変 更 履 歴 日 付 2015 年 7 月 28 日 第 1 版 発 行 変 更 内 容 1

( 第 1 版 )

変 更 履 歴 日 付 2015 年 7 月 28 日 第 1 版 発 行 変 更 内 容 1

目 次 はじめに... 3 1. 標 的 型 攻 撃 の 理 解 と 対 策 の 流 れ... 4 1.1. 標 的 型 攻 撃 とは... 4 1.2. 標 的 型 攻 撃 対 策 の 流 れ... 7 2. 標 的 型 攻 撃 の 対 策... 9 2.1. 推 進 体 制 の 整 備... 9 2.2. 情 報 収 集 と 情 報 共 有... 14 2.3. 抑 止 策 の 実 装... 17 2.4. 被 害 拡 大 の 防 御 策 の 実 装... 20 2.5. 被 害 発 生 の 検 知 策 の 実 装... 25 2.6. ダメージコントロールと 被 害 の 対 処 への 備 え... 28 2.7. 被 害 からの 復 旧 手 段 の 確 保... 31 2.8. 継 続 的 に 対 策 するための 実 施 評 価 と 予 算 措 置... 33 2.9. 標 的 型 攻 撃 を 見 越 した 人 の 教 育... 35 まとめ... 41 本 文 書 の 利 用 はすべて 自 己 責 任 でお 願 いいたします 本 文 書 の 記 述 を 利 用 した 結 果 生 じる いかなる 損 失 に ついても 株 式 会 社 ラックは 責 任 を 負 いかねます 本 データをご 利 用 いただく 際 には 出 典 元 を 必 ず 明 記 してご 利 用 ください ( 例 出 典 : 株 式 会 社 ラック 第 1 版 ) LAC ラック JSOC(ジェイソック) LAC Falcon(ラックファルコン) は 株 式 会 社 ラックの 登 録 商 標 です その 他 記 載 されている 製 品 名 社 名 は 各 社 の 商 標 または 登 録 商 標 です 2

はじめに この は 対 症 療 法 的 に 局 所 的 なセキュリティ 対 策 を 施 しただけでは 攻 撃 の 回 避 や 被 害 の 発 生 を 防 ぐことはもちろん 攻 撃 を 受 けたことに 気 がつくことすら 困 難 な 標 的 型 攻 撃 に 企 業 や 団 体 がいかにして 対 抗 すべきかという 課 題 に 対 して 当 社 の 考 えを 整 理 しまとめた 資 料 です 本 書 をまとめるにあたり 企 業 の 経 営 者 や 事 業 責 任 者 にとって 複 雑 でわかりにくい 表 現 となりがちな 技 術 レポートを 可 能 な 限 り 概 要 を 理 解 しやすく 対 策 の 必 要 性 や 困 難 さを 感 じられるよう 文 章 表 現 や 構 成 を 工 夫 しました いわゆる セキュリティの 専 門 家 や IT 技 術 者 にとっても 標 的 型 攻 撃 に 対 する 準 備 や 対 策 技 術 事 故 発 生 時 になすべきことや 継 続 的 な 対 策 の 予 算 化 措 置 までの 取 り 組 みを 網 羅 した 参 考 資 料 となることを 目 指 しています どのような 組 織 であっても 標 的 とされ 執 拗 に 狙 われてしまった 場 合 完 全 に 防 御 することは 残 念 ながら 不 可 能 です 攻 撃 者 は 標 的 とした 組 織 の IT システムを 陥 落 させるためにあらゆる 手 段 をとることができ 攻 撃 に 使 う 時 間 人 員 も 潤 沢 に 投 下 することができます 対 して 防 御 する 我 々は 限 られた 予 算 の 中 で 限 られた 技 術 力 と 人 数 で 運 用 を 行 っており 防 御 には 限 りがあります ただし 攻 撃 を 受 け(ウイルスの 侵 入 を 許 し)ても 被 害 を 最 小 限 に 抑 え 実 害 を 可 能 な 限 り 小 さくすることは 可 能 で す 更 に 攻 撃 の 対 象 になりにくくし 被 害 からの 速 やかな 復 旧 を 行 うなど 多 方 面 からの 対 策 を 効 率 よく 採 用 することでよ り 有 効 な 対 策 をとることが 出 来 ます この 多 層 防 御 こそが 根 本 的 な 考 え 方 であり 標 的 型 攻 撃 の 対 策 の 基 本 は 現 実 的 なセキュリティ 対 策 の 総 合 力 であると 当 社 は 考 えています 本 書 は セキュリティ 対 策 の 総 合 力 とは 何 を 指 しているのかを 網 羅 性 をもって 指 し 示 します なお 本 書 は 対 策 から 抜 け 落 ちていた 内 容 や 標 的 型 攻 撃 の 進 化 に 伴 い 開 発 された 新 しい 対 策 に 関 しても 継 続 的 に 改 訂 増 補 していきます 標 的 型 攻 撃 と 戦 う 組 織 の 皆 様 が 今 後 も 継 続 的 に 閲 覧 いただける 資 料 を 目 指 します 3

1. 標 的 型 攻 撃 の 理 解 と 対 策 の 流 れ サイバー 攻 撃 において 使 用 されるコンピュータウイルス( 以 下 ウイルス)は 黎 明 期 のインターネット で Morris Worm が 半 ば 実 験 的 に 感 染 を 広 げた 1 のを 皮 切 りとして ネットワークを 介 して 攻 撃 を 行 う 犯 罪 に 用 いられることで 急 速 に 凶 悪 化 しました 今 では ウイルスを 攻 撃 者 自 身 が 遠 隔 操 作 し 企 業 内 部 を 蝕 ことが 一 般 的 になってきています ここでは 日 本 において 危 険 視 されているだけでなく 実 害 の 激 増 が 確 認 されている 標 的 型 攻 撃 とは 何 かを 整 理 します 1.1. 標 的 型 攻 撃 とは 標 的 型 攻 撃 は 海 外 では APT(Advanced Persistent Threat)と 呼 ばれるサイバー 攻 撃 の 手 法 の 一 つです 日 本 においては 情 報 セキュリティ 対 策 推 進 会 議 2 が 定 義 した 高 度 サイ バー 攻 撃 3 に 含 まれる 攻 撃 手 法 を 指 します なお 標 的 型 攻 撃 の 詳 細 に 関 しては Cyber GRID View vol.1 をご 覧 ください 標 的 型 攻 撃 の 攻 撃 者 は 狙 いを 定 めた 組 織 からまずは 様 々な 情 報 を 窃 取 しますが そのた めには 手 段 を 選 びません その 手 口 は 年 々 巧 妙 化 多 様 化 し 目 的 を 達 するまでは 執 拗 に 繰 り 返 します 現 在 においてもメールにウイルスを 添 付 して 直 接 送 り 付 ける 手 法 が 多 く 悪 用 されてい ますが 2013 年 に 入 り 未 知 の 脆 弱 性 を 悪 用 4 し 特 定 の 攻 撃 対 象 組 織 からの 閲 覧 者 に 限 っ てウイルス 感 染 させるようにウェブサイト 改 ざんを 水 飲 み 場 型 攻 撃 5 が 日 本 でも 初 めて 確 認 さ れました 下 の 表 1 は 2014 年 12 月 に 当 社 が 公 開 した Cyber GRID View vol.1 に 掲 載 した 標 的 型 攻 撃 事 案 からの 抜 粋 です 言 うまでもなく これらは 氷 山 の 一 角 にすぎません 攻 撃 者 は メールでのウイルス 添 付 や 利 用 者 が 普 段 よく 訪 れるウェブサイトの 改 ざん ソフト ウェアのインストール 更 新 時 の 悪 用 など あらゆる 手 段 で 標 的 対 象 組 織 のパソコンにウイルスを 仕 込 もうとします いまでは ウイルスに 感 染 したことのない 組 織 はまず 見 当 たらないと 言 っていい でしょう 日 付 報 道 された 主 な 標 的 型 攻 撃 の 内 容 2009/11 世 界 の 石 油 天 然 ガスなどのエネルギー 関 連 企 業 や 製 薬 会 社 などへのサイバー 攻 撃 2010/1 Google を 含 む 米 国 企 業 へのサイバー 攻 撃 2010/6 イランの 核 燃 料 施 設 を 標 的 としたサイバー 攻 撃 2011/4 ソニーの 米 国 子 会 社 へのサイバー 攻 撃 により 個 人 情 報 が 流 出 1 https://ja.wikipedia.org/wiki/morris_worm 2 現 在 のサイバーセキュリティ 対 策 推 進 会 議 3 標 的 型 攻 撃 などを 含 む 組 織 的 持 続 的 な 意 図 をもって 外 部 から 行 われる 情 報 の 窃 取 破 壊 等 の 攻 撃 ( 高 度 サイバー 攻 撃 対 処 のためのリスク 評 価 等 のガイドライン ( 平 成 26 年 6 月 25 日 情 報 セキュリティ 対 策 推 進 会 議 ) 4 ソフトウェアベンダからの 脆 弱 性 情 報 や 修 正 プログラムの 公 開 前 に その 脆 弱 性 を 悪 用 して 攻 撃 すること また 脆 弱 性 そのもののこと 5 正 規 のウェブサイトを 改 ざんし そこに 標 的 対 象 とする 組 織 の 利 用 者 が 訪 れた 時 のみウイルス 感 染 させる 攻 撃 手 法 4

2011/9 三 菱 重 工 へのサイバー 攻 撃 2011/10 衆 議 院 へのサイバー 攻 撃 によるウイルス 感 染 で 議 員 のパスワードが 流 出 2012/5 原 子 力 安 全 基 盤 機 構 における 情 報 流 出 2012/7 財 務 省 でウイルス 感 染 による 情 報 流 出 2012/11 三 菱 重 工 ( 宇 宙 関 連 の 事 業 所 )におけるウイルス 感 染 2013/1 農 林 水 産 省 から TPP 関 連 などの 機 密 情 報 が 流 出 2013/2 外 務 省 ネットワークから 外 部 への 情 報 流 出 2013/5 Yahoo! JAPAN への 不 正 アクセスにより 最 大 2200 万 件 の ID や 148 万 件 のパスワード(ハッシュ) およびパスワードを 忘 れてしまった 場 合 の 再 設 定 に 必 要 な 情 報 が 一 部 流 出 の 可 能 性 2014/1 高 速 増 殖 炉 もんじゅ および 国 立 がん 研 究 センターが GOM Player の 利 用 時 におけるアップデート 通 信 で 不 正 なプログラムを 実 行 される 6 2014/2 はとバス ヤマレコに IE のゼロデイの 脆 弱 性 を 悪 用 する 攻 撃 コードが 埋 め 込 まれる 7 2014/8 日 本 で インターネットサービスプロバイダ(ISP) 学 術 機 関 大 学 関 係 者 などを 対 象 とする EmEditor 8 の 更 新 チェッカーを 悪 用 した 水 飲 み 場 攻 撃 9 2015/6 日 本 年 金 機 構 に 標 的 型 攻 撃 125 万 件 の 個 人 情 報 が 流 出 表 1 メディアで 報 道 された 国 内 外 の 標 的 型 攻 撃 の 一 覧 標 的 型 攻 撃 では 攻 撃 者 は 例 えば 標 的 組 織 やそこに 所 属 する 社 員 について 情 報 収 集 し その 組 織 や 関 連 組 織 の 社 員 外 部 から 問 い 合 わせをする 人 などになりすまし ウイルスに 感 染 さ せるためのメールを 継 続 して( 執 拗 に) 送 ります 組 織 内 のパソコンがたった 1 台 でもウイルス 感 染 させられると 攻 撃 者 はそのパソコンとネットワ ークに 関 する 情 報 を 収 集 し それを 踏 み 台 に 組 織 内 の 他 のパソコンへの 不 正 アクセスを 繰 り 返 し ます 最 終 的 には 社 内 のシステム 管 理 者 などの 高 い 権 限 を 取 得 して 組 織 内 の 複 数 のパソコンを 制 御 し 以 降 継 続 的 に 組 織 を 観 察 し メールや 文 書 ファイルの 窃 取 などを 行 います 管 理 者 権 限 が 得 られない 場 合 でも 感 染 時 の 利 用 者 の 権 限 で 窃 取 可 能 な Web ブラウザに 登 録 さ れているアカウント 情 報 やメールや 文 書 ファイルなどの 情 報 を 盗 み 取 ります 6 http://www.lac.co.jp/security/alert/2014/01/23_alert_01.html http://www.jaea.go.jp/02/press2013/p14022801/ http://www.ncc.go.jp/jp/information/20140206.html 7 http://internet.watch.impress.co.jp/docs/news/20140226_637153.html 8 http://jp.emeditor.com/general/ 更 新 チェックによるウイルス 感 染 の 可 能 性 / 9 http://itpro.nikkeibp.co.jp/atcl/column/14/346926/060300268/ 5

図 1 代 表 的 な 標 的 型 攻 撃 のシナリオ 標 的 型 攻 撃 で 標 的 型 メール( 成 りすましメール)が 使 われた 場 合 の 当 社 サイバー 救 急 セ ンターが 実 際 に 対 応 した 被 害 企 業 で 確 認 された 添 付 ウイルスの 割 合 は 図 2 になります 確 認 された 標 的 型 メールのうち 実 行 ファイル( 拡 張 子 が exe LNK やマクロファイルなど)の ように 利 用 者 による 直 接 実 行 を 狙 ったものが 全 体 の 76%を 占 めており 利 用 ソフトの 脆 弱 性 を 悪 用 し 感 染 を 狙 うものより 大 幅 に 多 く 利 用 ソフトを 最 新 にしておく という 企 業 の 管 理 者 側 の 管 理 では 感 染 を 止 められない 実 態 が 明 らかになっています つまりメールによる 攻 撃 の 標 的 となって いるのは 実 行 ファイルの 区 別 が 付 かない IT リテラシーの 低 い 利 用 者 であることが 明 白 です 図 2 悪 性 のファイルの 種 類 脆 弱 性 の 内 訳 6

1.2. 標 的 型 攻 撃 対 策 の 流 れ 従 来 のセキュリティ 対 策 は ウイルス 対 策 ソフトやファイアウォールなどの 境 界 防 御 セキュリティ 修 正 プログラム( 利 用 ソフトを 最 新 にしておく)による 脆 弱 性 対 策 など 防 御 機 能 の 実 装 が 主 体 となっていました しかし 1.1 標 的 型 攻 撃 とは で 示 したように いまや 標 的 型 攻 撃 を 万 事 未 然 に 防 ぐことは 不 可 能 であることを 理 解 してください つまり 攻 撃 を 防 ぐ 取 り 組 みを 行 いながら も 事 故 ( 感 染 ) 発 生 を 前 提 とした 対 策 を 考 える 必 要 があります 標 的 型 攻 撃 の 対 策 は はじめに に 記 したように セキュリティ 対 策 における 総 合 力 の 高 さが 重 要 となります 総 合 力 とは 図 3 にあるようにセキュリティ 対 策 を 組 織 体 制 情 報 収 集 抑 止 防 御 検 知 事 故 対 応 復 旧 対 応 活 動 評 価 と 予 算 確 保 社 員 教 育 の 各 充 実 度 を 示 すことで 評 価 されま す 図 3 セキュリティ 対 策 における 評 価 要 素 組 織 体 制 は 包 括 的 なセキュリティ 対 策 を 行 ううえでの 一 丁 目 一 番 地 といえます セキュリ ティ 対 策 の 知 識 がある 担 当 者 を 核 として 企 業 や 団 体 のセキュリティ 対 策 全 体 のとりまとめ を 行 い 計 画 し 遂 行 します 情 報 収 集 は 日 進 月 歩 で 進 むセキュリティ 上 の 脅 威 と 対 策 等 に 関 する 最 新 の 情 報 を 信 頼 できる 情 報 筋 から 入 手 することです 自 社 の 状 況 を 共 有 しながらも 円 滑 な 対 策 を 進 める 上 での 貴 重 な 情 報 を 得 るための 仕 組 みを 社 内 外 に 構 築 します 7

抑 止 策 は セキュリティ 対 策 において 最 も 効 果 的 な 取 り 組 みです 攻 撃 者 に 対 して 自 社 をターゲットとして 気 がつかせない 攻 撃 により 得 るものが 少 ない もしくは 攻 撃 をするとダメ ージを 負 ってしまう あるいは 攻 撃 者 が 攻 撃 対 象 としている 技 術 (オペレーティングシステム やミドルウエア アプリケーションなど) 以 外 のものを 利 用 するといった 策 を 検 討 します 防 御 策 は 多 くの 企 業 が 現 在 行 っている 標 的 型 攻 撃 を 含 む 脅 威 そのものに 対 して その リスクを 最 小 化 するための 取 り 組 みです 検 知 策 は 攻 撃 によりなんらかの 被 害 が 発 生 していないか また 通 常 の 運 用 環 境 で 水 面 下 に 隠 れて 暗 躍 しているようなウイルスがいないかを あぶり 出 しをするなどの 取 り 組 みで す 検 知 するための 仕 掛 けは 既 存 の 機 器 に 仕 掛 けを 施 す 専 用 の 機 器 を 導 入 して 運 用 する 社 員 が 異 変 に 気 づくなどの 内 部 だけではなく 警 察 や JPCERT/CC などの 外 部 機 関 から 連 絡 が 入 るなどもあるため 一 番 最 初 に 議 論 すべき 策 です 事 故 対 応 は 実 際 に 防 御 線 が 突 破 され 検 知 策 などでウイルスによる 監 視 や 情 報 の 窃 取 が 疑 われたり 確 認 された 際 の 被 害 拡 大 防 止 や 被 害 の 封 じ 込 めのための 業 務 停 止 の 判 断 技 術 調 査 対 外 発 表 関 係 機 関 への 報 告 など システムと 事 業 のダメージコントロー ル( 被 害 を 最 小 限 に 抑 えること)を 行 う 取 り 組 みです 復 旧 策 は 事 業 を 復 旧 させる 際 に 調 査 結 果 や 影 響 等 を 踏 まえ 関 係 者 の 事 業 継 続 を 優 先 し 最 短 の 時 間 で 最 低 限 の 機 能 から 復 旧 させ 事 業 継 続 を 図 る 取 り 組 みです 評 価 予 算 は 半 年 もしくは 一 年 間 のセキュリティ 対 策 の 状 況 の 振 り 返 りと 次 年 度 のセ キュリティ 対 策 に 関 する 方 針 や 実 施 内 容 予 算 計 画 について 検 討 を 行 うもので 継 続 的 な 活 動 には 欠 かせない 取 り 組 みです 社 員 教 育 は 組 織 を 構 成 する 社 員 全 員 が 情 報 セキュリティの 理 解 と 対 策 の 重 要 さを 理 解 し 実 施 することを 目 指 して 行 われる 取 り 組 みです その 為 には 最 低 限 の 情 報 技 術 に 関 わる 利 用 技 術 (IT リテラシー) 教 育 は 欠 かせません 特 にデータの 取 扱 い 技 術 は 必 須 と なっていることを 理 解 しましょう 標 的 型 攻 撃 への 対 処 は 防 御 の 困 難 さに 比 例 して 対 策 そのものの 難 易 度 も 上 昇 します 次 章 より 対 策 の 流 れに 沿 ってわかりやすく 説 明 します 8

2. 標 的 型 攻 撃 の 対 策 標 的 型 攻 撃 の 対 策 は セキュリティ 対 策 の 総 合 力 であり これをやれば 大 丈 夫 というような 特 効 薬 は 存 在 しません なぜなら そもそも 標 的 型 攻 撃 とは 特 定 の 標 的 に 対 し 情 報 窃 取 や 業 務 妨 害 等 の 明 確 な 目 的 を 持 った 上 で 労 を 惜 しまずに 執 拗 に 狙 い 続 けるものであり 標 的 となる 組 織 や 団 体 の 弱 点 を 調 査 した 上 で 攻 撃 手 段 が 選 定 されるからです とは 言 え 標 的 型 攻 撃 においてよく 見 ら れる 攻 撃 パターンは 存 在 します 本 章 では これらに 対 する 対 策 更 にセキュリティ 対 策 の 総 合 力 と いう 観 点 からも 求 められる 対 策 にも 踏 み 込 んで 当 社 の 考 える 対 策 の 網 羅 的 な 姿 を 示 します なお 専 門 技 術 的 な 内 容 は 一 般 の 方 にも 極 力 わかりやすく 難 解 な 箇 所 にはさらに 注 釈 を 加 えてお りますので 参 考 にしてください 2.1. 推 進 体 制 の 整 備 標 的 型 攻 撃 の 対 策 を 考 えたとき 事 故 発 生 を 前 提 とした 対 策 の 設 計 が 必 要 であるという 考 え 方 は 本 書 では 何 度 も 登 場 します たとえば 企 業 経 営 を 行 う 中 で 製 品 のリコールをはじめ とした 品 質 の 問 題 や 不 祥 事 のリスクというものが 存 在 することは 広 く 理 解 されており それに 対 応 する 準 備 が 行 われています では 情 報 セキュリティの 事 故 が 発 生 したときの 準 備 ができている 企 業 はどれほどあるでしょうか? ここでは 標 的 型 攻 撃 への 対 策 を 推 進 する 原 動 力 となる 組 織 体 制 の 話 をまとめます セキュリティは すでに 経 営 課 題 経 営 者 の 参 画 は 必 須 情 報 セキュリティに 関 わるリスクは いまや 企 業 の 存 亡 にかかわる 大 きな 課 題 であることに 議 論 の 余 地 はありません 特 に 標 的 型 攻 撃 の 対 策 は IT 技 術 者 だけが 自 身 の 領 域 で 解 決 できる 範 囲 を 超 えており 組 織 のセキュリティ 推 進 体 制 には 経 営 層 の 参 画 が 必 須 と 言 えます その 多 くがサイバー 空 間 で 発 生 する 情 報 セキュリティの 事 故 に 対 して IT の 専 門 家 ではない 経 営 層 はどのようなかかわりを 持 てばよいでしょうか お 手 本 となる 企 業 の 経 営 層 は 次 のような 姿 勢 で 臨 んでいます セキュリティ 対 策 の 推 進 への 積 極 的 な 参 画 と 支 援 情 報 システムを 活 用 し ネットワークを 介 した 事 業 の 活 性 化 や 効 率 化 を 図 るとき そこに は 情 報 セキュリティ 面 のリスクが 伴 います そしていまやこのリスクは 経 営 レベルでの 判 断 が 必 要 であるほどになりました 100% 安 全 ということなどあり 得 ない 中 で 放 っておけば リスクに 関 する 悪 いニュースは 入 ってこなくなり セキュリティは 無 視 されていきます セキュリ ティリスクへの 危 機 感 は トップダウンで 対 応 しなければ 失 われていくのです 経 営 者 は 人 員 と 費 用 の 投 資 や 社 員 への 理 解 促 進 により セキュリティ 対 策 を 積 極 的 に 支 援 します 9

企 業 内 セキュリティ 推 進 組 織 ( 以 下 CSIRT 10 )からの 報 告 を 理 解 する 次 節 に 述 べる CSIRT を 構 築 することはもちろん CSIRT が 作 成 するレポートの 内 容 を 理 解 し 経 営 としてどのような 判 断 をするべきかを 検 討 します 逆 の 言 い 方 をすれば セ キュリティリスク 対 応 が 経 営 課 題 である 以 上 経 営 層 が 理 解 できる 内 外 のセキュリティ 状 況 に 関 するレポートがきちんと 提 出 されているかどうかが 企 業 として 重 要 です あなたの 組 織 では 自 組 織 がどの 程 度 のリスクを 抱 えているか きちんと 経 営 層 に 見 えているでしょう か 事 故 対 応 におけるリーダーシップ 万 が 一 標 的 型 攻 撃 による 被 害 の 疑 いが 確 認 された 場 合 社 内 が 混 乱 することは 避 けら れません そんな 中 経 営 層 には CSIRT および 事 業 責 任 者 と 協 調 し 事 業 や 企 業 活 動 の 一 時 停 止 に 関 しての 決 断 を 行 うなど リーダーシップを 発 揮 する 必 要 があります 社 会 的 な 説 明 責 任 を 伴 う 問 題 が 発 生 した 場 合 には 関 係 者 に 対 して 状 況 の 説 明 を 行 い 組 織 の 責 任 者 として 対 応 の 矢 面 に 立 つ 覚 悟 をし 備 えをします そしてそれは 万 が 一 のことではもはやないのです こうした 行 動 は 一 朝 一 夕 に 整 備 できるものではありませんが 認 識 は 直 ちに 必 須 です 情 報 セキュリティ 実 施 の 意 思 を 持 つ 経 営 層 を 円 滑 にサポートするには IT 部 門 や 総 務 部 門 の 枠 組 みにとらわれないセキュリティ 専 門 組 織 を 整 備 することが 有 効 です 企 業 や 団 体 の 中 に 専 門 化 集 団 を 組 織 する 最 近 標 的 型 攻 撃 の 被 害 を 受 けていることに 警 察 や JPCERT/CC のような 外 部 からの 指 摘 によってはじめて 気 づくというケースが 相 次 いで 発 生 しています あなたの 組 織 の 代 表 窓 口 にその ような 連 絡 が 入 った 時 あなたの 組 織 では 誰 がどこに 連 絡 し どのような 役 割 分 担 で 何 を 調 査 して 事 実 確 認 を 進 めるべきでしょうか たとえばそれが 誤 報 であったと 仮 定 して 自 信 と 証 拠 を 持 って 反 論 することはできるでしょうか 標 的 型 攻 撃 の 手 法 で 2015 年 7 月 現 在 の 代 表 的 なものはウイルスメールの 添 付 および Web サイトを 介 してウイルスを 送 り 込 む 水 飲 み 場 攻 撃 です 11 しかしこれらの 攻 撃 手 法 は 日 進 月 歩 で 進 化 しており いつまでも 同 じではありません 例 えば 出 張 先 のホテルの 無 線 通 信 を 使 用 したらウイルスに 感 染 した 12 ソフトウェアを 更 新 したら 正 規 の 更 新 情 報 にウイルスが 潜 んでい た 13 といった 事 案 も 発 生 しています レガシーな 侵 入 の 常 套 手 段 である USB メモリを 通 じて 侵 入 やサイトをハッキングされた 侵 入 と 言 ったことも 見 逃 してはいけません 10 シーサート:Computer Security Incident Response Team の 略 で 事 故 対 応 チームを 指 します 11 http://www.lac.co.jp/security/alert/2013/10/09_alert_02.html 12 https://blog.kaspersky.co.jp/darkhotel-apt/5392/ 13 http://www.lac.co.jp/security/alert/2014/01/23_alert_01.html 10

今 企 業 や 団 体 には 日 々 悪 質 化 する 手 口 を 理 解 し 翻 って 自 社 組 織 内 の 対 策 状 況 との ギャップを 把 握 し 予 算 やビジネス 要 件 と 折 り 合 いをつけながら 優 先 順 位 を 付 けて 対 応 していくこ とが 求 められています こうしたセキュリティ 推 進 組 織 の 活 動 は 決 して 簡 単 なものではありません そのため 活 動 の 中 心 には サイバーセキュリティ 上 の 脅 威 を 深 く 理 解 し かつビジネス 推 進 との 間 での 最 適 解 を 見 極 められる 専 門 チームが 必 要 です 多 くの 日 本 企 業 の 間 で CSIRT(シーサート)と 呼 ばれる 組 織 が 立 ち 上 がっていることをご 存 知 でしょうか CSIRT とは いわばサイバー 事 故 対 応 の 専 門 チームで サイバー 攻 撃 手 法 や 防 御 に 関 する 知 見 と 経 験 を 持 つ サイバー 空 間 の 自 衛 消 防 隊 のようなもの とされてきました しかし 今 必 要 な 標 的 型 攻 撃 との 戦 いというのは 専 守 防 衛 ではあっても 本 質 は サイバー 戦 であり 従 来 の 知 見 と 経 験 に 加 えて 敵 の 手 法 や 狙 いを 把 握 していることが 決 定 的 に 重 要 です 我 々は CSIRT が 敵 をよく 知 ることにより 事 故 が 起 きた 時 の 対 応 に 留 まらず 常 日 頃 から 標 的 型 攻 撃 対 策 推 進 を 主 導 する 組 織 になるべきだと 考 えています それでは 標 的 型 攻 撃 に 対 応 した CSIRT は 組 織 のセキュリティ 推 進 運 営 の 中 で 具 体 的 に どのような 機 能 を 担 うべきでしょうか その 一 例 を 表 3 に 示 します 表 3 CSIRT の 果 たすべき 機 能 ( JPCERT/CC の 資 料 をもとに 当 社 にて 修 正 加 筆 ) このように 組 織 が サイバーセキュリティにおいて 敵 を 知 り 己 を 知 れば 百 戦 あやうからざ る 状 態 を 目 指 すとき CSIRT の 果 たすべき 役 割 は 非 常 に 広 範 なものとなります 11

それでは こうした 大 役 を 担 う CSIRT を 整 備 する 上 で どういったポイントがあるでしょうか 当 社 は これまでに 多 くの 企 業 の CSIRT の 設 立 支 援 や 運 用 改 善 支 援 をし 現 在 も 多 くの CSIRT 関 係 者 とお 話 しする 機 会 がありますが 活 動 が 充 実 しているチームと 活 動 が 不 十 分 な チームでは 表 4 のような 違 いがあります 表 4 名 ばかり CSIRT と 本 物 の CSIRT の 比 較 これらはすべて 本 質 的 な 考 え 方 の 違 いを 表 しています CSIRT は 考 え 方 や 目 標 の 異 なる 各 組 織 に 根 ざすものであり もし 名 ばかり CSIRT に 該 当 するような 問 題 があっても 一 朝 一 夕 に 改 善 できることはなく また 共 通 する 万 能 策 や 雛 形 というものももちろんありません とはいえ CSIRT を 機 能 的 に 活 動 させるためには 組 織 整 備 上 注 意 すべきポイントがありま す 例 えば 次 のようなことです 社 内 に 宣 伝 する 売 り 込 む CSIRT に 社 内 の 情 報 が 集 まり またその 意 思 決 定 に 対 して 理 解 を 得 るためには 社 内 に 活 動 内 容 が 浸 透 していることが 重 要 です そのためには 社 内 からセキュリティ 上 の 悩 み 事 相 談 事 気 になることを 気 軽 に 連 絡 できることが 大 事 であり 平 素 からの 顔 の 見 え るコミュニケーション 情 報 の 発 信 といった 活 動 を 意 識 的 に 組 み 込 んで 設 計 することが 重 要 です 詳 細 なマニュアル 例 を 用 意 する 攻 撃 対 応 マニュアル は できるだけ 詳 細 なレベルで 用 意 します これに 沿 って 対 応 を 円 滑 に 行 うためと 思 われるでしょうか 実 はそうではありません 実 際 の 事 故 対 応 は マニュアル 通 りになど 進 みません また そもそも マニュアルが 無 いから 対 12

応 できなかった ということでは 困 ります 想 定 外 の 事 態 が 起 こることを 考 えなければならな いからこそ CSIRT が 必 要 なのですから ある 想 定 攻 撃 シナリオに 沿 ってマニュアルを 書 くことの 本 質 は 机 上 訓 練 であり 事 故 対 応 の 優 先 順 位 や 思 想 求 められる 役 割 等 の 認 識 を 共 有 する 作 業 なのです 権 限 は 比 較 的 厳 密 に 規 定 する マニュアル 対 応 に 収 まらない CSIRT の 活 動 を 円 滑 にするポイントは 権 限 だけは 明 確 に しておくことです 事 故 は 全 員 がそろっている 平 日 の 昼 間 に 起 きるとは 限 りません 社 内 にお ける CSIRT の 位 置 づけと 権 限 の 範 囲 を 事 前 に 明 確 にしておくことで 事 業 責 任 者 が 不 在 等 の 状 況 でも 被 害 の 拡 大 防 止 が 可 能 になるのです 例 えば ネットを 遮 断 する パソコン を 隔 離 し 調 査 する プロキシサーバのログやメールの 記 録 を 調 べるなど 夜 間 や 休 日 に 実 施 しなければならないのは 当 然 です それらと それらが 誤 報 であることも 前 提 とした 権 限 の 定 義 を 決 めておきましょう 現 在 標 的 型 攻 撃 対 策 を 推 進 する 組 織 が 無 い 場 合 この 際 CSIRT という 形 で IT セキュリ ティ 対 策 の 推 進 力 を 整 備 強 化 することは とても 有 効 な 手 段 です 社 員 の 理 解 と 参 画 企 業 や 団 体 の 経 営 層 の 皆 様 や セキュリティの 専 門 家 である CSIRT が 組 織 化 されたからとい って 標 的 型 攻 撃 の 撃 退 は 可 能 なのでしょうか? 企 業 には CISRT 以 外 にも 大 勢 の 社 員 が おり 標 的 型 攻 撃 の 多 くは 人 事 部 門 や 総 務 部 門 を 含 む 社 員 全 体 を 対 象 としている 事 実 を 考 え ると セキュリティ 対 策 に 関 する 一 般 社 員 の 理 解 の 促 進 は 大 変 重 要 です 2015 年 6 月 1 日 に 発 表 された 日 本 年 金 機 構 の 情 報 流 出 事 件 においては 情 報 系 ネット ワーク( 通 常 のオフィスエリア)における 個 人 情 報 取 扱 いに 関 わるルール 違 反 の 結 果 個 人 情 報 流 出 事 件 に 至 ったと 言 われています 社 員 に 情 報 セキュリティの 重 要 さの 理 解 促 進 (リテラシー 教 育 や 標 的 型 攻 撃 メールの 訓 練 事 故 対 応 訓 練 など)やセキュリティ 対 策 の 実 施 の 徹 底 のほか 経 営 層 やCSIRT の 要 請 に 応 じ 事 故 の 的 確 な 報 告 など 指 導 をすることも 重 要 です 13

2.2. 情 報 収 集 と 情 報 共 有 標 的 型 攻 撃 は 国 家 のように 高 度 で 強 い 意 志 が 働 いている 組 織 の 仕 業 であり 知 的 好 奇 心 や 自 らの 功 名 心 で 行 われる 犯 罪 ではないと 考 えられています 攻 撃 の 多 くは 日 本 国 外 から 到 達 し ており 外 交 機 密 防 衛 機 密 重 要 技 術 情 報 や 莫 大 な 金 銭 的 価 値 のある 情 報 更 なるターゲ ット 攻 略 への 足 がかりとなる 情 報 を 求 めて 攻 撃 が 行 われていると 考 えられています 日 本 の 産 業 競 争 力 をはじめとした 国 力 を 守 るために というのは 少 し 大 げさかもしれませんが ある 業 界 で A 社 から 情 報 が 流 出 し 同 じ 手 法 で B 社 からも 情 報 が 流 出 し C 社 からも 流 出 し といった 展 開 を 許 してしまうことは 決 して 国 益 にかなったものではなく また 業 界 全 体 の 利 益 にも そして 個 々の 会 社 の 利 益 にも 悪 影 響 があることは 明 白 です 例 え A 社 からしか 情 報 が 流 出 しなくても いつのまにか 外 国 企 業 の 技 術 力 があがっていて 市 場 競 争 環 境 が 悪 化 するということがあれば B 社 C 社 にとっても 望 ましいことではないはずです 公 平 な 競 争 環 境 という 経 済 活 動 の 土 台 そのものが 無 策 でいては 保 証 されないのです 標 的 型 攻 撃 対 策 を 考 えるとき 彼 らの 違 法 な 情 報 収 集 を 許 してはいけません その 為 には 個 々での 情 報 収 集 が 重 要 であることは 自 明 ですが 敵 を 広 く 知 らしめる ためには 企 業 を 超 え た 情 報 共 有 に 踏 み 込 む 必 要 があります 特 にある 業 界 全 体 が 標 的 になった 例 は 多 く 見 られ 業 界 内 部 での 情 報 共 有 の 仕 組 みの 重 要 性 が 高 まっています その 為 には 単 なる 攻 撃 だけではな く 攻 撃 基 盤 ともいえる 指 令 サーバ 14 や 水 飲 み 場 攻 撃 の 使 われた 改 ざんサイトなどの 情 報 を 共 有 することを 考 えなければなりません つまりは 自 分 が 標 的 型 攻 撃 の 対 象 になったときだけではな く その 踏 み 台 になったことが 発 覚 したときにこそ 情 報 共 有 の 第 一 歩 が 始 まります 勇 気 を 持 って 詳 細 に 調 査 する 警 察 や JPCERT/CC に 協 力 し 適 切 な 情 報 共 有 が 行 われるように 協 力 する 意 思 を 決 めておかねばなりません CSIRT による 情 報 収 集 CSIRT が 収 集 すべき 情 報 には 大 きく 分 けて 社 内 の 情 報 と 社 外 の 情 報 がありますが 社 外 の 情 報 の 収 集 だけに 絞 っても 次 のようなものが 挙 げられます 脆 弱 性 情 報 セキュリティ 事 故 発 生 状 況 攻 撃 予 告 等 の 早 期 警 戒 情 報 感 染 調 査 するための 情 報 ( 指 令 サーバやウイルスの 特 徴 等 ) CSIRT には これらの 具 体 的 情 報 を 収 集 し 自 組 織 に 対 するインパクトを 的 確 に 判 断 する 能 14 コンピュータに 侵 入 したウイルスを 遠 隔 操 作 するためのサーバ C&C サーバとも 呼 ばれる 14

力 が 求 められます また これら 点 の 情 報 を 有 機 的 に 解 釈 し サイバーセキュリティ 動 向 を 示 唆 する 情 報 として 分 析 することも 必 要 でしょう しかし 実 際 には 多 くの 企 業 の CSIRT では 比 較 的 容 易 かつ 定 型 で 収 集 できるソフトウェア 等 の 脆 弱 性 情 報 を 収 集 することだけで その 先 の 分 析 ま では 行 いきれていません 当 社 は 海 外 を 含 めたセキュリティ 事 故 事 例 を 日 常 的 に 収 集 し 自 社 で 調 査 している 事 案 との 関 連 性 などを 分 析 していますが 情 報 が 正 しく 入 手 できた 場 合 には 考 えられる 原 因 や 手 法 と るべき 対 策 について 推 測 することが 可 能 です これが 可 能 なのは 分 析 技 術 や 事 故 対 応 経 験 も 関 係 しますが 日 常 的 にセキュリティ 事 故 情 報 を 注 視 し 考 えられる 攻 撃 シナリオや 脆 弱 性 について 分 析 し そして 自 組 織 にあてはめた 場 合 に 何 が 起 こるかをシミュレーションし 続 けていることが 背 景 にあるためです 攻 撃 予 告 等 の 早 期 警 戒 情 報 については 公 的 機 関 からの 連 絡 セキュリティ 企 業 からの 連 絡 等 で 知 ることが 多 いでしょう 実 際 には 攻 撃 予 告 が 行 われる 攻 撃 については 技 術 的 に 想 定 で きる 範 囲 の 手 法 15 であることが 多 く 適 切 なセキュリティ 対 策 が 行 われていれば 過 度 に 恐 れること はありません とはいえ 予 告 情 報 が 手 に 入 れば 何 もしないわけにはいかないのが 現 実 です こうした 攻 撃 予 告 情 報 は 確 実 に 入 手 できるように 準 備 しておくことが 重 要 です 入 手 した 場 合 は 確 実 に 対 応 することが CSIRT の 錬 度 を 高 め 標 的 型 攻 撃 対 策 の 総 合 力 アップにつながってゆ きます CSIRT による 情 報 共 有 はじめに に 記 載 したとおり 標 的 型 攻 撃 対 策 では 攻 撃 手 法 の 情 報 相 手 の 用 いている 武 器 (ウイルス 添 付 メールの 文 面 や ウイルスファイル その 通 信 先 等 )の 敵 の 動 き をつかみ お 互 いの 防 御 に 活 かす 必 要 があります 現 在 では 各 社 の CSIRT を 主 体 として 様 々な 情 報 共 有 スキーム 情 報 共 有 団 体 が 生 まれ ています これらは 従 来 から 日 本 でも 組 織 されている 職 能 団 体 や 業 界 団 体 です 代 表 的 な 情 報 共 有 団 体 には 例 えば NCA( 日 本 CSIRT 協 議 会 ) 各 業 界 の ISAC 団 体 (Information Sharing And Analysis Center, 情 報 共 有 分 析 センター) 国 際 的 な 枠 組 みでは FIRST(Forum of Incident Response and Security Teams)などがあり 実 際 に 脅 威 の 封 じ 込 めに 直 結 する 情 報 を 含 めた 活 発 な 意 見 交 換 情 報 共 有 が 行 われています 海 外 の 情 報 共 有 団 体 に 参 加 すれば 次 に 日 本 に 来 るサイバー 攻 撃 の 予 測 ができることも 大 きな 利 点 となるでしょう そんなに 頼 もしい 団 体 があるのか ぜひ 入 って 情 報 を 今 すぐ 入 手 したい と 思 われたでしょうか これらの 団 体 は 基 本 的 に 情 報 交 換 のフレームワークを 提 供 するもので 情 報 共 有 そのものは 参 加 している 企 業 や 団 体 が 自 発 的 積 極 的 に 進 めるものです 誰 かが 音 頭 を 取 ってくれるような 枠 組 15 ただし とにかく 大 量 の 通 信 を 投 げつけて 対 象 を 麻 痺 させる DoS 攻 撃 等 単 純 ではあるが 防 ぐことが 難 しい 攻 撃 というものも 存 在 します 15

みではありません 重 要 なことは 自 ら 進 んで 情 報 を 提 供 し 議 論 に 加 わることです もしあなたが 自 組 織 に 対 して 行 われたサイバー 攻 撃 情 報 を 共 有 しても 良 いと 考 えるとしたら そ れはどんな 相 手 に 対 してでしょうか 答 えはおそらく 同 じように 情 報 を 提 供 してくれる 相 手 とでしょ う 職 能 団 体 や 業 界 団 体 を 円 滑 に 運 営 するには 会 で 率 先 して 貢 献 することは 人 付 き 合 い の 上 で 基 本 です 情 報 交 換 の 場 での 貢 献 は 自 社 で 把 握 した 情 報 を 信 頼 する 仲 間 に 共 有 し そのフィードバックを 得 ることであり 仲 間 の 事 案 に 対 する 自 らの 考 えを 発 言 することです 情 報 は 寂 しがり 屋 とも 言 います 持 っているところに 集 まるのです もちろん 自 組 織 に 対 して 行 われた 攻 撃 の 検 知 や 調 査 分 析 を 行 うため CSIRT の 組 織 化 とスキルアップは 必 要 になりますが 情 報 共 有 をする 意 思 があれば 仲 間 が 支 援 してくれます そ れが 互 助 会 の 良 い 点 です そうは 言 っても いきなりはなかなか という 声 も 聞 きますが そうした 場 合 には 同 業 種 の 特 定 社 の CSIRT チームとまずは 意 見 交 換 をするという 方 法 があります 普 段 はライバル 企 業 同 士 であ っても 共 通 の 敵 に 対 しては 利 害 が 一 致 している 筈 です 当 社 では 設 立 のお 手 伝 いをした CSIRT チームのご 担 当 者 間 の 意 見 交 換 会 等 をコーディネー トすることがありますが セキュリティ 推 進 担 当 から 互 いにとても 参 考 になったというご 意 見 を 頂 き ます 世 界 的 注 目 を 浴 びる 東 京 オリンピック パラリンピックのような 大 イベントの 際 には 様 々なサイバ ー 攻 撃 が 日 本 を 襲 うことは 間 違 いありません 今 後 情 報 共 有 の 仕 組 みの 堅 牢 性 スピード 等 の 重 要 性 は 増 すばかりですが 大 変 残 念 なことに サイバー 攻 撃 の 事 実 をいち 早 く 発 表 共 有 して も 面 倒 なことが 増 えるばかり という 状 態 にあります そのような 環 境 の 中 生 きた 情 報 が 十 分 に 流 通 するためには 人 間 的 な 相 互 信 頼 と 互 助 の 精 神 に 頼 らざるをえないのです 16

2.3. 抑 止 策 の 実 装 これまでの 標 的 型 攻 撃 の 対 策 として 語 られている 多 くは 本 資 料 の 2.4. 標 的 型 攻 撃 と 被 害 拡 大 の 防 御 機 能 の 実 装 もしくは 2.5. 標 的 型 攻 撃 と 被 害 発 生 の 検 知 機 能 の 実 装 に 集 約 された 技 術 的 な 部 分 や もしくは 2.6. 標 的 型 攻 撃 による 被 害 の 対 処 とダメージコントロー ルへの 備 え のような 事 故 発 生 時 の 緊 急 対 応 そして 技 術 者 育 成 といったものでした 標 的 型 攻 撃 とは その 名 のとおり 攻 撃 対 象 を 特 定 し 被 攻 撃 者 に 合 わせ 効 果 的 な 方 法 で 攻 撃 を 行 います 周 到 な 計 画 の 上 で 行 われるこれら 攻 撃 行 為 を 防 ぐことが 困 難 な 理 由 は この 攻 撃 の 個 別 対 応 (カスタム 化 )にあると 考 えています それでは 攻 撃 を 甘 んじて 受 けなければならないのでしょうか? たとえば 自 組 織 に 標 的 型 攻 撃 が 行 われることを 抑 止 することはできないのでしょうか? ここでは これまでほとんど 語 られていない 標 的 型 攻 撃 の 抑 止 策 についてまとめます 標 的 の 抑 止 が 効 果 的 な 組 織 か 否 かの 判 断 2011 年 に 当 社 は ソニーの 情 報 漏 えい 事 件 で 我 々は 何 を 学 ぶか と 題 して 情 報 漏 えい 事 件 を 題 材 に 攻 撃 者 のプロファイリングをしました その 後 当 社 も 様 々な 事 件 を 経 験 し 攻 撃 者 を 以 下 のように 分 類 できると 考 えています 愉 快 犯 ( 高 い 技 術 を 持 ち 技 術 的 好 奇 心 から 脆 弱 性 の 発 見 やハッキングをする) ストーカ( 恨 み 等 により 執 拗 に 個 人 に 付 きまとう) 主 義 主 張 者 (アノニマスのようなハッカー 集 団 や 政 治 的 主 張 を 行 うキャンペーン 等 自 ら の 正 義 感 により 国 家 や 企 業 を 攻 撃 する) 金 銭 目 的 の 犯 罪 者 (こそ 泥 詐 欺 師 恐 喝 犯 インサイダー 強 盗 など) 国 家 等 による 権 益 拡 大 ( 国 家 やそういったレベルの 組 織 が 行 う 諜 報 活 動 や 破 壊 行 為 等 ) 攻 撃 者 がどのような 立 場 で 何 を 目 的 に 行 っているのかを 考 えると 標 的 となる 抑 止 の 取 り 組 みに 効 果 があるのか 否 かを 判 断 できるでしょう たとえば 以 下 のような 属 性 を 持 っている または 攻 撃 者 がそう 考 える 企 業 や 組 織 は 非 常 に 強 い 意 図 をもった 攻 撃 者 により 攻 撃 される 可 能 性 があると 考 えられ 抑 止 の 効 果 は 期 待 できな い 可 能 性 があります 国 家 機 密 にかかわる 情 報 や 事 業 を 行 っている 大 規 模 プロジェクトに 関 わる 事 業 を 行 っている 大 量 の 個 人 情 報 を 持 っている 人 や 会 社 を 脅 すための 情 報 を 持 っている 金 銭 などのトラブルに 発 展 しやすい 事 業 を 行 っている 17

反 社 会 的 と 誤 解 を 受 けやすい 事 業 を 行 っている ほかにも 機 微 情 報 や 攻 撃 を 呼 び 込 みやすい 属 性 があります たとえば ある 国 家 が 他 国 の 軍 備 情 報 を 秘 密 裏 に 閲 覧 したいと 考 えた 場 合 国 家 機 密 およ び 軍 備 に 関 連 した 企 業 などを 狙 うことが 考 えられ このような 要 求 に 対 して 抑 止 は 働 きません しかし オンライン 販 売 を 行 う EC サイトの 顧 客 情 報 を 窃 取 したいという 動 機 を 受 け 複 数 ある 事 業 者 のなかでどこを 標 的 にするかを 決 定 するときに リスクや 手 間 が 高 く 成 果 が 少 ない 企 業 よりは リスクや 手 間 が 少 なく 成 果 が 高 い 事 業 者 を 狙 うことになるでしょう このように 複 数 の 攻 撃 対 象 がある 中 で 標 的 から 逃 れることを 考 えた 場 合 抑 止 の 取 り 組 みは 効 果 を 上 げる 可 能 性 があります 標 的 にされないための 2 つの 考 え 方 標 的 型 攻 撃 を 受 ける 前 に そもそも 標 的 にされないということを 考 えるとき 積 極 策 と 消 極 策 が 考 えられます 積 極 策 :その 企 業 や 組 織 のことを 知 らせた 上 で 攻 撃 をすることを 躊 躇 させたり 攻 撃 が 無 意 味 であることを 知 らせたりする 方 法 です 消 極 策 :その 企 業 や 組 織 そのものの 存 在 を 目 立 たせず 攻 撃 の 対 象 になることを 免 れる 方 法 です それでは これら 2 種 類 の 抑 止 方 法 について 実 現 性 の 有 無 や 可 能 性 の 高 低 を 考 慮 せずに 列 挙 します 積 極 的 な 標 的 型 攻 撃 抑 止 策 積 極 的 な 抑 止 策 とは 攻 撃 者 が 自 社 を 攻 撃 対 象 から 外 すための 材 料 を 公 表 するか 攻 撃 し ても 得 られるものが 少 ないと 判 断 させる 材 料 を 公 表 するものです 1. 情 報 をあえて 小 さく 掲 載 する 契 約 数 や 実 績 数 など 貴 重 な 情 報 が 集 まっているという 印 象 持 たせないよう あえて 競 合 他 社 に 比 べて 小 さく 掲 載 し 目 立 たないように 工 夫 します もちろん 上 場 企 業 等 に 課 せられた 情 報 開 示 義 務 に 抵 触 しないことが 条 件 となります 2. 報 復 することを 表 明 する 攻 撃 を 受 けた 場 合 攻 撃 者 を 特 定 して 報 復 措 置 をとることを 表 明 し リスクがあることを 認 知 させます ただし 攻 撃 者 の 特 定 の 技 術 的 な 課 題 や 報 復 の 連 鎖 報 復 に 関 する 倫 理 的 な 問 題 が 残 るため 安 易 には 実 施 できません 3. 懸 賞 金 を 公 表 する 攻 撃 を 受 けた 場 合 に 懸 賞 金 をかけて 犯 人 を 探 し 出 すことを 公 表 し リスクがあることを 18

認 知 させます 海 外 においては ウイルス 開 発 者 の 摘 発 に 懸 賞 金 を 掛 ける 事 例 があり 公 表 をすることに 一 定 の 抑 止 効 果 は 考 えられます しかしながら 国 際 犯 罪 組 織 に 対 す る 取 り 組 みを 行 うことになることが 想 定 され 現 実 に 実 施 するには 多 くの 課 題 が 残 ります 4. 攻 撃 の 分 析 情 報 を 公 開 する 攻 撃 を 受 けた 技 術 情 報 を 公 開 し 自 社 の 調 査 能 力 をアピールすることにより 攻 撃 者 に 厄 介 な 攻 撃 対 象 であるという 印 象 を 与 えます この 取 り 組 みは 当 社 も 脅 威 分 析 情 報 の 公 開 で 実 施 しています さらに 踏 み 込 んで 攻 撃 組 織 のプロファイルまで 行 い 世 間 を 見 方 につけて 社 会 的 に 非 難 するキャンペーンを 行 う 方 法 も 考 えられます しかし ネットワ ークやコンピュータのフォレンジック 技 術 に 対 応 できる 体 制 を 用 意 することは 容 易 ではあり ません 消 極 的 な 標 的 型 攻 撃 抑 止 策 消 極 的 な 抑 止 策 とは 攻 撃 者 に 対 して 企 業 や 組 織 を 目 立 たなくさせ 攻 撃 の 矛 先 が 向 かな いよう 情 報 のコントロールを 行 うものです 1. 情 報 を 隠 蔽 する 自 社 の 事 業 について 契 約 顧 客 数 や 取 引 先 情 報 などを 公 表 しないことで 企 業 や 組 織 が 価 値 のある 情 報 を 保 有 し 大 きな 事 業 を 展 開 していることを 悟 られないようにします しかし 企 業 の 透 明 性 や 企 業 のアピールを 展 開 する 活 動 との 相 性 が 悪 く 現 実 の 実 行 は 困 難 です 一 般 の 企 業 であれば ウェブサイトのログを 隠 蔽 することにより 特 定 組 織 を 狙 った 水 飲 み 場 攻 撃 の 踏 み 台 にさせられることを 抑 止 できる 可 能 性 があります 2. 大 きな 話 題 となる 目 立 つ 発 表 やコミュニケーション 方 法 を 考 慮 する 話 題 性 をもったアピールや 派 手 で 目 立 つコミュニケーションスタイル 奇 抜 な 発 想 の 主 張 など 目 立 ちすぎる 話 題 の 提 供 や 攻 撃 者 を 刺 激 するアピールには 不 要 な 攻 撃 のきっか けを 与 えるため それを 実 施 すべきかどうか 考 慮 することが 重 要 です 現 実 的 に 標 的 型 攻 撃 の 抑 止 は 可 能 か ここまで 抑 止 の 方 法 に 関 するアイディアを 紹 介 しました 海 外 企 業 において 取 り 入 れられてい る 手 法 なども 含 め 日 本 国 内 で 有 効 に 機 能 させられる 取 り 組 みは 限 られています しかし 標 的 型 攻 撃 の 深 刻 さは 今 後 も 低 減 するとは 考 えにくく ますます 加 速 するという 観 点 に 立 った 場 合 抑 止 策 の 可 能 性 を 検 討 することも 現 実 には 必 要 かもしれません 現 実 世 界 においては 警 備 会 社 や 警 察 立 ち 寄 り 所 などの 掲 示 や 企 業 イメージを 意 識 した 慎 重 なコミュニケーション 手 法 警 察 との 協 議 による 懸 賞 金 など 組 織 に 対 する 犯 罪 行 為 の 抑 止 手 段 は 実 装 されています サイバー 分 野 においても 今 後 抑 止 施 策 は 検 討 の 課 題 になると 考 えています 19

2.4. 被 害 拡 大 の 防 御 策 の 実 装 標 的 型 攻 撃 では ターゲットの 最 も 脆 弱 な 部 分 を 狙 って 複 数 の 経 路 で 攻 撃 が 行 われます 一 般 的 には メールによる 攻 撃 が 最 も 多 く 次 に Web 経 由 での 攻 撃 が 続 きます この2つの 経 路 は どこの 企 業 組 織 に 対 しても 利 用 しており インターネットから 直 接 に 利 用 者 の 端 末 にウイ ルスをダウンロードさせたり 実 行 させたりすることができます そのため メールと Web について は できる 限 りウイルスを 内 部 に 入 れないような 対 策 が 防 御 策 となります 本 項 においては 代 表 的 な 対 策 として 知 られる 手 段 の 概 要 をまとめます 防 御 策 は 多 岐 にわ たりますので 今 後 の 改 訂 により 網 羅 性 を 高 め 詳 細 な 対 策 法 を 整 理 してまいります 必 ず 実 施 すべき 最 低 限 の 対 策 ウイルスの 感 染 を 対 象 のパソコンで 防 御 するためには 既 存 のウイルス 対 策 製 品 では 基 本 的 にはウイルスのパターン 16 が 存 在 しないと 検 知 防 御 することができません 標 的 型 攻 撃 で 使 われ るウイルスは ウイルス 対 策 ソフトでは 検 知 することがないことを 確 認 した 使 い 捨 てのウイルスで 突 破 を 試 みるからです ただし パターンが 更 新 されれば 検 知 防 御 できる 可 能 性 があるため ウ イルス 対 策 製 品 は 必 ず 導 入 します また 実 際 に 被 害 が 発 生 した 場 合 ウイルス 対 策 製 品 を 導 入 していなかったという 事 実 が 大 きな 脅 威 となります 言 い 訳 が 出 来 ないためです このように 標 的 型 攻 撃 で 使 用 されるウイルスは 攻 撃 者 も 手 に 入 れることが 出 来 る 一 般 的 な パターン 検 知 による 市 販 のウイルス 対 策 製 品 で 防 御 することは 困 難 であるため 攻 撃 者 側 は 入 手 しづらい 振 る 舞 い 検 知 機 能 を 持 つウイルス 対 策 製 品 を 導 入 します また 従 来 のパソコン 上 でのウイルス 対 策 に 加 え ネットワーク 上 でのウイルス 検 知 機 能 を 持 っ た 機 器 (FireEye など)の 導 入 も 有 効 です メール メール 経 由 のウイルス 感 染 は 組 織 のパソコン 利 用 者 のメールアドレスを 何 らかの 方 法 で 入 手 します その 後 メールを 受 信 した 利 用 者 に 対 して 直 接 ウイルスを 送 り 込 み 利 用 者 がうっかり 送 り 込 まれたウイルスを 実 行 してしまう 17 と 感 染 被 害 につながります また メールシステムは 元 来 送 信 元 情 報 を 偽 装 18 できるため 取 引 先 の 担 当 者 の 名 前 を 騙 るなどの 手 段 で 信 用 させます メールの 文 章 も 簡 単 には 見 分 けがつかない 完 成 度 の 高 い 内 容 や 実 際 に 使 用 されたものであるこ とが 多 く メールを 受 信 したパソコン 利 用 者 は 疑 念 を 抱 くことなく ウイルス 感 染 させられてしまう ケースがほとんどです 1. メールによるウイルスの 感 染 で 最 も 多 いのは Windows の 実 行 形 式 のファイル( 拡 張 子 が.exe のファイル)を 添 付 して 受 信 した 利 用 者 に 実 行 させる 方 法 です 実 行 形 式 のファイルを 受 信 した 場 合 には メールサーバで 添 付 ファイルを 削 除 するか 受 信 を 拒 16 シグネチャともいう ウイルスの 特 徴 を 集 めたデータベースで ウイルス 対 策 ソフト 毎 に 提 供 されています 17 パソコン 利 用 者 の 多 くは 実 行 ファイルとは 何 かを 認 識 せずにパソコンを 利 用 しているのが 実 態 です 18 メールシステム(SMTP)は 送 信 者 情 報 を 送 信 者 が 設 定 する 仕 組 みのため 別 人 を 装 った 送 信 も 可 能 です 20

否 するなどして 利 用 者 までメールが 届 かないようにします 或 いは Windows 以 外 のパ ソコンで 添 付 書 類 を 開 きます 2. 不 正 な 文 書 ファイル( 例 : 拡 張 子 が.doc,.docx, pdf のファイル)を 送 り 利 用 者 にファイルを 開 かせることにより Office や Adobe Reader といったソフトウェアの 脆 弱 性 を 悪 用 することで ウイルスに 感 染 させます パソコンで 使 用 しているソフトウェアは 常 に 最 新 の 状 態 にします 或 いは 正 規 のソフト 以 外 の 閲 覧 ソフト 或 いは Windows 以 外 の パソコンで 添 付 書 類 を 開 きます 3. メールに Web サイトのアドレスを 書 いて 送 り 利 用 者 にクリックして 実 行 させた 際 に ブラ ウザや Flash Player や java などの 脆 弱 性 を 悪 用 することで 悪 意 あるプログラムを 実 行 してウイルスに 感 染 させます パソコンで 使 用 しているソフトウェアは 常 に 最 新 の 状 態 に します また Web のウイルス 対 策 もあわせて 実 施 します 或 いは Windows 以 外 のパ ソコンでリンクをクリックします 4. 送 信 元 ドメインや 送 信 元 メールアドレスを 偽 装 してメールを 送 信 し メールを 受 信 する 使 用 者 をだまします 送 信 ドメイン 認 証 である SPF(Sender Policy Framework)を 使 用 し 正 しいドメインからメールが 送 信 されているかチェックします Web Web 経 由 攻 撃 は 不 正 な Web ページを 用 意 し 閲 覧 者 のパソコンにウイルス 感 染 させる 手 段 として 使 われます メールに 比 べれば 不 正 な Web サイトに 利 用 者 を 誘 導 する 手 間 が 必 要 で すが 通 常 の Web サイトが 改 ざんされ 不 正 なプログラムが 埋 め 込 まれるなど 見 た 目 で 不 正 な Web サイトと 気 づくのはほとんど 不 可 能 です 1. インターネット 上 の 任 意 の Web サイトを 使 用 する 必 要 のない 業 務 や 利 用 者 の 場 合 に は ホワイトリスト 19 による 指 定 したドメインへのアクセスに 限 定 します 2. Java や Flash Player など ブラウザのプラグインとして 実 行 される 特 定 のアプリケーショ ンは 危 険 度 の 高 い 脆 弱 性 が 存 在 することが 多 く ウイルスの 感 染 に 悪 用 されることが 多 いため これらの 機 能 を 無 効 化 もしくは 可 能 であれば 削 除 します 業 務 で 必 要 な 場 合 は そのサイト 利 用 時 のみに 該 当 の 機 能 を 有 効 にします 3. 2.を 実 施 しても 攻 撃 者 はブラウザなどのソフトウェアの 脆 弱 性 などを 突 いて ウイルスに 感 染 させることができます そのため パソコンで 使 用 しているソフトウェアは 常 に 最 新 の 状 態 にします 19 ブラックリストの 反 対 で 接 続 や 実 行 を 許 可 しているサイトのリスト 21

4. 攻 撃 者 は Web サイトに 埋 め 込 まれた 不 正 なコードや 不 正 なプログラムをダウンロード させることで ウイルスに 感 染 させることができます そのため Web 用 のウイルス 対 策 製 品 を 導 入 して HTTP でダウンロードしたコンテンツのスキャンを 行 います 5. Windows 若 しくは Window 上 で 動 作 するソフトの 脆 弱 性 が 悪 用 されることが 多 いた め メールやサイト 閲 覧 などだけであればパソコンを 使 用 しない 方 法 を 取 ります その 他 ネットワーク 経 由 の 攻 撃 ウイルスのネットワーク 経 由 の 侵 入 経 路 としては 主 にメールか Web ですが 自 組 織 以 外 のネッ トワークとの 境 界 では ウイルスに 限 らず 不 正 侵 入 を 防 御 するために 対 策 が 必 要 です ネットワー ク 境 界 には ファイアウォールなどによるアクセス 制 御 のほかに 攻 撃 を 防 御 するような 製 品 を 導 入 します 1. 自 組 織 とインターネットとの 境 界 では 次 世 代 ファイアウォールによりアクセス 制 御 を 行 い 必 要 な 通 信 のみ 許 可 します さらに 公 開 Web サーバなど 任 意 の 第 三 者 がアクセスす る 場 合 には 侵 入 防 止 システム ( 以 降 IPS) を 導 入 して 攻 撃 から 防 御 します 2. 自 組 織 と 他 組 織 との 境 界 ( 例 : 自 社 とグループ 会 社 )でも 次 世 代 ファイアウォール 20 によりアクセス 制 御 を 行 い 必 要 な 通 信 のみ 許 可 します 他 組 織 のネットワークが 信 用 で きない 場 合 は IPS を 導 入 して 攻 撃 から 防 御 します また このような 防 御 システムはシステム 内 に 侵 入 したウイルスの 活 動 を 発 見 できる 役 割 を 負 わせることも 出 来 るため(むしろその 役 割 のほうが 有 効 であるため) 運 用 できるならば 試 してほし い 対 策 である 外 部 記 録 媒 体 経 由 での 攻 撃 ウイルスの 感 染 は 大 半 がネットワーク 経 由 で 行 われますが 稀 に USB メモリや DVD 等 の 外 部 記 録 媒 体 経 由 でも 行 われます 1. 信 頼 できない 人 物 や 方 法 ( 例 : 拾 った USB メモリ)によって 入 手 した 外 部 記 録 媒 体 に 保 存 されたウイルスなどを 実 行 しないように DVD 等 のメディアの 自 動 再 生 を 無 効 に し USB などのデバイスについては 認 められたデバイスのみ 接 続 を 許 可 するように 設 定 も しくは 製 品 を 導 入 します 2. 信 頼 できない 機 器 や 人 物 に 信 頼 している 媒 体 を 渡 さないようにします システム 管 理 者 パソコンの 保 護 20 従 来 のファイアウォール 機 能 に 加 え アプリケーションレベルでのセキュリティ 機 能 が 充 実 している 製 品 22

攻 撃 の 多 くはシステム 管 理 者 のパソコンが 侵 害 されています 組 織 のシステム 全 体 の 管 理 権 限 を 持 つシステム 管 理 者 のパソコンが 侵 害 されるとパスワード 管 理 表 やパソコン 管 理 表 などの 重 要 な 情 報 も 攻 撃 者 の 手 に 渡 ってしまうことになります 組 織 のシステムを 防 御 する 上 でシステム 管 理 者 のパソコンの 保 護 は 欠 かせません しかし 多 くの 被 害 現 場 ではシステム 管 理 者 のパソコ ンの 保 護 が 十 分 ではありません システム 管 理 者 のパソコンが 上 述 したようなメールや Web 経 由 でウイルスに 感 染 し システムの 重 要 情 報 が 盗 まれています システム 管 理 者 のパソコンを 保 護 するために 以 下 の 対 策 が 重 要 です 1. システム 管 理 者 のパソコンはシステム 管 理 専 用 のパソコンを 用 意 し システム 管 理 者 とし ての 技 術 情 報 収 集 などのパソコンとは 分 離 し 当 然 のことながら 社 員 や 職 員 の 通 常 の 業 務 パソコンと 分 離 する 2. システム 管 理 用 のパソコンではインターネット 閲 覧 や 組 織 外 部 とのメール 送 受 信 をできる だけ 避 ける 3. システム 管 理 用 のパソコンは 管 理 専 用 のネットワークを 用 意 し 業 務 ネットワークと 分 離 し アクセス 制 御 を 実 施 する ウイルス 感 染 しても 被 害 を 広 げないための 対 策 ウイルスに 感 染 すると 外 部 の 指 令 サーバに 接 続 を 試 み 接 続 に 成 功 すると 指 令 サーバから 送 られた 命 令 を 実 行 します 指 令 サーバとの 接 続 は 一 般 的 には HTTP 21 もしくは HTTPS 22 が 使 われますが 稀 にその 他 の 通 信 が 使 用 されます そのため まず 自 組 織 からインターネットに 出 て 行 く 通 信 を 必 要 な 通 信 に 限 定 します 特 に HTTP および HTTPS については 必 ず 自 組 織 のプロキシ 23 経 由 でのアクセスに 限 定 し プロキシ 経 由 以 外 の HTTP および HTTPS については ファイアウォールで 拒 否 します 以 下 は 一 例 です パソコンからインターネットへの 通 信 は 全 てファイアウォールで 拒 否 する HTTP および HTTPS は 自 組 織 のプロキシ 経 由 のみファイアウォールで 許 可 する DNS は 自 組 織 内 の DNS サーバ 経 由 のみファイアウォールで 許 可 する SMTP は 自 組 織 内 の SMTP サーバ 経 由 のみファイアウォールで 許 可 する メール 送 信 を 許 可 するクライアントは SMTP サーバで 制 限 をする FTP や SSH は 自 組 織 のゲートウェイ 経 由 のみファイアウォールで 許 可 する FTP や SSH を 許 可 するクライアントは ゲートウェイで 制 限 をする プロキシもしくは Web 用 のウイルス 対 策 製 品 では URL フィルタリングにより 不 正 なサイトへの 21 Web システムで 利 用 される 通 信 の 手 続 き 方 法 が 規 定 されたもの 22 上 の Web システムで 利 用 される 通 信 規 定 を 暗 号 化 するために 規 定 されたもの 23 代 理 サーバのことで ブラウザからの 要 求 を 一 旦 受 け 取 り ブラウザの 代 わりにサーバにアクセスする 仕 組 み 23

アクセスのほか Flash Player など 特 定 の( 脆 弱 性 があり 危 険 なソフトウェアで 閲 覧 する)コン テンツをブロックします また 前 述 したようにホワイトリストによるアクセス 制 御 を 行 う 場 合 には URL フィルタリングの 機 能 を 用 いて 許 可 したドメインのみアクセスを 許 可 します プロキシでは 利 用 者 認 証 を 導 入 することで 利 用 者 認 証 を 行 わないウイルスが 指 令 サーバ に 接 続 できないようにします ただし パソコンから 認 証 情 報 を 盗 んで プロキシで 利 用 者 認 証 を 行 った 上 で プロキシ 経 由 で 指 令 サーバと 接 続 することも 可 能 である 点 に 注 意 してください ウイルスに 感 染 し 指 令 サーバへの 接 続 に 成 功 すると 感 染 の 拡 大 や 権 限 の 昇 格 奪 取 が 行 われます 特 に Active Directory が 導 入 されている 場 合 には Active Directory のドメイ ン 管 理 者 権 限 が 狙 われます そのため ドメインコントローラーには 特 に 最 新 のセキュリティ 更 新 プログラムを 適 用 してください その 他 のパソコンやサーバに 対 しても 同 様 で 最 新 のセキュリティ 更 新 プログラムを 適 用 してください ウイルスに 感 染 したパソコンから 他 のパソコンに 感 染 することを 防 止 するために 使 用 者 のパソ コン 同 士 の 通 信 を 制 御 することが 重 要 です 従 来 のシステム 設 計 では 使 用 者 のパソコン 同 士 の 通 信 を 制 御 する 思 想 が 含 まれておらず 多 くのシステムではそのような 設 計 になっていません し かし 多 くの 標 的 型 攻 撃 の 事 案 では 多 数 のパソコンがウイルスに 感 染 しており 被 害 を 受 けたす べてのパソコンの 調 査 を 実 施 することができず 被 害 範 囲 を 特 定 することが 難 しくなっています 被 害 拡 大 防 止 の 観 点 でも 使 用 者 のパソコン 同 士 の 通 信 を Windows ファイアウォールや L2 ス イッチなどで 制 限 することを 検 討 するべきです 使 用 者 のパソコンとサーバ 使 用 者 のパソコンと 複 合 機 は 通 信 ができる 必 要 がありますので システムに 必 要 な 要 件 を 検 討 して 実 施 してください 24

2.5. 被 害 発 生 の 検 知 策 の 実 装 標 的 型 攻 撃 では 最 初 のターゲットを 遠 隔 操 作 型 のウイルス 24 に 感 染 させ 他 のホストやサー バへの 感 染 および 権 限 奪 取 を 行 い 最 終 的 には 機 密 情 報 の 漏 洩 など 企 業 組 織 に 多 大 な 被 害 を 与 えます ウイルスの 感 染 を 完 全 に 防 ぐことは 困 難 ですが ウイルスの 侵 入 と 感 染 をできる 限 り 早 く 検 知 することで 被 害 の 影 響 を 抑 えることができます 逆 を 言 えば 検 知 が 遅 くなればな るほど 被 害 は 甚 大 になります 本 項 においては 代 表 的 な 対 策 として 知 られる 手 段 の 概 要 をまとめます 検 知 策 は 多 岐 にわ たりますので 今 後 の 改 訂 により 網 羅 性 を 高 め 詳 細 な 対 策 法 を 整 理 してまいります ウイルスの 侵 入 および 感 染 をいち 早 く 検 知 するためには 侵 入 経 路 として 最 も 多 いメールおよ び Web 経 由 でのウイルスを 検 知 する 仕 組 みを 導 入 します このとき それぞれの 侵 入 経 路 に 対 して できる 限 り 多 層 的 な 対 策 を 実 施 します メール Web の 侵 入 検 知 ウイルス 対 策 機 能 を 備 えたゲートウェイによりウイルスを 検 知 駆 除 します これらの 製 品 は 未 知 のウイルスには 無 力 ですが 既 知 のウイルスには 有 効 に 機 能 します 未 知 のウイルスに 対 しては サンドボックス 型 のウイルス 対 策 製 品 を 使 用 します これらの 製 品 は メールや Web で 疑 わしいファイルを 受 信 ダウンロードすると サンドボックスと 呼 ばれる 仮 想 OS の 上 でファイルを 実 行 させ プログラムの 動 作 からウイルスの 判 定 を 行 い ウイルスを 検 知 駆 除 することができます ホストの 侵 入 検 知 メールや Web などの 経 路 で 侵 入 したウイルスは 対 象 のホストにファイルがダウンロードされ ユ ーザーによって 実 行 するか 脆 弱 性 により 自 動 的 に 実 行 されることで 感 染 します そのため ファイ ルがダウンロードされた 時 もしくはファイルを 実 行 した 時 に 検 知 防 御 するために ホストにウイル ス 対 策 製 品 を 導 入 します さらにウイルス 対 策 ベンダーとの 間 で 検 体 を 提 供 することで 迅 速 にパターンの 提 供 を 受 けるこ とができるサービスを 別 途 契 約 します これらの 製 品 は 未 知 のウイルスには 無 力 ですが ウイル ス 対 策 製 品 で 検 知 しないウイルスが 侵 入 してしまった 場 合 でも 検 体 を 提 供 することで 迅 速 にパ ターンが 提 供 され 万 が 一 組 織 内 にウイルスが 蔓 延 してしまっても 作 成 されたパターンを 更 新 す ることで ウイルスの 検 出 駆 除 を 行 うことができます 24 攻 撃 のためのツールや 自 己 増 殖 しない 不 正 なプログラムをマルウェアといいますが 本 文 書 ではウイルスとひとまとめにしています 25

未 知 のウイルス ゼロデイ 脆 弱 性 を 突 くウイルスに 対 しては 振 る 舞 い 型 のウイルス 対 策 製 品 を 導 入 して 検 知 防 御 します 感 染 の 検 知 どんなにウイルス 対 策 を 行 っても 組 織 内 でのウイルス 感 染 を 完 全 には 防 ぐことはできません また 脆 弱 性 や 人 の 関 与 がある 以 上 ウイルスが 実 行 されて 感 染 することを 防 ぎきることはできま せん そのため ウイルスに 感 染 した 際 それにいち 早 く 気 づくための 検 知 が 必 要 です 前 章 で 説 明 し たように 自 組 織 から 出 て 行 く 通 信 は 必 要 な 通 信 に 限 定 されていることを 確 認 します その 上 で 自 組 織 から 出 て 行 く 通 信 のログは 許 可 および 拒 否 したものを 含 め 全 て 記 録 します 標 的 型 攻 撃 を 受 けると 長 い 場 合 は 数 年 間 にわたり 不 正 行 為 が 継 続 し その 間 は 外 部 の 指 令 サー バへの 接 続 が 続 くなど 何 らかの 痕 跡 がログに 残 るため 追 跡 に 必 要 なログおよび 被 害 範 囲 の 確 認 に 必 要 なログを 最 低 でも 1 年 間 程 度 保 持 します 以 下 は 感 染 を 検 知 する 取 り 組 みの 例 です 自 組 織 から 出 て 行 く 通 信 はファイアウォールでログを 残 す( 許 可 および 拒 否 ) HTTP および HTTPS はプロキシでログを 残 す(ログの 項 目 は 可 能 な 限 り 多 くとる) SMTP によるメールの 送 信 および 受 信 は メール 本 体 を 含 めて 全 てログを 残 す(メールの アーカイブを 保 存 する) FTP や SSH などを 使 用 する 場 合 は ゲートウェイを 経 由 して 送 信 したファイルやコマンド のログを 残 す 指 令 サーバとの 通 信 は HTTP もしくは HTTPS で 行 われることが 多 いため プロキシサーバのロ グを 定 期 的 に 分 析 し 指 令 サーバへの 通 信 が 発 生 していないか 確 認 します また ウイルス 対 策 製 品 や 次 世 代 ファイアウォールでは 指 令 サーバへの 通 信 を 検 知 することが できる 製 品 があります これらの 製 品 を 導 入 して 監 視 を 行 うことで 指 令 サーバへの 通 信 を 検 知 した 場 合 は 即 座 に 対 象 のホストを 隔 離 するなど 被 害 を 最 小 限 に 抑 えることができます 基 本 的 に 指 令 サーバへの 通 信 を 検 知 した 或 いは 外 部 組 織 から 感 染 連 絡 により 当 該 通 信 元 を 隔 離 し 当 該 PC からの 他 の 不 審 通 信 の 分 析 取 り 出 したウイルスの 解 析 により 判 明 する 他 の 指 令 サーバ 情 報 の 取 得 により さらに 別 の 感 染 PC 有 無 を 確 認 しそれを 繰 り 返 すことで 外 部 と 交 信 している PC を 可 能 な 限 り 見 つけていきます また 同 時 に 当 該 パソコンからの 他 のパソ コンやサーバへの 不 正 アクセスを 例 えば AT コマンドなどの 行 使 痕 跡 などにより 調 査 し 影 響 範 囲 を 調 査 します その 他 のログ 指 令 サーバへの 通 信 を 検 知 した 場 合 発 信 元 のホストを 迅 速 に 特 定 して 隔 離 する 必 要 があ 26

ります このとき プロキシやウイルス 対 策 製 品 のログには 通 信 の 送 信 元 IP アドレスが 記 録 され ます 送 信 元 IP アドレスからホストを 特 定 する 際 に 組 織 内 で DHCP を 使 用 していると IP ア ドレスからホストの 特 定 ができない 場 合 があります そのため DHCP を 使 用 している 場 合 は IP アドレスとホスト 名 などを 紐 付 けるため DHCP サ ーバのログが 記 録 されており 最 低 でも1 年 間 のログが 残 っていることを 確 認 します 送 信 元 IP アドレスからホストを 特 定 できるのであれば 資 産 管 理 ソフトウェアのログなどでも 問 題 ありませ ん 重 要 サーバのログ 標 的 型 攻 撃 では 最 初 のターゲットがウイルスに 感 染 した 後 組 織 内 で Active Directory を 使 用 していた 場 合 は Active Directory のドメイン 管 理 者 権 限 が 狙 われます そのため Active Directory の 監 査 ログが 記 録 されており 最 低 でも1 年 間 のログが 残 っていることを 確 認 します また 可 能 であれば 監 査 ログを 定 期 的 に 分 析 し 不 正 なアクセスが 発 生 していないか 確 認 し ます サーバ 時 刻 を 合 わせる 事 故 対 応 時 には 複 数 のサーバのログの 関 連 性 を 相 関 分 析 するため 各 サーバの 時 刻 を 同 期 しておきます 27

2.6. ダメージコントロールと 被 害 の 対 処 への 備 え 標 的 型 攻 撃 により 組 織 内 ネットワークが 侵 害 された 場 合 まずは 被 害 拡 大 を 防 ぐと 共 に 被 害 範 囲 の 確 認 と 復 旧 を 行 うことになります 以 下 組 織 内 における 基 本 的 な 初 動 対 応 について 概 要 を 説 明 します なお 具 体 的 な 実 施 方 法 は 本 資 料 改 訂 版 において 増 補 する 予 定 です 通 信 の 制 限 遮 断 組 織 内 の 被 害 範 囲 をこれ 以 上 拡 大 させないため 組 織 内 からのインターネットへの 接 続 を 制 限 します 攻 撃 者 グループは インターネット 上 に 配 置 した 複 数 の 攻 撃 拠 点 となる 拠 点 サーバと 組 織 内 に 侵 入 したプログラムとを 通 信 させることで 様 々な 悪 意 ある 操 作 を 遠 隔 から 行 っています 攻 撃 者 グループの 指 令 サーバへの 通 信 を 遮 断 する すでに 判 明 している 指 令 サーバ または 不 審 な 通 信 先 と 考 えられるサーバとの 通 信 を インタ ーネットとの 境 界 部 分 で 遮 断 します 一 般 的 にはファイアウォールとプロキシサーバの 両 方 でインタ ーネットとの 通 信 を 遮 断 します 抜 け 道 があり 遮 断 が 効 いていない 経 路 が 無 いかも 確 認 しま す 組 織 外 部 からの 連 絡 内 容 から すでに 個 人 情 報 が 漏 洩 している 組 織 内 に 広 く 深 く 侵 入 さ れているなど 被 害 状 況 が 深 刻 なケースでは 部 分 的 な 通 信 遮 断 ではなくインターネットとの 接 続 を 完 全 に 遮 断 することで 更 なる 被 害 拡 大 を 防 ぎます その 場 合 事 業 への 影 響 を 事 前 に 見 積 もっておき 最 小 となるような 遮 断 可 能 時 間 やホワイトリストの 定 義 等 を 行 っておくと 同 時 に 誰 がどのような 判 断 で 実 施 するか 実 際 に 影 響 は 見 積 もり 範 囲 か 遮 断 によってあぶりだすことが 可 能 な 他 の 感 染 パソコンの 特 定 等 の 訓 練 を 行 っておくことが 望 ましい 電 子 メールの 制 限 Web へのアクセスを 遮 断 するだけでなく 電 子 メールなどについても 遮 断 を 検 討 する 必 要 があ ります 昨 今 の 標 的 型 攻 撃 では メールサーバに 関 連 した 認 証 情 報 が 盗 まれ ( 被 害 者 に) 成 りす ました 電 子 メールを 送 る 内 部 情 報 を 電 子 メールで 外 部 の 攻 撃 者 グループへ 送 る といったこと が 行 われる 可 能 性 もあるため Web 以 外 の 通 信 についても 送 信 遮 断 を 確 認 してください その 場 合 当 然 のことながら 最 低 限 の 連 絡 に 必 要 な 経 路 は 事 前 に 考 慮 しておくべきです 被 害 状 況 を 確 認 するのに 必 要 な 情 報 ( 準 備 ) 組 織 内 の 被 害 状 況 を 確 認 するには 各 種 ログの 調 査 が 必 要 になります 被 害 範 囲 や 原 因 を 調 査 する 前 に 必 要 なログが 消 えてしまわないように 確 保 します 28

被 害 機 器 の 隔 離 攻 撃 者 グループの 指 令 サーバと 通 信 を 行 っていた 機 器 を 特 定 隔 離 するため プロキシサーバ のログを 確 認 します すでに 判 明 している 指 令 サーバのアドレスと 通 信 を 行 っていた 機 器 をプロキシログから 特 定 し 該 当 機 器 はネットワークから 隔 離 します アカウントパスワードの 変 更 侵 害 された 機 器 で 利 用 していたアカウントのパスワードは 全 て 変 更 します OS のログオンパスワードだけでなく 電 子 メールソフトや Web ブラウザなどで 保 存 していたアカ ウント 情 報 やパスワードについても 変 更 を 行 います 特 に VPN などを 利 用 するためのパスワードを 保 存 しているケースでは それらのパスワードも 変 更 が 必 要 です 被 害 機 器 のコピー( 証 拠 の 保 全 ) 侵 害 された 機 器 は まずネットワークから 隔 離 し ウイルススキャン 等 の 処 置 をする 前 に 完 全 なコピーを 取 得 し 調 査 はコピーに 対 して 実 施 します 被 害 機 器 (コピー)に 対 するウイルス 対 策 ソフトによるスキャン 調 査 対 象 の 機 器 に ウイルスが 存 在 しているかを 確 認 します ウイルスが 存 在 するディレクトリ などが 特 定 できていない 場 合 には コピーに 対 して 複 数 のウイルス 対 策 ソフトによるスキャンを 実 施 し ウイルスが 存 在 するか 確 認 します この 場 合 いつも 使 用 しているウイルス 対 策 ソフト 以 外 の 検 知 率 の 高 いソフトをセカンドオピニオンとして 利 用 することも 効 果 的 です ウイルス 対 策 ソフト 以 外 の 検 出 方 法 自 動 実 行 に 登 録 されているプログラムが 正 規 のアプリケーションであるかを 確 認 します マイクロ ソフト 社 が 提 供 する AutoRuns ツールなどを 利 用 することで 自 動 起 動 に 登 録 されているファイ ルを 確 認 し 正 規 ファイルであるかを 判 断 します ウイルスの 取 り 扱 い 自 組 織 で 利 用 しているウイルス 対 策 ソフトでは 検 知 できず それ 以 外 のウイルス 対 策 ソフトで ウイルスを 検 出 できる 場 合 があります その 場 合 特 定 できたウイルスを 確 保 し 自 組 織 で 利 用 しているウイルス 対 策 ソフトベンダへ 提 供 しパターン 作 成 を 依 頼 します ウイルスの 通 信 先 確 認 侵 入 したウイルスの 特 定 はできているものの 通 信 先 である 指 令 サーバのアドレスが 判 明 して いない 場 合 は ウイルスが 通 信 を 行 う 指 令 サーバのアドレスを 確 認 します 情 報 漏 えいの 確 認 被 害 機 器 を 特 定 できた 後 事 前 に 確 保 したコピーを 利 用 して 攻 撃 者 グループによる 情 報 の 持 29

ち 出 しがなかったかを 確 認 します 基 本 的 には 遠 隔 操 作 された PC やそこから 不 正 操 作 された PC はフォレンジック 調 査 を 行 い 攻 撃 者 が 組 織 内 から 集 めたファイルの 残 骸 等 を 探 し 被 害 内 容 を 推 測 します 業 者 への 調 査 依 頼 標 的 型 攻 撃 に 対 する 対 応 は 組 織 内 だけでは 困 難 なケースがあります 専 門 業 者 を 利 用 することで 一 般 的 に 次 の 作 業 について 協 力 を 依 頼 することができます 1. インシデントのハンドリング( 初 動 対 応 の 指 示 ) 2. 被 害 機 器 のコピー 作 成 ( 証 拠 保 全 :イメージ 取 得 ) 3. プロキシサーバのログ 調 査 4. 被 害 を 受 けた 機 器 の 詳 細 なデジタル フォレンジック 調 査 ( 原 因 影 響 範 囲 ) 5. ウイルスの 解 析 ( 通 信 先 の 特 定 など) 6. 監 視 機 器 の 緊 急 設 置 監 視 機 器 の 臨 時 設 置 一 般 的 な IDS( 侵 入 検 知 システム)とは 別 に 標 的 型 攻 撃 に 特 化 した 監 視 装 置 を( 一 時 的 にでも) 設 置 し 一 定 期 間 監 視 する 方 法 もあります 報 道 発 表 の 判 断 標 的 型 攻 撃 により 個 人 情 報 の 漏 洩 が 明 確 になっている 場 合 などは 広 報 法 務 部 門 などが 協 力 し 記 者 会 見 およびプレスリリースについて 検 討 します また 平 行 して 警 察 にも 相 談 し 捜 査 に 必 要 となる 協 力 を 行 っていきます プレスリリースを 出 す 際 は 正 確 に 情 報 提 供 する 必 要 があります しかし 発 表 時 点 では 調 査 中 の 箇 所 も 多 くなる ことから 過 去 の 他 企 業 の 事 例 などを 参 照 しつつ 継 続 的 な 対 応 を 行 っていきます 30

2.7. 被 害 からの 復 旧 手 段 の 確 保 標 的 型 攻 撃 により 侵 害 された 機 器 を 特 定 できた 場 合 には それらの 機 器 の 復 旧 処 理 を 行 い ます ( 後 から 調 査 可 能 なように 必 要 なデータのコピーを 取 得 してから 復 旧 します) また 組 織 内 ネットワーク 全 体 についても 安 全 を 確 認 し 潜 伏 しているウイルスが 存 在 しないか を 確 認 します 復 旧 のポイント 組 織 内 ネットワーク 全 体 に 関 する 復 旧 に 向 けた 確 認 ポイントは 次 の 3 点 です 1. 組 織 内 ネットワークにウイルスが 残 っておらず 指 令 サーバとの 通 信 が 無 いことを 確 認 す る 2. 正 規 アカウントの 認 証 情 報 を 悪 用 し ウイルス 以 外 の 方 法 ( 例 VPN など 正 規 のログイ ン 方 法 )で 組 織 内 ネットワークへ 侵 入 されていないことを 確 認 する 3. 外 部 でホスティングしているサーバ( 例 Web サーバ メールサーバ 等 )に 脆 弱 性 が 無 いか 正 規 アカウントの 認 証 情 報 を 悪 用 したアクセスが 無 いことを 確 認 する OS の 再 インストール 侵 害 された 機 器 はディスクのフォーマットと OS の 再 インストールを 行 い 初 期 化 します アプリケーションを 最 新 の 状 態 へ す 利 用 するアプリケーションについても 脆 弱 性 が 無 い 最 新 バージョンへのアップグレードを 行 いま データの 復 元 侵 害 された 機 器 の 記 憶 装 置 を 初 期 化 した 上 で OS を 再 インストールした 後 バックアップからデ ータをリストアします この 際 再 びウイルスがリストア 25 されてしまうことが 無 いように 復 元 するデ ータについては 複 数 種 類 のウイルス 対 策 ソフトによるスキャンを 実 施 します 侵 害 原 因 への 対 処 標 的 型 攻 撃 による 侵 入 経 路 原 因 を 特 定 します 侵 入 経 路 や 原 因 が 明 確 ではない 場 合 再 度 の 攻 撃 を 防 ぐことができず 同 様 の 被 害 が 発 生 する 可 能 性 があります 侵 害 原 因 となる 箇 所 の 対 処 標 的 型 攻 撃 による 侵 入 経 路 の 一 つとして 自 組 織 の Web サーバや 関 連 組 織 の Web サー 25 情 報 を 元 の 状 態 に 戻 すことです 通 常 は 機 器 の 故 障 からの 復 旧 時 に 行 いますが ウイルスは 自 己 を 再 感 染 させるために 行 います 31

バを 改 ざんし ウイルスを 送 り 込 むケースがあります これらの Web サーバに 脆 弱 性 が 無 いか コンテンツ 改 ざんやウイルスが 置 かれていないかを 確 認 します 継 続 的 な 不 審 ログオンの 監 視 侵 害 された 機 器 で 利 用 していたアカウントについては パスワード 情 報 の 変 更 後 も 一 定 期 間 は 不 審 なログオンが 無 いかをセキュリティログなどで 監 視 します ネットワーク 通 信 の 監 視 と 確 認 復 旧 を 行 ってから 一 定 期 間 後 安 全 性 を 確 認 するためにネットワーク 上 を 流 れるパケットをキ ャプチャし 不 審 な 通 信 が 発 生 していないかを 確 認 します また プロキシログについても 指 令 サーバとの 通 信 を 疑 わせるログが 無 いかを 確 認 します Active Directory の 完 全 性 を 復 旧 する 標 的 型 攻 撃 によりドメインの 管 理 者 権 限 が 奪 われ Active Directory サーバ(ドメインコン トローラ)も 含 めドメイン 全 体 が 被 害 を 受 けているケースでは Active Directory の 再 構 築 を 含 めて 完 全 性 を 復 旧 する 計 画 を 立 てる 必 要 があります 手 順 書 訓 練 への 反 映 事 案 の 収 束 が 確 認 できた 後 一 連 の 対 応 について 手 順 書 の 作 成 改 定 を 行 います 標 的 型 攻 撃 は 日 々 変 化 するため 手 順 書 の 内 容 も 定 期 的 な 見 直 しを 行 うと 共 に 手 順 書 に 記 載 されている 内 容 に 沿 った 作 業 が 実 施 できるか 実 地 での 訓 練 も 定 期 的 に 実 施 します 通 信 環 境 の 復 旧 2.4. 被 害 拡 大 の 防 御 策 の 実 装 で 通 信 やサーバなどの 停 止 を 行 っていた 場 合 本 項 の 回 復 作 業 を 完 了 した 時 点 で 通 信 を 復 旧 させます 事 業 の 回 復 事 業 の 回 復 を 試 みます 復 旧 された 全 ての 機 器 を 動 作 させ 事 業 責 任 者 の 確 認 の 下 事 業 の 再 開 を 行 います 企 業 の 信 頼 性 の 回 復 標 的 型 攻 撃 による 被 害 の 内 容 を 警 察 の 捜 査 などに 影 響 が 出 ない 範 囲 で 可 能 な 限 り 詳 細 な 情 報 を 公 開 し 真 摯 に 事 件 と 向 き 合 っていることを 知 っていただく 取 り 組 みを 行 います 顧 客 の 懸 念 を 全 て 受 け 止 め 真 摯 に 正 直 に 対 応 することにより 信 頼 を 回 復 します 32

2.8. 継 続 的 に 対 策 するための 実 施 評 価 と 予 算 措 置 セキュリティ 対 策 に 限 らず 継 続 的 な 取 り 組 みを 行 う 際 には 計 画 導 入 運 用 点 検 評 価 見 直 し 改 善 の 順 で 管 理 する いわゆる PDCA サイクルが 重 要 とされています 情 報 処 理 推 進 機 構 (IPA)のサイトにおいても PDCA サイクルに 関 して 詳 しく 説 明 されています 情 報 セキュリティマネジメントにおける 点 検 評 価 のステップでは 現 在 の 対 策 技 術 や 体 制 が その 時 点 で 確 認 されている 脅 威 に 対 して 有 効 か 否 かを 評 価 するものです 本 書 においては 標 的 型 攻 撃 という いつ 攻 撃 が 行 われるかわからず しかし 対 策 を 中 断 することができない 脅 威 対 策 に 関 して どのような 指 針 を 持 って 評 価 を 行 えば 対 策 を 継 続 することができるかを 整 理 しま す 重 要 なことは 何 を 評 価 するか ほぼ 全 ての 企 業 や 団 体 で 年 度 毎 に 予 算 が 組 まれ 年 度 初 めから 活 動 の 評 価 が 始 まることと おもいます さて 一 年 の 終 わり 正 確 には 翌 年 の 予 算 を 検 討 する 際 に どのように 該 当 年 度 の 実 施 評 価 をされているでしょうか 導 入 時 には セキュリティ 機 器 やサービスの 導 入 メリットや 運 用 の 仕 組 みについて 検 討 を 繰 り 返 されていることでしょうが いざ 評 価 の 段 階 になると 何 を 評 価 す ればよいのか 判 然 としないという 自 体 が 見 受 けられます これは 評 価 の 段 階 に 至 っても 何 を 評 価 するのかが 明 確 になっていないことが 原 因 と 考 えられ ます 一 般 に 重 要 業 績 評 価 指 標 (KPI)を 考 えたとき 定 量 的 な 評 価 を 連 想 します 一 般 の IT システムの 場 合 には 導 入 したシステムをいかに 使 いこなしているかということは 投 資 対 効 果 を 計 る 上 で 有 効 なため パフォーマンスやユーザーの 利 用 率 などの 数 値 化 された 評 価 項 目 を 設 け ます それでは セキュリティ 対 策 についてはどうでしょうか 当 たり 前 ですが セキュリティ 対 策 機 器 が 有 効 に 使 われるのは 攻 撃 行 為 があったときです 攻 撃 が 行 われない 場 合 には セキュリティ 機 器 は 反 応 をすることがありません よって 一 般 的 な IT システムのような KPI での 判 定 は 行 いにく いのです セキュリティ 機 器 を 使 い 尽 くすという 視 点 で 見 たときには その 運 用 のありかたが 評 価 の 軸 にな ると 考 えられます 当 社 が 運 営 しているセキュリティ 監 視 センター JSOC は 850 社 ものお 客 様 の 環 境 から 1 日 あたり 8 億 件 を 越 えるイベントを 収 集 し 独 自 の 相 関 分 析 エンジン LAC Falcon にて 警 戒 が 必 要 なイベントを 2000 件 程 度 に 絞 込 み 内 部 の 情 報 を 解 析 して 脅 威 の 判 定 を 行 っていま す このような 機 器 が 発 するメッセージを 読 み 解 き 自 社 環 境 でどのような 攻 撃 があるのかを 把 握 する 運 用 のサービス 品 質 保 証 を 評 価 ポイントとするべきです 機 器 の 導 入 をして 満 足 するこ となく 余 すところなくその 能 力 を 活 用 し 活 用 した 結 果 を 分 析 することで その 対 策 が 的 確 に 機 能 しているかを 判 断 します 33

一 方 で 社 員 の 情 報 セキュリティリテラシー 教 育 や IT セキュリティ 予 防 接 種 のような 標 的 型 メール 対 策 教 育 サービスの 場 合 には 毎 年 避 難 訓 練 を 行 うように 定 期 的 に 訓 練 を 行 うこと が 重 要 になります また CSIRT の 運 営 維 持 に 関 しても 事 故 に 備 えた 組 織 対 応 として 継 続 す ることが 重 要 になります このように 組 織 の 維 持 や 継 続 的 な 教 育 といった 取 り 組 みの 評 価 は 継 続 して 実 施 をすること そのものを 目 標 とした 評 価 とします 継 続 的 に 対 策 を 行 うということは コストとの 戦 い 標 的 型 攻 撃 との 戦 いは IT システムを 活 用 するうえで 避 けては 通 れない 課 題 です 常 に 継 続 した 対 策 を 維 持 しなければなりません しかしながら IT システムを 生 産 性 の 向 上 や 売 り 上 げの 拡 大 に 活 用 するのとは 異 なり セキュリティ 対 策 は いつ 発 生 するとも 分 からない 事 故 と 向 き 合 う 取 り 組 みのため とかくコストの 面 で 疑 問 が 出 るものです 標 的 型 攻 撃 を 含 むセキュリティ 対 策 は 実 施 することがすなわち 目 標 であり 評 価 の 一 つといえ ます 継 続 して 機 器 が 発 するアラートを 分 析 する 教 育 を 受 ける 組 織 を 維 持 するためのコストは いつ 起 こるかわからない 事 故 への 備 え であると 考 えてください 34

2.9. 標 的 型 攻 撃 を 見 越 した 人 の 教 育 標 的 型 攻 撃 の 対 策 を 考 えるとき 標 的 にされる 社 員 など 組 織 を 構 成 する 人 に 対 する 教 育 は 大 変 重 要 です セキュリティへの 危 機 感 を 感 じセキュリティ 対 策 を 進 めることも 標 的 型 メー ルからいつもと 異 なる 雰 囲 気 を 感 じ 取 るのも すべて 人 が 行 うことです 社 員 や 職 員 といった 組 織 の 全 員 が セキュリティへの 関 心 と 知 識 を 持 つことが ここまで 説 明 してきた 対 策 に 必 要 とな ります ここでは 標 的 型 攻 撃 対 策 における 人 の 教 育 をいかにして 進 めるかを 整 理 します 社 員 はウイルスメールを 見 分 けることはできるのか? 標 的 型 攻 撃 においては 電 子 メールにウイルス 感 染 の 仕 掛 けを 行 うケースが 多 々 見 受 けられ ます その 多 くは 通 常 の 業 務 や 関 連 組 織 からの 連 絡 などに 見 せかけた なりすましメール にウイ ルスを 添 付 したり ウイルス 感 染 を 引 き 起 こす URL リンクを 記 載 したりして 送 り 付 けてきます 社 員 がなりすましメールに 直 面 した 時 ウイルス 感 染 を 引 き 起 こすメールであることを 見 抜 き 感 染 を 未 然 に 防 止 したいと 考 える 方 もいらっしゃるでしょう しかし どんなに 教 育 や 訓 練 を 行 ったとして も 確 実 に 見 抜 く ということは 不 可 能 です 巧 みに 細 工 されたなりすましメールには 何 段 階 か の 難 易 度 があります 業 務 に 関 連 するように 見 せかけられた 標 的 型 メールの 難 易 度 は 以 下 の ように 考 えます 高 難 易 度 ウイルスを 使 って 実 際 の 業 務 メールを 盗 み 出 し 流 用 している 本 文 や 件 名 は 過 去 に 送 受 信 された 業 務 メールであり 見 分 けることは 困 難 添 付 書 類 もゼロデイが 使 用 されるなど 見 極 めは 不 可 能 中 難 易 度 業 務 に 関 連 しているように 見 せかけたメールを 攻 撃 者 が 作 ったもの IPA などの Web サイトにある 記 述 をそのままコピーして 利 用 したもの 自 分 に 関 わりの 無 い 内 容 が 書 かれていた 場 合 は 見 分 けられる 可 能 性 がある セミナーの 案 内 等 見 分 けが 難 しいものもあるが 添 付 書 類 は 安 易 な 実 行 ファイル レベル 低 難 易 度 他 国 語 が 混 じっていたり 日 本 語 の てにをは がおかしいなどの 特 徴 を 持 つもの 標 的 型 攻 撃 に 使 われるなりすましメールの 特 徴 をいくつか 知 っていれば 見 分 けら れる 可 能 性 がある 標 的 型 メールではないもの 広 告 メールやフィッシングメールなど 不 特 定 多 数 の 人 に 送 られたもの 基 本 的 なセキュリティリスクをいくつか 知 っていれば 見 分 けられる 可 能 性 がある 真 の 意 味 で 攻 撃 対 象 を 標 的 とする 高 難 易 度 のものを 見 分 けることは 残 念 ながら 不 可 能 です 中 難 易 度 や 低 難 易 度 の 場 合 には 自 分 に 見 覚 えが 無 いメールである 論 理 的 に 自 分 に 送 られてくることがおかしい メールの 書 き 方 が 社 内 文 化 と 違 う といった 点 に 気 づくこともあ ります しかし どんな 組 織 であっても ウイルスの 開 封 率 をゼロにすることは 困 難 であり ヒューマ 35

ンエラーが 発 生 する 一 定 の 割 合 を 下 回 ることはできないと 考 えます 違 和 感 に 気 づくための 知 識 を 持 っていても 急 いでいたり 疲 労 がたまっていたり 一 定 の 期 間 が 経 ってウイルスのリスクが 薄 れたりすることで うっかりウイルス 感 染 の 仕 組 みに 引 っかかってしまうからです 定 期 的 な 教 育 は このような 観 点 から 実 施 されます 一 方 で 低 難 易 度 のなりすましメールや 標 的 型 ではないウイルスメールについて 多 くの 社 員 が 高 確 率 で 感 染 してしまう 場 合 社 員 への 教 育 による 知 識 と 意 識 の 底 上 げが 必 要 です ウイルス 対 策 ソフトが 正 しく 動 作 していれば 全 てのウイルスは 駆 除 できる などの 現 実 と 乖 離 し た 認 識 が 広 まっていると 自 分 に 届 いたメールに 注 意 を 払 うという 行 動 には 結 びつきません ま た 自 社 の 社 員 がどのレベルのメールを 見 分 けることができるのか 情 報 システムリテラシーはどの 程 度 であるのかを 知 るために 疑 似 ウイルスメールを 送 付 し 開 封 率 を 測 るのも 一 つの 策 として 挙 げられます どのレベルのメールを 見 分 けることができるのか どのくらいの 割 合 で 感 染 してしまう のかを 知 ることで その 後 の 教 育 方 針 などを 明 確 にすることができます ウイルス 感 染 発 生 時 には 社 員 が 気 づいたときの 報 告 や 連 絡 相 談 などを 適 切 に 行 うことは 重 要 です 社 員 への 定 期 教 育 により 正 しい 知 識 と 行 動 方 法 を 伝 え 疑 似 ウイルスメールの 送 付 によって 上 長 や 適 切 な 部 署 への 報 告 連 絡 を 実 施 できるかどうかを 定 期 的 に 確 認 することがで きます 社 員 への 教 育 や 疑 似 ウイルスの 送 付 に 関 して 注 意 すべきことがあります これらの 策 を 実 施 し た 際 に 今 後 感 染 したら 罰 則 だ と 伝 えてしまったり 疑 似 ウイルスを 開 封 したことを 強 く 非 難 し てしまったりすると かえってセキュリティ 対 策 上 マイナスに 働 きます その 場 合 不 審 なメールの 定 義 を 組 織 のレベルに 応 じて 具 体 的 に 取 り 決 め そのレベルに 応 じて 継 続 的 に 教 育 訓 練 を 行 い 罰 則 があることを 事 前 に 伝 えそのうえで 守 れない 場 合 は 何 らかの 手 段 を 講 じるのが 良 いでしょ う かねてより 発 生 している 日 本 国 内 のウイルス 感 染 事 例 を 見 ると 一 部 の 組 織 においては 組 織 内 からの 通 報 連 絡 をトリガーに 事 故 対 応 を 始 めているケースがあります 高 難 易 度 のなりす ましメールを 使 われた 際 には 社 員 が 気 づくことは 非 常 に 困 難 ですが 中 難 易 度 以 下 のなりすま しメールやそれらレベルのメールに 添 付 されたウイルスの 場 合 には 社 員 による 報 告 が 可 能 なこと もあるでしょう もし ウイルス 感 染 したことを 非 難 していたり ウイルス 感 染 したこと 全 てを 始 末 書 扱 いにしていたりするような 場 合 社 員 がウイルス 感 染 の 事 実 に 気 づいたとしても 隠 ぺいしてし まう 可 能 性 があります 組 織 としては ウイルス 感 染 ではなく ウイルス 感 染 による 被 害 を 防 ぐ 必 要 があり 初 動 対 応 は 被 害 を 最 小 限 に 食 い 止 めるための 重 要 なポイントとなります コスト 面 から 出 口 対 策 などのネットワークの 監 視 による 検 知 策 を 行 っていない 場 合 社 員 から の 通 報 は 検 知 のための 重 要 な 要 素 となります 組 織 としては 如 何 にして 社 員 が 気 づいたこと 発 見 したこと 違 和 感 があったことを 報 告 してもらうかを 考 えなければいけません 疑 似 ウイルスの 送 付 という 策 を 組 織 を 管 理 する 側 として 開 封 率 の 把 握 を 目 的 に 実 施 するのは 良 い 方 法 です が 感 染 した 社 員 を 強 く 非 難 するような 事 後 対 応 が 行 われることは 避 けなければなりません ま 36

た ウイルス 感 染 を 0%にするための 策 として 実 施 するなどは 言 語 道 断 です 不 可 能 な 目 標 を 目 指 していることに 加 え 仮 に 0%を 達 成 できたとしても 本 物 のウイルスに 直 面 し 社 員 が 感 染 してしまった 場 合 感 染 の 疑 いがあることに 気 づいていても 社 員 が 隠 ぺいしてしまうことが 想 定 され ます これらの 誤 った 策 は ウイルス 感 染 という 組 織 上 のリスクのほんの 一 部 分 だけにフォーカス してしまっていることが 原 因 の 一 つと 考 えられます 組 織 全 体 のリスクとして 捉 えるべきであり セキ ュリティガバナンスに 基 づくリスク 管 理 の 中 でウイルス 感 染 と 感 染 に 関 連 する 事 故 対 応 のフローや 体 制 を 整 えなければなりません ウイルス 感 染 というと 普 段 めったに 起 きない 事 故 が 起 きたという 印 象 を 持 つかもしれませんが 組 織 のリスクを 管 理 する 立 場 としては 実 際 にはより 身 近 なところで 頻 繁 に 起 きていると 考 える 必 要 があります 事 実 昨 今 のウイルス 感 染 による 被 害 の 報 道 を 見 ると 感 染 したのは 半 年 前 であったり 3 か 月 前 であったりという 事 実 が 後 になって 判 明 したケースが 多 く 見 られます 単 に 見 えていなかっただけの 可 能 性 があるのです 事 故 が 起 きない= 良 いセキュリティ 良 い 策 ではな く 事 故 が 起 きても 被 害 が 出 ない そして 被 害 を 最 小 限 に 食 い 止 めることができるのが 良 いセキ ュリティ 対 策 であるといえます 逆 にセキュリティ 対 策 が 向 上 するとウイルス 感 染 の 事 実 がより 発 見 されることになり 感 染 件 数 は 増 大 すると 考 えて 推 進 するくらいが 丁 度 良 いでしょう ウイルス 感 染 率 と 被 害 発 生 の 関 連 性 は? 電 子 メールの 添 付 ファイルを 開 封 したことを 起 因 としたインシデントを 想 定 した 場 合 開 封 率 を 下 げることができれば 被 害 を 食 い 止 められるのかという 疑 問 については 攻 撃 が 行 われる 目 的 や 意 図 によって 変 化 するといえます まず 単 純 な 被 害 をもたらす 従 来 のウイルス( 後 述 の 標 的 型 と 対 比 してあえてこう 表 現 しま す )の 場 合 です ウイルスは 社 内 ネットワークを 通 して 他 のパソコンに 感 染 を 広 げ ウイルスの 機 能 によって 様 々な 被 害 をもたらします 例 えば ウイルス 感 染 したパソコンを 拠 点 に さらにウイ ルスメールを 送 信 するなどです 対 処 としては 感 染 したパソコンの 特 定 とウイルス 駆 除 そしてウ イルスの 種 類 によってもたらされる 被 害 に 合 わせて 社 内 対 応 や 対 外 対 応 を 行 います 対 外 対 応 の 例 としては ウイルス 付 きのメールが 関 連 企 業 やお 客 様 に 送 付 された 時 は ウイルスメールへの 注 意 を 促 す 連 絡 を 行 ったり 情 報 が 漏 えいした 時 は 関 連 する 人 々や 組 織 への 謝 罪 二 次 被 害 の 注 意 喚 起 などを 行 ったりします その 他 感 染 したパソコンに 対 しては OS を 再 インストールす る 対 応 を 行 ったり データが 消 失 した 場 合 には データ 復 旧 の 対 応 を 行 ったりする 必 要 がありま す これらの 単 純 な 被 害 をもたらす 従 来 のウイルスにおいては ウイルスの 種 類 にもよりますが 感 染 するパソコンの 数 がより 少 ない 方 が 被 害 は 小 さくなり 感 染 率 の 低 下 が 比 較 的 顕 著 に 効 果 と して 現 れる 可 能 性 があります もちろん 社 内 の1 台 のパソコンを 起 点 に 社 内 ネットワークを 通 してウイルス 拡 散 がなされる 場 合 には 1つの 侵 入 口 を 起 点 に 多 数 の 感 染 をもたらすため 見 方 によっては1 台 でも 感 染 すれば 大 きな 被 害 がでるという 見 方 もできます ただし ウイルスが 社 内 ネットワークにおいて 感 染 を 広 げる 原 因 としては パソコンのぜい 弱 性 を 利 用 されるケースが 多 く パソコンの OS のアップデートや インストールしているソフトウェアのアップデートを 行 っていない 37

場 合 に 発 生 します セキュリティ 対 策 として パソコンの OS やソフトウェアのアップデートは 基 本 で あり ウイルス 感 染 を 食 い 止 める 対 策 の 一 つとして 実 施 すべきことです 仮 に1 台 が 感 染 したとし ても アップデートが 適 切 に 行 われ さらにウイルス 対 策 ソフトを 適 切 に 利 用 していれば 社 内 で の 感 染 拡 大 は 最 小 限 に 食 い 止 められると 考 えられます 次 に 標 的 型 攻 撃 の 場 合 です 巧 みに 作 り 出 されたなりすましメールを 送 り 付 けられ ウイルス 感 染 が 発 生 してしまった 場 合 その1 台 のパソコンを 起 点 に 攻 撃 者 の 人 手 による 遠 隔 操 作 に より 社 内 ネットワークの 分 析 や 社 内 パソコン サーバへのさらなる 攻 撃 などが 行 われます このと き 最 初 のウイルス 感 染 するパソコンは 多 くの 台 数 である 必 要 はなく たとえ1 台 でも 感 染 すれ ばパソコンを 遠 隔 操 作 することができ 攻 撃 者 は 内 部 での 活 動 が 可 能 となります 標 的 型 攻 撃 においては ウイルスの 添 付 ファイルを 開 封 する 人 数 が 少 なかったとしても 極 論 を 言 えば1 人 で も 感 染 してしまうと 被 害 が 発 生 する 可 能 性 があります 従 来 の 単 純 な 被 害 をもたらすウイルスと の 大 きな 違 いはこの 点 にあります 従 来 のウイルス 被 害 は より 多 くのパソコンに 感 染 させることが 攻 撃 者 にとっての 攻 撃 の 成 功 ですが 標 的 型 攻 撃 においては 1 台 のパソコンでも 良 いのでウイ ルス 感 染 を 発 生 させることができれば あとは 見 つからないように 延 々と 攻 撃 活 動 を 続 けられるこ とが 攻 撃 者 にとっての 成 功 と 言 えます もちろん 社 内 ネットワークの 構 造 が 複 雑 な 場 合 複 数 のパソコンを 遠 隔 操 作 できた 方 が 攻 撃 者 はより 攻 撃 の 幅 が 広 がる 場 合 もあります 例 えば 特 定 の 部 署 の1 台 のパソコンにウイルスを 感 染 させることに 成 功 したとしても 組 織 が 行 っていたネ ットワークのアクセス 制 限 により 遠 隔 操 作 で 分 析 できる 範 囲 のネットワーク 内 には 目 的 となる 機 密 情 報 が 無 いなどの 結 果 に 終 わった 場 合 は また 別 のパソコン 上 でウイルス 感 染 を 引 き 起 こす 必 要 があります ただし その 場 合 においても 1 台 のパソコンを 遠 隔 操 作 することができれば パソコン 上 に 保 存 されている 過 去 の 電 子 メールを 入 手 し それらしいファイル 名 を 付 けたウイルス を 添 付 して 遠 隔 操 作 しているパソコン 上 からより 高 難 易 度 のなりすましメールを 社 員 に 向 けて 送 信 することができてしまうのです 標 的 型 攻 撃 に 備 えた 教 育 手 法 これらのことから 私 たちは 多 くのことを 学 ぶことができます 標 的 型 攻 撃 は 手 法 としてウイルス は 使 われるものの 従 来 の 単 純 な 被 害 をもたらすウイルスとは リスクの 種 類 や 傾 向 が 大 きく 異 な ることを 知 る 必 要 があります その 上 で 組 織 としてどのような 対 策 をすべきかを 考 え 管 理 する 必 要 があります 従 来 のウイルスに 対 しては パソコンのアップデートやウイルス 対 策 ソフトの 利 用 exe ファイルに 注 意 するなどの 注 意 喚 起 が 中 心 でした 社 内 システムを 管 理 する 部 門 として は 感 染 が 発 生 した 時 はパソコンを 隔 離 し 感 染 パソコンへの 対 処 を 行 えばよかったのです これ らの 対 策 は 情 報 システム 部 門 や 総 務 部 門 主 導 での 社 内 対 策 でも 十 分 通 用 しました しか し 標 的 型 攻 撃 に 対 しては 経 営 層 が 中 心 となって 組 織 におけるリスクの 一 つとして 捉 え その リスクへの 対 策 として 社 内 のセキュリティ 対 策 を 遂 行 しなければなりません さらに それら 経 営 リ スクへの 対 策 が 今 現 在 組 織 内 で 適 切 に 行 われているかどうか 時 間 の 経 過 とともに 浮 き 彫 り となった 新 たなリスクに 対 応 しているかどうか システム 対 策 の 対 応 状 況 はどうか などを 見 直 す 必 要 があります これらの 考 え 方 はすなわち 情 報 セキュリティガバナンスに 基 づいて セキュリティ 対 38

策 のサイクルを 適 切 に 回 すことに 他 ならないのです その 観 点 から 社 内 におけるセキュリティ 対 策 を 進 めます 例 えば 疑 似 ウイルスメールを 社 員 に 送 付 することで 社 員 はどの 程 度 の 知 識 スキルを 持 っているのかの 計 測 や ウイルスに 気 づい たときに 適 切 に 行 動 できるのかどうかを 知 ることができます 疑 似 ウイルスメールを 送 付 するなどし た 訓 練 により 感 染 率 0%を 目 指 したり 開 封 した 人 をむやみに 非 難 したりする 等 の 誤 った 目 的 で 行 ってはいけません 自 組 織 の 社 員 の 傾 向 に 基 づいて 社 員 教 育 を 行 います 社 員 教 育 においては 中 難 易 度 や 低 難 易 度 標 的 型 ではない 不 特 定 多 数 の 人 に 送 りつけられるウイルスについては メールや 添 付 ファイルに 特 徴 があることを 伝 え 見 分 けるためのコツを 伝 えます さらに 高 難 易 度 のウイルス メールがあることを 知 り それらを 見 分 けることは 困 難 であるが もしも 感 染 に 気 付 くことができた 場 合 には 速 やかに 報 告 することが 最 も 適 切 な 対 応 であることを 伝 えます これらの 対 策 を 妨 げる 社 内 ポリシーがあった 場 合 改 定 するなどの 検 討 を 行 います 例 えば ウイルス 対 策 ソフトがアラートを 上 げただけで 始 末 書 を 提 出 しなければならない 事 後 対 処 が 適 切 で 被 害 は 出 なかったにもかかわらず ウイルス 感 染 を 引 き 起 こしただけで 厳 しい 社 内 指 導 など が 行 われる などのルールがある 時 には 見 直 しを 検 討 します その 他 ウイルスに 感 染 した 時 の 事 後 対 処 を 行 う 情 報 システム 部 門 などの 担 当 者 の 体 制 や 担 当 者 における 意 識 などを 見 直 すことも 必 要 です ウイルス 感 染 が 発 生 した 際 に 対 処 を 行 う 部 署 において 従 来 の 単 純 なウイルス 被 害 をもたらすリスクをベースに 社 内 の 仕 組 みやルール 体 制 を 構 築 している 場 合 標 的 型 攻 撃 に 対 しては 適 切 に 事 後 対 処 を 行 えない 可 能 性 がありま す 標 的 型 攻 撃 への 対 応 を 行 う 場 合 従 来 のリスクの 観 点 から 整 えた 情 報 システム 部 門 だけで は 人 員 が 不 足 する 可 能 性 もあります また より 高 いリスク 管 理 能 力 や 組 織 全 体 のリスクを 考 慮 した 事 故 対 応 が 求 められるでしょう 情 報 システム 部 門 の 体 制 の 見 直 しに 加 え 情 報 セキュリ ティのリスクに 対 応 するための 体 制 を 整 えることも 検 討 しなければなりません 例 えば 経 営 層 も 参 加 する 情 報 セキュリティ 委 員 会 や 情 報 セキュリティ 事 故 が 起 きた 時 の 司 令 塔 となる CSIRT (Computer Security Incident Response Team シーサート) 体 制 の 整 備 などです CSIRT の 役 割 に 合 わせて 情 報 セキュリティに 関 連 する 情 報 収 集 や 他 の CSIRT との 情 報 交 換 パソコンの 分 析 業 務 も 行 う 場 合 には 分 析 技 術 を 持 つ 専 門 の 部 隊 を CSIRT 内 に 参 加 さ せ デジタル フォレンジック 技 術 やウイルスに 関 連 する 知 識 をつけさせることが 必 要 となります 標 的 型 攻 撃 において 経 営 層 情 報 システム 部 門 CSIRT 社 員 それぞれがどのような 役 割 位 置 づけ 立 ち 位 置 となるのかを 考 え 目 的 に 合 わせてセキュリティ 教 育 を 実 施 しなければなりま せん リスクの 捉 え 方 とコストバランス 標 的 型 攻 撃 への 対 策 を 考 える 時 単 純 な ウイルス 対 策 として 捉 えてしまうと 対 策 手 段 に 39

行 き 詰 ってしまったり コストとの 折 り 合 いがつかなくなってしまったりすることがあります 例 えば 標 的 型 攻 撃 やウイルス 感 染 への 対 策 として 出 口 対 策 というものが 挙 げられますが 出 口 の 監 視 となると 侵 入 防 御 システムや 次 世 代 ファイアウォールなどの 導 入 が 必 要 となります 規 模 の 大 きな 組 織 では 十 分 な 対 策 も 検 討 できますが 中 小 企 業 で 初 期 費 用 やランニングコストが 大 きくか かる 対 策 を 実 施 することは 大 変 な 負 担 となるでしょう その 際 これ 以 上 の 対 策 は 実 施 できない という 結 論 に 至 ってしまうことは 大 変 危 険 です コストの 面 から 実 施 が 困 難 である あるいは 実 施 できそうな 対 策 が 見 当 たらないという 時 は 一 度 視 点 を 変 えてみることをお 勧 めします ウイルス というキーワードから 離 れ 組 織 全 体 を セキュリティリスク という 広 い 視 点 で 見 直 します 標 的 型 攻 撃 においては 攻 撃 者 は 組 織 が 持 つ 情 報 を 狙 い それらを 盗 み 出 していると 考 えられます 防 御 側 としても セキュリティ 対 策 におけ るアプローチを 変 え ウイルス 感 染 しても 情 報 が 漏 れない というシチュエーションを 作 り 出 したり サーバのログなどからそれを 証 明 したりすることができれば 何 らかの 理 由 で 事 故 を 公 表 しなけれ ばならない 時 も 企 業 リスクを 最 小 限 に 食 い 止 めることができます 自 組 織 において 情 報 セキュリ ティ 上 守 るべき 情 報 は 何 かを 今 一 度 見 直 してみましょう また 日 常 の 業 務 において 守 るべき 情 報 はどのような 形 で 保 管 され どのような 場 所 で 利 用 されているかを 再 確 認 しましょう 重 要 な 情 報 ほど 日 常 の 業 務 では 頻 繁 に 利 用 していることもあります アクセス 制 御 のかかったサーバ や 施 錠 棚 に 保 管 しているつもりが そのコピーが 社 員 のパソコン 上 に 残 っていたり 持 ち 出 し 用 の USB メモリの 中 に 残 っていたりするかもしれません ウイルス 感 染 した 場 合 どのような 被 害 が 発 生 するのかを 考 えてみましょう どのような 経 路 で 守 るべき 情 報 に 行 きつくのか どこに 情 報 が 残 っていると 被 害 が 大 きくなるのかなどを 攻 撃 者 の 視 点 から シナリオベースで 考 えてみることをお 勧 めします 40

まとめ 本 書 でまとめた 標 的 型 攻 撃 への 対 策 については 定 番 として 認 知 されているものから ある 意 味 荒 唐 無 稽 ともいえる 対 策 まで 広 く 取 り 上 げました 一 般 的 な 情 報 セキュリティ 対 策 情 報 の 枠 を 超 えて 対 策 の 提 案 を 行 った 理 由 は 標 的 型 攻 撃 がこれまでの 常 識 を 超 えた 狡 猾 な 攻 撃 方 法 であり 私 たちの 知 見 もまだまだ 十 分 なレベルに 至 っていないと 考 えた ためです これまでになかった 範 囲 と 深 さの 対 策 方 法 を 必 要 とする それが 標 的 型 攻 撃 の 対 策 です 冒 頭 に 記 しましたが 本 書 は 継 続 的 に 更 新 を 受 け より 高 い 精 度 と 取 り 上 げる 対 策 領 域 を 広 げてまいります 以 上 41

42