Verizonの「Investigative Response Caseload Review（以下、Caseload Review）」は、同社が2012年内に発表予定の情報流出調査報告書（DBIR）の初のプレビュー版となる。

　この分析は、Verizonが2011年に行った90件の情報流出事例に関する調査に基づく。これは2012年版のDBIRに盛り込まれた850件以上の事例の約10％を占める。VerizonのITサービス部門であるVerizon BusinessのRISKインテリジェンス担当ディレクター、ウェイド・ベイカー氏によると、Caseload Reviewで示した傾向はVerizonのDBIRの完全版にも反映する見通しだが、数字そのものは異なるという。

　Caseload Reviewでは、ハッキングとマルウェアが連係して情報流出を引き起こす実態について解説し、攻撃者に悪用されやすいセキュリティの弱点を列挙。「盗まれた全情報の実に99％に、何らかのハッキングとマルウェアの利用が絡んでいた」と指摘する。90件の情報流出のうち半数以上では、フィッシングなど個人を狙い撃ちにするソーシャルの手口が絡んでいたとも報告した。

　ベイカー氏は「フィッシングはマルウェアに結び付き、バックドアや盗んだ情報を使ったハッキングにつながる。1つの攻撃にこの全てが含まれることもある」と解説する。

　Verizonが調べた情報流出事例のうち半数以上は、弱いパスワードやデフォルトのパスワード利用、ログイン情報の盗難が根底の原因となっていた。約29％はデフォルトのパスワードや推測されやすいパスワードが使われ、24％は盗まれたログイン情報が使われていた。

　ベイカー氏によると、ユーザーのログイン情報を悪用する傾向は広がりつつあるという。

　「攻撃者は、われわれがユーザー認証のために使っている仕組みを悪用する方法を探しているようだ。アカウントの取得経路を確立して通常のログインのように見せかければ、本物のユーザーを装える。これは攻撃者にとって極めて有利だ」（ベイカー氏）

　攻撃者が認証されたユーザーとしてシステムに侵入すれば、被害が出る可能性は大きくなる。

　「侵入すれば正規の行動に見せかけられる」とベイカー氏は言う。攻撃者はセキュリティ情報イベント管理（SIEM）製品が収集するログによって不審な行動だと認識されることも、潜在的脅威として検出されたりすることもなく、ほぼ自由なアクセスが可能になるという。

　残る情報流出の49％は、何らかのバックドアを利用されたことによるものだった。バックドアは、既にインストールされているのを侵入した攻撃者が偶然見つける場合もあるが、攻撃者が脆弱性探知やフィッシングを通じて自分たちで仕掛けることも多い。

　もしも狙い通りにいけば、攻撃者はバックドアによって、そのユーザーのアカウントで許可されている全てのリソースに無制限にアクセスできるようになる。これもSIEMによる検出を免れる1つの手だ。

監視されないSIEMのログ

　攻撃者にとって唯一不安の種があるとすれば、自分たちが標的としている企業に、ログを実際に解析しているIT担当者がいることだ。ただし、ほとんどの企業はコンプライアンス順守のためにSIEMを導入しているものの、その多くはログを定期的にチェックしていない。

　「多くの企業はログの保存はするが、それを使いこなす人材がいない」とベイカー氏。これは残念なことだと語り、「（ログの利用は）企業が情報流出に気付くチャンスを拡大できる有力な手段だ」と続ける。

　SIEMシステムの定期的なログ監視をしなかったことで、情報流出の60％近くは発見までに数カ月から数年を要していたという。数日で発見できたのは約20％のみだった。

　Verizonが2011年に調べた90件の情報流出のうち、企業のIT部門が定期的にSIEMのログを監視して発見したのは5件のみ。全体の3分の2は外部の関係者によって発見されていた。これは大抵の場合、なりすましの被害を通告された顧客だったり、サイバー犯罪の容疑者や集団を追っている捜査当局だったりするとベイカー氏は説明する。

　それでも、IT部門が発見した5件には、エンタープライズセキュリティの未来にとってかすかな希望の光が見えるとベイカー氏は語る。Verizonも、ログ解析によって発見された情報流出の件数について、「まだ少数ではあるが、われわれがこれまでに調べた中では最大だった」と述べる。

　こうした傾向は、モバイル端末が企業に導入される中でも続くだろうとベイカー氏は期待する。スマートフォンやタブレット端末を監視する場合、紛失したり盗まれたりするリスクが加わるという点が異なるにすぎないという。

　Caseload Reviewによれば、情報流出のほぼ半数がユーザー端末への不正侵入を伴っていたが、端末から直接情報を盗み出すよりも、その端末が「組織の内部に入り込むための足掛かりを提供」することの方が一般的だという。攻撃者がキーロガーを使ってユーザーのログイン情報を盗み、社内アプリケーションサーバに直接アクセスするケースも多かった。

　多くの点で今後はモバイル端末も、現在職場のクライアントPCが見舞われているのと同じ問題に脅かされるだろうとベイカー氏は予想し、「モバイル端末が普通の存在になるまでの時間の問題だ」と話す。