PwCサイバーサービスは4月12日、同社が提供している「レッドチーム演習」を説明。これを活用した大手重要インフラ企業などの事例も紹介した。
レッドチーム演習は、より現実に近い状況で擬似的にサイバー攻撃を仕掛けることで、セキュリティ体制や対策方法を検証。セキュリティ対策が適切に構築、運用されているかを把握し、具体的な問題点を洗い出すものだ。2月から提供している。
最高執行責任者（COO）兼スレットインテリジェンスセンター長の星澤裕二氏は、「今年の伊勢志摩サミットの開催に続き、2019年にラグビーW杯、2020年に東京五輪という大きなイベントが開催される。それに伴い、日本に対するサイバー攻撃が増加するとの懸念がある。海外で起きているようなことが日本でも発生したり、生活に影響するような攻撃が発生したりする可能性もある。日本国内でも対策を進めなくてはいけないが、まだそれが進んでいない」と警告した。
PwCサイバーサービス COO兼スレットインテリジェンスセンター長 星澤裕二氏
PwCサイバーサービス スレットインテリジェンスセンター上席研究員 神薗雅紀氏
星澤氏は「情報共有が遅れていたり、CISO（最高情報セキュリティ責任者）の役割が果たされていない、あるいは、最新のサイバー攻撃対策フレームワークの採用が進んでいないというのが実態である。そうした課題解決を支援していく中でサイバー攻撃が発生した際への対策が取れているかどうかを検証するのがレッドチーム演習になる」と解説した。
PwCの「グローバル情報セキュリティ調査2016」によると、工場やビルメンテナンスシステムなどの制御システムへのサイバー攻撃が、この1年で16ポイントも増加し、ウェブカメラをはじめとする組み込みシステムへのサイバー攻撃も17ポイント増加している。IoTへのサイバー攻撃が増加しているという調査結果も出ている。
同社のスレットインテリジェンスセンター上席研究員の神薗雅紀氏は、「ウクライナの電力会社はサイバー攻撃で大規模停電を引き起こされた。バングラディシュの中央銀行も、不正送金による1億ドル以上の被害が発生している。世界的な大規模イベントが開催されるたびにサイバー攻撃が発生しており、日本の官公庁や企業も早急に対策する必要がある」と提言した。
「日本の官公庁や企業では、SOC（セキュリティ監視センター）やCSIRT（コンピュータセキュリティ対策チーム）の導入が進められているが、セキュリティ対策の有効性評価が課題となっており、それを解決する手法としてサイバー演習が大切になる。だが、サイバー演習は目的に応じた演習の選択と実施が必要であり、継続的に演習計画を立案する必要がある。演習しても、演習する企業の実態に沿っていないため効果が不確かという点が問題となっている。組織ごとに個別に業務や人、プロセス、モノなどを考慮した実環境で実践的な演習が必要」（神園氏）
頼りすぎた運用で未知の脅威が検知不能
レッドチーム演習は以下の流れとなっている。
- クライアント環境の把握：蓄積したノウハウでクライアントにとっての重大なリスクを特定する
- サイバー攻撃シナリオの策定：特定したセキュリティに対する脅威シナリオの実現可能性やその経路と既存の対策状況について事前にヒアリングする
- 個別サイバー攻撃ツールの開発：実現可能な脅威シナリオを協議した上、攻撃演習を準備する
- 実環境に対するサイバー攻撃の実行：セキュリティ専門スタッフがクライアントの実環境で脅威シナリオに沿った攻撃を実行する
- 現行セキュリティ態勢の課題抽出：レスポンス態勢、セキュリティ対策製品の攻撃検知可否、ログ保全状況などを検証し、組織の弱点や現状の課題を抽出する
- セキュリティ態勢の改善策提案：演習による発見された組織の弱点や課題についての推奨施策を提案する
レッドチーム演習での攻撃プロセスは、以下の“サイバーキルチェーン”で展開される。
- 偵察：対象組織に関する情報を収集する
- 武器化：疑似リモートアクセスツール（RAT）と擬似ドライブバイダウンロード（DBD）サイトを作成する
- デリバリ：メールやウェブサイトを経由して疑似RATを配布、配置する
- エクスプロイト：疑似RATやエクスプロイトコードを実行する
- インストール：疑似RATを感染させる
- コマンド＆コントロール：C＆Cサーバと通信し、遠隔操作のほか、追加機能のダウンロードしたり探索したりする
- 目的の実行：機密情報の持ち出しや意図しない操作を実行する
「インシデントレスポンス体制、運用ポリシー、導入製品の評価、ログ保全状況の確認などさまざまな観点でセキュリティ態勢の具体的な問題点を抽出できる。攻撃者の視点を知ることで対策も取りやすくなる」
