを変更して信頼するサーバーとして攻撃者のサーバーを追加したり、クライアントがサーバーに接続する際に攻撃者経由で接続するようにドメイン名システム (DNS) を変更できる場合に発生します。 中間者攻撃は、2 つのクライアント間のメディア トラフィックでも発生する可能性があります。 ただし、ポイントツーポイントオーディオ、ビデオ、およびアプリケーション共有Skype for Business Serverでは、TLS 経由でセッション開始プロトコル (SIP) を使用しているピア間でネゴシエートされる暗号化キーを使用して、ストリームが SRTP で暗号化されます。 グループ チャットなどのサーバーでは、HTTPS を使用して Web トラフィックのセキュリティを強化します。

RTP 再生攻撃

リプレイ アタックは、二者間の有効なメディア伝送が傍受され、有害な目的のために再伝送されると生じます。 セキュリティで保護されたシグナリング プロトコルと共に使用される SRTP は、受信側が既に受信した RTP パケットのインデックスを維持し、新しい各パケットをインデックスに既に一覧表示されているものと比較できるようにすることで、再生攻撃から転送を保護します。

SPIM

SPIM とは、一方的に送りつけられる営利目的のインスタント メッセージまたはプレゼンス サブスクリプション要求のことです。 それ自体はネットワークを侵害するものではありませんが、少なくとも迷惑なものであり、リソースの可用性および生産性を低下させ、結果としてネットワークの侵害を招く可能性があります。 SPIM の一例として、ユーザーが要求を送信することで相互に SPIM を送るケースがあります。 ユーザーは相互にブロックしてこれを防ぐことができますが、フェデレーションの場合、調整された SPIM 攻撃が確立されると、パートナーのフェデレーションを無効にしない限り、対処が困難になるおそれがあります。

ウイルスとワーム

ウイルスは、他の同様のコードユニットを再現することを目的とするコードの単位です。 ウイルスは、有効に機能するためにホスト (ファイル、電子メール、プログラムなど) を必要とします。 ワームは、追加の同様のコードユニットを再現することを目的とするコードの単位ですが、ホストは必要ありません。 ウイルスとワームは、クライアント間でファイルを転送しているとき、または他のユーザーから URL が送信されたときに主に出現します。 ウイルスがコンピューター上に存在する場合、そのウイルスは、たとえば、無断でユーザー ID を使用してインスタント メッセージを送信する可能性があります。

個人を特定できる情報

Skype for Business Serverは、個人にリンクできる可能性のあるパブリック ネットワーク経由で情報を開示する可能性があります。 このような情報は、次の 2 つのカテゴリに分類できます。

  • 拡張プレゼンス データ拡張プレゼンス データは、フェデレーション パートナーへのリンクまたはorganization内の連絡先との共有または共有をユーザーが選択できる情報です。 このデータは、パブリック IM ネットワーク上のユーザーと共有されません。 クライアント ポリシーやその他のクライアント構成により、システム管理者が何らかの制御を行う場合があります。 Skype for Business Serverでは、個々のユーザーに対して拡張プレゼンス プライバシー モードを構成して、ユーザー Skype for Business連絡先リストに表示されていないユーザーにユーザーのプレゼンス情報が表示されないようにすることができます。 拡張プレゼンス プライバシー モードでは、Microsoft Office Communicator 2007 および Microsoft Office Communicator 2007 R2 のユーザーがユーザーのプレゼンス情報を表示できなくなります。 クライアントとプレゼンスの展開の詳細については、「Skype for Business Server用のクライアントの展開」および「Skype for Business Serverでのインスタント メッセージングとプレゼンスの計画」を参照してください。

  • 必須データ 必須データは、サーバーまたはクライアントの適切な操作に必要であり、クライアントまたはシステム管理の制御下にありません。 この情報は、ルーティング、状態のメンテナンス、およびシグナリングのために、サーバーレベルまたはネットワーク レベルで必要です。

次の表は、パブリック ネットワークで公開されるデータを示しています。

拡張プレゼンス データ

公開されるデータ 使用可能な設定
個人データ
 名前、役職、会社、電子メール アドレス、タイム ゾーン
電話番号
 勤務先、携帯、自宅
予定表情報
 空き時間情報、不在通知、会議の詳細 (予定表にアクセスできるユーザー向け)
[プレゼンス状態]
 退席中、連絡可能、取り込み中、応答不可、オフライン

必須のデータ

公開されるデータ 情報の例
IP アドレス
 コンピューターの実際のアドレスまたは NAT で変換したアドレス
SIP URI
 jeremylos@litwareinc.com