従業員を教育して自覚を持たせることは、ソーシャルエンジニアリング攻撃に対する防衛策として役に立つ。だがソーシャルエンジニアリング攻撃とフィッシング攻撃に起因するマルウェアなどの犯罪活動をやめさせるには、企業がそれ以上のことをしなければならないのは明らかだ。

　セキュリティベンダーは、インシデントへの応答時間を短縮するように設計した侵害検出システム（Breach Detection System）を提供している。その目的は、企業が攻撃者のペースについていけるようにすることだ。こうしたテクノロジーは、セキュリティチームがネットワーク通信の監視や行動分析をして、潜在的な脅威を認識して対処する手助けをする。

　中には、自社製品に侵害対応を自動化する機能を用意し、ビッグデータ分析エンジンとして提供すべく取り組んでいるベンダーもある。このようなベンダーには、英BAE SystemsのApplied Intelligence部門、米CSG International、米Damballa、米IBM傘下のQ1 Labs、米Intel／米McAfee、米LogRhythm、米EMCなどがある。「自動化しなければ、十分な速さで侵害に対処することはできない」。米Forrester Researchで副社長と主席アナリストを務め、セキュリティとリスクに関する専門サービスを提供しているジョン・キンダーバグ氏は、こう語る。

　「前向きな最高情報セキュリティ責任者（CISO）とITセキュリティチームは、予防システムを通過した攻撃を検出して対処できるよう、必要な投資をすべきだと認識している。自動化された侵害検出システムは、IT部門が攻撃を迅速に検出して対処できるようにする」と、Damballaで最高技術責任者（CTO）を務めるブライアン・フォスター氏は言う。自動化された侵害検出システムは、侵害を引き起こす恐れのある感染が発生したときに警告を表示する。警告を表示するタイミングは、感染後に数カ月が経過してからではなく、数秒／数分という間隔だ。

　例えば、Damballaのシステムは、データを送受信する際のインターネットトラフィックを分析しているという。多くのソーシャルエンジニアリング攻撃はフィッシング攻撃によって発生しているが、厳密にメールのストリームを見張っている必要はない。Damballaは顧客のデータを基に、過去6カ月間におけるマルウェアの最初の侵入経路を調査。悪意のあるメールのリンクをクリックしたり、知らないうちに悪意のあるWebサイトにログインしたことによるダウンロードは20％だった。つまり、「ソーシャルエンジニアリング攻撃によるものは5件中1件だった」とフォスター氏は述べる。

　侵害検出システムをはじめとする幾つかのテクノロジーを使用すれば、セキュリティチームの負荷は軽くなる可能性がある。米Fortuneの「Fortune Global 500」に選ばれ、Damballaのテクノロジーを使用しているエネルギー公益企業のIT担当者はこう語る。「当社には、当社のシステムに対して企てられる悪意のある攻撃を特定し、食い止め、対処するためのリソースがない。このような攻撃を特定し、対処が完了するまで脅威の拡大を食い止める上で、Damballaのテクノロジーは重要な役割を果たしている。カスタマイズした脅威モジュールによって、ようやくフィッシング攻撃に対して効果的に対処できるようになった」

攻撃者が欲しいのはデータ

　窃盗からデータを保護するための本当の秘策は、データ中心のアプローチを採用することだ。具体的には、暗号化などの手段によって機密データを保護することである。「このようなアプローチによって、電子的なデジタルハッキングと物理的なリスクから機密データを保護できる傾向がある。例えば、誰かがソーシャルエンジニアリング攻撃によってデータセンターに入り込み、バックアップのテープを盗むといったリスクだ」（キンダーバグ氏）

　データ駆動型のセキュリティプロセスは、会社の資産を把握して、データを分類することに掛かっている。「CISOとCIOは、自社の重要なデータを特定する必要がある。知的財産はその一例だ。また重要なデータや、それを扱うITシステムへのリスクを特定する必要もある。これを理解すれば、簡単な計算をするだけで、リスクを軽減する方法と、その実現に必要なコストを特定しやすくなる。その結果を受けて、道理にかなったところに投資するのだ」とフォスター氏は語る。

　データの分類は簡単な作業ではない。だが侵害の後処理や傷付いた評判は、リスクを軽減する労力よりもコストが高くつく可能性が高い。

　「私たちを取り巻くデジタルな世界は、誕生してから1世紀にも満たない。そのため、デジタル資産を物理資産として考えることは容易でない。状況認識が徐々に変化すれば、攻撃者の作業は難航するようになるだろう」。米クラウドアプリケーションセキュリティ企業のAdallomで戦略の統括責任者を務めるタル・クライン氏は、こう語る。「デジタルな世界にも、物理的な世界と同じような注意を払うべきである」（同氏）

　「クラウドベンダーは、インフラのセキュリティ確保について良い仕事をしている。これは過去に起こった侵害で何度も証明されていることだ。だがクラウドにあるデータの保護について、企業が取っている既存の制御は効果的ではない。ユーザーが、企業の管理下にない端末からパブリックネットワーク経由でクラウドにあるデータを操作する場合、ファイアウォール、ウイルス対策ソフト、侵入検知システム（IDS）は効果を発揮しない」とクライン氏は語る。「実際のところ、米Box、米Googleの『Googleドライブ』、米Microsoftの『Office 365』などのオンラインサービスにデータを保存することは、オンプレミスのデータストレージにデータを保存するよりもずっと安全だ」とも補足する。

　自動化された侵害検出システムによって、より多くの企業が2015年にステルスモード（特にアナウンスせず技術開発に専念する状況）を脱するだろう。「これは変化に心を砕いているセキュリティの世界において、大きな文化的変革だ。ただし、攻撃者は私たちと同じ制約にとらわれているわけではない。私たちは、この戦いに勝つためにもっと俊敏性を高めなければならない」とキンダーバグ氏は指摘する。

ソーシャルエンジニアリング攻撃を深刻化する「3大問題」

　米ニューヨークのセキュリティ会社White Opsの共同設立者でチーフサイエンティストを務めるダン・カミンスキー氏によると、以下に示すセキュリティの3大問題の存在により、ソーシャルエンジニアリング攻撃が最悪の事態を引き起こす可能性があるという。

• 認証すること
• セキュリティが確保されたコードを記述すること
• 悪意のある攻撃者を打ちのめすこと

　「絶対に不可能というわけではないものの、この3大問題にスケーラブルな方法で対処することはできない」とカミンスキー氏は語る。「そして、この3つの問題は全てソーシャルエンジニアリング攻撃につながっている」（同氏）という。

　「現在、ソーシャルエンジニアリング攻撃を助長している最大の要因は、犯罪者に対する罰則がないことだ」とカミンスキー氏は補足する。社会的なルールを守らない攻撃者を罰することができないなら、社会は被害者を罰することになる。というのも、社会は被害者が何らかの点で“異常”だと証明したいからである。異常な人は攻撃を受け、異常でない人は攻撃を受けない、という理屈である。

　「このことについては誰も議論していないが、誰もが知っていることだ」とカミンスキー氏は言う。ソーシャルエンジニアリング攻撃について報告した従業員が、このような目に遭わないように配慮すべきだ。そして、報告した従業員が報われるようにすべきであることもお忘れなく。

目前に迫る“ストレージ危機一髪”、データ管理は「どうすりゃ委員会」開催！

（イラスト／きたみりゅうじ）

TechTargetジャパンは4月21日、データ管理や活用に積極的に取り組む読者を対象にしたLIVEオンラインセミナーを開催します。タレントの伊藤えみさんを司会に業界の識者が集合。ストレージ関するあなたの課題を解決します。

• 受講申し込みはこちら

視聴者プレゼント

LIVE オンラインセミナーをご覧いただいた方の中から抽選で1名の方に、Windowsタブレット「Dell Venue 8 Pro」をプレゼント致します。ぜひお申し込みください。