巧妙かつ執拗な標的型攻撃のブロックに向けてどう備えるべきか?

「ここ最近、著名な企業が次々と被害を受けていますが、標的型攻撃を完全に防ぐことはできません」

そう語るのは、チェック・ポイント・ソフトウェア・テクノロジーズのテクニカルサービス部 トレーニングマネージャーの卯城大士氏だ。その理由について、同氏は次のように説明する。

「攻撃を受ける側の企業ではITを使う人のスキルはバラバラである一方、攻撃者はITスキルに長けています。ITスキルの高い複数の攻撃者が企業のウイークポイントを徹底的に探すわけです。完全ではない『人』で構成される企業には当然、穴があります。つまり、守るよりも攻めるほうが断然、強い立場にあるのです」

卯城氏はさらに、「これまでセキュリティ対策を講じる際は、安全な状態を危険にさらさないようにすることが前提でした。しかし現状では、企業・組織においてすでにボットが入り込んでいる可能性が高いです。セキュリティに対する認識を改める必要があります」と指摘する。

では、企業が標的型攻撃から身を守り、情報流出を防ぐにはどうしたらよいのだろうか?

卯城氏は、「攻撃されるリスクを最小化するために手を打つべきです。標的型攻撃に対抗する方法は流れを理解することで見えてきます」と話す。同氏は標的型攻撃のシナリオとして、以下の図を示した。

上の図で示したシナリオにおけるそれぞれの場面に対策を打っておくことで、リスクを抑えることが可能になる。もし、これから標的型攻撃について対策を打とうとしているならば、自社のネットワークとセキュリティ対策を照らし合わせてみるとよいだろう。

卯城氏によると、最近は標的型攻撃の傾向として、IPSの導入を検討する企業が増えているが、あらかじめ攻撃を受けるリスクを抑えておけば、IPSが必要となる場面は減ることになる。

加えて、標的型攻撃への対策を打つ際にチェックしておきたいのが「データ流出ポイント」だ。自社のネットワークにおいて、データが流出する可能性があるポイントを洗い出しておくというわけだ。先に挙げた攻撃の流れと同様に、各ポイントに対策を打っておくことで、データ流出のリスクを抑えることが可能になる。

卯城氏が標的型攻撃を受ける側の最大のウイークポイントとして挙げるのが「人」だ。標的型攻撃のシナリオでは、アカウントやパスワードを探り出すために、ソーシャルエンジニアリングという手法が使われる。

例えば、「緊急」「教えてください」といったフレーズが入ったメールを受け取ると、人はつい開いて返信してしまうそうだ。また、上司の名前を騙ったメールで攻撃サイトへ誘導するケースもあるなど、攻撃者は巧妙な手口で長期間にわたり攻めてくるという。

そこで、卯城氏はこれからのセキュリティ対策として、人に対する教育を強化することを勧める。「組織を考えた場合、最も弱いのは人です。だからこそ、人のセキュリティに対する意識を強化していくことが重要なのです」

さらに、セキュリティのリスクを回避する方法に「リスクの実態の可視化」がある。具体的には、ネットワークのイベントをリアルタイムで監視することで、異常が発生したら対処するというものだ。

セキュリティログを取得している企業は多いだろうが、それをリアルタイムで監視までできている企業はいくつあるだろうか。

チェック・ポイント・ソフトウェア・テクノロジーズは、11月17日に標的型攻撃をテーマとしたセキュリティセミナーを企画している。同セミナーでは、先に述べた標的型攻撃のシナリオやデータ流出ポイントに対する具体的な対策が紹介される。

「百聞は一見に如かず」だ。標的型攻撃に少しでも不安を覚える方は、ぜひ同社のセミナーに参加して、疑問点を明らかにして、有効な対策を講じていただきたい。