ホワイトハッカーが解き明かすセキュリティ再設計

データとAIをビジネスに活用すればするほど、サイバー攻撃を受けるリスクが強まりかねない「パラドックス」に企業は直面しています。外部を含む事業間のシステム連携を進めるほど、攻撃を受けるリスクだけでなく、攻撃を受けた際の被害も深刻になりかねません。AI時代特有のサイバーリスクを見据え、従来型のセキュリティを越えたインシデントに強い組織づくりがますます重要となっています。

攻撃者が当たり前のようにAIを使う時代では、防御する側もAIで応戦する必要があります。フィッシング、マルウェア作成や操作、内部情報の収集など、AIによる悪意のある攻撃はより狡猾になっています。侵入すると数百万のファイルの中からAIが自動検索し、すぐに目的のファイルのパスワードを見つけることも容易になっています。

新たな脅威に対し、防御側はセキュリティ監視や検知、インシデント対応、脅威ハンティングなどでAIを活用し、「侵入されることを前提とした」体制や訓練を強固にしなければなりません。

CSF（Cyber Security Framework）の実践、EDR（Endpoint Detection and Response）などセキュリティ製品の導入や脆弱性診断の実施、SOC（Security Operation Center）による24時間365日の監視、CSIRT（Computer Security Incident Response Team）の設置。こうした従来型の対策を土台に、AIを活用した新たな対策を重ねる視点が欠かせません（図表1）。

ホワイトハッカー（*1）として200社以上にハッキングしてきた実績を踏まえ、日本企業のセキュリティの現状をご紹介します。結論から言うと「境界防御は堅牢だが、侵入後は脆弱」という傾向があります。従来型のセキュリティはきちんと施している一方、侵入を前提とした訓練や体制は不十分と言わざるを得ません。以下、Red Team（*2）テストの結果が物語っています。

セキュリティを再設計する上で大事なのは、「大きな穴」をいかに埋められるかです。攻撃者に入られる前提で、組織のどこに大きい穴があるかを把握することが欠かせません（図表2）。大きな穴を見つけ、きちんと対策を施せば攻撃者は攻めあぐねます。管理者権限が取れなければ、アプリケーションの管理者権限、それもダメならデータベースの管理者権限というように徘徊し続けます。その隙に攻撃者を検知し、捕まえるという効果的なアプローチを取ることができるようになります。

サイバー攻撃者は、偵察、侵入、拡大という段階を踏んで標的を狙います。攻撃の成功を防ぐには、各段階で攻撃者が嫌がる対策を講じること、つまり攻撃者の労力とコストを最大限に引き上げることが重要です。Uvance Wayfindersのセキュリティコンサルタント、そしてホワイトハッカーの視点で、各段階における攻撃者の狙いと防ぐ手立てを示します。

1. 偵察：侵入口を絞り込み、攻撃の「足がかり」を奪う

攻撃者はシステムに侵入する前に、企業の公開情報を詳細に調べた上で侵入口を探します。ウェブサイトの情報、公開されているサーバー、VPNやクラウドサービスへのログイン画面などが「足がかり」を探す主なターゲットになります。侵入口が少ないほど諦める可能性を高めます。

IDやパスワードが万が一盗まれても、多要素認証を導入していれば、不正な侵入を大幅に防ぐことができます。日本企業がこれまで注力してきた「境界防御」、つまり外部と内部のネットワークを厳しく隔てる対策は、偵察フェーズにおいて一定の効果を発揮するでしょう。しかし、強固に見える壁にも、必ず小さな穴やひび割れはあります。攻撃者は常に新たな経路を探しています。壁を突破された後の備えが緩ければ、ひとたまりもありません。

2. 侵入：侵入経路を特定し、初期突破を許さない

攻撃者がシステムに侵入しようとする経路は主に3つあります。1つ目は、外部に公開されているサーバー経由での侵入。2つ目は、巧妙なフィッシングメールなどによって従業員のパソコンにマルウェアを感染させ、従業員端末から内部に侵入するケース。3つ目はオフィスに物理的に侵入し、システムへのアクセスを試みる方法です。

公開サーバーからの侵入を防ぐには、外部に露出するポイントの数を最小限に抑え、各ポイントでのセキュリティ設定を徹底することが有効です。マルウェア感染対策では、従業員のパソコンやモバイル端末など「エンドポイント（末端機器）の堅牢性を高めること」、そしてプロキシ経由やユーザ認証が必要なVPN接続といった「通信制限の仕組みを整えていること」が挙げられます。仮にウイルスに感染した場合でも、異常な通信を素早く検知して遮断できれば、攻撃者の内部での活動を制限できる可能性が高まります。

物理的に侵入することは容易です。特に複数の企業が入居するオフィスビルでは、部外者の出入りを完全に制限するのはほぼ不可能です。オフィス内に侵入した攻撃者は、社内無線ネットワークへの不正接続、ネットワークに不正な機器を設置、あるいは従業員のパソコンにウイルスを仕込んだ悪意あるUSBデバイスを差し込むなど、様々な手段を講じます。一番に狙うのは従業員の端末です。攻撃者は一般的なEDR製品の特性を熟知しています。検知をすり抜ける巧妙なマルウェアを開発し、悪用してきます。

3. 拡大：内部活動の自由を奪い、奥深くへの侵入を阻止する

システム内部に侵入した攻撃者は、すぐに企業の最も重要な情報やシステムへとたどり着けるのではなく、ネットワーク内を動き回り、より高いアクセス権限やそれにつながる有益な情報を探します。この段階で有効な防御策の１つはネットワークの「セグメント化」、つまりネットワークの小さな区画への分離です。

例えば金融機関では、勘定系システムと、従業員が使うネットワークを分離することが強く求められています。厳格なアクセス制御を施してネットワーク間の行き来をしにくくしています。一方、ほかの多くの産業では経営幹部や一般社員を含む多くの人間が同じ大きなネットワークに接続しているケースがみられます。ネットワークのセグメント化が不十分な場合、攻撃者は内部で容易に重要情報やシステムに攻撃試行できてしまいます。

NDR（Network Detection and Response）も効果的な対策になり得るでしょう。NDRは社内ネットワーク内で通常とは異なる通信や動きを検知し、異常を知らせます。ただ、日本企業ではEDRの導入割合に比べ、NDRを導入しているケースはまだまだ少ないと言わざるを得ません。NDRの普及の遅れが、侵入後の攻撃者に自由な行動を許している側面も否定できません。

「ゼロトラスト」の考え方を採用している企業でも安心できません。ゼロトラスト環境ではそれぞれが別のインターネットからつないでいるから横展開がしにくい一方、認証情報が窃取できればインターネット経由で攻撃試行が可能になります。一長一短あり、「まだましな方だ」というのが客観的な評価です。