自社のデータがどのように作成・処理されているかにかかわらず、最終的に行き着くのはストレージ環境だ。できる限り厳重に管理し、権限のない者にアクセスされないようにしなければならない。この認識があれば半分は勝ったようなものだ。情報セキュリティチーム、あるいは電子資産の保護担当者と密接に連携していればなおいい。

　ただし、それほど単純ではない問題もある。実際、古い考え方と情報セキュリティの知識不足から来る完全な誤解も多い。ストレージ管理者がストレージシステムをセキュアに保ち、長期的な改善を施すため、克服すべき7項目を以下に順不同で挙げる。

1. ストレージセキュリティは、予備システムと優れたバックアップとイコールではない。この2つの要素は、データの安全を守る措置の一部でしかなく、過去の慣習に従ってこれだけに頼らないことが大切だ
2. プロトコルは問題ではない。IPベースのストレージとファイバチャネルはいずれもそれぞれ独自の問題があり、必ずしもどちらの方が攻撃を受けやすいとは言えない
3. ストレージの暗号化で万事解決するわけではない。保存されているデータにも、転送されるデータにもこれが言える。ネットワークセキュリティ層における最後の防衛線とするのはいいが、これだけに頼ってはいけない
4. ストレージ環境のセキュリティを守り抜くことは、ストレージチームの責任ではない。これは情報セキュリティチームなどほかのIT、監査、コンプライアンス担当者を含む全員の責任だ。これを機能させるためには部局間の良好なコミュニケーションが欠かせない
5. ユーザーが正しいことをすると信じてはいけない。ネットワークの領域分割と適切な認証、アクセスコントロールで、ユーザーがアクセスする必要のないものにアクセスできないようにするのが成功の鍵だ
6. 能力と許可は必ずしも同等ではない。ユーザーや攻撃者がストレージシステムにアクセスできるからといって、そのアクセス権を持たせていいということにはならない。バックドアや、不必要な権限を持ったユーザーは見過ごされがちだが、不正アクセスにつながる場合もある。こうした抜け穴には注意が必要だ
7. ユーザーや外部の攻撃者は、損害を与えるところまで深く侵入し得る。一般の認識とは裏腹に、ストレージ環境に侵入する手段は存在する。しかも簡単にできる場合も多い。システムへの不正侵入につながるアクセス権を誰が持っているか、把握しているだろうか。確実に知る唯一の方法は、定期的にストレージのセキュリティホールをテストすることだ

どのような攻撃があるか

　前述した問題と、自社システムの複雑さおよび常にすべてを把握しておくことの難しさを考えると、必然的に行き着くのは、不必要あるいは無許可のストレージが露呈されるという問題だ。ストレージシステムの攻撃方法は無数に存在する。攻撃は自社のネットワークの内部からも外部からも仕掛けられるが、以下に主なものを7つ挙げる。

1. ネットワークペリメータDMZが破られる。IPベースのストレージシステムを切り離し、専用のセキュリティがかけられたエリアに置くことは忘れられがちだが、これは確実な攻撃経路となる
2. 社内ネットワークに侵入される。社内LANの多くはセグメンテーションや適切なアクセス制御なしで設定されており、信頼されたインサイダーがつつき回し、何にアクセスできるかを探り回せる状態になっている
3. 共有およびファイルパーミッションにより、不正アクセスが可能になる。共有とファイルパーミッションの設定ミスにより、閲覧可能なものを簡単に見つけ、アクセスが禁止されているデータをロード、コピーできる状態になっていることがある。ユーザーが便利だからと「一時的に」ファイルを自分のローカルドライブやネットワークの別の部分にコピーしてしまうと、事態は特に深刻になる
4. 管理ソフトが攻撃者の手に渡る。管理ステーションが制御され、無許可のユーザーがストレージシステムに接続し「管理」してしまう
5. DNSサーバがハッキングされる。これによってネームポリューションとリダイレクトが可能になり、結果的にユーザーが違う場所、つまり攻撃者のシステムに重要なデータを保存してしまう
6. ネットワークトラフィックが傍受される。これは有線と無線の両方のネットワークで発生し、中間者攻撃、セッション乗っ取り、オンラインとオフラインの両方のパスワード攻撃が可能になる。これは見かけよりもはるかに簡単だ。無線ネットワークは、セキュリティが適切でなければ簡単に不正アクセスの餌食となる。有線の場合、優れたネットワークアナライザと、Cain & Abelのようなツールを使ったARP（Address Resolution Protocol）ポイゾニングで事足りる
7. OSとアプリケーションの弱点を悪用される。サーバへの不正アクセスはもはや理論上のものでも、知識と時間があり余る外部の攻撃者によってのみ実行されるものでもなくなった。実際、単純な設定ミスがあったりパッチが適用されていないストレージデバイスやサポートシステムは、Nessus Vulnerability Scanner、QualysGuard PCIといった類のツールを使って簡単に発見できる。その後こうした脆弱性は、Metasploit、Core Impactといったツールを使えばものの数分で、技術スキルを問わず、ほとんど誰でも悪用可能になる

　長年の間、ストレージ管理と情報セキュリティの間には断絶があり、それがこうしたストレージシステム攻撃を助長する形となっていた。この問題に手を打つことに関連した見返りはたくさんある。社内でこの原因となっている根本的な問題への対処に着手すれば、同僚の中で抜きん出ることができ、自分の全般的なストレージ関連スキルを向上させ、自社のストレージセキュリティに絶えず目を配る方向へとつながるだろう。

本稿筆者のケビン・ビーバー氏は、米アトランタにあるプリンシプルロジックの独立系情報セキュリティコンサルタントで、文筆、講演を手掛ける。IT分野で18年以上の経験を持ち、専門は情報セキュリティ評価。「Hacking For Dummies」、「Hacking Wireless Networks For Dummies」（以上Wiley刊）、「The Practical Guide to HIPAA Privacy and Security Compliance」（Auerbach刊）など5冊の著書がある。