もはや無視できないツール

Twitter利用ポリシーの作成でSNSの脅威に対抗せよ

利用者が企業にも広がりつつあるTwitter。だがTwitterの利用をコントロールせず、従業員に自由にアクセスさせている企業のシステムと情報は、確実に危険にさらされている。

公開 2009年10月19日 07時30分

更新 2012年09月04日 17時44分

著者

Michael Cobb

[TechTarget]

印刷する

　Twitterはわずか3年あまりで数百万人が利用する「インターネットのショートメッセージサービス（SMS）」になった。多くの人が便利で生産的なコミュニケーション形態と受け止めているが、同サービスとユーザーに対する最近の攻撃により、Twitterなどのソーシャルネットワーキングサービス（SNS）の潜在的危険が浮き彫りになった。企業はTwitterにまつわる生産性とプライバシーの問題だけでなく、多数の直接的なセキュリティ問題にも対応を迫られている。

　不幸なことに、Twitterのようなマイクロブログサイトの成功は、ソーシャルエンジニアリング攻撃と同じ人間の本質的な要素、特に、信頼できる相手とつながりを持ちたいという自然な欲求に起因している。

　知らない相手から来たメールの添付ファイルを開いたり、リンクをクリックしたりしてはいけないことはほとんどの人が知っている。しかし、Twitterは友好的なグループ主体のサービスだと思われており、短縮されたリンクがどこにつながっているかまったく分からなくても、多くはためらわずにクリックしてしまう。

　こうした本質的な信頼関係故に、Twitterは悪質なユーザーにとって魅力的なアプローチとなり、同サービスを使ってフィッシング詐欺からマルウェアのインストールまであらゆる攻撃を仕掛けることが可能になる。例えば「Koobface」というマルウェアの亜種は、ユーザーがTwitterにログインすると偽のつぶやきを送信する。そのつぶやきは受信した相手を悪質なWebサイトに誘導し、Adobe Flash Playerの更新版と称して、実際にはマルウェアをダウンロードさせる。つぶやきのURL短縮サービスではこのほかに、DNSルックアップの追加や、リンクと接続先との間にサーバを置くことによる攻撃なども可能になる。

会社でTwitter利用ポリシーを作る

　アクセスしやすさはTwitterの魅力であり便利な点でもあるが、その代償となるのがセキュリティだ。無料オンラインサービスは必ずしも社内のシステムに匹敵する水準のセキュリティを提供してくれないものと認識しなければならない。もし何かあったとしても、Twitterのサービスレベル契約は存在しないのだ。しかしTwitterの全面禁止は、たとえ銀行や医療といった業界であっても恐らく現実的ではないだろう。全従業員がアクセスする必要はないが、マーケティングや人事担当者には必要かもしれない。英国政府機関でさえも、このマイクロブログツールのさらなる活用を促されている。

　Twitterのリスク低減の鍵となるのは、技術と研修を通じた実用的な利用ポリシーの導入だ。こうしたアプローチを成功に導く最善の方法は、受容できる利用ポリシーについて従業員の了承を得て、それを厳格に強制することだ。従業員がポリシーの背景にある理屈を理解して、全社的なTwitterポリシーの作成にかかわっていれば、禁止事項を破ろうとする確率ははるかに低くなる。しかも、Twitterを使っているときにどんな言動が許されどんな言動が許されないのかを知らなかったという言い訳は通用しなくなる。ポリシー強制のためにWebsenseの「Web Security Gateway」やMcAfeeの「Secure Web Gateway」といったWeb監視ツールを導入し、違反があれば見つけ出して懲戒措置を取れるようにしておくといい。

　ソーシャルエンジニアリング攻撃は巧妙かつ手口を次々と切り替えてくるため、SNS利用にまつわるリスクについて従業員に定期的に思い起こさせることが大切だ。どんなコンテンツやリクエストを不審と見なすべきかを際立たせ、「SNSのバナー広告はクリックしない」といった指示を再徹底する。バナー広告はマルウェアの配信に使われているためだ。また、例えば偽の更新通知といった新手の攻撃手法にも注意を払い、その攻撃に対して守りを固めるための新たな禁止事項を導入する。強いパスワードを設定して定期的に変更することは必須だ。Twitterと社内ネットワークおよびサービスとでは違うパスワードを使わなければならない。

　Twitterベースの攻撃を防ぐために利用できる防御技術には、感染を検出・防止するための従来型のマルウェア対策スキャンも含まれる。ファイアウォールのルールでも、会社のTwitterポリシーに明記された通り、いつ、誰にアクセスを許すかを制御する必要がある。会社のネットワークへの接続を許す前にシステムをチェックするネットワークアクセスコントロール（NAC）の利用も検討するといい。既知のマルウェアページを排除するリンクチェックやサイトフィルタリングも検討したい。また、会社でFirefoxを使っている場合、URL短縮サービスの「Bit.ly」には短縮されたURLのリンク先やページのタイトルを参照できるFirefox向けプラグインがある。

　企業にとっての課題は、SNS利用から生じる潜在的メリットを失わずにSNS経由の攻撃から身を守ることだ。

　従業員による安全かつ実用的なTwitter利用を促すために必要なインフラとリソースの配備・実装を怠った企業は、Twitter利用に便乗したありとあらゆる攻撃に身をさらすことになる。Twitterの利用をコントロールする手を打たず、従業員に自由にアクセスさせている企業のシステムと情報は、確実に危険にさらされているのだ。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社Cobweb Applicationsの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。

印刷する