前回は、スレットインテリジェンスを収集・分析し蓄積する手法と、実際に当社で実施しているDNSシンクホールによる蓄積例を紹介した。第4回目となる今回は、そのスレットインテリジェンスを活用し効率的にリスクを最小化するために、自組織で検討すべきリスクの把握方法について解説する。
サイバー攻撃によるリスクの実例
標的型攻撃を受けた組織の例をもとにリスクを考えることにする。
ある組織ではユーザーからサービスに関するメールを受け取り、そのやり取りをしていく過程で担当者が添付ファイルをクリックするということがあった。不審なメールは開かないという文言はよく耳にするが、不特定多数からのメールを受け付けているサポートを担当するような窓口ではビジネス上、どうしても開かざるをえない状況である。
担当者がやり取りしていたユーザーは表向きその組織の顧客を装っていたが、実は組織の情報資産を狙う攻撃者であり、攻撃者が送信した添付ファイル付きのメールは、組織内のネットワークに侵入するための起点となるメールであった。やり取りを通じて攻撃者を顧客と信じていた担当者は、添付ファイルをクリックしたことで端末がマルウェアに感染してしまった。
この組織では、利用端末の管理が徹底されず、脆弱なソフトウェアが存在していたとしても、適切な対応が講じられていなかったのだ。その結果、攻撃者はその脆弱性を悪用し、担当者の端末をマルウェアに感染させて攻撃者が用意したC2Cに接続できるバックドアを確保し、それを通してネットワークへの攻撃者の長期に渡る侵入を許すことになった。
それでは、この例ではどこにリスクが存在していたのだろうか。
- これらの端末で使用されているソフトウェアなどの構成情報の管理が徹底されておらず、脆弱性が存在していたが問題の認識ができていなかった
- 脆弱性が判明したにも関わらず、それらを利用したサイバー攻撃を認識できず、迅速に適切な措置が取られなかった
最新の脆弱性を把握し適宜対処していれば、早期に感染していることが判明し駆除が行われ、長期に渡る潜伏や情報窃取を許すこともなかったかもしれない。あるいは、他組織が遭遇しているサイバー攻撃を事前に把握しておけば、あらかじめ自組織の対策にも適切に反映し、未然に防ぐことができたかもしれない。
自組織のインフラのなかでもエンドポイントやサーバといった機器にはビジネスを継続する上で重要な情報資産が保持されている。多くの組織では、守るべき情報資産を明確化し、機密性・完全性・可用性に対する脅威から適切に保護するため、すでにさまざまな対策を構築している。
しかし、それでもサイバー攻撃によるインシデントが減らないのが現状である。第1回目でも述べているが、対策が破られることを前提とした考えが必要となり、それにはサイバー攻撃を受けた場合のリスクを把握し理解することが重要となる。
