なぜ今「ネットワーク分離」なのか【第1回】

古くて新しい「ネットワーク分離」が“要注目技術”に返り咲いた理由（2/3 ページ）

公開 2016年06月16日 09時01分

更新 2017年04月12日 19時51分

著者

村上努

松隈基至

[ユニアデックス]

印刷する連載新着通知を受け取る

併せて読みたいお薦め記事

標的型攻撃にどう挑むか

変化するセキュリティの“常識”

“救世主”の「サンドボックス」にも落とし穴が

　標的型攻撃対策を考えるには、標的型攻撃そのものについて理解しておくことが近道だ。標的型攻撃のプロセスについて順を追って説明すると、以下のようになる。

計画立案
- ターゲットの決定とその組織・団体の調査、名刺交換やインターネットを使ったWebサイトの確認などによる情報収集
攻撃準備
- 標的型攻撃メールの準備（メールの件名や内容、実在するメールアドレスの用意）
初期潜入
- ターゲットに標的型メールを送付し、マルウェアに感染
基盤構築
- メールにより持ち込まれたマルウェアが、Web閲覧用のインターネットの接続ポートを利用してバックドア（HTTPやHTTPSを使ったインターネットへの出入り口）を開設し、インターネット経由で個人情報などの機密データを大量持ち出し
感染拡大
- 同一セキュリティセグメントに存在するクライアントPCやサーバへの感染拡大

　マルウェアのほとんどはLANからインターネットへの出入り口で検出される。だがいったんクライアントPCに感染してしまったマルウェアは検出が難しい。マルウェアが駆除されるまで情報漏えいと感染拡大が続き、被害が拡大してしまうケースが多いのだ。

　こうしたリスクに備える情報セキュリティ対策として脚光を浴びたのが「サンドボックス」（sandbox）だ。サンドボックスは、攻撃されてもよい環境を仮想環境として構築し、その中で未確認のファイルや疑わしいファイルを隔離した上で動作させ、振る舞いを詳細に分析する仕組みを持つ。だが最近のマルウェアの中には、サンドボックスで実行されていることを感知し、検出を免れるように動作するものも出てきている。まさにいたちごっこである。

標的型攻撃対策として「ネットワーク分離」に脚光

　一定の利便性を担保しつつ、重要な業務データの情報漏えいを防止する――。そのための情報セキュリティ対策として有効なのがネットワーク分離だ。重要な業務データを扱うシステムから、インターネットアクセスに使うネットワークセグメントを完全に分離してしまえば、マルウェア感染の脅威から解き放たれる。

　多くの企業や組織は、インターネットとLANとの間にファイアウォールを設置し、必要な通信以外を遮断している。各端末にマルウェア対策ソフトウェアを導入し、マルウェア定義パターンファイルを日々更新したり、セキュリティパッチを適用してOSや業務ソフトウェアを最新の状態に保ったりしているところも多いだろう。

　前述の標的型攻撃では特定のターゲットのみにカスタマイズしたマルウェアが用いられる。そのためマルウェア検体の入手が難しく、マルウェア定義パターンファイル（シグネチャ）を迅速に作成することが難しい。さらに、まだセキュリティパッチが提供されていない未知の脆弱（ぜいじゃく）性を悪用する「ゼロデイ攻撃」もあるので、対策はさらに困難になる。

　Web閲覧やメールといった業務に必要な通信ポートを用いて、外部の不正なサーバに情報を持ち出すマルウェアに感染した場合、ポートを基に制御する従来型のファイアウォールで検知、遮断することは難しい。ネットワーク分離はマルウェアの感染を前提として被害を拡大させず、業務システムに影響を与えないことを主眼においた情報セキュリティ対策であり、シグネチャ作成の遅延やゼロデイ攻撃といった前述のリスクにも対処可能なことが大きなメリットであろう。

次ページへ「感染前提」の対策へ