概要
Kinryū Labs は、年々重なりを増している2つの領域、宇宙システムセキュリティとサイバー脅威インテリジェンスに取り組む研究グループです。脆弱性を発見し、ハニーポットネットワークを運用し、脅威アクターを追跡し、影響を受ける組織と協調して開示を行い、完了し公開が許可された段階で発見した内容を公表します。
以下の詳細なセクションは英語です。
活動内容
私たちの活動は、ますます重なり合う3つの領域にまたがっています。
- 宇宙システムのセキュリティ 宇宙システムのインフラに潜む脆弱性を発見し、責任ある開示を行います。
- ハニーポットネットワーク ハニーポットネットワークを運用し、実際の攻撃者の挙動を収集・分析します。
- 脅威インテリジェンス 重大な脅威の背後にいる攻撃者、ツール、キャンペーンを追跡します。
責任を持って公開できるものは、すべてここに解説記事としてまとめます。
公開するもの、公開しないもの
- 公開するもの 研究者、ベンダー、カンファレンスの同業者に向けた、技術的で出典の明確な解説記事です。インフラ、ツール、脆弱性、そしてその背後にいるグループに関する調査結果を、有用であるのに十分な詳細とともに、公開すべきでないものは一切含めずに掲載します。
- 公開しないもの エンバーゴ下にあるもの、開示を危険にさらすおそれのあるもの、そしてクライアントのデータ、認証情報、未編集の概念実証(PoC)資料を含むものは公開しません。下書きとしても、プライベートブランチの中でもです。責任を持って公開できないのであれば、公開しません。
お問い合わせ
どのような用件でご連絡いただけるか
- 協調的開示 調査結果について私たちが連絡を取ったベンダーや組織の方、または私たちと連携している研究者の方。
- 訂正 公開済みの解説記事の中で、誤り、古くなった情報、あるいは追記が必要な点に気づかれた方。
- 協業 宇宙システムや脅威インテリジェンスに隣接する取り組みを進めていて、検討に値する接点があると思われる方。
- 情報提供 私たちが扱う分野に関連する何かを見つけ、一見の価値があると思われる方。
脆弱性を報告しますか?
迅速なトリアージのために、最初のメッセージには次の内容を含めていただけます。
- 影響を受ける製品、ベンダー、バージョン
- 問題の簡単な説明と想定される影響
- 再現手順または概念実証(機微な内容の場合は編集済みで)
- 希望する開示のタイムライン、および公開での謝辞を希望するかどうか
私たちは協調的開示の方針に従います。問題が対処されるまで、または応答のないまま妥当な期間が経過するまで、その問題について何も公開しません。上記の公開しないもの、および下記のFAQにある開示ポリシーをご覧ください。
通常のメールは安全な経路ではありません。エンバーゴ下の詳細、未編集の概念実証資料、認証情報、その他秘匿しておく必要のあるものは、最初のメッセージには含めないでください。まずはご連絡いただければ、詳細をより安全に扱う方法を一緒に検討します。
暗号化したお問い合わせ
機微な開示については、私たちのPGP鍵宛にメッセージを暗号化できます。
返信までの時間
Kinryū Labsは不定期に公開を行う小規模なグループのため、返信が常に早いとは限りません。とはいえ、届いたものはすべて目を通しています。何か時間的制約のあるもの(開示期限、エンバーゴの日付など)があれば、最初にその旨をお伝えください。それに応じて優先的に対応します。
よくある質問
開示ポリシーはどのようなものですか?
私たちは協調的開示に取り組んでいます。調査結果を報告する際に提案する条件は、通知日から90日、または問題が修正されるまでのいずれか早い方です。修正がすでに行われていて、より早く公開したいという場合は、最短で30日まで合意します。これに関わらず公開を検討する外側の上限としては180日を想定しています。ベンダーが沈黙したからといって自動的に公開されるわけではありません。沈黙に向けて開示すると、修正よりも大きな害を招きがちなので、私たちは個々のケースをそれぞれ慎重に判断します。
調査結果について最初の連絡はどのように行いますか?
私たちの最初のメッセージで述べるのは3点のみです。すなわち、問題が何か、その分類、そして想定される影響です。あなたが返信して求めない限り、攻撃の詳細や概念実証は含めません。それ以上の情報を共有する前に、適切な相手に連絡できているかを確認します。運用者やデータ管理者に加えて、通常は関連する各国のCERTまたはCSIRTに、そして明確なデータ保護上の関連性がある場合は適切な当局に通知します。他に誰へ報告すべきかを私たちが指図することはありません。
あなたたちの調査には実際に何が含まれますか?
スコープの設定と、それを超えないことです。私たちは読み取り専用の列挙と限定的なサンプリングを行い、露出を確認して記述します。データの持ち出し、改変、保持は行わず、能動的で許可のないペネトレーションテストと受け取られかねないものからは十分に距離を置きます。露出を文書化するために列挙することは妥当ですが、それを超えて悪用可能性を探ることはそうではありません。組織が脆弱性開示ポリシーを公開している場合は、それに従います。それが安全に使える経路であることを示す最も明確なサインだからです。
公開される報告書には何が含まれ、何が含まれませんか?
私たちの報告書は事実に基づき、過不足のないものです。個人データは編集し、値そのものではなくフィールド名で言及し、概数ではなく正確な件数を用います。共有方法を制御するために、調査結果はTraffic Light Protocolに基づいて分類し、中には機微すぎて一切公開しないものもあります。責任を持って公開できないものは、サイトに掲載しません。
有償の業務は引き受けますか?
はい。私たちは独立した公開研究も自分たちのペースで発表しており、このサイトはそのためのものです。ここにある解説記事は私たち自身が作るものであり、クライアントの依頼ではなく、私たちが見つけたものに突き動かされています。
何かを報告するとき、匿名のままでいられますか?
はい。どのように謝辞を記載してほしいか(実名で、ハンドルネームで、あるいは一切記載しないか)をお知らせください。そのとおりにします。普段のメールボックスを使いたくない場合は、使い捨てのアドレスでも最初の連絡には問題ありません。
返信までどのくらいかかりますか?
届いたものはすべて目を通していますが、返信が常に早いとは限りません。上記の「返信までの時間」をご覧ください。時間的制約のあるものを最初に明示していただけると、優先的に対応しやすくなります。
研究上の協業は引き受けますか?
はい、しばしば引き受けます。特に宇宙システムのセキュリティや脅威インテリジェンスと重なる場合はそうです。お考えの内容を簡単にまとめてお送りいただければ、そこから検討を進めます。