マイナンバー対策は「サーバの要塞化」がカギに、レガシーシステムのゼロデイ脆弱性に挑む企業の事例：サポートの終了した「Windows Server 2003」の延命にも有効

標的型攻撃、マイナンバー、「Windows Server 2003」サポート終了……、企業を取り巻くセキュリティ課題は山積みだ。ネットワークの入口だけで防御することが難しい中、注目したいのが重要な情報が保存されたサーバ自体の保護だ。

[ITmedia]

「何らかの脆弱性が存在する」という前提での対策を

　多くの組織や企業がサイバー攻撃にさらされている事実は、今さら説明するまでもないだろう。特にこの数カ月は、相次いで標的型攻撃による被害が報告されている。標的型攻撃は複数のステップを介して行われるが、その中には業務に関係があると見せかけたファイルを実行させる手口だけでなく、まだパッチが提供されていない状態の脆弱性、いわゆる「ゼロデイ脆弱性」を狙って侵入するものも含まれている。

　残念ながら、ゼロデイ脆弱性のリスクはますます高まっていると言っていいだろう。シマンテックがまとめた「インターネットセキュリティ脅威レポート 第20号」によると、2014年にOSやアプリケーションに脆弱性が発見されてから開発元がパッチを作成し、提供するまでの時間は、2013年の4日間から大幅に長期化し、平均で59日間に達した。

　一方で、脆弱性が公になってから攻撃が開始されるまでの時間は短くなっている。昨今、話題となったHeratbleedの脆弱性では、情報が公になってから攻撃コードが流通するまで4時間だった。このわずかな時間で、リリースされたパッチを動作検証し、複数のサーバに適用することは非現実的だ。

　また、問題なのは「Windows Server 2003」のようなレガシープラットフォームの脆弱性だ。脆弱性が発見されても、サポート終了後はベンダーからパッチが適用されない。そのため、システムの利用を停止するか、ゼロデイ脆弱性が発生することを前提とした対策を自分で講じる必要がある。

　こうした事実を踏まえると、「サーバには何らかの脆弱性がある」という前提で運用していく必要がある。では、どうやって脆弱性が存在する状態のサーバを保護していけばいいのだろうか？　この状況を乗り越えるソリューションとはどんなものだろうか？