これまでの対策とサイバーキルチェーンを意識した対策
近年は標的型攻撃による多くの情報漏えい事件が発生したことから、企業のセキュリティ意識は向上している。しかし、日本独特の商習慣などにより、対策の提案から意志決定、さらに導入までに時間がかかるため、対策が機能し始めるまでに間に合わないケースが多い。グローバル企業ならまだしも、中小規模の企業ではファイアウォールと不正侵入検知／防御システム（IDS/IPS）、クライアントPC用のセキュリティ対策ソフトといった昔からある対策が一般的だろう。これでは標的型攻撃の検知さえできない。
例えば、10年ほど前は「侵入させない」セキュリティ対策が主流だった。かつては、実際にそれでほとんどのサイバー攻撃を防ぐことができていた。しかし、対策がそのままでは現在の高度化、巧妙化した標的型攻撃を防ぐことはできない。現在のセキュリティ対策には、「侵入前提」の考え方が求められる。また、同様にいわれているのが「多層防御」あるいは「多段防御」の必要性だ。
サイバーキルチェーンを意識した標的型攻撃対策に有効なソリューションを考えてみよう。まず「事前調査」に対しては、インターネット利用のリテラシーが必要となる。厳密に言えば、SNSの自分のページに詳しい勤め先や部署名などの情報を掲載するべきではないし、業務に関わる発言には閲覧制限をかけるべきだろう。
「標的型攻撃メールの送付」に対しては、従来のセキュリティ対策ソフトに加え、ゲートウェイでのメール対策が求められる。これには専用のアプライアンスや、クラウド型メールセキュリティサービスにメールを経由させるなどのソリューションがある。また、疑わしいファイルを仮想環境で実際に動作させるサンドボックスも有効だ。さらに、ウェブサイトへのアクセスについては、IPフィルタリングやウェブアプリケーションファイアウォール（WAF）などが効果的だ。
「C＆C通信の確立」や「内部移動」では、社内ネットワークの通信を監視、分析する対策が求められる。これには専用のサーバを設置するものや、スイッチに接続するもの、各デバイスにインストールするものなどがあり、さらに社内のセキュリティ機器やネットワーク機器のログを収集し解析するセキュリティ情報・イベント管理（SIEM）製品は、「痕跡の消去」への対策にも有効だ。ただしSIEMは高価であり、中小規模の企業には適さない可能性がある。
「高い権限を持つPCへの侵入」では、ファイルサーバやデータベースへのアクセス制限が有効となる。特にIDとパスワードによる制限に加え、指紋などによる生体認証を導入することで厳格性を高められる。ファイルの暗号化やリアルタイムのログ監視なども効果が高い。「情報の盗み出し」に対しては、組織の外へ出て行く通信を監視できる次世代ファイアウォールや次世代IPSなどで検知できる可能性が高い。
ここまで主要な対策方法を紹介した。これらの対策を全て導入することが理想ではあるものの、資金や人材に乏しい中小規模の企業においては現実的ではないだろう。そこで、サイバーキルチェーンのどの段階において重点的に攻撃を検知し、止めるかを考えると良い。
サイバーキルチェーンのいずれかの段階で「チェーンを断ち切る」ことができれば、攻撃が次の段階に進むことを阻止できる可能性が高まる。例えば、重要な情報にアクセスされても、最終的に外へ持ち出されないようにすれば、被害は発生しないという考え方もある。自社の対策状況とサイバーキルチェーンを照らし合わせ、最小の経費で最大限のセキュリティ対策を実現したいところだ。
