auカブコム証券が考える、ログを「取りっ放し」にしないセキュリティ活用術

auカブコム証券は内部・外部不正対策として複数ログを相関的に分析している。巧妙化するサイバー攻撃の対策として同社が目指すこととは。

公開 2021年03月08日 05時00分

著者

高橋睦美

[著]

印刷する連載新着通知を受け取る

　前編「auカブコム証券を煩わせた『人手でのログ確認』　その課題とは？」と中編「auカブコム証券がMicrosoft 365メールの“2人CCルール”順守を効率化できた理由」の2回にわたり、インターネット証券会社auカブコム証券が内部不正検出システムを導入したいきさつとその導入効果を説明した。後編は同社におけるセキュリティ強化の見通しを紹介する。

併せて読みたいお薦め記事

内部不正のリスクと対策

金融機関のセキュリティ対策

サイバー攻撃検出にもログを活用

　auカブコム証券の内部不正対策の司令塔である「コンプライアンス・リスク管理部」でシステムリスク管理グループ長補佐を務める伊藤公樹氏は、内部不正検出システムで分析するログの拡充を検討している。具体的には組織内の情報共有ツールとして活用しているMicrosoftのポータル・ファイル共有システム「SharePoint」やファイル同期サービス「OneDrive」へのアクセスログ、プロキシサーバで監視しているWebページへのアクセスログ、クラウドサービスとの通信を監視・制御する「CASB」（クラウドアクセスセキュリティブローカー）のログなどだ。

　背景には、内部不正だけでなく外部からのサイバー攻撃も統合的に防御したいという方針がある。

　サイバー攻撃は高度化し続けている。例えば攻撃者が標的のデバイスをマルウェアに感染させて、それを操るために企業ネットワーク外のC＆C（コマンド＆コントロール）サーバと通信させ、遠隔で制御する攻撃がある。「ファイルレス攻撃」など、利用ツール名や実行ファイル名の把握だけでは捉え切れない攻撃も顕在化し始めた。

　さまざまなログを相関的に分析することで、こうした攻撃の動向を捉えようというのが伊藤氏の狙いだ。従業員のWebサイトやクラウドサービスへのアクセスログ、オフィススイート「Microsoft 365」（「Office 365」）のログを組み合わせて「先回りしてリスクを確認しなければなりません」と伊藤氏は述べる。

　企業ネットワークとインターネットの境界を固めても、攻撃者の侵入を許してしまえばあっという間に被害が広がる可能性がある。そのため脅威検出の強化は不可欠だ。ただしそのために分析対象のログを増やし過ぎると「肝心な情報が埋もれる恐れがあります」と伊藤氏は語る。ログをどう整理すればよいのか、どのような分析・対策体制を構築すればよいのかは「今後の検討課題」（同氏）だという。

まだたくさんある「見えていないこと」をあらわに

　中編で述べた通りauカブコム証券は、内部不正検出システムの中核要素としてエルテスのサービス「Internal Risk Intelligence」（IRI）を活用している。2020年2月にIRIの利用を始めて以降、同年10月までで「特に不満なく運用できています」と伊藤氏は話す。

　IRIに対する改善要望として伊藤氏が挙げるのが、IRIがAPI（アプリケーションプログラミングインタフェース）経由でログを自動的に取得できるようになることだ。コンプライアンス・リスク管理部は複数ログをIRIに集約する際、現状は手動の集約処理を挟んでいる。これを自動化できれば手作業が減るだけでなく、人手での処理を加えずにデータを集約、分析できるため「本人がやった」という証拠の真正性を確保できる。改ざんリスクへの対策にもつながる。

　伊藤氏は内部不正対策や外部からのサイバー攻撃対策を強化するために、auカブコム証券が提供するサービスに関するさまざまなログを収集し、活用したいと考えている。現段階ではログを取得し、必要に応じて調査するといった受動的な対策が中心だ。内部・外部で発生する脅威の手掛かりを率先して見つけることで能動的対策への移行を図る。

　「ログを確認して意外な事実が分かることもあり、見えていないことはまだたくさんあります。ログを基にそれをあらわにしたいと考えています」（伊藤氏）