Posts tagged: クラウドブリック

ITシステムやネットワークなどに脆弱性があると、サイバー攻撃の対象となりかねません。システムのセキュリティに懸念があるのなら、ペネトレーションテストの実施が有効です。本記事では、ペネトレーションテストの基礎知識や脆弱性診断との違い、具体的なやり方などについて解説します。実施によって得られるメリットや取り組み方を把握し、この機会にぜひ取り入れてみましょう。

ペネトレーションテストとは？

ペネトレーションテストとは、システムへ意図的に攻撃、侵入しセキュリティ能力を検証するテストです。ペネトレーション(penetration)は、侵入や貫通を意味する英単語であり、このことからペネトレーションテストは侵入テストとも呼ばれます。

システムに存在する特定の脆弱性や、攻撃を受けたときの被害レベルを把握するために行われるテストです。シナリオに基づきシステムへの侵入を試みるため、実施する際には専門の技術者が担当します。

なお、テストの調査対象は検証内容によって異なります。これは、悪意をもつ攻撃者が求める結果を出せるかどうか、テストによって確認するためです。

・ペネトレーションテストと脆弱性診断との違い

ITシステムなどのセキュリティをチェックする手法として、脆弱性診断が挙げられます。脆弱性診断とは、システム全体に存在する脆弱性を網羅するためのテストです。サイバー攻撃は、システムの脆弱性を狙ったものが多いため、どのような弱点があるのか把握し、適切な対策を行わなくてはなりません。脆弱性診断はそのために実施します。

脆弱性診断は、専門の技術者が行うこともあれば、ツールを利用するケースも少なくありません。診断によって、介在している脆弱性の特定や脅威レベルの設定、レポートへの記載などを行います。

ペネトレーションテストとの大きな違いは、目的と調査対象です。ペネトレーションテストの目的は、特定の脆弱性や被害レベルの抽出で、検証内容によって調査対象が変わります。一方、脆弱性診断はシステム全体が調査対象であり、侵入口となる脆弱性を網羅的に発見するのが目的です。

なお、目的に応じた脆弱性診断を実施したいのであれば、以下のサービスが適しています。

Cloudbric 脆弱性診断

Cloudbric脆弱性診断

ペネトレーションテストの種類

ペネトレーションテストは、大きく分けて内部テストと外部テストに分類されます。前者は、アプリケーションサーバやセキュリティシステムなど内部のシステム、後者は公開サーバや機器など、外部からアクセスできるシステムなどが対象です。

・内部ペネトレーションテスト

内部ペネトレーションテストは、アプリケーションサーバや認証サーバ、セキュリティシステム、DBサーバなど、外部とシャットアウトされた内部システムを調査対象としたテストです。これらは、外部からのアクセスが困難であるものの、攻撃の対象にならないわけではありません。

また、外部からの攻撃にしっかりと備えていても、すでに侵入されていた、内部に不正を働く者がいる、といった状況ではシステムを守り切れません。このような状況の回避や、ダメージ最小化を実現するためテストを行います。

・外部ペネトレーションテスト

外部ペネトレーションテストは、ネットワークを介して外部からアクセス可能な、公開サーバやシステム、機器などを対象に行うテストです。実際に専門の技術者が外部からシステムなどへ侵入を試み、脆弱性や被害レベルなどを可視化します。

外部からの代表的なサイバー攻撃と言えば、標的型メールが挙げられます。標的型メールとは、特定の対象をターゲットとしたメール攻撃です。主に、ターゲットとした組織が保有する重要な情報を盗むために用いられる手法で、マルウェアを仕込んだメールを添付して実行されるケースがほとんどです。

そのため、外部ペネトレーションテストでも、疑似マルウェアを用いて侵入を試みるテストがよく行われています。疑似マルウェアを添付したメールを送付し、侵入可能な領域などを抽出します。

ペネトレーションテストの手法

ペネトレーションテストには、ホワイトボックステストとブラックボックステストの2種類があります。双方に特徴があるほか、どちらを実施するかで費用が変わることも覚えておきましょう。

・ホワイトボックステスト

ホワイトボックステストは、システムの設計や仕様、ソースコードなどを共有して行われるテストです。すべてのロジックを対象にテストを行うため、表面化していない潜在的な脅威を検出できる可能性があります。

ホワイトボックステストを行う際、場合によっては思うような成果が得られないケースがあるため注意が必要です。当該テストは、システムの詳細設計書に基づき実施されます。そのため、詳細設計そのものに誤りがあると、正しく検証を行えず問題を抽出できません。

・ブラックボックステスト

ブラックボックステストは、システム情報を開示しないまま実施される侵入テストです。検証を実施する技術者に、システムの情報を何ひとつ教えないため、実際のサイバー攻撃に限りなく近いシチュエーションのもとテストを実施できる点が特徴です。

また、システム利用者の目線でテストを行えるため、システムの改善につながるヒントを得やすいのも魅力です。開発側では把握できていなかった、システムの使いにくさ、画面の見にくさなどに気づくきっかけとなりえます。

一方、システムの性能を評価するテストとしては優れていません。システムの設計や仕様といった情報を共有しないままテストを実施するためです。

ペネトレーションテストの手順

ペネトレーションテストを実施するには、まずシナリオを作成します。たとえば、「マルウェアが添付されたメールを従業員が開いてしまう」といった具合に、実際のサイバー攻撃を想定したシナリオを作成しましょう。

シナリオが完成したら、調査対象への攻撃を開始します。検査を行う技術者の技量によって、結果が大きく左右されることがあるため、その点に注意が必要です。

テストが終了したら、検証を担当した技術者や企業が報告書を作成し、提出します。外部に依頼する場合、報告は書面で渡されるだけのケースもあれば、結果内容について担当者が説明してくれることもあります。このあたりの対応は、依頼先によって異なるため、事前に確認しておきましょう。

まとめ

実際のサイバー攻撃を想定したペネトレーションテストの実施により、脆弱性の特定と適切な対策が可能です。各種システムのクラウド化が進む昨今では、クラウドセキュリティの重要性が高まっています。クラウドを含めたシステムの情報セキュリティに問題があると、機密情報の漏えいにつながり、社会的な信用を失いかねません。このような状況を回避するためにも、セキュリティ向上を実現できるペネトレーションテストの実施を検討してみましょう。

▼Cloudbirc 脆弱性診断の詳細はこちら

▼製品・サービスに関するお問い合わせはこちら

▼パートナー制度のお問い合わせはこちら

クラウドサービスやAI、IoTなど、企業は劇的に変化していくIT環境に適応するために、適切なセキュリティ対策を講じる必要があります。この記事では、2023年3月に改訂された「サイバーセキュリティ経営ガイドライン」について、基本事項を紹介しつつVer2.0との違いを解説します。改訂内容を把握した上で、自社に適したセキュリティ対策を検討する際に、ぜひお役立てください。

サイバーセキュリティ経営ガイドラインとは？

近年、AIやIoTなど最新のデジタル技術が急速に発達し、浸透してきました。企業が扱うデータ量も膨大になり、ITの利活用は不可欠です。一方で、クラウド環境ではインターネットを介することから、サイバーセキュリティ犯罪には一層警戒を強め、適切な対策を講じていかなければなりません。

こうした企業の課題への向き合い方について、経済産業省が独立行政法人情報処理推進機構(IPA)と協議し策定したのが、「サイバーセキュリティ経営ガイドライン」です。脅威となっているサイバーセキュリティへの対策を効果的に進めるためには、経営者がリーダーシップを発揮し、このガイドラインを確認の上、着実に実行していかなければなりません。
本ガイドラインの内容は、サイバー攻撃からいかに自社を守るかといった観点から、主に以下の2つの柱を掲げているのが特徴です。

• 経営者が認識すべき3原則
• サイバーセキュリティ経営の重要10項目

「経営者が認識すべき3原則」の改訂内容

サイバーセキュリティ経営ガイドラインは2023年3月にVer2.0からVer3.0へ改訂されました。ここでは「経営者が認識すべき3原則」の項目で主にリニューアルされたところを解説します。

・重要課題として経営者のリーダーシップのもとでの対策が必要

サイバーセキュリティは今や社会的にも大きな関心事です。企業の代表である経営者がこうした脅威を放置していては、取り返しのつかない大きな被害を受けかねません。
そこでVer3.0では、経営者の責務としてリーダーシップを発揮することや対策の重要性を明文化しています。今やITの利活用とあわせて、自らサイバーセキュリティ対策を積極的に推進できる経営者が求められているといっても過言ではありません。

・自社のみならず全体にわたる対策への目配りが必要

次に、経営者がどのような範囲で対策を打つべきかが改訂されたことも注目すべきポイントです。
これまで多くの企業では、社内だけの問題としてセキュリティ対策を検討すればよいといった認識が一般的でした。しかし、サイバー犯罪は日々刻々と巧妙化の一途をたどっています。また、サプライチェーンも複雑化しています。
したがって、自社が関わる社外のサプライチェーン全体を見た上で、最適なサイバーセキュリティ対策とは何かを考えなければなりません。そうした意味から、今回のガイドライン改訂では、より広範囲まで目配りしなければならないといった内容が明示されました。
常日頃から連絡体制を整えられていれば、万一のインシデント発生時にも復旧に向けた素早い初動対応が可能になります。

・関係者との積極的なコミュニケーションが必要

サイバー攻撃を受けたときに初めて関係者と密に連絡を取ろうとしても、なかなかスムーズにいかないことは往々にしてあります。
そのため、緊急時のみならず、何も問題が起きていない平常時であってもさまざまな関係先と継続的にコミュニケーションを図っておくことが大切です。そこでどういった対策が必要かを議論しておけば、互いの課題を共有し、より効果的な方法を模索できます。

「サイバーセキュリティ経営の重要10項目」の改訂内容

ガイドラインのもうひとつの柱である「サイバーセキュリティ経営の重要10項目」では、全体的に項目の見直しがなされました。ここではその中で4つの項目を取り上げて紹介します。

• • 「指示3:サイバーセキュリティ対策のための資源(予算、人材等)確保」

セキュリティにまつわるインシデントを防ぐためには、IT部門のみならず、すべての従業員がセキュリティ対策を「自分ごと」と捉えなければならないこと、また確実に遂行できるスキルを身に付けたり予算を確保したりしなければならないといった内容が追記されています。

• • 「指示8:インシデントによる被害に備えた復旧体制の整備」

サプライチェーン全体がインシデントに対応できる体制づくりや留意点、訓練を実施しない場合に起きうる影響などについて、具体的に追記されています。

• • 「指示9:ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」

セキュリティ対策を打つ範囲はサプライチェーン全体におよぶこと、また効果的な方法を検討するとともに状況把握も的確に行う必要があること、関係先との役割を明確化し、責任の所在を明らかにすることなどが盛り込まれています。

• • 「指示10:情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供」

サイバーセキュリティに関する新しい情報を受け取るためには情報共有を進んで行うことも大切であること、被害を受けた場合の報告や公表体制、ステークホルダーへの開示などが追記されています。

サイバーセキュリティ経営ガイドラインが改訂された背景

サイバーセキュリティ経営ガイドラインが改訂された背景には、いくつかの要因があります。とくに、近年のサイバー攻撃は多様化、巧妙化しているのが特徴です。対策を打てば打つほど、今度はそれらを回避するような攻撃が仕掛けられることもよくあり、各企業ではさらなる対策の強化が求められています。その際には、現場に任せきりにするのではなく、経営者がリーダーシップを発揮することが重要です。こうした社会的なニーズの高まりから、ガイドラインは企業の対策をサポートする形で改訂されました。

まとめ

経済産業省がIPAと協力して策定、公表している「サイバーセキュリティ経営ガイドライン」は、企業がサイバー犯罪から身を守り、セキュリティ対策をどう打てばよいのかといった指針となるものです。
クラウド環境が浸透しつつある昨今では、社内外のネットワークを包括的に見据え、柔軟な対策が求められています。そこでおすすめなのが「Cloudbric」です。一元化されたプラットフォーム上で企業は自社にとって必要なソリューションを選択、導入できます。
セキュリティ対策の強化に課題をお持ちであれば、ぜひご検討ください。

Cloudbric（クラウドブリック） Webセキュリティ
製品・サービスに関するお問い合わせはこちら
Cloudbirc WAF+の無償トライアルはこちら
パートナー制度のお問い合わせはこちら

サプライチェーン攻撃は、標的となる企業に対して直接攻撃を行わず、セキュリティの脆弱な関連企業や取引先・委託先を狙うサイバー攻撃です。
この記事では、自社が取引先企業などに重大な損失を与える原因とならないためにも、企業の経営者が把握しておくべきサプライチェーン攻撃について、概要や攻撃方法、攻撃への対策などを解説します。

サプライチェーン攻撃とは

サプライチェーンとは、製品の企画から原材料の調達、製造、販売、消費までの一連の流れのことです。メーカー以外にも、製品の原材料を販売する企業や部品を製造する企業など、複数の企業が関連しているケースも少なくありません。

サプライチェーン攻撃は、こうした組織間または企業間のつながりを悪用して、目的の企業に直接攻撃するのではなく、セキュリティが弱い関連企業や取引先を標的に行われる間接攻撃です。業務委託先の企業や周囲の取引先などを攻撃して侵入してから、その企業を介して強固なセキュリティ対策を行っている企業に対して攻撃を仕掛けます。

ターゲットとする企業が使用するソフトウェアや更新プログラム、ハードウェアなどに不正なプログラムを組み込んで、マルウェアなどに感染させる攻撃方法もあります。

サプライチェーン攻撃の攻撃方法

・ハードウェアやソフトウェアを介した攻撃

ハードウェアやソフトウェアを介して実施される攻撃は、ソフトウェアサプライチェーン攻撃と呼ばれます。攻撃者が製造段階や提供段階で不正なコードを入れたソフトウェアを制作・提供し、企業内に入り込んだ不正コードの働きにより攻撃が開始される手法です。企業が使用しているソフトウェアをアップデートした際にマルウェアに感染し、不正にアクセスされるケースなどが考えられます。

自社が対策を行っていても、セキュリティの弱い関連企業のソフトウェアが感染させられ、ほかの企業を介してネットワークに侵入されるケースもみられます。比較的感染に気づきにくい方法のため、充分に対策を行うことが重要です。

・サービス事業者を介した攻撃

攻撃者がプロバイダなどに対して不正アクセスを行ってから、プロバイダがサービスを提供している顧客を狙う手法です。プロバイダを介して、顧客の企業にランサムウェアを拡散させるため、広範囲にわたって攻撃が実行されます。

サプライチェーンには、ターゲット企業の子会社、海外拠点、関連会社などさまざまな企業が該当します。サービス事業者を介した攻撃はサービスサプライチェーン攻撃とも呼ばれ、狙われるのは主に企業が利用しているWebサービスやMSP（Managed Service Provider）などです。

・委託先を介した攻撃

委託先を介した攻撃とは、ターゲット企業の取引先を調査してから、セキュリティが弱い委託先に攻撃を仕掛ける手法です。システム開発や顧客情報の管理などを委託している場合には、業務を委託している企業が狙われ不正アクセスが実行されます。

委託先企業から機密情報を盗み、ターゲット企業から金銭を脅し取るケースも見られます。

サプライチェーン攻撃への対策

・サプライチェーン全体の状況を把握する

サプライチェーン攻撃は自社だけでなく、取引先や委託先など、サプライチェーン全体で取り組む必要があります。そのためには、ビジネスを始める際にセキュリティ対策の内容を明確に定めてから契約を行うことが重要です。対策を共同で行うため、系列企業や委託先企業などが取り入れている対策の状況を把握する必要もあります。

対策状況は、定期的に確認を行います。万が一サプライチェーン攻撃を受けた場合に備えて、攻撃の被害を確認、報告する体制を整えることも重要です。

・情報セキュリティ教育の実施や対応フローの確立をする

社員の情報セキュリティに対する意識改革も対策のひとつです。たとえ情報セキュリティ対策を実施していても、社員のセキュリティ意識が低い場合には確実な対策ができません。

社内の情報セキュリティに対する意識を高めるには、研修や社員教育を行うことが重要です。社員が必要な知識を身につけることで、ヒューマンエラーによるマルウェア感染の防止にもつながります。

サイバー攻撃を受けたケースまで想定し、トラブル発生時の対応フローを設定しておくと、迅速な対応も可能です。

・OSやソフトウェアは最新にしておく

OSやソフトウェアには、「セキュリティホール」と呼ばれる情報セキュリティ上の脆弱性が発生する場合があります。セキュリティホールを狙って攻撃が行われるケースもあるため、OSなどは常に最新の状態にアップデートしておきましょう。

OSやソフトウェアメーカーは、発見したセキュリティホールを修復するため、更新プログラムをユーザーに配布しています。OSなどの脆弱性を修正する更新プログラムは、受け取った際にすぐ実行することが大事です。

・セキュリティソフトを導入する

ウイルス感染を防ぐには、セキュリティソフトの導入が適しています。これは基本的なセキュリティ対策として多くの企業が導入している方法です。

セキュリティソフトは、ウイルス対策やファイアウォールなどの機能で、ウイルス感染や不正侵入、さまざまなサイバー攻撃からネットワークとコンピュータを守ってくれます。導入後にはこまめなアップデートを行い、最新の状態を維持しておきましょう。

・ネットワーク対策を行う

サプライチェーン攻撃では、関連企業などを介して攻撃される恐れがあるため、被害を最小限に抑える目的でネットワーク上の対策も必要です。たとえば、重要な情報に関わるデバイスやネットワークは、他のネットワークとはつなげずに独立させておくことも対策になります。

ネットワークが独立していると、万が一攻撃を受けた際にも、他のネットワークから重要なデータへのアクセスを防ぐことが可能です。また、アクセス制限を設けるなどの対策も、外部からの攻撃を阻止するのに役に立ちます。

・パスワード対策を行う

不正なアクセスを防ぐため、推測や解析されにくいパスワードを設定することも重要です。さまざまなシステムやネットワークで同じパスワードを使い回していると、万が一パスワードが外部へ流出した際に被害が拡大しかねません。

パスワード対策では、長く、複雑なパスワードを設定し、パスワードの使い回しを防止しましょう。さらに、パスワードが流出した場合に備えて、多要素認証と組み合わせる方法でセキュリティを強化することも効果的です。

まとめ

サプライチェーン攻撃は、製品の企画、原材料の調達から消費まで、事業活動の一連の流れにおいて関係する企業を介し、目的の企業に攻撃を仕掛けるサイバー攻撃です。主に企業が使用するソフトウェア、サービス事業者、委託先などを介して行われます。
サプライチェーンのなかでもセキュリティが脆弱な企業を狙って攻撃されるため、全体のセキュリティ対策状況を把握することが重要です。ほかにも、OSを最新にしておく、セキュリティソフトを導入するなどの対策が考えられます。

より万全な対策を求める場合には、WAFに加えて脅威IPや悪性ボットの遮断といった機能を備えるクラウド型WAFサービス「Cloudbric WAF+」の導入をご検討ください。