「攻撃者の視点」でリスクを見抜き自由にさせない仕組みを作れ

サイバー攻撃の被害を受ける企業が急増する今日、セキュリティーは経営の重要課題だ。帝国データバンクの調査によると、対象の大企業のうち実に40%以上がサイバー攻撃を経験している。実績のあるツールをフルセットで導入し、目立った脆弱性も設定不備もないのに、なぜサイバー攻撃に弱いままなのか。背景には、有効性を評価していないことで対策が形骸化し、「大きな穴」が放置されている現状がある。今必要なのは、何があっても事業を継続させるという決意で、「攻撃者の視点」で業務プロセスを見直し、セキュリティーをリデザインすることだ。富士通のコンサルティング事業Uvance Wayfinders（以下、Wayfinders）には、セキュリティー支援のプロフェッショナルがいる。最新の知見を有する2人が語る、トレンドと日本企業に求められる対策の勘所とは。

Wayfindersでセキュリティーコンサルティングを牽引する佐藤丈師氏は、業界でもよく知られたサイバーセキュリティーのプロだ。前職のセキュリティー会社では、約10年にわたって日本企業200社以上のクライアントのシステムをホワイトハッカー（企業の依頼で防御力を検証する専門家）としてハッキングし、企業に潜在するセキュリティーリスクを可視化してきた。

「日本の大企業は、真面目にセキュリティー対策に取り組んでいます。表面上は、目立った脆弱性や設定不備もありません。セキュリティー製品もフルセットで導入されています。しかし、攻撃者からすると、非常に脆弱に感じられるのが事実です。企業の大半が、仕組みを導入するだけで、有効性の評価までには至っていないのではないかと思います。結果として、セキュリティー上の『大きな穴』を放置している企業が、驚くほど多いです」（佐藤氏）

ハッキングにおいて、セキュリティー対策が十分でない中小企業が狙われ、そこから大企業に侵入されるサプライチェーン攻撃が多いと言われている。しかし、企業規模とセキュリティー強度は必ずしも比例しないと佐藤氏は話す。「サプライチェーンを介さずとも、直接侵入できます。もっとも、脆弱性や設定不備が無ければ、公開サーバーからの侵入は困難です。では、どこを狙うかというと、エンドポイントです。エンドポイントから入り込み、AD（Active Directory：社内のユーザー権限を集中管理する仕組み）を乗っ取って、ランサムウエアをばらまく。攻撃側からすると順当な手段であり、決して難しいことではありません」（佐藤氏）

前職では、インシデント対応チームとも連携しながら多くの企業の被害対応に関わってきた。その経験から、発覚経路が外部からの通報や第三者の報告によるケースも少なくないという。

「多くの企業が、自力では気づけていない。これはつまり、知らない間にもうすでに被害を受けているケースがあることを示唆しています」（佐藤氏）

Wayfindersでテクノロジーコンサルティングを統括する三原哲氏は、「これまでのサイバーセキュリティーは、保険のように考えられていました」と話す。

「今後は、毎日、毎秒、攻撃される前提での対策が求められています。被害を受けても、すぐにバックアップからデータを復旧して業務を続けられる仕組みや、仮に攻撃者に侵入されても機密データの汚染やシステム操作を制限するような、攻撃に強い組織構造や業務プロセスに変えていく必要があります」（三原氏）

近年、日本企業でも大きな被害がいくつも報告されている。セキュリティーはモダナイゼーションの大きなテーマだ。何があっても事業を継続させるという決意で、セキュリティーをリデザインする必要がある。

今日の攻撃者は、クラウドやAIなどを活用し、かつてない強力な武器を手にしている。「過去に成功したマルウエアの亜種をAIで作るなど、エンドポイント検知・防御ツールのシグネチャーを回避する難易度は大きく下がっています。AIが攻撃活動を加速させているのです」（佐藤氏）。つまり、侵入そのものを防ぐことは非常に難しい時代になっている。侵入された後、攻撃者の自由にさせない対策が必要だ。

そこでポイントになるのが、「攻撃者の視点」だ。狙う側の視点でシステムを点検し、佐藤氏が冒頭で述べたような「大きな穴」をふさぐ。それを徹底的に行うことが、実効性の高いセキュリティー対策につながる。他のコンサルティング会社と一線を画す、Wayfindersの考え方だ。

「例えば、侵入された後にドメイン管理者（Domain Admins）の権限を容易に取得できる状態にしていると、どんな防御をしたところで、侵入された時点でほぼアウトです。共有ファイルサーバーに管理者権限の情報を置いていたり、Kerberoasting（サービスアカウントのパスワードを盗み出す攻撃）やADCS（Active Directory Certificate Services：組織内のデジタル証明書を発行・管理するシステム）の脆弱な設定を放置していたりするケースも多い。こうしたよくある攻撃手法でやられないようにするだけで、セキュリティー対策の効果が大きく高まります」（佐藤氏）

セキュリティーソリューションの導入を検討する際にも、「攻撃者の視点」は有効なインプットになる。「ID管理を強化するためにクラウド型のID管理ソリューションなどを導入したい、という相談を受けることがあります。ソリューションの活用は利便性を高めますが、同時に攻撃の糸口を増やすことにもなりかねません。セキュリティー対策を製品にゆだねるのではなく、まずは管理者の数を減らし、パスワード運用を堅牢にするなど、基本を固めるだけでも十分に効果があります」（佐藤氏）

セキュリティー対策は、ソリューションありきではない。重要なのは、セキュリティーの観点から業務のルールやプロセスを変え、穴を埋めることだ。穴を埋めておけば、攻撃者が侵入しても、攻めあぐねる。攻撃者がまごついている間に検知し、捕捉できる。

このように、「攻撃者の視点」でセキュリティー対策を1つひとつ点検していくことが重要だと、佐藤氏は強調する。「どんな対策でも、やらないよりはマシですし、その意味ではどれも正解といえます。ただし、本当に効果的な対策かどうかを見極めることが重要です。その際のポイントになるのが『攻撃者の視点』だと思います。よくある攻撃手法が刺さらない、管理者の数が少ないって、攻めにくいじゃないですか」（佐藤氏）

自身も大企業であり、守るべきエンドポイントや境界を大量に保有する富士通において、セキュリティーは経営の最重要テーマに定められている。社内で実践し、効果が実証されたセキュリティー対策を提供できることは、富士通の大きな強みだ。三原氏は「まず、私たち自身が攻撃者の視点でセキュリティーを再構築しています。そこで得た実戦的な技術とノウハウを、Wayfindersのコンサルティングに生かしています」と説明する。

一般的なコンサルティング会社は、教科書通りに検討し、セキュリティーに必要と言われている仕組みやツールを提案して終わることが多い。しかし富士通は提案するだけでなく、その実装や導入支援、運用サポートまで、一気通貫で支援できる。世の中にあるほとんどのセキュリティー製品を扱っており、具体的な技術と知見を持っている。