再考「標的型攻撃対策」

日本年金機構の事件でも悪用か　マルウェア「Emdivi」の恐ろしさ（2/2 ページ）

公開 2015年07月01日 08時04分

[TechTargetジャパン]

印刷する

企業が取るべき対策は

　上述の通り、巧妙に作成された標的型攻撃メールやその添付ファイルは、開封／実行を完全に防ぐのは極めて困難だ。またEmdiviに限らず、標的型攻撃で利用されるマルウェアは未知のものだったり、標的企業のセキュリティ対策の抜け穴を巧みにかいくぐったりするので、感染を防ぐことも難しい。

　では、どうすべきか。「まずは“身体検査”をちゃんとすべきだ」と、ラック最高技術責任者の西本逸郎氏は強調する。「組織内にRATが入り込んだ状態では、防御も被害抑止もない。既に“非常時”に陥っている組織が、そのことを認識することが重要になる」（同）。その上で、「入口」「内部」「出口」に焦点を当てた「多層防御」を進めることになる。

併せて読みたいお薦め記事

多層防御の考え方

　攻撃を水際で食い止める「入口対策」は、引き続き基本的な対策となる。ファイアウォールや進入防止システム（IPS）といったゲートウェイセキュリティ製品の導入に加え、マルウェア対策やシステムの脆弱性対策などが主要な対策だ。

　仮に入口対策で侵入を許したとしても、その事実を早期に検出する仕組みを構築するなど、侵害範囲を拡大させないための「内部対策」も重要になる。各種ログの収集／管理システムの導入や、攻撃発生を早期に発見する組織／機能である「セキュリティオペレーションセンター（SOC）」の整備などが手段として挙げられる。

　仮に双方の対策が突破されてしまった場合に重要になるのが、データを社内に封じ込める「出口対策」だ。「次世代ファイアウォール」をはじめとするネットワークセキュリティ製品の中には、RATとC＆Cサーバとの通信を遮断したり、LAN内にあるマルウェア感染端末を特定したりする仕組みを用意するものもある。併せて、重要なデータを暗号化するなど、データ流出を情報流出に直結させない仕組みも役立つ。

　これらの対策は、以前からその重要性が指摘され続けてきたことである。それでも、標的型攻撃の被害はいまだ無くならないのが現実だ。その背景としては、攻撃の巧妙化もさることながら、基本的なセキュリティ対策の抜けや漏れが見逃されている可能性が否定できない。

　今回の日本年金機構の事件では、原則として基幹システム内でのみ扱うことができるデータを、インターネットに接続可能な情報系のファイル共有サーバに置いていたなどの不備が指摘されている。こうした不備を一つ一つ解消し、適切な多層防御の仕組みを構築することが求められる。