ハッカーが最も嫌がる不正侵入対策も明らかに

不正侵入やデータ流出にかかる実際の時間とは？　ハッカー調査で判明（1/2 ページ）

ハッカー視点のセキュリティ報告書「The Black Report」の2018年版が発表された。不正侵入からデータ抽出までにどれだけ時間がかかるのか、ハッカーが最も苦慮する不正侵入対策は何かなどを明らかにしている。

公開 2018年06月14日 05時00分

著者

Michael Heller

[TechTarget]

印刷する

　情報セキュリティについて、今までとは異なる視点からの概観を目指す、新しいセキュリティ調査報告書がある。この調査は、他の主なセキュリティ報告書がカバーし切れない穴を埋めるのに役立つ。

　豪シドニーを拠点とするセキュリティ企業Nuixは2017年から、「The Black Report」という年次セキュリティ報告書を発行している。第2弾である2018年版では、2017年に米ラスベガスで開催されたセキュリティカンファレンス「Black Hat」「DEF CON」で、総勢112人のハッカーとペネトレーション（侵入）テスト担当者にアンケート調査をした。Nuixによると、この2つのグループは比較的似てはいるが、小さな違いが1つあるという。

　NuixはThe Black Reportに、その違いを次のように記している。

当社は、ハッカーを破壊目的や私利私欲のために、許可なく不正行為を働こうとして、コンピュータシステムやアプリケーションにアクセスする者と定義している。ペネトレーションテスト（以下、侵入テスト）の担当者は、標的を攻撃することを認める法的業務指示書に定める範囲内で活動するプロのハッカーだ。この業務指示書があるかどうかが、悪意のあるハッカーと熟練の侵入テスト担当者の違いになる。使用するツールや手段が異なるわけではない。この業務指示書がなければ、侵入テストの担当者も犯罪行為に手を染めていることになるので、極めて重要だ

　Nuixでサービス、セキュリティ、パートナー統合部門の代表を務めるクリス・ポーグ氏が「本調査において最も驚くべき結果だった」と話すのが、データ侵害までにかかる時間だ。

併せて読みたいお薦め記事

The Black Reportの2017年版をチェック

その他のセキュリティ調査

　The Black Reportが主に重点を置いたのは「データ侵害の各ステージを実行するのに、どの程度の時間がかかるか」だった。71％の回答者が、10時間以内で標的のシステムに侵入できると答えた。ただしシステムへの侵入は、データ侵害の最初のステップでしかない。

　回答者の79％は、システム侵入後10時間未満で重要データを発見できると答え、73％が5時間以内にデータを抽出できると答えた。全業界平均では、回答者の54％がデータ侵害全体のプロセスに、少なくとも15時間をかけている。ただしクラッキングのしやすさは業種によって差があり、データ侵害プロセス全体が5時間以内に完了するとの回答が多かったのは「病院／医療関係業」「小売業」「飲食業」などの業種だった。

　前述の「15時間」は、回答者の大半が標的について調査し、侵入し、目的の情報を見つけて持ち出すのにかかる時間だ。「侵害を発見するのに『平均で7～8カ月』という、多くの業界が受け入れている数字を考えると、事態はより一層深刻になる」とポーグ氏は語る。「データが漏えいしてから、その事実に気付くまでがあまりにも遅過ぎる」（同氏）

　Verizonのセキュリティ報告書「2018 Data Breach Investigations Report」（DBIR）は、イベントチェーンにおける最初の行為から、初回の資産侵害に至るまでの時間は「大体が数秒か数分だ」という見解を示す。これは「ファクトベースのフォレンジックデータを得た上で侵害を調べるインシデントレスポンスチームと、ハッカーの見方の違いを表している」とポーグ氏は語る。前者がDBIR、後者がThe Black Reportの視点だ。

　ハッカーが標的の有効なユーザー名とパスワードを既に取得している場合、ログインには「ほんの少しの時間しかかからない」とポーグ氏は語る。またWebサーバにSQLインジェクションの脆弱（ぜいじゃく）性があると分かっていれば、この攻撃を実行する時間はわずかで済む。

　Verizonの報告書では「情報収集や、敵に対するその他の備えにかかる時間が除外されている」とポーグ氏は主張する。ハッカーがパスワードを取得したり、WebサーバにSQLインジェクションの脆弱性があることを知ったりするために必要な、偵察にかける時間がデータサンプルから抜けているという。

　ポーグ氏は、Verizonの報告書では「攻撃の失敗やアクセス試行なども考慮に入れていない」と指摘する。その他、以下の作業にかかる時間も含まれていないという。