丸分かり「標的型攻撃対策」：“ファイアウォール万能論”は危険、「出口対策」基礎の基礎（1/2 ページ）

標的型攻撃対策における“最後の砦”となるのが、社内LAN／WANとインターネットとの間のセキュリティ対策である「出口対策」だ。その具体的な手法を説明する。

公開 2015年12月21日 08時04分

著者

寺前滋人

[パロアルトネットワークス]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　2015年6月に発覚した日本年金機構からの個人情報の大量流出事件では、マルウェアに感染した1台の端末から他の端末へ感染が拡大。この段階で個人情報の流出が発生したとされている。このように標的型攻撃の最終目的が、組織が持つ個人情報や特許情報といった重要情報の奪取であることは明らかだ。企業にとって、こうした重要情報の流出を防ぐことが最も重要である。

　標的型攻撃のセキュリティ対策をまとめる本連載の4回目では、第1回「“年金機構事件”は対岸の火事ではない　『標的型攻撃対策』を再考する」で取り上げた「多層防御」アプローチにおける「出口対策」に焦点を当てる。具体的には、LANやWANといった社内ネットワークからインターネットへ送信されるトラフィックを制御するための対策を紹介していく。

　出口対策として実施できるセキュリティ対策には、大きく2種類のアプローチがある。インターネットとのやりとりを担うルーターやプロキシサーバなどのログを分析することにより、不正な通信をいち早く検知する「パッシブセーフティー型」、ファイアウォールやURLフィルタリング、侵入防御システム（IPS）で取得できる通信先情報などを基に不正な通信をブロックする「アクティブセーフティー型」の2種類だ。それぞれについて、詳しく見ていこう。

併せて読みたいお薦め記事

「標的型攻撃対策」の現実解

国内外の標的型攻撃動向

「パッシブセーフティー型」出口対策

　インターネット通信の際には、必ずゲートウェイとなるルーターを経由することになる。そのためインターネット用ルーターのログからは、社内とインターネットとの全通信の宛先が入手できる。ただしルーターのログでは、インターネットの同一ホストに複数の異なるサービスが稼働している場合に、社内からどのWebサービスへアクセスしていたのかが判断できない、という課題がある。

　その課題を踏まえ、Webコンテンツのキャッシュや帯域制御用に導入したプロキシサーバからもログを収集するのが、一般的なパッシブセーフティー型アプローチである。社内の全クライアントからのWebアクセス通信がプロキシサーバを経由するので、プロキシサーバのログを解析すれば、URLベースでアクセス先の特定が可能となるというわけだ。もともとはインターネット回線の負荷を下げるために導入したプロキシサーバを、セキュリティ対策に役立てる形である。

　ルーターやプロキシサーバからは膨大な量のログが出力される。そのため、単純に各装置のログ表示機能を使うだけでは、解析が難しいのも事実だ。そこで、こうしたログを解析するための装置として注目されているのが「SIEM（Security Information and Event Management）」製品である。

　SIEMは、ファイアウォールやIPS／侵入検知システム（IDS）といったセキュリティ製品、ルーター／スイッチ、プロキシサーバなどのログを一元的に収集。リアルタイムにログを相関分析して、通常とは異なる危険な兆候をいち早く見つけ出す。またファイアウォールやURLフィルタリング製品などと連係し、SIEMで検知した情報を基に危険な通信を速やかにブロックすることもできる。SIEMの自社運用が難しい場合には、SIEMを用いたセキュリティオペレーションセンター（SOC）サービスの利用を検討してみるのもよいだろう。

「アクティブセーフティー型」出口対策

　パッシブセーフティー型アプローチで脅威を検知しやすくなったとしても、検知しただけでは情報流出を防ぐことはできない。検知した不正通信をいかに早く遮断できるかが重要なポイントとなる。そこで必要になるのが、上述のようにファイアウォールやURLフィルタリング製品と連係し、自動的に通信を遮断するアクティブセーフティー型アプローチだ。

次ページへアクティブセーフティー型アプローチの具体例