ハッカーが好む攻撃手法

　The Black Reportの回答者が好む攻撃の一部は、VerizonのDBIRでしばしば上位に上がるものと同じことが分かった。それは「ネットワークベースの攻撃」「ソーシャルエンジニアリング」だ。

　事実「標的の情報を取得するために、ソーシャルエンジニアリングを使ったことがない」と答えた回答者は、わずか12％にすぎなかった。このデータは、こうした攻撃手段を使うハッカーの方が、他の特定の方法にこだわるハッカーよりも、継続的に成功していることの証明にも見える。

　ハッカーや侵入テスト担当者は、攻撃の新たなトレンドや手口について絶えず研究しているとポーグ氏は話す。The Black Reportによると、回答者の59％が「自分たちが用いる攻撃方法は、遅くとも6カ月後には古びて検出されやすくなる」と答え、29％は「攻撃のたびに、より効率良く攻撃できる新しいツールを見つけている」と答えた。

　攻撃の手口は、標的となるネットワークとシステムによって変わると、ポーグ氏は説明する。防御側は、使用される可能性がある攻撃の種類を把握するだけでなく「使われる見込みが最も高いのはどれなのかも把握しておくべきだ」（同氏）という。

　調査対象の侵入テスト担当者の77％は、標的への侵入後にクライアントのセキュリティチームによって検出された確率が15％未満だったと答えた。70％は自分たちの足跡を隠すツールを使っており、87％は30分以内に攻撃の痕跡を隠すことができると答えた。「世界各国の法執行局は、攻撃の痕跡に関するデータを慎重に集める必要がある」というのが、ポーグ氏の見解だ。

　「データの何割かは不正確かもしれないが、正確なものもあるので、サイバー犯罪者相手に訴訟を起こすのに役立つ可能性がある」とポーグ氏は語る。「データを収集するか、収集しないかという二元論になるほど単純な話ではない」（同氏）

CEOへのアドバイス

　セキュリティに関するCEOへのアドバイスを4つ示して回答者に選んでもらった結果、そのうち2つが多くの票を集めた。一番多かったのが「セキュリティは目標であり、ゴールではない。脅威がゼロになることはない」というアドバイスだ。

　このアドバイスを裏付ける調査結果が、The Black Reportにある。回答者の97％は、既に何らかの形で侵入に成功した経験があるというのだ。79％は、組織のセキュリティ体制に感心することがまれ（5～15％）か、一度もないと答えた。

　2番目に票を集めたアドバイスは「セキュリティには人とテクノロジーの強力な結び付きが必要であり、どちらか片方でも欠けてはいけない」というものだ。

　テクノロジーの点から見ると、調査対象のハッカーと侵入テストの担当者は、従来型セキュリティ製品の多くに対して、そこまで動じている様子はなかった。ユーザーアクセス制御、ファイアウォール、ウイルス対策、Microsoftの脆弱性攻撃対策ツール「Enhanced Mitigation Experience Toolkit」（EMET）などの対策に手を焼いたと答えた回答者は、それぞれ10％に満たなかった。

　対照的に、侵入検出システム（IDS）／侵入防止システム（IPS）に苦慮したという回答者は比較的多く、18％だった。他と大きく差をつけた最も強力なセキュリティ対策は、ホストシステムのハードニング（不要な機能を削除、停止して脆弱性を減らすこと）で、34％だった。

　セキュリティの人材と計画に関する質問では、サイバーセキュリティに大きな影響を与えるものとして、他の項目を大きく引き離してトップに選ばれたのが「目標設定型の侵入テスト」だった。回答者の79％が「効果が高い」または「極めて重要」だと答えた。

　目標設定型の侵入テストを実装する最初のステップは「あらゆる侵入テスト活動を実行するための、十分に吟味された信頼できるパートナーを見つけることだ」と、ポーグ氏は話す。

　パートナーと活動する際に最も大事なのが、何らかの修正作業をしたら、必ず新規にテストをすることだとポーグ氏は説明する。「テストと再テストを繰り返すことが肝要だ。何らかの時点でテストを1つ実施して合格したとしても、何の役にも立たない」（同氏）