データ主導権モデルの分花いモデルの責任分界点

「責任共有モデル」とは？クラウド時代のセキュリティについて徹底解説！

by ブログ

データ主導権モデルの分花いモデルの責任分界点

昨今、クラウドサービスの普及に伴い、多くの企業がクラウドサービスへの移行を検討していると思われます。しかし、クラウドサービスの利用時に注意したいのが、事故が起きた際に誰が責任をとればよいのか、ということです。現在のクラウドサービスの多くは「責任共有モデル」というセキュリティモデルを採用しています。しかし昨今、とりあえずクラウドを使ってみよう、という考え方が広がり、こうした「責任共有モデル」をはじめとするセキュリティについて把握しきれていない利用企業も多数あると言われています。総務省は、クラウドサービス事業者向けの「情報セキュリティ対策ガイドライン」を2021年9月に改定し、この責任共有モデルについて内容を拡充しました。

こうした事情に鑑みて、ここでは、クラウド時代の新しいセキュリティである「責任共有モデル」と弊社が提案する「データ主導権モデル」について解説していきます。また、セキュリティ対策として具体的にどのような対策があるのか、最後に紹介します。

 

責任共有モデルとは

そもそも、責任共有モデルとはどのようなモデルなのでしょうか。簡単に言ってしまえば、サービスにおける責任をクラウド事業者と利用者との間で共有するという考え方です。クラウドの登場によって、セキュリティのあり様は大きく変わったと言われています。完全に自社内だけで、インフラからアプリケーション構築、データ管理を行っている場合は、データの機密性の保持を第一に考え、外部との通信に気を遣えば、大きな問題はないと思われるでしょう。しかし、クラウドの登場により自社の「外部」にデータやアプリケーションを保持する、という運用体制が出来上がります。そのため、データやシステムに問題が起きた時にどこが責任をとるのか、どのようなセキュリティ対策を施すべきなのか、ということを考え直す必要がありました。そうして生まれたのが、「責任共有モデル」という考え方でした。

例えば、クラウド事業者がインフラ等に責任を、利用者がデータに責任を持つと仮定してみましょう。ハードウェアやネットワークについては事業者が管理し、障害等が起こった際には責任を負います。それに対して、実際にクラウド上に保存されているデータに関しては利用者が管理し、操作の誤り等による損失の際には責任を負います。このように、サービスの管理責任の範囲を明確化して共有する、という考え方が「責任共有モデル」です。

 

IaaS、PaaS、SaaSの「責任分界点」の違い

「責任共有モデル」に則ってサービスを運用するためには、事業者と利用者の責任範囲を明確にしておく必要があります。その責任範囲の明確化は、「責任分界点」によって成されます。「責任分界点」とはその名の通り、責任範囲を分かつポイントのことです。この責任分界点は事業者やサービスによって様々ですが、IaaS、PaaS、SaaSのそれぞれについて、一般的なものについてご紹介します。

サービス毎の責任範囲

出所：日本マイクロソフト

IaaSの責任分界点

IaaSとは「Infrastructure as a Service」の略称で、直訳すると「サービスとしてのインフラストラクチャー」となります。つまり、ハードウェアやネットワーク回線といったインフラを、インターネット上で提供するサービスです。IaaSにおいて事業者が提供するのはインフラまでです。そのため、事業者が責任を負うのもインフラまでです。IaaSの上に構築されるかOSやミドルウェア、アプリケーション、データ等に関しては、利用者の側で責任を負うことになります。そのため一般に、IaaSにおける責任分界点はハードウェアとOSの間、ということになります。

PaaSの責任分界点

PaaSとは「Platform as a Service」の略称で、直訳すると「サービスとしてのプラットフォーム」となります。PaaSはIaaSよりもさらに進んで、アプリケーション開発のためのプラットフォーム、つまりインフラに加え、OSやミドルウェアまでをインターネット上で提供するサービスです。IaaSの場合、事業者の管理責任はミドルウェアにまで及びます。ユーザーが管理できるのは、インフラ・プラットフォームの上に構築できるアプリケーションとデータ、ということになります。つまり、一般にPaaSにおける責任分界点は、ミドルウェアとアプリケーションとの間、ということになります。

SaaSの責任分界点

SaaSとは「Software as a Service」の略称で、「サービスとしてのソフトウェア」となります。SaaSはIaaS、PaaSよりもさらに進んで、ソフトウェアやアプリケーションをインターネット上で提供するサービスです。SaaSの場合はOSやミドルウェアのみならずソフトウェアまでを事業者が管理することとなるため、利用者の責任範囲はデータのみ、ということになります。しかし、利用しているソフトウェアのユーザーIDや権限設定など、利用者の側でソフトウェアの管理の一部を担うこともあります。とは言え一般に、SaaSにおける責任分界点はソフトウェアとデータとの間、ということとなります。

 

クラウド利用の複雑化による責任範囲の不明瞭

ここまで、IaaS、PaaS、SaaSそれぞれの責任分界点について解説してきました。ここまでの話からすると、責任共有モデルとは、事業者の提供しているものは事業者が、そうでないものは利用者が責任を負う、という非常にシンプルな考え方に見えます。しかし、実際はここまで単純ではありません。その理由の一つが、サービスの利用環境や契約内容等により、責任範囲が異なるということが挙げられます。「このサービスはSaaSに分類されるはずだから、データだけ見ておけばいい」といった考え方は、セキュリティ対策の見落としなどにつながる可能性があります。もう一つの理由として、複数のクラウドを利用するようになった、ということが挙げられます。例えば、「Amazon Web Service」や「Microsoft Azure」のような、IaaS、PaaSの上に独自のアプリケーションを構築し、それを一つのSaaSとして提供している場合があります。また、APIを用いて複数のサービスを組み合わせ、一つのSaaSとして提供している場合もあります。

このように、一つのSaaSが複数のクラウドサービスを使って提供されていたり、利用者の側でも複数のクラウドサービスを利用したりと、クラウドのあり方が複雑化しつつあります。そのため、責任範囲を一様に確定させることは難しく、あくまでも自社の利用しているサービスの責任範囲をしっかりと把握して、適切なセキュリティ対策を行う必要があります。

 

「責任転嫁モデル」から「データ主導権モデル」へ

責任共有モデルは、事業者が全ての責任を負うのではなく、部分的に利用者が管理し責任を負うため、事業者が利用者に責任を転嫁する「責任転嫁モデル」と揶揄されることもあります。しかし、クラウドサービスの事業者側がサービスの管理の全てを担う、という体制ではデータの機密性にも不安が残ります。そのため利用者の側は、この責任共有モデルを「責任転嫁モデル」と揶揄するのではなく、「データ主導権モデル」として見つめなおし、データ保護のためのセキュリティ対策に取り組んでいく必要があります。

それでは「データ主導権モデル」のセキュリティ対策には、どのようなものが考えられるでしょうか。

 

「データ主導権モデル」のセキュリティ対策とは

まず必要になるのが、保護範囲を明確化する、ということです。「データ主導権モデル」と言うからには、守るべきデータがどこにあるのかをきちんと把握する必要が生じてきます。そのうえで、そうしたデータに関して、セキュリティ的にどのような課題があるのかを明確化する必要があるでしょう。守るべきデータ範囲とセキュリティ上の課題が明確化したら、具体的な策をとっていくこととなります。ここでは、外部からの攻撃への対策、内部に侵入されてしまった場合の対策、そして運用・管理に関わる対策についてご紹介します。

まずは、外部からの侵入や攻撃に対する対応です。WAF（WebApplicationFirewall）の導入によって攻撃性のあるアクセスを排除したり、DDos攻撃への対策を導入したりといった対策がそれにあたります。次に検討すべきは、内部に侵入されてしまった場合の対策です。WAFも万能という訳ではありません。実際に侵入されてしまった場合に、マルウェアやデータの改ざんを検知するソフトの導入などが必要となります。しかしそれだけでは不十分です。クラウドの利便性の高さの一つの要因が、どこからでもアクセスできるという点にあります。つまり、クラウドを利用したサービスは、オフィスの外からでも社内のシステムを運用・管理できます。しかし、システムを社員が利用するとしても、社員のデバイスが正規のものか、本当に社員がアクセスしているのか、といった不安は解消できません。そのため、内部のアクセス権限を管理したり、ログを監視したり、といった対策も用意する必要があります。

ここでは、「データ主導権モデル」の具体的なセキュリティ対策例として、外部、内部、運用・管理の三段階に分けてご紹介しました。いずれの対策をとるにしても、守るべきデータ範囲とセキュリティ上の課題を明確化した上ではじめて成立する対策であることは押さえておく必要があると思います。

「データ主導権モデル」について弊社のウェビナーもありますので、ご興味のある方はこちらをご覧ください。

 

まとめ

ここでは、「責任共有モデル」とそれに準じたセキュリティについてご紹介しました。「責任共有モデル」とは、クラウドの事業者と利用者との間で責任をとる範囲を分担し、各々の管理下にあるものについてのみ責任を持つ、というモデルを指します。責任範囲は一律に決まるものではなく、自社の利用しているサービス毎に責任範囲を明確に把握する必要があります。「責任共有モデル」は「責任転嫁モデル」と揶揄されることもありますが、企業がすべきはこのモデルを「データ主導権モデル」として見つめなおし、適切なセキュリティ対策を行っていくことです。保護範囲の確定と課題の明確化を行い、そのうえでWAFの導入やDDoS対策、マルウェア検知等の策を講じていく必要があります。自社のサービスの特性や責任範囲だけでなく、守るべきデータの範囲や課題をきちんと把握することこそが、自社のデータを安全に守るための第一歩と言えるでしょう。

ちなみに、当社のCloudbric WAF＋はWAF機能のみならずDDoS対策サービス機能まで提供する総合セキュリティ対策です。コストパフォーマンスと高度なセキュリティの両立できるWebセキュリティ対策をお探しの企業様にとって、最善の選択肢であると思いますので、ぜひチェックしてみてください。

 

▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」

▼製品・サービスに関するお問い合わせはこちら

 

ランサムウェアの状況とその対策サムネイル220114

2021年日本におけるランサムウェアの状況とその対策について

by ブログ

日本におけるランサムウェア状況とその対策

2020年1月から全世界を脅かしたコロナウイルスは我々の生活パターンを大きく変えてしまいました。コロナウイルスの影響で始まった新しい生活様式は「ニューノーマル」と呼ばれています。その生活様式はソーシャルディスタンスを保つことを中心にしています。この変化は日常生活だけではなく、働き方に関しても大きな影響を及ぼしています。会社に出勤する形ではなく、自宅やネットワークが繋がっている場所で仕事をする、いわゆるテレワークの時代が始まりました。

 

コロナウイルスがもたらした新しい働き方

テレワークはソーシャルディスタンスを保ちながら、企業運営ができる働き方なので、多くの企業が導入していますが、それにはある問題が伴います。それは企業の情報保護が難しくなることです。ネット上で多くの仕事が行われ、重要な情報が保存されるため、ハッカーに狙われやすいです。このような攻撃から情報を守るために、企業はセキュリティ対策に力を入れていますが、巧妙化している攻撃を完全に防ぐことは難しいです。数多くある攻撃の中で、最近急増しているのがランサムウェアによる攻撃です。

 

ランサムウェアとは

ランサムウェアはマルウェアの一種で、利用者のシステムへのアクセスを制御し、データを暗号化する不正プログラムです。暗号化されたデータを解除するためには身代金(Ransom、ランサム)を支払うように要求されるのが一般的です。従来のランサムウェアは不特定多数の利用者を狙っていましたが、最近には特定の個人や企業を標的にしていることも多くあります。ここでは、急増しているランサムウェアによる被害を調べ、その対策について解説いたします。

 

日本におけるランサムウェアの発生状況

警察庁が発表した資料によると、2021年(上半期)にランサムウェアによる被害報告が61件に達しました。この件数は2020年下半期と比べたら、約3倍が増加した数値です。

引用：「令和３年上半期におけるサイバー空間をめぐる脅威の情勢等について」より作成

また、最近の事例ではデータの暗号化するだけではなく「データを窃取したあとに企業に対し、身代金を支払わなければ、窃取したデータを公開する」などのようなお金を要求する二重恐喝(ダブルエクストーション)による被害も見られます。ランサムウェアによる被害の中で、金銭の要求手口が確認された被害が35件であり、このうち二重恐喝は27件でした。この状況を見ると、これからのランサムウェアは従来の攻撃手口であった利用者のアクセスを制御する形だけではなく、直接金銭を要求するランサムウェア攻撃も多発する可能性が高くなると思われます。

 

ランサムウェアの感染経路

個人や企業を問わずに被害を与えているランサムウェアはどのような経路で感染されているのか調べてみましょう。警察庁の発表によると、多くの割合を占めていた経路はVPN機器からの侵入でした。次いで、リモートデスクトップからの侵入もあり、テレワーク時に使われるサービスを利用して侵入したのが約80％を占めていることがわかりました。では、日本で実際に発生したランサムウェアによる被害の実例を確認してみましょう。

 

日本で発生したランサムウェア「Cring」による被害

「Cring」は2020年12月頃全世界で活動した新しいランサムウェアであり、データの暗号化と窃取したデータを暴露するタイプである二重恐喝(ダブルエクストーション)型です。攻撃者はVPNの脆弱性を利用してITシステムへ不正侵入し、アクセスを制御し、ランサムウェアを感染させて、重要なデータを利用不可にします。このランサムウェアは2021年上半期から日本で多く発生しました。被害事例としては、管理するファイルサーバと業務サーバがシステム停止状態になるなど、企業運営に直接的に影響を及ぼす程度の被害もありました。

このように攻撃者はコロナで急変している働き方の脆弱なところを狙って攻撃を仕掛けてきます。この状況の中で、個人や企業は安全なテレワークの環境の構築とデータを守るためにはどのようなセキュリティ対策が必要なのでしょうか。

 

ランサムウェアを防御するセキュリティ対策とは

まず、簡単にできることは電子メールの警戒があります。未だにもランサムウェアは不特定多数に関心を引くような内容でメールを送って添付ファイルを開かせ、感染させる手口が多いです。対応としては送信先を確認してから添付ファイルを開くことやリンク先にアクセスしないように注意する必要があります。

次に、定期的にデータをバックアップしておき、感染に備えることも必要でしょう。しかし、バックアップデータも暗号化された事例もありますので、バックアップデータはネットワークから切り離して保管した方が望ましいです。

最後に、ネットワークの脆弱性を狙って攻撃し、感染させる手口もありますので、それに対する対策も必要です。多くの企業さんが安全なテレワーク環境を作るために、ZTNAを導入しています。ZTNA(ゼロトラストネットワークアクセス)はアクセスできる範囲や権限をきめ細かく設定したり、多要素認証を追加することでユーザの検証を行い安全性を確保します。

 

Cloudbric RASのご紹介

「Cloudbric RAS」についてご説明します。Cloudbric RAS(クラウドブリック・ラス)は、Cloudbric Security Platformにて選択できるZTNA（Zero Trust Network Access）ソリューションです。ユーザ観点の認証セキュリティを付加し「End To Endのゼロトラストセキュリティ環境」を提案します。安全なテレワーク環境を構築するための企業の課題を解決するSaaS型テレワーク・サービスであり、Direct ConnectやVPNを構築せずセキュアに企業システムへアクセスをサポートし、管理性・利便性とセキュリティが両立できるサービスを提供しています。

Cloudbric RASサービスの料金やサービス内容について詳細を知りたい方は、こちらをご覧ください。

 

まとめ

2021年日本におけるランサムウェア被害とその対策について説明しました。今後はより巧妙化したランサムウェアが特定の企業を標的にして攻撃することもあるでしょう。そのような攻撃からデータを安全に守るためには、適切なセキュリティ対策が必要になります。弊社が提案する対策を参考に安全なテレワーク環境を構築して頂ければ幸いです。

 

参考サイト
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R03_kami_cyber_jousei.pdf
https://www.ipa.go.jp/files/000093083.pdf
https://www.npa.go.jp/cyber/ransom/index.html

블로그 이미지211203

メタバース普及に伴うセキュリティリスク、そして対策について解説

by ブログ

前回、メタバースについてくわしく解説しました。詳しくは下記の記事を参考にしてください。

→世の中でほとんど常識の「メタバース」、まだ見ぬ未来にもたらすインパクトとセキュリティ対策について

 

メタバースの空間では声だけでなく仕草などの存在感も感じられ、実際に会っているような感覚で話せることからビジネスでのコミュニケーションの面でも注目されています。今回は、最近になって関心を向けられているメタバースにおけるサイバーセキュリティと生じる可能性があるリスクについて考えてみます。

 

メタバースの特徴2

このメタバースは次世代における、生活や産業などの経済活動を営む上で不可欠な社会基盤とも言われており、Facebook、Googleなど世界中の企業から注目を集めていますが、この世界に「メタバース」と呼ばれるものを、細部まで正確に成り行きや結果について前もって見当をつけて説明できる人はいないとも言われています。それほど新しい概念となっているため、メタバースを現実のものとすることがもしも叶うならば、インターネットの次のインフラと言われるほどの世の中を変える大きな動きをもたらすでしょう。インターネットが世の中に登場する以前の人々がインターネットの全貌を予測できなかったように、私たちもメタバースというものを予測できないのです。しかし現時点における本質的な思考において把握される、メタバースの『何たるか』という部分をよくわかるように述べることは不可能ではありません。

  1. 無限の期間に存在することのできる特性がある
    インターネットの世界ではスイッチをオフにしてしまえばそこで終了ですが、現実世界には終わりがありません。この意味でメタバースは現実世界に近い無限の期間に存在することのできる特性があること。
  2. 自分の主体性がある
    ここでの主体性とは自分そのものを現示するアバターのことで、人間の創造的活動により生み出されるどのようなものであっても変わらずに使用できること。
  3. 現実世界と内容や情報が一致している
    常に現実世界と仮想世界の内容や情報が一致しており、時間が一致していること。
  4. 何時でも無条件で場所を選ばずに参加できる
    接続できる人数に制限がなく、特殊な場合についてでなく広く認められ公開されているということ。ひとつの場所に制限がなく接続できること。
  5. 自社の経済波及効果を持っている
    個人や企業が、仮想空間内でサービスの開発・売買・投資・保有、さらに作ったものに対して報酬が支払われること。これらが現実世界でこうあるべきだと決められた規則から独立して行われること。
  6. 多種多様のコンテンツ
    ゲームやスポーツ、アーティストの生演奏観覧をファーストステップとして、ファッションショーやトークショーなどリアルで実施されてきたイベントを行えること。

現在において、確定的事実としてではありませんが考証推測できるメタバースの特徴はこれくらいでしょうか。共通して考えられることは、現実の世界を構成する個々の部分とほぼ変わらない固有の働きを備えているということでしょう。

 

メタバースで配慮しなければならないサイバーセキュリティとリスク

現実空間と似通っているエクスペリエンスができてしまうメタバースは、まだ見ぬ未来多種多様な場面において役立てるシーンが広がるものと考えられます。これまでのインターネットサービスと相違するメタバースで、推しはかれるリスクにはいったいどんなものがあるでしょうか。これからバーチャルな空間で生活する場面が増えていく時代を迎え入れるに際して、いったいどんなリスクが存在するのかを考えることはきわめて大切なことです。

リスクモデリング手法「STRIDE」

メタバースにおけるリスクを考える上で、リスクモデリング手法である『STRIDE』を使用します。STIRDEはマイクロソフト社によって提唱されたリスク導出の方法で、サービスにどのようなリスクが考えられるのかを次の6つの観点で網羅的に分析できます。

  1. Spoofing identify：なりすまし
    正規の利用者に悪意のある攻撃者がなりすます
  2. Tampering with data：改ざん
    データの悪意ある書き換え
  3. Repudiation：否認
    攻撃の証拠を隠滅し身元を隠す
  4. Information disclosure：情報漏えい
    秘匿すべき情報が窃取または公開される
  5. Denial of service(DoS)：サービス拒否攻撃
    サービスを止めてしまい使えなくする
  6. Elevation of privilege：権限昇格
    管理者の権限を不正に奪い悪用する

これらの6つのリスクカテゴリーの頭文字をとってSTRIDEとされています。本来は対象となるサービスのデータフローを図式化し、フローごとに詳細な上記の観点で分析を図っていきますが、ここでは簡易的にメタバースで起こり得るリスクについてSTRIDEの観点で考えてみます。

 

Spoofing identify(なりすまし)

メタバースにおけるなりすましは利用者の存在それ自身を脅して恐怖を抱かせます。記録や情報が盗んで持ち出される情報漏えいだけでなく、無断で情報がやり取りされるといった被害が発生することによって、本人の心当たりがないところで信頼性を失墜させる可能性があります。メタバースの利用用途が広がれば、勝手な契約や詐欺などに悪用される恐れもあります。攻撃者は次のような手順で利用者へのなりすましを行うと考えられます。

  • 認証情報(IDやパスワード)の窃取
    メタバースに接続するための認証情報が狙われるため、サービス運営者を騙ったフィッシングによる窃取や辞書型や、リスト型攻撃による不正ログインなどが考えられます。運営者側では多要素認証の導入、利用者側は他のサイトとのパスワードの使い回しをしないといった対策が有効です。アバターモデルデータやワールドデータが認証情報に紐づけられて登録されているため、認証情報の維持管理はいいかげんにせずきびしい態度で対処する必要があります。
  • アバターモデルデータの窃取
    メタバースで使われているアバターモデルは現実のトレンドとほとんど同じであることによって、自分自身の姿に手を加えて他と比較して異なる個性をもった好みのものに作り変えられるため、利用者の人格を正しく理解する上で重要視されるべき要素となっています。その人個人のアバターモデルが他人に悪用されてしまうと、他の利用者から視覚的に見分ける方法はありません。アバターモデルデータを窃取するには、正当と見なされる手段や方式を用いないログインやメモリーに展開されているキャッシュデータからの抽出、サーバ上に保存されているデータの取得が考えられます。これらのリスクには、サーバやクライアントアプリを含めたサービス提供側でのデータの抽出や解読を困難にする仕組みの導入などの対策が求められ、サーバ上に保存されているデータについても暗号化や権限管理による制限が必要となります。
  • 他人を装った利用者
    アーティフィシャル・インテリジェンスなど高度な合成技術を用いて作られた、本物と見分けがつかないような偽物の動画である『ディープ・フェイク』が大きな問題になっていますが、メタバースでの人格のなりすましはまさに魂のディープ・フェイクと言えるでしょう。アバターモデルデータの窃取と同様に、他人を装った利用者の存在もリスクと考えられます。相手の存在をアバター・声・しぐさ・名前といった現実よりも条件が制約されており、行動や判断の範囲に一定の限度がある情報で認識しているため、他人のアバターを窃取することによって、声や動きを合成音声やしぐさの解析で再現できるため、メタバース内でのみ顔見知りである人にとっては本人と見分けることはこの上なく困難なものと言えます。メタバースを通して利用者に提供するサービスについて思慮をめぐらす際は、こういったなりすましを考慮に入れた本人確認のメカニズムを考えなければなりません。

 

Tampering with data (改ざん)

メタバースでは、利用者が作り上げたアバターやワールドのデータを複数の利用者が共に利用できる仕組みを備え持っているため、攻撃者による改ざんは制作した利用者の意図とは異なる動作によって他の利用者への被害を生む恐れがあります。

  • ワールドデータの改ざん
    メタバースでは、通常の限界を超えた色の変化や光のハイスピードな点滅といった神経を過敏に反応させる問題のある演出効果を、利用者の視界全体に表示させる嫌がらせが問題となります。これらは心理的・精神的な悪影響だけでなく、嘔吐や倦怠感などの身体的な被害を生じる場合があり、最悪の場合重大な症状のきっかけとなる恐れがあります。攻撃者がワールドデータを改ざんすることでこういった効果を埋め込むことによって、訪れた善意の利用者に被害を生じさせるといった不正行為が考えられるため、利用者のアバターモデルと同じ方法でサービス提供側におけるワールドデータの保護が所望されます。
  • プロファイル情報の改ざん
    メタバースでは、オンラインゲーム同様にこの人は信じられる、頼りにできるなどと他人から評価される度合いをスコアリングした、信頼度レベルシステムを搭載しているサービスもあります。こういった信頼度スコアは、メタバース内における社会性のある互いを大切に思う結びつきといったアクティビティを積み重ねることによって、スコアがレベルアップするように設計されています。こういった値が改ざんされてしまうと、つくり終えて間のないアカウントでも他の利用者に被害をもたらすようなワールドやアバターデータを共有することが可能になる危険性があります。

 

Repudiation(否認)

否認とは、サービス上での操作履歴を跡形もなく消すことによって、不正行為のエビデンスを無くし攻撃者の特定をできなくするリスクです。過去に蓄積された情報から攻撃者を特定することが困難となるため、状況に合わせた適当な処置をとることがほぼ不可能となります。メタバース上では、サービス内に保存されている過去にどういった行動をしたかという情報の改ざんや、操作の順序と回数を記録した情報の改ざんなどによる否認が考えられます。

 

Information disclosure(情報漏えい)

情報漏えいは、情報を保持すべき当事者以外の第三者が不正に情報を入手するリスクです。

  • メタバース空間内での盗聴・盗撮
    現実世界と同じようにメタバース空間内においても盗聴・盗撮といった悪い結果を招く可能性があります。アナログな現実世界をデジタル・コピーした世界であるメタバース空間においては、原理上『見えない』アバターの存在が可能で、ひとつのワールドデータを基にして同時に複数の世界を生成できます。このようなメカニズムはワールドのインスタンス化と呼ばれています。プライバシーを提供するために作成されたインスタンスにおいては、プライベートな内容や守秘義務が課されるような会話が行われているかもしれません。こういったインスタンスに第三者がアクセス可能である場合、目に映らないアバターを通して発言や行動などといったものが盗聴・盗撮されてしまう恐れがあります。サービス側におけるインスタンスの権限管理が行われることはもちろん、利用者側も接続に必要なインスタンス認証情報の取り扱いに注意が必要です。
  • メタバース空間に仕組まれた盗聴器や隠しカメラ
    ワールドのメカニズムを悪用することによって、そのワールドに訪問した利用者の行動や発言を記録される可能性が考えられます。盗聴器や隠しカメラと同様にワールドデータ内に仕組まれた音声や画像を採録するメカニズムによって、そのワールド内での利用者同士の会話や出来事が、知らない間に録音・撮影され第三者に送信されているかもしれません。このような機能の悪用を防ぐには、サービス側でワールドを作成する機能に対して通信先の制限や使用可能な機能の制限などを適切に行う必要があります。アバターを通してメタバース空間内で行われるコミュニケーションは、そのことに直接関係する人にとっては現実世界と同様に現実味を帯びた体験と等しい価値を持ちます。これらに対する盗聴・盗撮は体験以外の何ものでもないものの窃取と言えるため、リアル世界と同等に深刻な問題となります。

 

Denial of Service(サービス拒否)

いわゆるDoS攻撃とも呼ばれるもので、コンピュータの負荷を上昇させることによって、サービスの提供を不可能にするリスクです。

  • 利用者のパソコンに対するDoS攻撃
    ワールドやアバターを気持ちの赴くままに開発できるメタバースでは、利用者が仮想空間への接続に使用しているパソコンに対するDoS攻撃が考えられます。表示させた瞬間にパソコンが突然に異常終了してしまうアバターや、接続した瞬間にオーバーロードで表示が止まってしまうようなワールドなど、利用者が制作可能な機能を悪用した攻撃は実際に既存のメタバースでも問題となり様々な手段で対策が行われてきました。盗聴対策と同様に、アバターやワールドの表示や処理負荷に対して満たさなければならない条件についての決まりごとを設定して、アップロード時に検査するなどの処置が必要となります。

 

Elevation of Privilege(権限昇格)

権限昇格は、一般の利用者のアカウントを不正な方法によって管理者に昇格し、通常では使用できない管理機能の使用を可能にするリスクです。

  • プロファイル改ざんによるスーパーユーザ権限の取得
    サービスの仕様によっては、ユーザプロファイルにおける権限フラグ設定などを改ざんし、スーパーユーザ機能を有効にする攻撃が考えられます。

 

まとめ

メタバースが普及するようになると今後ビジネスコミュニケーションを大きく変えることになるでしょう。しかし、現在ではゲーム、教育、会議など、特定の分野での活用にとどまり、まだ限界があるのも事実です。最も懸念されるものがセキュリティです。メタバースがこれからどのように進展いくのか分からないということ、そして現在メタバースがインターネット上で構築されている以上、Webシステムにまつわる全てに脅威について徹底して対策していく必要が求められます。

 

Cloudbricのご紹介

https://www.cloudbric.jp/cloudbric-security-platform/

 

11.24

「CMS」とは？CMSの利用とそのセキュリティ対策について

by ブログ

現在のWebサイトの多くはCMS（Contents Management System：コンテンツ・マネジメント・システム）により構築されています。数あるCMSの中でもWordPressを利用したWebサイトはインターネット全体の40%を占めています。WordPressは企業のWebサイトに利用されているだけでなく、個人のブログにも利用されるなど幅広い支持を得たCMSです。支持される背景には、コミュニティにより開発されたプラグイン（拡張機能）を利用することで魅力あるWebサイトの構築が簡単になったことなどが挙げられます。

同時にCMSの脆弱性を利用した攻撃は増加しています。特にフィッシングサイトを悪用した詐欺被害は、CMSを利用するWebサイトの管理者の方には注意が必要です。ある日、管理しているWebサイトで不審なログインページが表示されたとなっては、Webサイトの信頼も落ちてしまいます。

ここではCMSに対する攻撃の事例、WAFを利用した攻撃への対策、JVN iPediaを利用した脆弱性の情報収集の方法について説明します。

 

CMSとは？

「CMS」は「Contents Management System：コンテンツ・マネジメント・システム」の略で、Webサイトの作成を簡単にしてくれる管理ツールです。HTMLやCSSといった専門的な知識、技術が無くてもテキストの入力や、画像のアップロードをするだけで、Webサイトの構築、更新を行うことができます。主な機能としてマルチデバイスに対応している、SNSとの連携が可能、SEO対策に対応している、などがあります。これらはスマホやタブレットとの親和性が高い機能です。特にブログの運営にはメリットがあります。

またビジネス用途としては、マーケティングのツールとしても利用されています。Webサイトの訪問履歴から様々な分析が可能になりました。訪問者を種別に分ける機能などもあり、Webサイトを情報公開のツールとしてだけでなく、見込み客の生成など、情報の収集ツールという機能が付加されたことは大きなメリットとなっています。

 

なぜ、CMSが狙われる？

CMSはWebサイトで利用されています。Webサイトは常に稼働しています。常に稼働しているWebサイト（CMS）に脆弱性があれば攻撃者は当然のように攻撃をしかけてくるものです。また、CMSへの攻撃は主にWebブラウザで対応ができます。URLに不正なコードを入力することでCMSの脆弱性を悪用できるからです。この手軽さは、攻撃者にとってメリットになっています。攻撃の種類ですが、情報窃取やデータの改ざんだけでなく、不正サイトへリダイレクトさせるなど複数あります。これら攻撃を巧みに利用して、機密情報や個人情報の窃取、詐欺による金銭窃取、仮想通貨(暗号資産）の採掘をさせる仕組みを不正に埋め込むなどの悪用が確認されています。

CMSの代表であるWordPressはオープンソースです。プラグインのソースも公開されています。攻撃者はソースを確認・分析して利用価値のある攻撃方法を開発しています。そのため攻撃手法として、プラグインの脆弱性を利用した攻撃が多いです。その手法も巧妙で、Webサイトの管理者が気づかず、さらに攻撃の痕跡が残らないように作られています。プラグインは、Webサイトの管理者にとって便利な機能が多数あるため、なくてはならないものだと思います。しかし攻撃者は、そのプラグインの脆弱性を探し、悪用しているのが現実です。

 

CMSのセキュリティリスク

引用：JPCERT/CC インシデント報告対応レポート2021年7月1日~2021年9月30日より

上記のグラフはJPCERTが2021年7月~2021年9月の間に報告を受けたインシデントのカテゴリー別の割合です。フィッシングサイトによる被害報告が全体の70%を超えていることがわかります。

引用：JPCERT/CC インシデント報告対応レポート2021年7月1日~2021年9月30日より

上記のグラフは、JPCERTが2020年10月~2021年9月の間に報告を受けたフィッシングサイトの件数です。1500件を下回った月は11月と2月の2回だけです。営業日で考えると毎日100件近い件数がJPCERTに報告されています。報告書には、銀行やクレジットカード会社の会員用ログインページを偽装したもの、携帯通信キャリアのユーザー用ログインページを装ったものが多数報告されたとあります。これら偽造されたWebページにCMSの脆弱性は深くかかわっています。プラグインを悪用した攻撃手法について説明していきます。

 

プラグインを悪用した攻撃方法

攻撃者はCMSの脆弱性を見つけると管理者に気づかれないように、脆弱性を悪用してこっそりと別のWebページを作成します。もしくは、不正なスクリプトを埋め込み、偽のWebページへ遷移（リダイレクト）させます。このような攻撃は、主にプラグインの脆弱性を悪用して行われます。このような攻撃が毎日どこかのCMSで行われていることはJPCERTの報告を見ても明らかだと思います。このことから脆弱性を放置したままのWebサイトは大量に存在していると思われます。それでは、CMSのセキュリティ対策について説明します。

 

CMSのセキュリティ対策

ここではCMSのセキュリティ対策としてWAF（Web Application Firewall）の導入とJVN iPediaを利用した脆弱性の情報収集について説明します。

対策１：最新のバージョンに更新、セキュリティパッチ適用

バージョンアップやセキュリティパッチ適用は重要な対策となります。なのでJVN iPediaを利用した脆弱性の情報収集について説明します。ご利用のCMSやプラグインの脆弱性があるか認識しておくことは重要なことがと思います。JVN iPediaは脆弱性対策情報のデータベースです。下記のURLからアクセスできます。TOPページにある「脆弱性対策情報データベース検索」にご利用のCMSの名前を入力して検索ボタンを押すと対象の脆弱性情報が出力されます。

引用: https://jvndb.jvn.jp/

図では「WordPress」を入力した結果が表示されています。「WordPress プラグイン名」で検索すると利用しているプラグインの脆弱性が表示されます。JVN iPediaでは、脆弱性の概要、深刻度（CVSS値）、対策などが記載されています。

対策２：WAFによる不正攻撃の検知と遮断

CMSの運用にはプラグイン機能を含めて、最新バージョンを利用することがサイバー攻撃を受けないための重要な対応となりますが「すぐにバージョンアップ、パッチ適用することができない」という管理者の方も多いと思います。バージョンアップやパッチ適用には、導入テストなど検証に時間を要することは十分あり得る話だと思います。そのための備えとしてWAF の導入を推奨します。WAFは現在、アプライアンス型WAFとクラウド型WAFの２つが主な提供方法となっています。

  • アプライアンス型WAF
    アプライアンス型WAFはベンダー提供のハードウェアです。Webサーバの前段に設置して運用するタイプです。導入には専門知識のある技術者によるチューニングが必要になります。
    ハードウェア購入というコストが発生します。また、運用には専門知識のある技術者を育てる必要があります。
  • クラウド型WAF
    クラウド型WAFはベンダーの提供するWAFをクラウド上で利用します。アプライアンス型WAFのようなハードウェア購入は不要です。アップデートなどの運用はベンダーが対応してくれるため、コストはアプライアンス型WAFよりコストがかかりません。導入する企業側の作業としては導入時の簡単な設定のみになります。

Cloudbric WAF+のご紹介

「Cloudbric WAF＋」についてご説明します。Cloudbric WAF+(クラウドブリック・ワフ・プラス)は、社内にセキュリティ専門家がいなくても手軽に運用・導入できる企業向けWebセキュリティ対策です。企業のWebセキュリティ確保に必須とされる5つのサービスを単一のプラットフォームにて統合的にご利用頂けます。小規模のWebサイトやWebアプリケーションから大規模のWebサービスまで、Webを基盤とするシステムを守ろうとするすべての人々にとって最適なソリューションを提供しています。

Cloudbric WAF＋サービスの料金やサービス内容についての詳細を知りたい方は、こちらをご覧ください。

 

まとめ

CMSの概要とセキュリティリスクおよびその対策について説明しました。CMSは今後も進化を続け、ビジネス利用や個人利用ともに利用者を増やしていくと予測されます。反面、セキュリティリスクの進化もしていくと予想されます。しかし、WAF+による検知・遮断と脆弱性に対するバージョンアップやパッチ適用という対策に大きな変化はないと思われます。弊社が提案する対策を参考に安全なWebサイトの運用いただけますと幸いです。

 

メタバースとは

世の中でほとんど常識の「メタバース」、まだ見ぬ未来にもたらすインパクトとセキュリティ対策について

by ブログ

オンラインに構築された、多数のユーザが気持ちの赴くままに情報を流したり情報を得たりできる3次元コンピュータグラフィックスの仮想的な空間。多くの人たちは世界中から各人各様のアバターで参加し、それをもうひとつの「現実」としてこれまでにない日々を過ごす、そんな仮想空間のアイデアは、これまで様々な空想的な世界を科学的仮想に基づいて描かれた作品だけでなく現実のサービスとしても提供されてきました。そして以前と同様に、こうした仮想空間へ皆の関心が最近高まっており、もっとも重要な意味をもつ言葉として「メタバース」が挙げられています。今回は様々なメタバース活用事例、そしてセキュリティ対策について2回に分けて解説したいと思います。

 

メタバースとは

メタバース(metaverse)という言葉は「超(meta)」と「宇宙(universe)」から作り出された複合語で、そもそもサイエンス・フィクション作家であるニール・スティーヴンスンが1992年に発表した小説である「スノウ・クラッシュ(Snow Crash)」に出現する架空の仮想空間サービスに付けられた名前でした。その後科学技術が進歩したことによって、よりすぐれたものや複雑なものになって登場した多種多様の仮想空間サービスの呼び名としても利用されるようになりました。

メタバースは域を出ないバーチャル・リアリティとアーティフィシャル・リアリティだけでなく、PC・モバイル・ゲーム機のすべてにアクセス可能なマルチプラットフォームになり得る可能性を秘めています。2000年代に圧倒的に流行したサービス「セカンドライフ」も、2020年に発売されあっという間に国民的人気を得たNintendo Switch用ゲーム「あつまれどうぶつの森」も、メタバースのひとつであるとされており、フィジカル空間とサイバー空間との間を行き来するような相互に他を補うような関係性を持つという特徴があります。

バーチャル・リアリティ空間における意思疎通の活性化

仮想空間をより内容豊富なものとするためにすぐれた技術へと進歩させていくことには、端末の高性能化やネットワークの高速・大容量化も含まれますが、特に重要なことは近年急速に高度化しつつあるバーチャル・リアリティ技術の活用です。バーチャル・リアリティ技術により、三次元グラフィックスを単に平面のスクリーン上に表示させるだけでなく、専用ゴーグルを通じて仮想空間の中にいるような視覚体験や、コントローラだけでなく感情や意志を伝えるための身体の動きや顔の表情を通じてアバターを自由に操作することが可能になりました。

このような進化は個人的な意思疎通を充実させるだけでなく、ビジネス上でも当事者にとって利益があるものとして注目を集めています。一例を挙げると、Facebookは2014年に買い取ったOculus社のバーチャル・リアリティ技術を効果的に利用した、メタバース・サービスである「Horizon Workrooms」を2021年8月に開設しています。Workroom(仕事場)という名称からも理解できるように、実体を伴わない仮想的な会議といったビジネスでの活用が視野におさめられています。参加者は感情や意志を伝えるための身体の動きや顔の表情を通じてアバターを操作でき、より実際の会議に近い意思疎通を仮想空間で行えるようになっています。

仕事をする空間としてのメタバース

基本的には、希望するモニタの数をバーチャル・リアリティ空間に再現して希望するモニタのサイズにでき、理想的なオフィス空間を実現できる可能性があります。同時にいくつかの仕事をこなす人や出張が多いビジネスパーソンでも、仕事環境をどこにでも再現するのに最適なツールであると考えています。オフィス空間に人々が自由に手を加えて好みのものに作り変えることによって、実際のオフィスをどこにでも持ち運べるようになります。

オフィスのデザイン会社や内装業者などの物理的な工事や納品作業が、デジタルデータの受け渡しによって完了してしまう日も近いかもしれません。落ち着きどころとして何百万人もの人々がアバターの衣装や内装デザインといったデジタルコンテンツの制作によって、生活の糧にしていくような世界観になっていくため、ありのままの自分が所望する場所に住みながら、色々な種類がありそれぞれに様子が異なるビジネスコミュニティに属せるようになります。今までの例では東京などといった人口が多く、商工業・経済・文化・政治などの中心となる都市に偏っていた、事業や取引を成立・拡大させるのによい機会が地方に住む人々にも平等に提供されるため、異なる分野の人や団体が協力して制作することなどの今までなかったものを作り出す可能性があります。

NFTによる仮想空間上でのサービスを生産・分配・交換して消費する活動

2021年4月、『Everydays – The First 5000 Days』と銘うつデジタル芸術、つまり物理的にそのものの本当の姿を持たない芸術作品が、約6935万ドル(約75億円)で落札されたことが報道されました。しかし人々が物事に興味を覚えより深く知ろうとしたことは、そのプライスだけでなくNFTの技術が活用されていた点だったのです。

NFTとは『非代替性トークン(Non-Fungible Token)』の略称となります。数多くのコンピュータで構築された分散型ネットワークと暗号化技術を集約化することによって、同期された取引情報データが記録される手法で構築されたデジタルデータ技術が活用されているため、暗号通貨と同様に、真贋・所有・譲渡にまつわる記録を改竄することが不可能に近くなっています。

従前のデジタルデータはいとも容易くコピーされたり、取引情報のログを改竄されてしまう危険がつきまとっていましたが、NFTを有効活用することで唯一性を確保しながら安全に所有・売買できるため、目もくらむような金額での取引が行われるようになってきました。言うまでもないことですが、仮想空間内のデジタルアイテムについても適用でき、メタバースとNFTを集約化することによって、もっとバリエーションに富んでいてスケールの大きなビジネスが仮想空間上で実施されることが期待されています。

 

COVID-19が招いた災厄的な状況によって生じた「メタバース・バブル」

COVID-19が招いた災厄的な状況によって、仮想空間サービスだけではなく、まわりを取り囲む周囲の状態や世界も変化しました。現実空間で多くの人々が集団をなすイベントは、どこもかしこも中止や厳しい制限を付けたうえでの開催が必要な状況に立たされている一方で、現実に近いイベントも実体を伴わないで開催できる空間としてメタバースが高く評価されています。

メタバースを展開することによって、サービスを提供する企業と利用者とを結びつける場所を提供している企業も、そうした需要を満たすようになっており、例えば『あつまれどうぶつの森』でも、色々な種類があり、それぞれに様子が異なる企業や公的機関とのコラボレーション活動を実現しています。またメタバース自体も従来存在するゲームなどといった用途以外でも使用できるように、本来備えている機能面における技術の向上などが留まることがなく成長し続けており、Facebookの『Horizon Workrooms』もそのひとつであるといえます。

またNFTによって仮想空間における取引が、許容できないリスクがなく危険がゼロになることによって、以前にも増してバラエティに富んだ用途でメタバースを使えるようになるため、バーチャルイベントの開催者を対象としたアンケートでは、バーチャルイベントは『リアルイベントのサブスティテュート』といった位置付けを超えて定着する可能性を示すという調査結果もあります。その受け入れ先としてのメタバースへの注目がより一層高まるものと考えられています。

このような理由が主体となって、仮想空間サービスはメタバースの名目で以前と同様に、その動向や詳細について多くの人から意識されています。関連技術が進歩してよりすぐれたものになることや新たな経済活動を手さぐりで探し求めること、そして『ウィズコロナ』の新たなライフスタイルの模索はしばらく続きそうで、企業によるメタバースへの積極性に富んだ投資する行為もさしあたって対処すべきこととして直面することになります。

それとは反対に、将来の発展のためにクリアすべきハードルもあります。より一層の市場拡大を引き起こすような新しいコンテンツが紡ぎ出されるかどうか、また人々が大挙密集して参加する際には欠かせない、こうあるべきだと包括的に決められた規則の形成が進むかどうかは未知数です。相次いで大企業が新たに加わることと前述のNFTを基礎や基盤として有した経済活動への期待とが影響し合うため、ある意味バブル状態を生み出しているといった批判的な意見もあります。

メタバース・バブルがかつてのセカンドライフ・ブームと運命を同じくするのか、あるいは多くのサイエンス・フィクション作品が空想の翼を広げてきた全人類が参加するような巨大プラットフォームを実現するのかに関係なく、大きな変化のシチュエーションを私たちは目の当たりにしているといえます。

 

メタバースによる複数の人での知識や経験を共有

政府がメタバースにパブリック・スペースを作り出したケースもあります。例えば図書館や博物館など、より多くの国民に情報やカスタマー・エクスペリエンスを安価に届けることが可能になります。実際にアメリカ合衆国の大手銀行であるバンク・オブ・アメリカのストラテジストが、次のアマゾンもしくはアップルを探す投資家のメルクマールとして、テクノロジーの新しい発見・発想に関するリストを発表したとブルームバーグが伝えています。

ハイム・イスラエル氏が率いるチームは、ニューヨーク公共図書館の全蔵書を20秒でダウンロードできる第６世代(6G)通信ネットワークなど、テクノロジー面の『ムーンショット(困難だが実現すれば大きな影響をもたらし得る挑戦)』と呼ぶ14種を列挙しました。同氏のチームが情報源に照らし合わせることによって確かめたところによると、メタバースを含む未来に向けて注目されるテクノロジー14種の市場規模は、現時点では3300億ドルですが2030年代までには年率換算で36％まで増加することによって、計6兆4000億ドルに達する可能性があるとのことです。

ムーンショットのリストは以下の通りとなります。

  • 6G通信ネットワーク
  • エモーショナル人工知能
  • 脳コンピュータ・インターフェース
  • バイオニックヒューマン
  • 不老不死
  • 合成生物学
  • ワイヤレス電力
  • ホログラム
  • メタバース
  • 電動の垂直離着陸機
  • 海洋テクノロジー
  • 次世代バッテリー
  • グリーンマイニング
  • 炭素の回収と貯蔵

 

参考記事：

これまでの間、公共財として国や地方公共団体から提供される施設の建設に振り向けられてきた、国や地方自治体が政策の一環として民間の金融機関や企業に投入する財政資金がデジタルコンテンツに流れ込む可能性もあります。このことによって公共の福祉のため整備・提供される施設の維持管理やセキュリティのコストも大幅に軽減される可能性があります。

 

まとめ

今後は、ただ目新しいというだけでなく社会に価値をもたらす、まだ誰も取り組んだことがない新しいビジネスを開始して急成長している企業と大企業が新技術・新製品の開発に際して、組織の枠組みを越え、広く知識・技術の結集を図ることもメタバースの中で行われるような日も近いかもしれません。インターネット、アーティフィシャル・インテリジェンスと続いた画期的な新しい技術の導入によって引き起こされる、経済構造の変革で次にくるのはメタバースかもしれません。

 

WAAPとは

今、注目すべき次世代のWebセキュリティ対策「WAAP」とは？

by ブログ

Web脆弱性を突いた攻撃から、Webアプリケーションを守るセキュリティ対策として多くの企業で導入されているWAF（Web Application Firewall）」。企業のクラウド活用が加速している中、悪意のある第3者は次々に新たな手口を考案しており、サイバー攻撃の手法はますます巧妙化・多角化しています。従来のセキュリティ対策では守り切れないサイバー攻撃における新たな形のWebセキュリティ対策として、WAF、DDoS対策、ボット対策、APIセキュリティなどを組み合わせたクラウド型セキュリティサービス、「WAAP」という概念が登場しました。本記事では、WAFの進化型である「WAAP」について解説しています。

 

ガートナー社が提唱する「WAAP」とは？

「WAAP（ Web Application and API Protection ）」とは、主にIT分野でのリサーチを行っている企業であるガートナー社が提唱する概念で、Webアプリケーション保護対策に加えAPI保護機能を備えているクラウド型セキュリティサービスを示します。「2021 Gartner® Magic Quadrant™ WAAP」によると、今年「WAAP」を導入している組織の割合は10%を下回っていますが、2026年までに40%へと伸びると予想されます。また、2024年までに、マルチクラウド戦略を採用している組織の約70％がクラウド基盤のWAAPを検討するようになるということで、今後WAAPがWebセキュリティ対策の新たな主流となっていくと見られます。

前述しましたが、「WAAP」はWebアプリケーション保護対策に加えAPI保護機能を備えているクラウド型セキュリティサービスとなります。WAAPには以下の4つのコア機能が含まれています。

  • WAF
  • ボット対策
  • DDoS対策
  • APIセキュリティ

また、オプション機能としてDNSセキュリティやCDNといった機能を備えているWAAPもあります。

ガードナー社では、現在サービスを提供しているWAAP製品のアナリストたちによる評価をWebサイトで紹介しています。詳細はこちらをご覧ください。

 

WAFがWAAPに進化していく理由とは

WAAPは、WebアプリケーションだけでなくAPIも保護対象としています。

実は、APIはWAFでも守ることが可能です。しかし、その保護が不十分であったことが、WAFがWAAPに進化していく理由の1つです。そもそもWAFでAPIが守れるのは、APIがHTTP通信を用いられ、WAFの検査対象に含まれるためです。つまり、WAFでのAPI保護は、その通信がサイバー攻撃なのかどうかを見分けるだけです。分類し、その結果に応じて危険なら通信を禁止し、安全だと判断されたら通信を許可します。

その判断基準として脆弱性を狙うサイバー攻撃かどうかを見極めますが、そもそもWAFが主な保護対象としているWebアプリケーションの脆弱性とは、アプリケーションを構成するシステムやプログラムの実装上の不備のことです。この不備を衝くサイバー攻撃はある程度パターン化しているため、そのパターンのノウハウの蓄積情報をもとに判断しているという特性を持ちます。

APIの脆弱性も実装上の不備ともいえますが、APIは取得したい情報や処理して欲しい内容をパラメータとして付与し、通信を行います。そのため、外部サービスとAPI連携の数だけ仕様が存在していることから、仕様の不備を狙うサイバー攻撃をパターン化することは事実上困難です。さらにAPI提供元が突然仕様を変更したことで、サイバー攻撃の見分けができなくなってしまう可能性もあります。そのため、API保護では下記の2つが重要です。

  • 攻撃者はAPI脆弱性調査するための、一般ユーザとは異なる挙動を検出し、アラートする機能
  • API通信における正常な動作をAIを用いて自動学習し、ベースラインから乖離している通信についてアノマリー検出を行う機能

現在、APIを通じて社内外のさまざまなサービスを連携することで顧客の利便性を高めつつ、事業成長に繋げる動きが進んでいることから、APIを狙うサイバー攻撃が急増しています。しかし、主にWebアプリケーションを保護対象としているWAFのみだと、サイバー攻撃の選別に時間がかかったり、誤検知や仕様変更による検知の見逃しなどが発生しているのも現状です。そのため、API保護も考慮しているWAAPの重要性が高まりつつあります。

また、悪意のある第3者によるサイバー攻撃は多角化しているため、Bot攻撃やDDoS攻撃のなかにはWAFの保護対象外のサイバー攻撃もみられます。そのため、WAAPの今後は、WAFの機能にはないボット対策やDDoS対策の機能を超えたさらなる進化もみられるでしょう。

 

「Cloudbric WAF＋」がガートナー社によるRepresentative Providersに選定！

新たなWAAP製品・サービスが次々と誕生しています。WAAPが全く新しい概念ではないとはいえ、がWAAP製品やサービスを選ぶ基準についてはまだ明確な基準がないのも事実です。だからこそ、ガートナーにより公開された報告書内容を前提に、WAAPについて理解し、自社システムに合った対策を導入することが重要です。

ガートナーは、 「Defining Cloud Web Application and API Protection Services」において、WAAPの定義、仕組み、特長などを解説しています。また、次のように代表プロバイダー も紹介してますので、是非参考にしてみてください。

今回、弊社の「Cloudbric WAF＋」が、ガードナー社のRepresentative Providers（代表プロバイダー）に選定されました。Cloudbric WAF＋は、1つのプラットフォームにて WAFサービスに加え、L3/L4/L7DDoS防御、SSL証明書、脅威IP遮断、悪性ボット遮断など、Webアプリケーションセキュリティに必要な機能を統合提供しております。APIセキュリティも提供しているため、あらゆる範囲からのサイバー攻撃に対し、強固なセキュリティでWebサイトを守ることが可能です。そして、高セキュリティでありながらリーズナブルに利用することができることから、日本国内だけでも6,550サイト以上の導入実績があります。

Cloudbric WAF+

Cloudbric WAF＋へのお問い合わせはこちら。

 

まとめ

今回は、ガートナー社によって提唱される「WAAP」について解説してきました。WAFだけでは守り切れない悪意のある第3者による攻撃は、今後も増えていくでしょう。そのような環境下で行うべきセキュリティ対策として、「WAAPの導入」や「API保護も可能なWAFを選ぶこと」は有効だと考えられます。ぜひ、自社にあったセキュリティ対策方法を導入して、万全なセキュリティ体制の構築してください。

 

マネージド・セキュリティ・サービス（Managed Security Service ：MSS）

DX時代に求められるマネージド・セキュリティ・サービス（MSS）とは

by ブログ

今の時代、企業が抱えるセキュリティ課題として、人材の育成、製品導入など、時間とコストがかることが挙げられています。その対策として注目を集めているのが、コストを抑えながら導入の時間も短縮できるマネージド・セキュリティ・サービス（Managed Security Service：MSS）です。MSSは企業のセキュリティ対策をマネージド・セキュリティ・サービス・プロバイダー（Managed Security Service Provider：MSSP）に外部委託するサービスです。

MSSPは専門の技術者が２４時間３６５日体制で監視・分析して「本当に危険なものだけ」を通知してくれます。導入を検討しているIT担当者の方向けにMSSの内容とメリットについて説明しますので、ぜひご活用ください。

 

コロナ過の影響により変化したセキュリティ対策

コロナの影響により我々の勤務形態は、従来のオフィスに出社する形からテレワークによる在宅勤務の形へシフトしました。コロナが落ち着いたとしても、この勤務形態はニューノーマルな形として継続していく可能性が高いといえるでしょう。

従来のセキュリティ対策は、オフィスとインターネットの境界線、データセンターとインターネットの境界線の対策がメインでした。しかし、今後はPCやスマホなどのエンドポイントのセキュリティ対策が重要になってくるのではないでしょうか。

引用：IPA　情報セキュリティ10大脅威 2021より

IPAが公表している「情報セキュリティ10大脅威2021」でも、3位に「テレワーク等のニューノーマルな働き方を狙った攻撃」が入りました。昨年にはなかった、新たな脅威となっています。脆弱性のあるVPNソフトの利用、自宅のインターネットの対策不備による不正侵入などが事例として挙げられています。

警察庁が公表したデータ「サイバー空間における脆弱性探索行為等の観測状況」でも観測数が増加していることが分かります。

引用： 警察庁　令和３年上半期におけるサイバー空間をめぐる脅威の情勢等について

表は警察庁がインターネット上に設置したセンサーにより検知した不審なアクセス件数（１日平均）です。令和３年上半期の検知件数は、１日平均で6,347.4件の不審なアクセスを検知しました。新型コロナウイルスが発生した令和２年上半期から検知件数が増加していることが分かります。増加の理由は、やはり脆弱性のあるVPNソフトやエンドポイントへのサイバー攻撃、または脆弱性を探す探索行為とみられています。

この２つのデータから分かることは、攻撃者はコロナ過の影響を利用してサイバー攻撃や探索行為を増加させていることです。在宅勤務で利用されるPCやスマホを新たなターゲットとしていることです。

攻撃者からサイバー攻撃を防ぐために、いち早く状況を把握できる対策を講じる必要があります。それでは、MSSがどのようにして「いち早く状況を把握できるか」について説明します。

 

マネージドセキュリティサービスとは

MSSは企業が保有するセキュリティ関連のログ監視・運用をMSSPにアウトソースするサービスです。具体的には、MSSPが提供するSIEM（Security Information and Event Management：シーム）という管理・分析用のツールにセキュリティ関連のログを保存して相関分析をします。この相関分析によりウイルス感染や不正アクセスなどをしている危険性を検知して、危険度に応じ通知するというサービスです。

監視対象はインターネット境界線のファイアウォールや IPS/IDS、UTM(Unified Threat Management）、WAFなどログ分析がメインです。

 

MSSPとSOCの違い

MSSPと関係性が深いので、SOC（Security operations center：ソック）とMSSPの違いについて説明します。MSSPは自社内にSOCと呼ばれるセキュリティ専門の組織を持っています。SOCは日々の業務で、インターネット上の不正な通信先や新たな脆弱性など、様々な脅威情報を収集しています。

MSSPは契約先のセキュリティ対策をするサービスです。そこにはSOCとの連携がありサービス提供を可能にしています。SOCはMSSPより上位にある大きな組織（MSSP＜SOC）となります。

 

SIEMによる相関分析

SIEMは相関分析するため、監視対象から出力された大量のログを一括で保管します。そして、それぞれのログを時系列に並べ相互の関係性がわかるような状態で監視します。例えばWAFのログ上で、脅威情報にある不正な通信先とアクセスしているPCがあれば、検知することが可能になります。

これがSIEMによる相関分析のメリットなのですが、これにはどうしても高い技術力が必要になります。そのため、MSSPにセキュリティ対策をアウトソースすることを推奨します。

 

MSSの今後

なお、エンドポイントセキュリティやクラウドサービスへのセキュリティ対策へのニーズは高まりつつあるためMSSの今後5年間の年平均成長率は7.9％と予想されています。

2021年の2,429億米ドルから、2026年には3,548億米ドルに達すると予想されています。このことからMSSは、今後さらにサービス内容が充実することが見込まれます。

 

マネージドセキュリティサービスプロバイダ（MSSP）を利用するメリット

MSSP利用による主なメリットを３つご紹介します。

 

MSSPによる24時間365日の監視

MSSPによる監視は24時間365日が通常です。特に攻撃者は業務が終了した深夜や休日に侵入を試みる傾向があります。しかし、セキュリティ担当者が不在でもMSSPにより監視は継続されるため担当者の負荷が軽減、かつ安心度が向上します。また、海外に拠点をもつ企業には特に有効なサービスといえます。

 

MSSP専門家の分析により安全レベルが向上

MSSP専門家による分析で、誤検知のない分析により安全レベルが向上します。WAFを例に挙げると、導入しているWAFから出力される膨大なログを分析して「本当に危険なものだけ」を検知し通知してくれます。セキュリティ対策は安全面を優先して対応するため、誤検知はどうしても発生します。MSSPは「本当に危険なものだけ」に絞っての通知は余計な対応がなくなるというメリットがあります。

さらにMSSPから「本当に危険なものだけ」の通知により、セキュリティ担当者の意識向上につながったという実例もあります。これは余計な対応が減り、WAFの場合、Web改ざんされる前に自動で攻撃を遮断して管理者に通知してくれる、など、本当の問題に対処した結果ではないでしょうか。また、パッチ適用期間の短縮、実際のウイルス感染したエンドポイントの初動対応の向上、調査方法の手順化など、改善対策に時間をあてることが可能になったという報告もあります。

 

MSSPから最新のセキュリティ情報の入手

MSSPはSOCから最新のセキュリティ情報を入手しています。そこには通信先のブラックリストや脆弱性情報、サイバー攻撃の実例があります。これらの情報をインプットしておくことで、次の防止策の策定が可能になります。例えば、セキュリティパッチ適用が必要になる脆弱性情報などです。インターネットの境界線にある機器へのセキュリティパッチ適用は、サービス停止を伴うため敬遠されがちです。しかし、導入している機器のサイバー攻撃の実例を確認した場合はどうでしょうか。少なくともパッチ適用の時間や費用の見積もりを取得するのではないでしょうか。このように最新情報の入手は、セキュリティ対策に欠かせない対応となります。

クラウドブリックは「Cloudbric Security Platform」上で提供される「Cloudbric WAF+」「Cloudbric ADDoS」「Cloudbric RAS」など、すべてのサービスをマネージド・セキュリティ・サービスとして提供しています。95ヵ国100,000レファレンスから収集されるインテリジェンスを活用した脅威自動検知技術とセキュリティ専門家による高度な分析技術で更に強力なセキュリティレベルを確保することを可能にしました。

また、 世界中から収集したWeb脆弱性やリスク情報をセキュリティ専門家が分析した結果を提供するプラットフォーム「Cloudbric Labs(クラウドブリック・ラボ)」も利用できます。2018 Cybersecurity Excellence Awardsでは「今年のサイバーセキュリティプロジェクトのアジア・パシフィック部門」を受賞した経歴があります。

セキュリティに専門的な知識を持っていない一般の方でも高まっているWeb脅威に対して積極的に対応できるようにすべての情報を無料で公開しています。Threat DB、WAFER、Threat Indexという３つのサービスにより個人からセキュリティ専門家まで、Web、モバイル、ブロックチェーン等サイバーセキュリティを向上させるのに役立つサービスとなっております。

 

まとめ

サイバー攻撃への対策に必要なことは、まずは現在の状況を把握することです。そのための状況の「可視化」は不可欠な対応となります。この「可視化」には、SIEMのように大量のログを管理・分析できるツールとサイバー攻撃の知見を持つ専門家が必要になります。MSSは「可視化」することで高度なセキュリティ対策を実現するサービスです。MSS導入により得られるメリットを認識いただけますと幸いです。

クラウド型セキュリティ・プラットフォーム・サービス：Cloudbric Security Platform

https://www.cloudbric.jp/cloudbric-security-platform/

Threat Intelligence Managed Service：Cloudbric Labs

Cloudbric Labs

CTI(Cyber Threat Intelligence)

CTI（Cyber Threat Intelligence）の重要性とは？種類やライフサイクルについて解説！

by ブログ

世界的にWeb上でのセキュリティ対策として、サイバー脅威インテリジェンス（CTI：Cyber Threat Intelligence）が注目されています。Web業界においてCTIは、「掴みどころのない概念」といった曖昧な説明がなされています。これを具体的に分かりやすく説明すると、サイバーセキュリティの専門家が悪意のある第3者による攻撃に関して整理と分析を行い、その情報から導き出した根拠に基づくことを意味します。

近年、悪意のある第3者によるサイバー攻撃が急増していることもあり、CTIを提供するサービスが注目されています。本記事では、そんなCTI（サイバー脅威インテリジェンス）の重要性について解説しています。なお、CTIの市場規模やメリットについて知りたい方は、こちらの記事をご覧ください。

⇒【注目】次世代のセキュリティ戦略とは？脅威インテリジェンスについて解説！

 

CTI（Cyber Threat Intelligence）の重要性とは？

近年、CTIが注目されている理由は、悪意のある第3者による脅威から自社を守るためには、サイバー攻撃を仕掛けてくる敵についてよく知ることが不可欠なためです。悪意のある第3者は、同じ手口でサイバー攻撃を続けて行うことはありません。次々と新しい脆弱性を見つけ、そこを狙った新しい攻撃の手段を考えて悪用しています。そうした背景のなかで、最強の防御を実現するには、新しい脅威に関する最新の情報を入手し、敵を詳細に知ることが重要です。

CTIは、サイバーセキュリティの専門家たちが収集した、悪意のある第3者の新しい攻撃に関する情報を整理・分析し、精査して根拠に基づいた情報を取り扱う概念です。その情報の提供を受け、そこから学習して対策を行えば、常に最強の防御で悪意のある第3者によるサイバー攻撃から自社を守ることが可能となるでしょう。

そして、敵とそのサイバー攻撃に対する防御方法が明確になることで、企業全体で攻撃者に関する理解が深いものになります。Webセキュリティ対策にあまり費用がかけられない中小企業だと、未知の物事には備えが疎かになりやすいです。それが、CTIによって未知の物事が明らかになることで、企業全体でのWebセキュリティへの意思決定を可能にすることができるでしょう。また、すでに費用をかけて対策を行っている大企業も、CTIを活用することで必要のないWebセキュリティ対策の仕分けができるため、コスト軽減できることもメリットといえます。

 

CTI（Cyber Threat Intelligence）の種類を3つのポイントで解説！

CTIサービスで提供されている情報には、下記の内容が含まれます。

  • 悪意のある第3者のサイバー攻撃のメカニズムの情報
  • 攻撃の識別方法に関する情報
  • 攻撃によって影響を受ける可能性があること
  • 情報の整理・分析で導き出し攻撃に対する防御の方法

ただし、悪意のある第3者によるサイバー攻撃にさまざまな種類があるように、CTIにもいくつかの種類が存在します。そして、一般的にCTIには、下表の種類が挙げられます。

CTIの種類 概要
戦略的インテリジェンス 脅威をコンテキストの中で捉える概要レベルの情報
戦術的インテリジェンス 脅威がどのように実行され、どのように防御できるかに関する詳細情報
運用インテリジェンス IT部門が積極的脅威管理の一環として、特定の攻撃に対する対策の実施に利用できる情報
技術的インテリジェンス サイバー攻撃が行われている具体的な痕跡情報

なかでも、「戦略的インテリジェンス」「戦術的インテリジェンス」「運用インテリジェンス」は、悪意のある第3者による攻撃からのWebセキュリティ対策でそれぞれ異なる役割があるためすべて収集することが重要です。この3つについて、さらに掘り下げてみていきましょう。

戦略的インテリジェンス

上表で戦略的インテリジェンスとは脅威をコンテキストの中で捉える概要レベルの情報と解説しました。さらに掘り下げて解説すると、戦略的インテリジェンスは、悪意のある第3者が特定企業や業界に対してどういった活動を誰に行っているのかという情報です。

提供を受けることによって、悪意のある第3者の活動の背景や動機、どんな手法で攻撃を行っているかといった、戦術・テクニック・手順が明らかにできます。企業の意思決定者は、この情報を活用することで、Webセキュリティ戦略の策定や見直しが可能となるでしょう。

戦術的インテリジェンス

戦略が企業・組織全体がどう進んだらよいかを示す方向性であるのに対し、戦術とは、その戦略を達成するための具体的な手段を示す方向性を意味します。つまり、戦術的インテリジェンスとは、悪意のある第3者によるサイバー攻撃の経路や攻撃者が使用しているツールやインフラストラクチャ、標的先といった情報のことを意味します。

一般的には、企業の意思決定者や上層部ではなく、技術的詳細を理解しているセキュリティ担当者がこの情報を主に取り扱います。担当者がこの情報を活用することで、セキュリティの制御や防御態勢の管理について、情報に基づいた意思決定が行えるようになります。自社が標的になる可能性の高さを、Webセキュリティ対策チーム全体や企業の意思決定者に理解してもらうのに役立ちます。

運用インテリジェンス

悪意のある第3者の攻撃意図や性質、タイミングなどに関する情報が運用インテリジェンスです。この情報を活用することで、いつまでに、どんな対策をしておく必要があるかが明確になります。こうした情報は、本来は攻撃者しか知らない情報ですが、実際に攻撃者から直接収集することは困難を極めます。そのため、サイバーセキュリティの専門家が、過去の事例や動向を分析・研究して、次の動きや攻撃手法を予想しなければなりません。

 

CTI（Cyber Threat Intelligence）のライフサイクルを6ステップで紹介！

CTIの収集と管理のライフサイクルを自動化することで、脅威の検知速度がより向上できます。

IT分野におけるライフサイクル（ITライフサイクル）とは、一般的に保守や運用・サポートなどのシステムを運用するための一連の過程を意味します。そんなCTIのライフサイクルは、下記の6ステップに分類されます。それぞれのライフサイクルについて詳しく解説していきます。

要件→収集→処理→分析→配布→フィードバック

ステップ①｜要件

CTIにおける「要件」では、脅威インテリジェンスの運用サイクルにロードマップを定めるために、下記の内容を具体的に特定する準備を始めます。

  • 攻撃者は誰か？
  • 攻撃の動機は？
  • どこを攻撃の対象領域としているのか？
  • 攻撃に対しての最適な防御手段は何か？
  • 取るべき具体的な行動は？

このように、これから行うWebセキュリティ対策の方向性を定めるための情報を収集する準備に取り掛かります。

ステップ②｜収集

CTIにおける「収集」は、要件で定めた方向性に沿って運用を開始する準備を始めるステップです。攻撃者の特定や対象領域、それに適したWebセキュリティ対策の具体的な方法を定めるための情報を収集します。このステップで成功するには、すでにこれから行うWebセキュリティ対策について、CTIの概念を踏まえた分析が済んでいることが前提ポイントです

ステップ③｜処理

CTIにおける「処理」は、収集したWebセキュリティ対策に必要な情報を分析する前の段階です。収集した情報を脅威インテリジェンスを取り扱う専用のツールなどを用いて、分析に適したフォーマットに処理することでより明確な分析が可能となります。また、このステップで情報の信頼性についての評価を行い、情報の確かさを明確にすることで本当に確かな情報だけを分析が可能となるでしょう。

ステップ④｜分析

CTIにおける「分析」では、処理ステップで決定したツールや方法などを駆使し、具体的かつ正確に分析を行います。数あるサイバー攻撃の特性や傾向などは、これまでのステップで蓄積された情報から分析可能です。また、専門的な知見を持った方々や担当者による情報の付加による根拠付けも実施されます。

ステップ⑤｜配布

CTIにおける「配布」は、分析結果を分かりやすく、そして担当ごとに適したフォーマットに変換して配布するステップです。提言は複雑な専門用語はあまり使わず、誰もが分かりやすく簡潔にまとめるのがよいでしょう。また自社内だけでなく、関係のある他社にも配布し、CTIを共有し共同でのWebセキュリティ対策に役立てます。

ステップ⑥｜フィードバック

CTIにおける「フィードバック」では、最新のCTIと既存の仕組みを比べ、今後の運用に切り替えや調整が必要かどうかについて判断します。万が一に備え、必要がなくてもCTIは常に最新化しておくべきです。また、最新のCTIの利用結果から、各作業の見直し・検討も行います。

 

まとめ

今回は、CTI（Cyber Threat Intelligence）の重要性について解説してきました。悪意のある第3者から自社を守るために、なぜCTIが重要となるのかご理解いただけたことでしょう。CTIがサイバー攻撃対策のために重要であることが広く知られるようになったことで、CTIの提供を行っているサービスは年々増加傾向にあります。しかし、自社に合ったサービスや最適な製品を選定することは容易ではありません。

CTIにもさまざまな種類が存在するように、サービスごとに提供されるCTIも異なります。そのため、自社に本当に必要なCTIを提供しているサービスを選ぶことは重要です。

数多く存在するCTIに関するサービスのなかでも、弊社おすすめのサービスはこちらです。

Cloudbric Labsは世界中から収集したWeb脆弱性やリスク情報を当社セキュリティ専門家が分析し、その結果をまとめて提供するプラットフォームです。このプラットフォームはCybersecurity Insidersが主催する2018 Cybersecurity Excellence Awardsで「今年のサイバーセキュリティプロジェクトのアジア・パシフィック部門(Cybersecurity Project of the Year-Asia/Pacific)」を受賞するなど、世界からも注目されています。

Cloudbric Labsは次の3つのサービスを現在無料で提供しております。ぜひ、ご覧ください。

1．Threat DB：Cloudbric WAF+から収集したサイバー脅威に対するデータベース。フィッシングURL、ブラックIPなど、1万件を超える脅威データを保有、Web脅威データの照会、情報提供、API利用が可能。

https://labs.cloudbric.com/threatdb

2．WAFER：OWASP・Exploit DBパターン及びクラウドブリック・ラボのリサーチチームによって厳選された攻撃パターンを使用し、現在利用中のWAFのセキュリティ性能を評価できるツール。

https://labs.cloudbric.com/wafer

3．Threat Index：CVE、Exploit DBなどの脆弱性情報提供サイトから取りまとめた様々なWeb脆弱性を検索できるツール。

https://labs.cloudbric.com/threatindex

 

コーポレートサイトにもWebセキュリティ対策が必要な3つの理由を徹底解説！

コーポレートサイトにもWebセキュリティ対策が必要な3つの理由を徹底解説！

by ブログ

コーポレートサイトとは、一般的には企業の公式サイトのことですが、「会社案内」「会社概要」「事業内容」などが記載されていることから企業の顔ともいえる存在です。他にも、企業理念や採用情報、プレスリリースなども掲載するケースも多く、さまざまなユースケースに活用されています。

ところで、国立研究開発法人情報通信研究機構（NICT）が発表した観測レポートによると、下図のとおり日本国内で観測された悪意のある第3 者からのサイバー攻撃は年々増加傾向にあります。

2020年には、WebサイトへのDRDoS攻撃（DoSリフレクション攻撃）の観測結果が1,820,722件とのことで、なかにはコーポレートサイトへの攻撃も含まれていました。このような背景にありながら、コーポレートサイトは顧客情報を取り扱っているECサイトと比べ、Webサイトセキュリティ対策が甘い傾向があります。本記事では、コーポレートサイトもWebセキュリティ対策が必要な理由と最適な対策方法について解説しています。

 

コーポレートサイトにWebセキュリティ対策が必要な2つの理由とは？　

冒頭でも説明したとおり、日本国内で観測された悪意のある第3者からのサイバー攻撃は年々増加傾向にあります。そのため、顧客情報や社内情報を守るためのWebセキュリティ対策をしている企業も少なくありません。

悪意のある第3者からのサイバー攻撃には、コーポレートサイトを集中的に狙うケースも珍しくありませんが、コーポレートサイトのWebセキュリティ対策を行っている企業は、実はそれほど多くないのが現状です。例えば、2021年5月にはマッチングアプリ「omiai」などで知られる株式会社ネットマーケティングのコーポレートサイトがサイバー攻撃を受け、顧客の個人情報が流出した事件もありました。

コーポレートサイトへのサイバー攻撃が増えている理由は何でしょうか。

 

理由①｜経営者側のWebセキュリティに対する認識が甘い

コーポレートサイトへのサイバー攻撃が増加している理由の1つが、経営者側のWebセキュリティに対する認識の甘さです。以前はサイバー攻撃といえば、国家や企業などの組織体の戦略変更やイメージダウン・株価操作などを狙う組織犯罪、産業スパイ活動を目的とした内容が多くを占めていました。そのため、当時経営者は、政府機関や大企業でなければ攻撃のターゲットにはならないという認識を抱えていました。

しかし、現代社会では大企業を狙って多額の詐欺を行ったり、政治的な目的を持ったサイバー攻撃ではなく、中小企業をターゲットにしたサイバー攻撃も増加しています。

そもそも、サイバー攻撃の目的も、下記のように多様化しています。

  • 情報の悪用
  • 顧客信用度やブランドイメージの低下
  • 事業やサービスの中断や停止

そのため、資産や機密情報の規模にかかわらず、どんな企業でも攻撃される可能性があるため、セキュリティ対策を経営戦略として行うことは経営者としての責務となっています。それにもかかわらず、Webセキュリティに対する認識が甘い経営者が多いため、経済産業省とIPA（ 情報処理推進機構 ）は2015年に「サイバーセキュリティ経営ガイドライン」を策定し、経営者に対してセキュリティ対策を推進するよう求めています。

 

理由②｜企業としてのセキュリティ投資への割合が低い

企業のWebセキュリティ対策にかける予算（投資）の割合が低いことも、コーポレートサイトへのサイバー攻撃が増えている理由の1つです。現在、日本でも多くの企業が、DX（デジタルトランスフォーメーション）時代に向けてIT関連に予算を投じています。しかし、海外の企業と比べ、日本の企業はその予算に占めるWebセキュリティ関連の予算の割合は低いです。

NRIセキュアテクノロジーズ（NRIセキュア）が発表した「企業における情報セキュリティ実態調査2019」によると、IT関連予算に占めるWebセキュリティ関連予算の割合が10％以上と回答した企業は、米国企業は80％弱。一方で、日本企業は約30％に留まりました。

Webセキュリティ対策にコストをかける（セキュリティ投資をしている）企業の割合が低いことに加え、中小企業の場合、そのセキュリティ投資が間違った投資手段となっていることも珍しくありません。下記の内容が、間違ったWebセキュリティ投資例といえます。

  • 被害の発生確率と被害額に合った攻撃対策ツール等を導入していない
  • 個人情報の重要度を理解していない
  • 専門家や担当者の意見を聞かず、経営者の判断のみで行っている
  • 社外との情報共有ができていない
  • 最新もしくは高価格な製品・サービスを短絡的に選択して導入している

コーポレートサイトをサイバー攻撃から守るためには、正しい方法でWebセキュリティ投資を行うことが重要です。

 

コーポレートサイトのWebセキュリティ対策を成功させたい！3つのポイントで徹底解説！

日本の中小企業におけるセキュリティ投資が、間違った方向性で行われていることも少なくないことは前述しました。それでは、コーポレートサイトの正しいWebセキュリティ対策方法は、どのようにすればよいのでしょうか？

結論をいえば、コーポレートサイトのWebセキュリティ対策を成功させるポイントは、下記の3つです。

  • 経営側のWebセキュリティに対する理解度を上げる
  • 個人情報の重要度を再認識する
  • セキュリティ対策を導入してもすべてを委託企業任せにしない

 

経営側のWebセキュリティに対する理解度を上げる

コーポレートサイトにおいて、専門家や担当者の意見を聞かず経営者の判断のみで行ったWebセキュリティ対策は間違った対策になりやすいです。経営者の多くが「自社は大丈夫」と思い込んで、攻撃を受けたり情報が漏れて初めてセキュリティ対策の不備を自覚するケースも多いです。

また、自社に合った対策でなく、一般に良く知られているFW（ファイアウォール）やログの監視といった、現在ではそれだけでは不十分な対策のみ実施している企業も多いです。そのため、正しいWebセキュリティ投資を行うためには、まず経営陣に現在に適した対策方法を理解してもらうことが必至です。

 

個人情報の重要度を再認識する

コーポレートサイトがサイバー攻撃を受けたことで、個人情報が盗み出されたり、改ざんされたりする可能性があります。そもそも、コーポレートサイトだから個人情報を扱わないわけではありません。コーポレートサイトで個人情報は扱わず別システムで管理していても、サイバー攻撃によって、お問い合わせ入力フォームを改ざんされる危険性が伴います。また、そこから別システムに侵入して、情報を盗み出すという手口も存在します。

コーポレートサイトで個人情報は扱っていなくても、情報流出の危険性はあるため、個人情報の重要度は十分に理解しておくことが大切です。

 

すべてを委託企業任せにしない

最新もしくは高価格な製品・サービスを選べば、正しいWebセキリティ投資ができるわけではありません。正しいWebセキュリティ投資には、被害の発生確率と被害額に合った攻撃対策ツールを導入しなければいけません。

多くの企業がコーポレートサイトのWebセキュリティ対策のすべてを委託企業任せにするケースも少なくありません。しかし、突発的な事例に対処することが困難なためおすすめしません。コーポレートサイトのWebセキュリティ対策のすべてを委託企業任せにしていた場合、下記のようなリスクがあります。

  • セキュリティ面でのリスク
  • 品質低下のリスク
  • 自社内にノウハウが蓄積されない

Webセキュリティ対策をベンダーに委託するのなら、この3つのリスクは意識しておく必要がありますが、まずはすべてを委託企業任せにしないことをおすすめします。

 

コーポレートサイトにWAFを導入すべき理由を解説！

悪意のある第3者のターゲットとなりやすいコーポレートサイトを、サイバー攻撃から守る方法としておすすめなのが「WAF」です。WAFとは「Web Application Firewall」の略で、簡単に説明すると、Webアプリケーションの前面に配置される下記のような特徴を持つセキュリティ対策のことです。

  • Webアプリケーションの脆弱性を悪用した攻撃を防御できる
  • 複数のWebアプリケーションへの攻撃をまとめて防御できる
  • 脆弱性を悪用した攻撃が検出できる

そもそも、FWやログの監視といったWebセキュリティ対策のみで十分だという認識は間違いです。そして、経営陣のそのような認識を改めることが、正しいWebセキリティ投資を行うために必要だということは前述しました。確かに、それらも必要なWebセキュリティ対策の1つですがが、それだけではコーポレートサイトは守れません。しかしWAFであれば、FWやIPS/IDS（不正侵入防止システム/不正侵入検知システム）では守ることができない攻撃も防御可能です。

WAFには、下記の3つのタイプが存在し、それぞれで導入および運用方法が異なります。大手企業の場合はアプライアンス型を、中小企業はクラウド型のWAFを採用することが多いですが、自社のシステム環境に合ったWAFを導入することが重要です。

  • クラウド型
  • アプライアンス型
  • ソフトウェア型

そのため、サイバー攻撃による被害の発生確率と被害額に合った対策が行えることも、コーポレートサイトを守る方法としてWAFをおすすめする理由です。

ペンタセキュリティでは、オンプレミス環境に合わせたアプライアンス型WAF「WAPPLES」、AWS、Azure等パブリッククラウドやプライベート環境に最適化されたソフトウェア型WAFの「WAPPLES SA」、DNS情報変更のみで簡単導入できるクラウド型WAFサービス「Cloudbric WAF＋」など、企業環境に合わせて様々なタイプのWAFを提供しております。

Cloudbric WAF＋の場合、基本的なWAF機能に加え、無償SSL機能、DDoS対策、悪性ボット遮断、脅威IP遮断など5つのWebセキュリティサービスを1つの統合したプラットフォームにて提供するクラウド型セキュリティサービスとして注目されています。

 

まとめ

今回は、コーポレートサイトにもWebセキュリティ対策が必要な理由について解説してきました。悪意のある第3者がターゲットとするのは、ECサイトのような顧客情報を扱うサイトだけではありません。また、データサーバーを直接狙わず、コーポレートサイトから情報漏洩を誘発させる手口も存在します。

そのため、企業経営者は、正しいWebセキリティ対策とはどういったことなのかを正しく認識しておくことが重要です。また、Webセキュリティ投資への割合が低いのであれば、それを見直し、正しい方法でWebセキュリティ投資を行ってください。

 

owasp top10 2021

2021年版「OWASP Top 10 」を徹底解説！

by ブログ

セキュリティ対策というと難しく考えることが往々にしてよくありがちですが、はじめから順に自分で考えなくても、先人たちの知恵の結晶ともいえる資料が世の中にはたくさんあります。言うまでもなく国内にもいろいろありますが、海外にも注意を向けてみると多方面にわたり重要な意味を持つセキュリティ関連のドキュメントや資料があります。今回は、Webアプリケーションセキュリティについて情報を収集しているとよく見つける『OWASP Top 10』について徹底解説していきます。Webアプリ開発者やセキュリティ担当者であればぜひとも知見を広げておきたい内容です。

 

OWASPとは

Open Web Application Security Project(OWASP)はソフトウェアのセキュリティをより良くすることを研究対象とした営利を目的とせずに活動する団体で、機能を発揮できるように『オープン・コミュニティ』モデルの下で組織をまとめて動かされており、誰でもプロジェクト、イベント、オンライン・チャットなどに参加して貢献できます。団体の基本的な方針や精神は、人を限定せずにありとあらゆる資料と情報が無料でWebサイトから簡単にアクセスできることで、ツール・ビデオ・フォーラム・プロジェクトからイベントまで、あらゆるものが提供されています。結果として、オープン・コミュニティに対する貢献をした人の幅広い知識と経験に裏付けの得られた、汎用的なWebアプリケーション・セキュリティ開発環境におけるソースコードや設計などといった情報が保管されているデータベースとなっています。

 

OWASP Top 10とは

OWASP Top 10は、Webセキュリティの致命的・決定的な欠点が発見された頻度・脆弱性の重大度・考えられる事業への影響の大きさに基づいてランク付けされています。レポートの目的は開発者とWebアプリケーション・セキュリティ専門家に世間で最も広く行き渡っているセキュリティ・リスクに関する知識や見識などを提供して、レポートの調査結果と推奨事項をセキュリティ・プラクティスに組み込むことによって、アプリケーションにおけるこれらのすでに知られているリスクの存在を必要な分だけに抑えることです。

OWASPは世界中のセキュリティ専門家間でくいちがいなく同じである意見に基づいており、2003年からTop 10はリストの状態をそのまま保ちつづけており、Webセキュリティ市場の進歩と変化のスピードに合わせて更新されています。Top 10の価値は提供されている実際に役に立つ情報にあるため、現在も多くの大手企業において主要なチェックリストやWebアプリケーションの開発標準として貢献しています。Top 10に対応できていない場合、監督する責任者からコンプライアンス標準の面で不備がある可能性の含みを持たせるものとみなされがちですので、ソフトウェア開発ライフサイクル(Software Development Life Cycle)に組み込むことは、安全が保証されている開発に関する最善の方法が考えのうちに入っている説得力のある証拠となります。

 

2021年のOWASP Top 10でどんなことが変化したのか

新しく3つのカテゴリがあり、名前とスコープが変更された4つのカテゴリと2021年のTop 10にいくつかが統合され、そもそもの原因に焦点を当てるために名前が変更されました。

01：2021 –壊れたアクセス制御

5番目の位置から上に移動すると、アプリケーションの94％が、平均発生率3.81％の何らかの形の壊れたアクセス制御についてテストされ、提供されたデータセットで最も多く発生し、318kを超えています。含まれている注目すべき一般的な弱点列挙(CWE)には、CWE-200：不正なアクターへの機密情報の公開・CWE-201：送信データによる機密情報の公開・CWE-352：クロスサイトリクエストフォージェリが含まれます。

参考文献

 

02：2021 –暗号化の失敗

根本的な原因というよりも広範な症状であり、以前は機密データの公開として知られていた＃2に1つの位置をシフトすると、暗号化に関連する障害(またはその欠如)に焦点が当てられます。これはしばしば機密データの漏洩につながります。含まれている注目すべき一般的な弱点列挙(CWE)は、CWE-259：ハードコードされたパスワードの使用・CWE-327：壊れたまたは危険な暗号アルゴリズム・CWE-331：不十分なエントロピーです。

参考文献

 

03：2021 –インジェクション

インジェクションは3番目の位置までスライドします。アプリケーションの94％は、最大発生率19％、平均発生率3％、及び274k回の発生率で何らかの形の注入についてテストされました。含まれている注目すべき一般的な弱点列挙(CWE)は、CWE-79：クロスサイトスクリプティング・CWE-89：SQLインジェクション・CWE-73：ファイル名またはパスの外部制御です。

参考文献

 

04：2021 –安全でない設計(NEW)

2021年の新しいカテゴリで、設計及びアーキテクチャの欠陥に関連するリスクに論争点をあてており、脅威モデリング、安全な設計パターン及び参照アーキテクチャの使用を増やす必要があります。コミュニティとして、私たちはコーディングスペースの『左シフト』を超えて、Secure byDesignの原則にとって重要なアクティビティを事前にコーディングする必要があります。注目すべき一般的な弱点列挙(CWE)には、CWE-209：機密情報を含むエラーメッセージの生成・CWE-256：資格情報の保護されていないストレージ・CWE-501：信頼境界違反・CWE-522：保護が不十分な資格情報が含まれます。

参考文献

 

05：2021 –セキュリティの設定ミス

前版の＃6から上昇して、アプリケーションの90％が何らかの形の構成ミスについてテストされ、平均発生率は4％で、このリスクカテゴリでのCommon Weakness Enumeration(CWE)の発生率は208kを超えました。高度に構成可能なソフトウェアへのシフトが増えるにつれ、このカテゴリーが上昇するのは当然のことです。含まれている注目すべきCWEは、CWE-16：構成・CWE- 611：XML外部エンティティ参照の不適切な制限です。

参考文献

 

06：2021 –脆弱で古いコンポーネント

コミュニティ調査のトップ10で2位でしたが、データでトップ10に入るのに十分なデータもありました。脆弱なコンポーネントは、リスクのテストと評価に苦労している既知の問題であり、含まれているCWEに共通の弱点列挙(CWE)がマップされていない唯一のカテゴリであるため、デフォルトのエクスプロイト／影響の重み5.0が使用されています。含まれている注目すべきCWEは、CWE-1104：メンテナンスされていないサードパーティコンポーネントの使用・2013年と2017年のトップ10の2つのCWEです。

 

07：2021 –識別と認証の失敗

以前はBrokenAuthenticationとして知られていたこのカテゴリは、2番目の位置からスライドダウンし、識別の失敗に関連するCommon Weakness Enumerations(CWE)が含まれるようになりました。含まれている注目すべきCWEは、CWE-297：ホストの不一致による証明書の不適切な検証・CWE-287：不適切な認証・CWE-384：セッション固定です。

参考文献

 

08：2021 –ソフトウェアとデータの整合性の障害(NEW)

2021年の新しいカテゴリで、整合性を検証せずに、ソフトウェアアップデート、重要なデータ、およびCI / CDパイプラインに関連して仮定することに焦点を当てています。Common Vulnerability and Exposures / Common Vulnerability Scoring System(CVE / CVSS)データからの最大の加重影響のひとつです。注目すべき一般的な弱点列挙(CWE)には、CWE-829：信頼できない制御領域からの機能の組み込み・CWE-494：整合性チェックなしのコードのダウンロード・CWE-502：信頼できないデータの逆シリアル化が含まれます。

参考文献

 

09：2021 –セキュリティログと監視の失敗

セキュリティのログと監視の失敗は、OWASPトップ10 2017の10位からわずかに上昇したトップ10コミュニティ調査からのものです。ログ記録と監視はテストが難しい場合があり、多くの場合はインタビューや侵入中に攻撃が検出されたかどうかを尋ねます。このカテゴリのCVE / CVSSデータはそれほど多くありませんが、不当に他者の領域を侵すことへの検出と対応はきわめて大切なことです。それでも、説明責任、可視性、インシデントアラート、およびフォレンジックに非常に影響を与える可能性があります。このカテゴリは、CWE-778：Insufficient Loggingを超えて拡張・CWE-117：ログの不適切な出力中和・CWE-223：セキュリティ関連情報の省略・CWE-532：ログファイルへの機密情報の挿入が含まれます。

参考文献

 

10：2021 –サーバー側リクエスト偽造(SSRF)(NEW)

このカテゴリは、トップ10コミュニティ調査から追加されました。データは、平均以上のテストカバレッジと平均以上のエクスプロイトおよびインパクトの潜在的な評価を伴う比較的低い発生率を示しています。新しいエントリは、注意と認識のためのCommon Weakness Enumerations(CWE)の単一または小さなクラスターである可能性が高いため、それらが焦点の対象となり、将来のエディションでより大きなカテゴリにロールインできることが期待されます。

参考文献

 

OWASP Top 10 2021 –次のステップ

設計上、OWASPトップ10は本質的に最も重要な10のリスクに限定されています。すべてのOWASPトップ10には、含めるために詳細に検討された『最前線』のリスクがありますが、最終的には成功しませんでした。データをどのように解釈しても、他のリスクはより一般的で影響力がありました。成熟したappsecプログラム・セキュリティコンサルタント・ツールベンダーに向けて取り組んでいる企業は、提供するサービスの対象範囲を拡大したいと考えています。次の3つの問題は、特定して修正する価値があります。

 

コード品質の問題

コード品質の問題には、既知のセキュリティ上の欠陥またはパターン・複数の目的での変数の再利用・デバッグ出力での機密情報の公開・オフバイワンエラー・チェック時間/使用時間(TOCTOU)の競合状態・署名されていないまたは署名された変換エラーが含まれます。このセクションの特徴は、通常、厳格なコンパイラフラグ・静的コード分析ツール・リンターIDEプラグインで識別できることです。現代の言語は設計により、Rustのメモリ所有権と借用の概念・Rustのスレッド設計・Goの厳密な型指定と境界チェックといった問題の多くを排除しました。

参考文献

 

サービス拒否

十分なリソースがあれば、サービス拒否は常に可能です。ただし、設計とコーディングの慣行は、サービス拒否の規模に大きく影響します。リンクを知っている人なら誰でも大きなファイルにアクセスできると仮定します。そうしないと、すべてのページで計算コストの高いトランザクションが発生します。その場合、サービス拒否は実行に必要な労力が少なくてすみます。

参考文献

 

メモリ管理エラー

Webアプリケーションは、Java・.NET・node.js(JavaScriptまたはTypeScript)などのマネージドメモリ言語で記述される傾向があります。ただし、これらの言語は、バッファオーバーフロー・ヒープオーバーフロー・解放後の使用・整数オーバーフローといったメモリ管理の問題があるシステム言語で記述されています。Webアプリケーション言語が名目上メモリが『安全』であるという理由だけで、基盤がそうではないことを証明する多くのサンドボックスエスケープが何年にもわたってありました。

参考文献

 

まとめ

OWASP Top 10はWebアプリケーションのセキュリティ分野において、最新のサイバー攻撃のトレンドを認識するためにことのほか役に立ちます。Webアプリ開発者やセキュリティ担当者であれば新しく告げ知らされた攻撃のトレンドを知っていると、その攻撃と類似する他の攻撃にも最前線に立って対応できます。また、公共のために業務する各機関においてもWebセキュリティにおける重要なガイドラインや指標として認識されており、取り上げられている項目に対応できていない場合、セキュアな開発を実施する最善の方法を取り入れていないとジャッジが下される可能性があります。日本国内においては、『IPA(独立行政法人情報処理推進機構)』や『JPCERTコーディネーションセンター』がガイドラインとして取り入れています。