「エンドポイントセキュリティ」は標的型攻撃とインシデントレスポンスが変える：「エンドポイントセキュリティ」再浮上のなぜ【第1回】（2/2 ページ）

≫ 2016年01月26日 08時00分公開

[阿部淳平, 松尾咲季，ネットワンシステムズ]

ニーズ2：インシデントレスポンスへの活用

　エンドポイントセキュリティが注目されるもう1つの理由が、インシデントレスポンスを担う企業内CSIRT（Computer Security Incident Response Team）や企業内SOC（Security Operation Center）への関心の高まりである。年々深刻化・巧妙化するサイバー犯罪に対処すべく、組織内CSIRT／SOCといった専門組織を置く動きが広がっている。CSIRTとSOCとの役割分担は必ずしも明確ではないが、以下のような形で分類することが多い。

CSIRT：情報セキュリティのインシデント（事件・事故）を調査し、対応方針を決める役割を担う
SOC：日々のセキュリティ監視を通じて対処すべきアラートを見つけ、実務的な処理を担当する

　2015年3月に一部改訂された総務省の自治体向けセキュリティガイドライン「地方公共団体における情報セキュリティポリシーに関するガイドライン」にも、情報セキュリティに関する統一的な窓口として「庁内のCSIRT」を設置し、サイバー攻撃に対するインシデントレスポンス体制を整えることが重要だと説明する。

　インシデントレスポンスで特に重要なのが、クライアント端末やサーバといったエンドポイントを主軸とした情報である。例えば、特定の端末がマルウェアに感染したとの確証が得られれば、即座にネットワークから隔離するといった対処が可能になる。

　SOCの実務上、ゲートウェイセキュリティが出力する有象無象のログやアラートよりも、具体的にどの端末／サーバが被害に遭っているのか、その隔離を正当化するデータがあるかどうかが重要になる。その前段として、そもそも誰がどの端末を使っているのか、それぞれに最新のパッチが当たっているのかどうか、企業のセキュリティポリシーに従った運用がなされているかどうかなど、日々の監視・管理も必要だ。

　こうしたインシデントレスポンスの課題を解決する手段として推奨されるのが、エンドポイントへのエージェント型セキュリティ製品の導入だ。これにより、日々のマルウェア感染予防や感染後の対処がより迅速にできるようになる。さらにエージェントを介することで、リモート操作でできることが増える。例えばパッチ適用やステータス確認、場合によっては感染後の修復作業など、さまざまなリモート操作が可能となる。エージェント型セキュリティ製品は、インシデント発生時の迅速な対応と運用負荷の軽減につながり、セキュリティ人材が不足する多くの組織にとって大きな武器になり得るのだ。

多過ぎるログが脅威を深刻に

　CSIRT／SOCを効果的に運用するファーストステップとして、これらの組織が監視すべきシステムをあらかじめ定義しておくことが必要だ。また、対処が必要な脅威やインシデント、対応方針についても明確化しておくことが重要である。

　しかしながら、このファーストステップはそれほど簡単ではない。特に標的型攻撃の対策として効果的だとされる「多層防御」「マイクロセグメンテーション」といったアプローチを取り入れる場合には、注意が必要だ。多層防御はセキュリティ対策の防御層を複数用意し、1つの層が破られても別の層で守るアプローチ。マイクロセグメンテーションは、ネットワークセグメントを最小化し、脅威の拡散を最小限にするアプローチのことである。

　これらのアプローチでは、詳細に分割されたネットワークセグメントの随所で、複数のセキュリティ製品がトラフィックを制御し、大量のログやアラートを吐き出すことになる。その中から誤検知を除外し、本当の脅威となり得るインシデントを抽出するのは、現実問題として非常に困難だ。例えば、2014年に米大手小売りチェーンTargetから4000万件に及ぶカード情報、7000万件の個人情報が漏えいした事件も、脅威を示すログは記録されていたものの、認識と対処が遅れたことにより被害が拡大してしまった。

　以上、高度なサイバー攻撃への対処、インシデントレスポンスへの活用という2つのニーズから、エンドポイントセキュリティの重要性が高まっていることが理解できたのではないだろうか。次回は具体的な技術に触れながら、エンドポイントセキュリティに起こっている変化を紹介する。