「標的型攻撃対策」の現実解【最終回】

“犯罪者目線”で考える、「標的型攻撃」に役立つセキュリティ対策はこれだ（1/2 ページ）

標的型攻撃には、どのセキュリティ製品をどう生かすべきなのか。標的型攻撃で一般的な攻撃手順に沿って、有効なセキュリティ製品分野を紹介。併せて今後の標的型攻撃対策に求められる方向性を示す。

公開 2016年02月08日 08時02分

著者

寺前滋人

[パロアルトネットワークス]

印刷する連載新着通知を受け取る

図　標的型攻撃に見られるアタックライフサイクル（「“年金機構事件”は対岸の火事ではない　『標的型攻撃対策』を再考する」より）《クリックで拡大》

　本連載では、入口対策、内部対策、出口対策といった多層防御アプローチに基づく切り口で、標的型攻撃対策の具体像を見てきた。最終回である今回は、標的型攻撃に見られる攻撃手順である「アタックライフサイクル」（図）に具体的なセキュリティ製品分野を当てはめ、アタックライフサイクルのどの段階にどのようなセキュリティ製品が有効なのかを見ていく。なおアタックライフサイクルの詳細は、連載第1回「“年金機構事件”は対岸の火事ではない　『標的型攻撃対策』を再考する」をご確認いただきたい。

併せて読みたいお勧め記事

「標的型攻撃対策」の現実解

国内外の標的型攻撃動向

第1段階「偵察」の対策

　標的型攻撃の始まりは、攻撃対象の企業や組織に対する「偵察」から始まる。攻撃者はまず、業務内容や取引先など、攻撃対象に関するさまざまな情報を収集する。インターネットが普及し、検索エンジンを使って容易に情報収集が可能になったことは、攻撃者にもメリットをもたらしているわけだ。

　この偵察行為に関しては、残念ながらセキュリティ製品では防御できない。ただし、従業員にセキュリティ教育を施し、社内情報や業務で知り得た情報を社外でむやみに公言したり、SNS（ソーシャルネットワーキングサービス）やブログに書き込んだりしないよう指導することはできる。

　自社Webサイトやプレスリリースで発信する情報にも考慮が必要だ。例えば、他の企業との提携について発信する際、「提携先企業が、自社の社内システムへアクセスできる」ことが推測できる内容であることは珍しくない。その際に発信内容を工夫したり、そもそも発信すべきかどうかを判断するルールや仕組みを用意するのも有効だ。

第2段階「感染」の対策

　アタックライフサイクルの第2段階である「感染」、つまりマルウェアを感染させる際に攻撃者が取る行動は、通常のファイルに偽装した悪意のあるファイルやエクスプロイト（注）といった攻撃用ツールの準備・配信だ。攻撃用ツールに関しては、マルウェアや個人情報などが売買される「ブラックマーケット」で比較的簡単に入手できる。こうした背景から、近年は攻撃対象ごとにその対象に合わせた新しい攻撃用ツールが作成されている。

注　ソフトウェアの脆弱（ぜいじゃく）性を悪用したコード。

　攻撃用ツールの配信に関しては、大きく2種類のパターンが存在する。1つ目は、標的型攻撃で一般的な「スピアフィッシング」である。偵察行為で入手した攻撃対象の従業員のメールアドレスに対して、マルウェアや攻撃用ツールを添付してメールを送付する。そして2つ目は、ある特定業種全体を狙う場合に使用される「水飲み場攻撃」だ。その業種の従業員がよく訪問するWebサイトを攻撃して改ざんし、攻撃用ツールをダウンロードさせる。

　マルウェア感染の手段となる攻撃用ツールの配信を防御するには、どうすればよいのか。既知の攻撃用ツールに対しては、連載第2回「丸分かり『標的型攻撃対策』：未知の攻撃にどう対抗？　『入口対策』基礎の基礎」で紹介した次世代ファイアウォールやUTM（統合脅威管理）、マルウェア対策が有効だ。

　未知の攻撃用ツールに対しては、サンドボックス技術を採用したセキュリティ製品（以下、サンドボックス製品）が有効である。ただし、連載第2回で説明した通り、サンドボックス製品自体の目的は攻撃用ツールの検知なので、駆除や制御にはファイアウォールやマルウェア対策などとの連係が必須となる。

　最近はサンドボックス製品ベンダー各社がAPI（アプリケーションプログラミングインタフェース）やsyslog（UNIX系OSでシステム関連のログを送受信、記録するための仕組み）をベースとした他製品との連係手法を用意している。導入を検討する際には、こうした連係手法の充実度も十分に考慮する必要がある。

次ページへマルウェア侵入後に取り得る対策は？