サイバー戦争への備え

　例えば、基幹インフラや金融業界、大手企業などを巻き込むようなサイバー戦争に起因する二次被害を懸念している企業は、基幹インフラに影響が出た場合を想定した事業継続計画（BCP）の立て直しを検討すべきだろう。ただし、先手を打った対策を講じるには時間がかかる。賢明なやり方として、まずは最悪を想定したシナリオと、そこから迅速に復旧するための手段の検討に着手しよう。企業が対策を検討すべき二次被害としては、長期にわたる停電、インターネットのダウン、金銭的負担などの問題が挙げられる。

　自社が事業を継続するにはどのような社外システムが必要なのか（例えば、金融取引や電子商取引、重要プロセスのリモートサポートなど）、各システムのあるべき状態とは何かを念入りに検討しなければならない。サイバー戦争が発生すれば、その二次被害によって発生する障害は、企業にとって特定の攻撃よりもダメージが大きい可能性もある。Stuxnetの例に戻ると、イランの核施設を狙った攻撃が仕掛けられた時点では、民間においては誰もその攻撃の存在を知らなかった可能性が大きい。

　だが、Stuxnetとそれが悪用した脆弱性を第三者が別の目的で利用し、攻撃範囲が拡大すると、企業に与える影響の大きさ故に突如として大きな懸念材料となった。

先端攻撃の監視

　上記の通り、サイバー戦争は、APT型のマルウェアなどの形で企業に影響を及ぼすこともある。こうした攻撃は、それまで知られていなかったソフトウェアの脆弱性を突くこともあり、従来型のマルウェア検出や防御の仕組みの多くは事実上使いものにならない（参考：オーロラ攻撃の教訓──ゼロデイ攻撃と未知のマルウェアに対抗する）。

　早期検出の可能性を高めるため、企業はさまざまな種類のツールを使ってAPT攻撃を監視することが可能だ（参考：標的型攻撃に効く、16種のセキュリティ製品／サービス）。新興技術の中にも多くの選択肢があるが、最新の攻撃を検出するために複数のツールやシステム、ネットワーク、さらには複数組織からの情報を適切に分析し、関連性を見極める最善かつ最も効率的な方法は、熟練したアナリストを配置することだ。

　攻撃者をおびき寄せるためのハニーポットの配備、攻撃者のネットワークトラフィックの徹底分析、システムのバイナリ分析といった、攻めの姿勢の情報セキュリティ対策を強化する目的で一般的なツールを採用する方法もある（ハニーポットについては「マルウェアの侵入を阻止する――システム監視編」も参照）。ただし、こうした対策は、相当の技術投資と干し草の中から針を見つけるような訓練が必要になるかもしれない。それでも、こうした投資は不可欠だ。

　各種のツールを使って最先端の攻撃を検出する例を示そう。まず、ハニーポットで攻撃者の関心を引き付ける。攻撃者がシステムにアクセスしたら、アラートを受けてインシデント応答プロセスが発動し、攻撃発生に対処する。攻撃者がネットワーク接続を確立したら、攻撃の際のネットワークトラフィックを徹底分析することによって、接続の発信源や送受信されているデータの内容について、可能な限りの情報を収集する。

　ネットワークでキャプチャーしたデータと、侵入されたシステムを科学的に分析したデータから、バイナリなどのファイルが得られることもある。これを分析すれば、ローカルシステムに何が起きているのか、攻撃者がどのようなデータを見つけようとしていたのかを突き止める一助となる。バイナリをファジーハッシング（類似しているが同一ではないもの同士を比較し、その類似性を明らかにすること）によって分析すれば、過去に分析したバイナリかどうかを判別することもできる。

　バイナリをサンドボックスで実行すれば、どのような通信を行い、どのようなネットワーク接続を確立し、システムをどう変更するかをチェックできる（サンドボックスについては「セキュリティ強化のはずが逆効果？　HTML5「サンドボックス」の盲点」も参照）。

情報セキュリティ対策の強化

　サイバー戦争とAPT攻撃に関して公表されたリポートを利用すれば、こうした最先端の攻撃が一般的に何を目的としているのか、脅威から身を守るためにはどのような備えが必要なのかが分かる。

　特定の組織を狙った攻撃の可能性と、そのリスクの対処に必要となる適切なリソースを見極めるためには、念入りな評価が必要だ。情報セキュリティ対策を定期的に見直し、弱点やセキュリティコントロールのコスト効率が不十分あるいは全般的に時代遅れになっている部分を洗い出し、対策を強化しなければならない。見直しの結果、最新の攻撃を食い止めていないという理由で廃止すべきセキュリティコントロールも見つかるかもしれない。

　最後に、サイバー戦争に対する自衛のためには、セキュリティ対策の戦略的、戦術的変更を検討し、最初の関門である最高情報責任者（CIO）や経営上層部の承認を得る必要がある。経営陣は、サイバー攻撃から組織を守るために必要な多額の投資を承認する際、潜在的な攻撃者やリスクについて十分に理解しておかなければならない。リスク評価を実施し、危険をもたらす可能性がある人物を分かりやすく分類した情報を経営陣に提示することが不可欠だ。これで経営陣は、危険人物とその動機、基本的な手口を理解することができる。ただし、法律に違反したり、組織のプライバシーに関する文化を破壊したりすることのないよう、ある程度の指示や監督も必要だ。

攻撃のトレンドに応じたセキュリティ対策の見直しを

　セキュリティインシデントに備えた計画を立て、強固なインシデント対策を講じることは、サイバー戦争とAPT攻撃の影響を最小限に食い止める上で欠かせない。ほとんどの企業はサイバー戦争やAPT攻撃による直接的な被害に遭うことはないかもしれないが、攻撃の二次被害による障害に見舞われる可能性はある。最先端攻撃の新しいトレンドに応じてセキュリティ対策を定期的に見直していれば、結果としてセキュリティ対策を強化することができるだろう。