攻撃の足止め

　軍事上の縦深防御の基本的な前提をサイバーセキュリティに当てはめるには、境界線が突破された後に起こることを把握し、状況をコントロールしなければならない。

　多層防御戦略で対処する脅威を、重要な情報資産からできる限り遠ざけるのが理想だ。境界線に配備したファイアウォールやゲートウェイが唯一の防御線ならば、境界線を突破されるか迂回された時点で、ネットワーク全体への侵入を許したことになる。サイバーセキュリティの防御でも、軍事上の縦深防御と同様、層を積み重ね、攻撃をネットワークの一部に誘導して、攻撃の速度を緩め、リソースを浪費させることができる。誘導先では、攻撃側の能力や、攻撃側が利用を試みる脆弱（ぜいじゃく）性を調べて、攻撃側の意図を見極める。

　これを実現する手段の1つがハニーポット（ハニーネット）だ。ハニーポットは、脅威諜報プログラムへの入力として機能し、脅威の状況に対する理解を深める役割を果たす。また、ハニーポットは、攻撃側をおとりのサーバやネットワークに誘導することで貴重な情報資産を侵入から保護すると同時に、防御側には検出と情報収集のツールを提供する。

　能動的多層防御の効果を上げるには、正規ユーザーと攻撃側のユーザーを区別できなければならない。ハニーポットには運用価値がなく、実際の情報資産は全く含まない。そのため、当然ながらハニーポットを侵害、占有、閲覧する正当な理由はない。従って、ハニーポットへの侵入は不要かつ悪意があるものと想定して、正規ユーザーと攻撃側ユーザーの区別を可能にする。ハニーポットは、能動的多層防御の有効な要素の1つになる。

　ハニーポットへの侵入を観測することで、侵入の兆候などの重要な情報を得ることができる。ハニーポットでは、以下の目的で、侵入者の行動を詳しく分析できるようにする。

• 侵入者の攻撃力を特定する
• 標的となっている情報資産を把握する
• 脆弱性を特定し、実行中の侵害計画を確認する
• 防御側の検知能力を上げる

　一般に、ハニーポットは運用ネットワークに配備し、通常の侵入検知機能を補強する。また、データベースサーバなど、重要情報資産と一緒にハニーポットをネットワークセグメントに追加することもある。この場合、ハニーポットはデータベースと同じセキュリティ構成にし、ハニーポットへの侵入がデータベースサーバ自体への侵害のおそれを示すものにする。ハニーポットの価値は、データベースの正規ユーザーと悪意のあるユーザーを区別しながら、攻撃側の能力と意図についての情報を得られる点にある。

サイバー攻撃の脅威についての情報

　ハニーポットを配備することで、防御側に重要な情報価値を提供し、状況認識を高めることもできる。状況認識を高いレベルに引き上げることは、堅牢な防御にするための重要な手順だ。

　サイバーセキュリティにおける状況認識とは、以下を意味する。

• リスクの全般的環境を理解する。保護すべき情報資産とその理由、情報資産を脅かす脅威の存在と全容、情報資産の保護手段、脆弱性の特定と緩和方法などを理解する
• 攻撃側にとっての情報資産の価値を理解する。
• 重要なビジネスプロセスと、関係する人材、プロセス、テクノロジーを特定する
• 攻撃側が目的の情報資産へのアクセスに使用する技術と能力を理解する
• サイバーセキュリティの運用と、セキュリティの脆弱性とその悪用を特定する機能を理解する
• サイバーセキュリティに関連する社内外のイベントや活動を監視する
• サイバーセキュリティに影響する可能性のある社内外のイベントと活動を特定し、サイバーセキュリティの事故を特定する
• 脅威の主体が、社内外で用いる攻撃の形態を理解する

　認識力やサイバー攻撃の脅威への情報をこうしたレベルまで高めることが、重要な情報資産の保護には不可欠で、攻撃や侵入が行われるタイミングを検知する能力も高める。サイバー攻撃の脅威についての情報をこのレベルまで高めて維持するのは容易ではない。また、社内外の多くのリソースからの情報収集には、かなりの労力が必要になる。

　防御側が脅威の状況をしっかりと理解し、それに合わせてネットワーク運用や情報の価値を詳しく理解することで、保護しなければならない情報の種類や価値を考慮した、具体的なサイバーセキュリティ戦略を立案できる。同様に、攻撃側の能力、攻撃形態、攻撃意図を理解すれば、攻撃側の能力や攻撃形態に特化して反撃する防御戦略を立てられる。

結論

　今日の情報システムを防御するには、ネットワークの境界線を突破されることを前提としなければならない。そして、侵入後に起こることを予測し、コントロールする方法の策定に時間を費やすことが不可欠となる。

　効果的な防御戦略を詳しく立案して改良するには、能動的多層防御戦略が有効になる。この戦略によって攻撃側をコントロールしながら、攻撃の実行方法や標的など、サイバー攻撃の脅威についての情報を収集できる。