サイバーセキュリティ対策、どこまでやればいいかと聞かれたら？：羽ばたけ！ネットワークエンジニア（26）

サイバーセキュリティ対策はどこまでやればいいか？　わが社のセキュリティ対策は十分か？　という質問を受けることが多い。どのように答えればよいのだろうか。

[松田次博，＠IT]

連載：羽ばたけ！ネットワークエンジニア

基本方針は2つある

　数年前、サイバーセキュリティの専門家の力を借りて企業のセキュリティシステムを整備する仕事を手掛けた。その経験から自分なりに会得したセキュリティ対策の考え方は「防げる攻撃は確実に防ぐこと」「そのために必要なセキュリティサービスやツールを使うこと」という単純なものだ。単純なことをきちんとしていないと大きな事故が起こる。

　2015年6月に日本年金機構が標的型メールにより、約125万件の年金情報の流出事故を起こした。この事故を契機に個人情報を扱う企業では、未知のマルウェアを含む標的型メールを排除できるサンドボックスを備えたセキュリティ製品の導入が進んだ。

　その1年後、2016年6月にジェイティービー（JTB）が公表した約678万人の個人情報流出の可能性がある事故はやはり標的型メールが原因だった。もし、日本年金機構の事故を他山の石として標的型メールに対応したメールセキュリティを構築していればこの事故を防げた可能性が高い。メールを開いた社員が責められるべきではなく、標的型メール対策を用意しなかった経営陣が責められるべきなのだ。

　つい最近、「うちのセキュリティ対策は十分なのだろうか？」という質問を受けた。そこで、最新のセキュリティ脅威のトレンドとその対応策についてセキュリティの専門家に教示してもらった。以下はそのポイントである。

攻撃にはトレンドがある

　図1に最近多いサイバー攻撃と手法を挙げた。数年前には耳にしなかったのがビジネスメール詐欺やEmotetマルウェア、SSL対応の通信を介した攻撃だ。

図1　増加している攻撃と攻撃手法の変化

　ビジネスメール詐欺とは海外の取引先や自社の役員などになりすまし、巧妙に細工された偽の電子メールを企業の担当者に送って攻撃者が用意した口座へ送金させる詐欺の手法である。

　Emotet（エモテット）というウイルスに感染させる攻撃メールも増えている。Emotetに感染すると感染したユーザーになりすまして過去にメールを送信したことがある相手にメールを送信する。メールの文面まで本人に似せたメールだ。それによって感染を広げていくのだ。もちろんメールを送るだけではなく、オンライン銀行に関する情報を盗み出したり、ランサムウェアに感染させようとしたりする。

　SSL（Secure Sockets Layer）とはインターネット上におけるWebブラウザとWebサーバ間でのデータの通信を暗号化し、送受信する仕組みだ。IDやパスワードなど秘匿性が高い情報を盗聴、解読されないようにする。しかし、SSLを使うとWebからダウンロードするファイルも暗号化されるため、ウイルススキャンなどのチェックができない。SSLを隠れみのにしてマルウェアやウイルスが送られることがあるのだ。最近では多くのWebサイトでSSLが使われているため大きな脅威となっている。

攻撃に応じた防御策がある

　これらのセキュリティトレンドへの対策をまとめたのが図2である。

図2　サイバー攻撃への対策

　サンドボックスとは既知のウイルスの定義ファイルによるスキャンでは発見できない、未知のウイルスやマルウェアをユーザーに影響のない仮想環境で検査する機能だ。クラウドを利用したサンドボックスも多い。サンドボックスを備え、標的型メール攻撃の対策が可能なメールセキュリティサービスは先述の通り、2015年の日本年金機構の事故をきっかけに普及が進んだ。Emotetマルウェアの防御も期待できる。

　SSLを隠れみのにした攻撃を防御する対策としてはSSL可視化機能のあるクラウド型セキュアプロキシサービスがある（図3）。WebサーバとWebブラウザの間でやりとりされるデータをリアルタイムで復号し、ウイルス定義ファイルによるスキャン、サンドボックスによる検査を経て、問題がなければ再暗号化して送る。

図3　SSL通信可視化によるセキュリティチェックの仕組み

　サイバー攻撃を完全に防ぐことが困難なことは名だたる大企業が外部から侵入され、機密情報の漏えいが起こっていることでも分かる。一般の企業にとって大事なことは冒頭に挙げた通り、「防げる攻撃は確実に防ぐこと」「そのために必要なセキュリティサービスやツールを使うこと」の2点だ。

　皆さんが運用する企業ネットワークにおいてもセキュリティトレンドへの対策ができているかどうか、点検してはいかがだろう。

筆者紹介

松田次博（まつだ　つぐひろ）

情報化研究会主宰。情報化研究会は情報通信に携わる人の勉強と交流を目的に1984年4月に発足。

IP電話ブームのきっかけとなった「東京ガス・IP電話」、企業と公衆無線LAN事業者がネットワークをシェアする「ツルハ・モデル」など、最新の技術やアイデアを生かした企業ネットワークの構築に豊富な実績がある。企画、提案、設計・構築、運用までプロジェクト責任者として自ら前面に立つのが仕事のスタイル。『自分主義-営業とプロマネを楽しむ30のヒント』（日経BP社刊）『ネットワークエンジニアの心得帳』（同）はじめ多数の著書がある。

東京大学経済学部卒。NTTデータ（法人システム事業本部ネットワーク企画ビジネスユニット長など歴任、2007年NTTデータ プリンシパルITスペシャリスト認定）を経て、現在、NECセキュリティ・ネットワーク事業部主席技術主幹。