「標的型攻撃対策」の現実解【第2回】

丸分かり「標的型攻撃対策」：未知の攻撃にどう対抗？　「入口対策」基礎の基礎（1/2 ページ）

多層防御が鍵となる標的型攻撃対策。その基本となるのが「入口対策」だ。未知の攻撃にも耐え得る入口対策を進めるために、どのようなセキュリティ製品を導入すべきか。基礎から解説する。

公開 2015年09月11日 12時01分

著者

寺前滋人

[パロアルトネットワークス]

印刷する連載新着通知を受け取る

2015年8月末に、日本年金機構を舞台とした情報漏えい事件に関する調査書が相次いで公開された（画面は日本年金機構「不正アクセスによる情報流出事案に関する調査結果報告について」）《クリックで拡大》

　2015年6月に発覚した日本年金機構の個人情報の大量流出事件。2カ月たった8月末には、日本年金機構による調査結果書、政府のサイバーセキュリティ戦略本部による原因調査結果、厚生省が立ち上げた第三者委員会による検証報告書と、3種の調査書が公開された。

　この事件は多くのメディアに取り上げられ、特定組織を狙ったサイバー攻撃である「標的型攻撃」があらためて広く知られるきっかけとなった。同時に多くの国内組織は、標的型攻撃が対岸の火事ではないことを再確認したはずだ。標的型攻撃のセキュリティ対策をまとめる本連載の2回目では、第1回「“年金機構事件”は対岸の火事ではない　『標的型攻撃対策』を再考する」で取り上げた「多層防御」アプローチにおける「入口対策」に注目する。

併せて読みたいお薦め記事

“年金機構事件”に学ぶ標的型攻撃対策

国内外の標的型攻撃動向

入口対策の基礎となる「ファイアウォール」をおさらい

　情報セキュリティの入口対策といわれて真っ先に頭に浮かぶものは、やはりLANやWANといった社内ネットワークとインターネットとの境界に設置する「ファイアウォール」ではないだろうか。一口にファイアウォールといっても、その種類はさまざまだ。ファイアウォールは、大きく分けて以下の4種類に分類できる。

ステートフルパケットインスペクション（SPI）型ファイアウォール
UTM（Unified Threat Management、統合脅威管理）アプライアンス
次世代ファイアウォール
Webアプリケーションファイアウォール（WAF）

SPI型ファイアウォール

　1つ目のSPI型ファイアウォールは、レイヤー4までの情報を基にパケットフィルタリングをする従来型ファイアウォールのことだ。今では、数千円程度で購入可能なブロードバンドルーターなどにも1機能として搭載されている。

　SPI型ファイアウォールは、具体的には送信元IPアドレスとポート番号、宛先IPアドレスとポート番号の組み合わせを基に通信の許可・拒否を設定し、通信を許可したポートに入ってきたトラフィックのみ通過可能にする仕組みを持つ。

　他にもSPI型ファイアウォールは、セッション（通信の開始から終了までの一連の処理）に関する情報などを管理して不正なセッションから防御する機能を搭載。またサービス拒否（DoS）／分散型サービス拒否（DDoS）攻撃をはじめ、インターネットからもLANからも隔離されたネットワーク領域であるDMZ（非武装地帯）に設置した社外向けWebサーバなどへの攻撃に対する防御機能も備える。

UTMアプライアンス

　2つ目のUTMアプライアンスは、前述のSPI型ファイアウォールに侵入検知防御（IPS）機能やマルウェア対策機能、URLフィルタリング機能を追加したセキュリティシステムのことだ。SPI型ファイアウォールで許可されたトラフィックに対して、IPSやマルウェア対策などの検査エンジンで、パケットのペイロード（攻撃用コード）部分を調査する。

　多くの場合、TCPやUDPといったプロトコルが属するレイヤー4（トランスポート層）までの検査は、ASICやFPGAなどの専用チップを用いて高速に処理できる。ただし、ペイロード部分のチェックでは、シグネチャなどによるパターンマッチング処理で汎用（はんよう）CPUを使用するので、処理性能が低下してしまう。汎用CPUによるソフトウェア処理は、専用チップよりも一般的に低速だからだ。

　多機能なUTMアプライアンスを導入しても、全ての機能を有効にしているユーザー企業はそれほど多くない。購入時には、どのような機能を有効にするのかを十分に考慮した上で機器選定をする必要がある。

次世代ファイアウォール

　3つ目の次世代ファイアウォールは、IPアドレスとポート番号での制御ではなく、アプリケーションごとの制御を前提に設計されたファイアウォールのことだ。前述の2種とは異なり、受信した全てのトラフィックに対してアプリケーション識別とコンテンツの検査（脅威防御やマルウェア対策など）を実施する。また、必要に応じてLDAPやActive Directoryといったディレクトリサーバと連係し、IPアドレスだけではなく、ログインユーザー情報を基に通信を制御することも可能だ。

WAF

　4つ目のWAFは前述の3種とは異なり、名前の通りWebアプリケーションの保護に注力したファイアウォールである。Webサイトに入力されたデータの内容を検査し、不正なアクセス要求をブロックすることで、Webサーバへの不正侵入などを防御する。

　このようにさまざまなタイプのファイアウォールがあるが、どの製品に関しても主に入口対策として外部から内部への不正な通信を遮断する形で社内ネットワークを守ってきた。だが標的型攻撃の攻撃者は、外部から公開サーバを狙う直接的な攻撃よりも、メールやWebサイトといった業務で通常利用される経路を悪用することが多い。標的型メール攻撃や水飲み場型攻撃はその代表例だ。そのため、ファイアウォールに加えて別の対策が必要になるわけだ。