Webサイトの安全確認を3ステップで SiteLock

現場の技術者から見たセキュリティー犯罪に対する今後の戦略


はじめに

近年、サイバー攻撃やマルウェアなどセキュリティー上の脅威が急激に増しています。特定の企業や個人をターゲットとした標的型攻撃や、先日世界中でニュースになったランサムウェア(身代金要求型ウィルス)のようなピンポイントで大きな被害をもたらすものが多くなっています。

こういった脅威に対して、被害を防ぐためにはどういったことを対策として行なっていくべきなのでしょうか。また、今後のセキュリティー対策はどこへ向かうのでしょうか。

2016年から2017年上半期にかけた新たなサイバー攻撃の特長(現場技術者の視点で)

独立行政法人 情報処理推進機構(IPA)のレポートによると、2017年のサイバー攻撃・セキュリティー犯罪の脅威として考えられているものは以下のようなものです。

  1. 標的型攻撃による情報流出
  2. ランサムウェアによる被害
  3. ウェブサービスからの個人情報の窃取
  4. サービス妨害攻撃によるサービスの停止
  5. 内部不正による情報漏えいとそれに伴う業務停止

また、大手セキュリティベンダーであるトレンドマイクロが発表した「2016年国内サイバー犯罪動向」では、以下の内容が取り上げられています。

1)ランサムウェア

2016年の1月〜12月までのランサムウェアの国内被害件数は、前年比で約3.4倍の2690件となっています。ランサムウェア感染を誘導するマルウェアスパムなども非常に増えており、日本語のものも見られるようになっています。

2)オンライン銀行詐欺ツール

ネットバンキングの利用者は、今やある統計では62%と半数を超える結果も出ているほど活用が進んでいます。こういった中、オンライン銀行詐欺ツールの被害も昨年の被害は一昨年の約3.4倍の98000台と非常に増えています。被害額も昨年上半期だけで8億9800万円と大きなものになっています。

こういった内容が直近のセキュリティー犯罪の脅威としてよく取り上げられています。

実際の被害事例にはどんなものがある?

直近1年間のサイバー攻撃の特徴にはどういったものがあるのか見てきました。改めて簡単にまとめると以下のようなものとなります。

  • 身代金を要求するランサムウェアの拡大
  • オンライン詐欺ツールの悪用

では、こういった特徴を持ったサイバー攻撃について、実際にどういった被害事例があるのかここで紹介します。以前とは違う高度な技術や手法が用いられていることにも気をつけてみてください。

<事例1:ランサムウェアWannaCryptによる被害>

今年の5月に世界を震撼させたWanna Cryptは、感染するとパソコンのデータを暗号化してしまい、身代金(ランサム)を支払わないと回復できないというものです。

これは、Windowsの「MS17-010」(CVE-2017-0144)と呼ばれるSMBサーバー上のファイルを遠隔で実行できてしまうという脆弱性を悪用したもので、ここまで被害が広がってしまったのは対策済みの更新プログラムがリリースされていたにも関わらず適用されていないケースが多かったことにあります。

<事例2:バングラデシュ中央銀行に対する攻撃事例>

2016年2月に発生した事例で、バングラデシュ中央銀行がハッカーによる不正アクセスを受けて、外部に不正送金を行ってしまったものです。原因はマルウェアによるもので、銀行システム側もファイヤーウォールが設置されていなかったなどの問題がありました。当然のことですが、ファイヤーウォールが設置されていないとネットワークには自由に侵入出来ますし、IDS(侵入検知システム)・IDS(侵入防止システム)のような仕組みがないので、侵入されたことを即座に知ることも出来ませんでした。

<事例3:オンライン銀行詐欺ツールによる被害拡大>

事例2のバングラデシュ中央銀行とも重なりますが、オンライン銀行詐欺ツールの被害件数が急速に拡大したのも昨年からの特徴です。

昨年の国内でのオンライン詐欺ツールの昨年の被害は過去最大の98000台と昨年比3.4倍に増えています。昨年、特に検出が多かったのは「BEBLOH(べブロー)」と呼ばれるものです。「BEBLOH(べブロー)」は、実行ファイルを暗号化するためにパッカーと呼ばれる仕組みを使っていますが、これが頻繁に更新されるため、セキュリティー対策ソフトウェアの対応が追いつかないのです。「BEBLOH(べブロー)」は感染すると、特定のURLに接続して不正プログラムをダウンロードして実行しようとします。そのため、この接続をブロックすることが有効な対策になります。

いずれにも言えることですが、金銭を要求する非常に悪質なものであることがわかります。加えて暗号化などの高度な技術を利用したり、セキュリティー対策ソフトウェアの対策が行われる前に攻撃(ゼロデイ攻撃)したりといったスピード感が特徴となっています。

新たな脅威に対して、新たに必要な対策と変わらずに必要な対策

インターネット上のセキュリティー上の脅威が以前とは比べものにならないくらい高度で精緻な技術をベースにしていることがお分かりいただけたのではないでしょうか。

先ほど掲げた直近で多くみられる攻撃における技術的な特徴をおさらいすると以下のようになります。

  • 既存の脆弱性を悪用する
  • 十分な対策がなされていない組織をピンポイントで攻撃する
  • セキュリティー対策ソフトウェアの対策が間に合わない

従来、セキュリティー上の脅威については以下のような対策が有効だったことはすでにみなさんご存知のことだと思います。

  • セキュリティー対策ソフトウェアの導入と定義ファイルの最新化
  • ソフトウェア更新プログラムの適用
  • 不審なメールの取り扱いの徹底
  • 不審なWebサイトは開かない

これに加えて、新たな脅威に効果的に対抗していくために以下のような対策が必要になります。

  • マルウェア駆除、改ざん防止などWebサイトに対する防御
  • Webサイトの脆弱性診断と適切な対策

これら新たな対策は従来とは異なり、非常に高度な知識・技術が必要になります。特に脆弱性診断といったものは自社ではなかなか出来なくて専門の業者に委託するケースが多いと思います。すでにそういった人材がいる企業であれば問題ないのですが、多くの場合はそういったことはありませんし、既存の人材を育てるのも長い時間と多くのコストがかかります。

では、どうすれば良いのでしょうか。これを解決してくれるのが、今回紹介する「SiteLock」です。「SiteLock」はクラウドベースのオールインワン型のセキュリティー対策サービスで、以下のような特徴があります。

  • マルウェアや不正なコードの検知と駆除ができる
  • Webサイトの改ざんチェックができる

今やITエンジニアでも分業が進んでいるため、既存のエンジニアにセキュリティー関連の高度な知識がないケースも多いと思います。そういった場合に人材を育成するのはとても大変です。しかし、この「SiteLock」を使うと、「Webサイトの脆弱性を可視化」して分かりやすくチェックすることが出来たり、マルウェアなどの脅威を簡単に駆除したりということが出来るので、専門のエンジニアでなくても適切なセキュリティー対策を行うことが出来ます。

セキュリティー犯罪に対する今後の戦略

今後、セキュリティー犯罪はさらに高度な技術をもって悪質化することが容易に想豫されます。そういった中、重要なことは企業全体としてセキュリティー対策に取り組むことは言うまでもありません。

もちろん、経営層の情報セキュリティーの重要性についての認識を高めることは重要ですが、実際にセキュリティー対策を立案し、それを実施していくのは技術者の役割です。現場の技術者は常に情報収集と知識・技術の向上をはかり、自らの対応力を上げていく必要があります。加えて、経営層に対して専門家としての視点からの提言と提案を行っていく必要があります。

まとめると、技術者の視点から今後のサイバー犯罪への取り組み方は以下のようになります。

  1. 脅威やソフトウェアの更新など、さまざまな情報収集に努力する
  2. 知識や技術を向上し、適切なセキュリティー対策を行えるようにする
  3. 更新プログラムの自動適用などセキュリティホールを確実に塞ぐ対策を実施する
  4. 専門家として経営層にあるべきセキュリティー対策などの提言・提案をする

企業が、より高まるセキュリティー犯罪の脅威に対抗していくためには、経営層とエンジニアがうまく連携して全社として取り組みを行う必要があります。今後IoTなどネットワーク環境の活用がさらに広がることが確実な中、こういった取り組みがとても大切なものとなることは確実です。


参考:情報セキュリティ10大脅威 2017:独立行政法人 情報処理推進機構
トレンドマイクロ、「2016年国内サイバー犯罪動向」速報版を発表:トレンドマイクロ
オンライン銀行詐欺ツール「BEBLOH」に誘導するスパムメール、日本に拡大:トレンドマイクロ
ランサムウエア "WannaCrypt" に関する注意喚起:JPCERT/CC
日常における情報セキュリティ対策:独立行政法人 情報処理推進機構
SiteLock


執筆者プロフィール

早坂浩充
1974年生まれの43歳。首都圏、京阪神でサーバーエンジニアとして15年程度業務に従事してきた。現在は、社内システム部門の取りまとめ役として様々なIT関連の事柄の解決やIT戦略の立案などに日々取り組んでいる。

SiteLockのプラン・料金を調べる



TOP