他社のセキュリティの甘さが標的型攻撃を招く

　金野氏は講演の冒頭、2011年に明らかになった三菱重工業に対する標的型攻撃について説明した。三菱重工業が受けた攻撃の詳細は明らかになっていないものの、金野氏が報道などを基に導き出した攻撃のシナリオは次のようになるという。

1. 業界団体である日本航空宇宙工業会の従業員のクライアントPCがマルウェアに感染
2. 攻撃者が、日本航空宇宙工業会の従業員と三菱重工業を含む関連企業とのメールのやりとりの情報を取得
3. 攻撃者は三菱重工業と業務で関わりのある人の名前やメールアドレスを特定し、送信者のアドレスを詐称して悪意のあるメールを送信
4. 三菱重工業のメール受信者の端末がマルウェアに感染
5. 攻撃者はマルウェアに感染した端末を介して社内サーバに侵入

　三菱重工業の事例から分かることは、攻撃者は攻撃対象企業を直接狙うだけでなく、攻撃対象企業の関連企業や組織も狙う可能性があるということだ。「セキュリティ対策が甘い企業が1社でもあると、関連する組織や企業にとって大きな脅威となることを意識すべきだ」と金野氏は警告する。

送信者詐称メールにだまされないためには

　標的型攻撃における攻撃手段として利用されるケースが多いのはメールだ。金野氏によると、標的型攻撃に利用されるメールは以下の特徴があるという。

• 送信者を偽装し、実在する信頼できそうな組織や個人からのメールのように見せかける
• メール本文が攻撃対象の業務に関連している内容
• 添付されたマルウェアは多くの場合、ウイルス対策ソフトでは検知できない
• 海外のIPアドレスから発信されるケースが多い

　標的型攻撃において利用されるメールは通常のメールと同じ経路で送信されるため、システムで防ぐには限界がある。信頼感のある組織や団体からのメールの場合、受信者は安心して開いてしまう可能性が高いというリスクもある。「攻撃者は、企業間に醸成されてきた信頼関係を巧みに利用する。バリューチェーンを構成する企業が一丸となって、セキュリティレベルを向上する必要がある」と強く訴えた。

　金野氏は「普段送ってくるメール内容と同じかどうか、記載されたURLが適切なものかどうかを確認することをまずは従業員に徹底させるべき」とアドバイスする。

多様なサイバー攻撃には共通点がある

　標的型攻撃をはじめとする昨今のサイバー攻撃を分析すると、次の手順を踏んだ攻撃が多いと金野氏は指摘する。

1. 初期潜入：標的型攻撃メールやUSBメモリ、Webサイトといった手段で攻撃対象企業のシステムをマルウェアに感染させる
2. 攻撃基盤構築：攻撃に成功して侵入したシステムにバックドアを作成し、外部サーバと通信させて新たなマルウェアをダウンロードさせる
3. システム調査：機密情報が存在するシステムの場所を特定する
4. 攻撃最終目的の遂行：攻撃専用のウイルスで攻撃を遂行する

　「攻撃最終目的の遂行」で利用される攻撃用のウイルスは攻撃の種類によって異なるが、「攻撃基盤構築」と「システム調査」で利用されるマルウェアやコードは多くの攻撃で共通していると金野氏は指摘する。そのため「『攻撃基盤構築』と『システム調査』を防ぐことが、標的型攻撃を効率的に防ぐ鍵となる」。

標的型攻撃対策には3つの視点で対処する

　標的型攻撃の具体的な対策をシステム面から進めるに当たり、金野氏は具体的な対策として「入口対策」「出口対策、情報保護」「監視、管理体制」の3つの分野に着目すべきだと説明する。

　入口対策は、「システムの入口と経路での防御」「脆弱性対策」「標的型攻撃ルートでの対策」という社外からの攻撃経路での防御を中心に構成する。

• システムの入口と経路での防御：ファイアウォールやウイルス対策ソフト、侵入防御システム（IPS） の導入、ネットワークからの重要サーバの隔離
• 脆弱性対策：ソフトウェアの定期的な脆弱性診断やセキュリティパッチの適用、WAF（Web Application Firewall）の導入
• 標的型攻撃ルートでの対策：フィルタリングの導入や外部記憶媒体の利用制限

　出口対策、情報保護は、「ウイルス活動の阻害と抑止」「アクセス制御」「情報の暗号化」というマルウェアの感染を前提にした対策で構成する。

• ウイルス活動の阻害と抑止：部署間のネットワーク通信の制限やネットワーク流量の監視
• アクセス制御：ユーザー認証や安全なWebアプリケーションのホワイトリスト化
• 情報の暗号化：通信路やファイルの暗号化、暗号鍵の管理

　監視、管理体制は「システム監視、ログ分析」「管理統制とコンティンジェンシープラン」という、管理体制の整備を中心に構成する。

• システム監視、ログ分析：ネットワークやサーバのログ取得や分析、監査
• 管理統制とコンティンジェンシープラン：セキュリティポリシーの策定やグループ会社間のセキュリティガバナンス、機器対応体制の整備

　金野氏は「特定の分野に限定するのではなく、3つの分野のそれぞれについて着実に対策を進めることが大切だ」と強調した。