不正アクセスMain Image

不正アクセスの発生状況は？実情と対策まとめ

by ブログ

不正アクセスMain Image

企業の不正アクセス被害が多数報道されています。個人情報の漏えいなど、企業としての信頼を失いかねない報道なだけに、注目している方も多いのではないでしょうか。そこで、今回は不正アクセスの概要と被害状況や事例に加え、不正アクセス対策について説明していきます。

 

不正アクセス

そもそも「不正アクセス」とは、どのような行為を指す言葉なのでしょうか。「不正アクセス」という言葉は広い意味を持ちますが、一般的には、「サーバーやシステムなどに対し、アクセスする権限を持たないにも関わらず、不正にアクセスすること」を指します。企業への不正アクセスによって想定される一般的な被害としては、情報の漏えい、システムの乗っ取り、ファイルやサイトの改ざんといったところが挙げられます。

企業の情報システムの多くは、顧客の個人情報や取引の情報など外部に公表してはならない情報を含んでいます。ECサイト等で不正アクセスが発生すると、買い物客のクレジットカード情報等の流出により、大きな被害が発生します。Webサイトへの不正アクセスが成功すると、内部の設定を改ざんし、本来の動作とは異なる動作をさせることが可能になる場合があります。例えば、サイト内に任意の罠サイトへのリンクを設置することで、ユーザのPCをウイルスに感染させたり、スクリプトを実行させる攻撃も可能となります。また、不正アクセスが発生した場合、被害にあうのが自社のシステムだけとは限りません。システムを乗っ取られた場合、そのシステムを踏み台にしてさらに外部の組織の攻撃に利用される可能性もあります。

いずれの被害も、発生した場合にはシステムの利用や業務の存続に多大な影響が生じるだけでなく、知り合いや取引先企業の信頼を失う恐れがあります。特に企業の場合には、社会的な信頼を失う大きなリスクがあり、十分な対策が必要です。狙われやすいのは個人よりも一般企業がほとんどで、重要な情報資産を保持している企業がターゲットになる可能性が高いとされています。

不正アクセスの発生原因は、システムへのセキュリティ対策の不十分さや、無線LANやセキュリティソフトの設定の不備や古さ、利用者のセキュリティ意識の低さ等が挙げられます。それらに対する対策については、後ほど詳しく解説します。

 

不正アクセスの発生状況

実際に日本ではどのくらいの不正アクセスが発生しているのでしょうか。総務省の発表によれば、過去数年で不正アクセスの被害は増加傾向にあると言えるようです。2017年の不正アクセス認知件数が1202件、2018年の認知件数が1486だったのに対し、2019年の不正アクセス認知件数は2960件と前年の倍以上に上がっています。2020年の認知件数2806件、2021年の認知件数1516件と、ここ2年は減少していますが、それでも年に1000件を超える不正アクセスの被害が発生しています。またそれらの認知件数の内、例年、90％以上は一般企業が受けた被害です。大学や行政機関、プロバイダにも年に数件～数十件の不正アクセス被害が発生していますが、狙われやすい一般企業のセキュリティ対策が求められています。

不正アクセスが発生した場合に、攻撃者がどのような行為を行ったのかという情報も公開されています。2021年の場合、半数近い45.7%を占めているのは、「インターネットバンキング等での不正送金等」、次いで23.0%を占めているのが「インターネットショッピングでの不正購入」です。いずれも、攻撃者の金銭的な利益に直結する行為です。その他の行為としては、「メールの盗み見等の情報の不正入手」(11.5%)、「知人になりすましての情報発信」(4.7%)、「オンラインゲーム・コミュニティサイトの不正操作」(4.3%)が続きます。

(出典：総務省https://www.soumu.go.jp/main_content/000807446.pdf)

 

不正アクセスの実例

ここでは、実際に起こった不正アクセスの実例についてご紹介します。

上智大学Webサイト改ざん被害

2022年2月18日頃に確認された不正アクセス被害です。上智大学の複数のウェブサイトが改ざんされ、サイトの利用者が外部のアダルトサイトへと誘導するような画面がランダムで表示される仕組みになっていたとのことです。原因としては、パスワードを特定された可能性が高いとされています。現在では、サイトは全て復旧しています。

(出典：上智大学https://www.sophia.ac.jp/jpn/news/PR/220224_web503.html)

森永製菓不正アクセス被害

2022年3月13日、森永製菓株式会社が運用する複数のサーバーに障害が発生し、第三者による不正アクセスが確認されたとのことです。被害状況としては、複数のサーバーへの不正な侵入と、一部のデータがロックされていたようです。顧客への商品発送に関する情報が含まれており、氏名や住所、電話番号、メールアドレス等が流出した可能性があります。また、サーバーへの侵入経路としては、インターネット回線に設置していたネットワーク機器の脆弱性を利用したものとされています。

(出典：森永製菓株式会社https://www.morinaga.co.jp/company/newsrelease/detail.php?no=2178)

宇都宮ケーブルテレビ株式会社情報漏えい被害

2021年11月に発生した不正アクセス被害です。宇都宮ケーブルテレビ株式会社が運営する通販サイト「いいもの、あるよ！」において、第三者による不正アクセスと、それに伴う個人情報漏えいが判明しました。システムの一部脆弱性をついた、第三者の不正アクセスにより、不正なファイルの設置と、決済用のアプリケーションの改ざんが行われたことが原因です。クレジットカード名義、番号、セキュリティコード等のクレジットカード情報の漏えいが確認されています。

(出典：宇都宮ケーブルテレビ株式会社https://aruyo21.jp/user_data/news_detail.php?id=1004)

 

不正アクセス対策

それでは、そうした不正アクセスに対して、企業はどのような対策を行えばよいのでしょうか。企業として講じておくべき必須の対策をご紹介します。

OS等を最新の状態に保つ

OSやアプリケーション等のソフトウェアには、日々脆弱性が見つかっています。各ベンダーは、それらの修正パッチや最新版を定期的にリリースしているため、アップデートを怠って古いバージョンのソフトウェアを利用していると、それらに潜む脆弱性を利用して不正アクセスの被害にあう恐れがあります。ベンダーの情報やセキュリティ関連のニュースに目を通し、ソフトウェアを最新の状態にしておきましょう。

ログイン方法の複雑化

不正アクセスの発生原因として多数報告されているのが、システムへの不正なログインです。パスワードの漏えいや特定により、本来アクセス権限のない第三者によるログインを許容してしまう、というものです。そのため、パスワードを特定が困難なものに設定すること、具体的には「アルファベットの大文字と小文字、数字、記号を使用した8桁以上のもの」といった、強固なパスワードポリシーを設定し、定期的にパスワードを変更する、といったことが挙げられます。パスワード以外にも、SMSや生体情報を用いた多要素認証の仕組みを実装することでログイン方法を複雑化する、という手法も有効となります。

利用者のセキュリティ意識の徹底

システムへの不正アクセスを防ぐためには、それを利用する利用者のセキュリティ意識も重要となります。パスワードの管理もその一つですが、怪しいメールを開かない、怪しいサイトにアクセスしない、といったセキュリティ意識を高く持つことで、防ぐことができる被害もあります。社員へのセキュリティ教育を行うなど、利用者のセキュリティ意識を徹底することが、企業の情報資産の保護につながります。

セキュリティサービスの導入

利用者の意識徹底や、ソフトウェアを最新版に保つだけでは、不正アクセス対策としては十分とは言えません。セキュリティサービスを導入することで、悪意のある通信やDos攻撃、Botなどを防ぐことが可能となります。

Cloudbric WAF+のご紹介

悪意のある通信やDDoS防御対策、悪性Botなどを防ぐ「Cloudbric WAF+」についてご説明します。「Cloudbric WAF+」は高性能でシステムに対する攻撃を防ぎ、Dos攻撃や悪性Botの遮断、脅威IPの遮断、新規脆弱性への迅速な対応など、多数の高機能を備えたセキュリティプラットフォームです。Webシステムを利用する全ての企業におすすめのセキュリティサービスです。

より詳しい情報を確認したい方はこちらをご覧ください。

 

まとめ

不正アクセスは、第三者によるシステムへの不正な侵入を指します。不正アクセスが成功すると、重要な情報の漏えいやシステムの改ざん等、企業の信頼を失いかねない被害が発生します。社員をはじめ利用者のセキュリティ意識の徹底や、ソフトウェアの管理だけでなく、セキュリティサービスの導入によって、十分な対策を講じるようにしましょう。弊社が提案する対策を参考に安全な不正アクセス対策を講じて頂ければ幸いです。

cloudbric blog post

2022年ゴールデンウィーク休業のお知らせ

by お知らせ

時下ますますご隆昌のことと存じます。

日頃より、弊社へのご支援およびご協力を賜り厚く御礼を申し上げます。

さて、2022年ゴールデンウィーク休業期間における休業および営業について、下記のとおりお知らせいたします。

■ゴールデンウィーク休業期間

2022年4月29日(金) ～ 2022年5月5日(木)
※通常業務は、2022年5月6日(金)より開始致します。

■休業期間中の対応について

Customer Support Center上での受付は通常通り行います。
なお、休業中のお問い合わせにつきましては、2022年5月6日(金)以降に順次対応させて頂きます。

大変ご迷惑をおかけ致しますが、何卒ご了承くださいますようお願い申し上げます。

WAAPとは

今、注目すべき次世代のWebセキュリティ対策「WAAP」とは？

by ブログ

Web脆弱性を突いた攻撃から、Webアプリケーションを守るセキュリティ対策として多くの企業で導入されているWAF（Web Application Firewall）」。企業のクラウド活用が加速している中、悪意のある第3者は次々に新たな手口を考案しており、サイバー攻撃の手法はますます巧妙化・多角化しています。従来のセキュリティ対策では守り切れないサイバー攻撃における新たな形のWebセキュリティ対策として、WAF、DDoS対策、ボット対策、APIセキュリティなどを組み合わせたクラウド型セキュリティサービス、「WAAP」という概念が登場しました。本記事では、WAFの進化型である「WAAP」について解説しています。

 

ガートナー社が提唱する「WAAP」とは？

「WAAP（ Web Application and API Protection ）」とは、主にIT分野でのリサーチを行っている企業であるガートナー社が提唱する概念で、Webアプリケーション保護対策に加えAPI保護機能を備えているクラウド型セキュリティサービスを示します。「2021 Gartner® Magic Quadrant™ WAAP」によると、今年「WAAP」を導入している組織の割合は10%を下回っていますが、2026年までに40%へと伸びると予想されます。また、2024年までに、マルチクラウド戦略を採用している組織の約70％がクラウド基盤のWAAPを検討するようになるということで、今後WAAPがWebセキュリティ対策の新たな主流となっていくと見られます。

前述しましたが、「WAAP」はWebアプリケーション保護対策に加えAPI保護機能を備えているクラウド型セキュリティサービスとなります。WAAPには以下の4つのコア機能が含まれています。

  • WAF
  • ボット対策
  • DDoS対策
  • APIセキュリティ

また、オプション機能としてDNSセキュリティやCDNといった機能を備えているWAAPもあります。

ガードナー社では、現在サービスを提供しているWAAP製品のアナリストたちによる評価をWebサイトで紹介しています。詳細はこちらをご覧ください。

 

WAFがWAAPに進化していく理由とは

WAAPは、WebアプリケーションだけでなくAPIも保護対象としています。

実は、APIはWAFでも守ることが可能です。しかし、その保護が不十分であったことが、WAFがWAAPに進化していく理由の1つです。そもそもWAFでAPIが守れるのは、APIがHTTP通信を用いられ、WAFの検査対象に含まれるためです。つまり、WAFでのAPI保護は、その通信がサイバー攻撃なのかどうかを見分けるだけです。分類し、その結果に応じて危険なら通信を禁止し、安全だと判断されたら通信を許可します。

その判断基準として脆弱性を狙うサイバー攻撃かどうかを見極めますが、そもそもWAFが主な保護対象としているWebアプリケーションの脆弱性とは、アプリケーションを構成するシステムやプログラムの実装上の不備のことです。この不備を衝くサイバー攻撃はある程度パターン化しているため、そのパターンのノウハウの蓄積情報をもとに判断しているという特性を持ちます。

APIの脆弱性も実装上の不備ともいえますが、APIは取得したい情報や処理して欲しい内容をパラメータとして付与し、通信を行います。そのため、外部サービスとAPI連携の数だけ仕様が存在していることから、仕様の不備を狙うサイバー攻撃をパターン化することは事実上困難です。さらにAPI提供元が突然仕様を変更したことで、サイバー攻撃の見分けができなくなってしまう可能性もあります。そのため、API保護では下記の2つが重要です。

  • 攻撃者はAPI脆弱性調査するための、一般ユーザとは異なる挙動を検出し、アラートする機能
  • API通信における正常な動作をAIを用いて自動学習し、ベースラインから乖離している通信についてアノマリー検出を行う機能

現在、APIを通じて社内外のさまざまなサービスを連携することで顧客の利便性を高めつつ、事業成長に繋げる動きが進んでいることから、APIを狙うサイバー攻撃が急増しています。しかし、主にWebアプリケーションを保護対象としているWAFのみだと、サイバー攻撃の選別に時間がかかったり、誤検知や仕様変更による検知の見逃しなどが発生しているのも現状です。そのため、API保護も考慮しているWAAPの重要性が高まりつつあります。

また、悪意のある第3者によるサイバー攻撃は多角化しているため、Bot攻撃やDDoS攻撃のなかにはWAFの保護対象外のサイバー攻撃もみられます。そのため、WAAPの今後は、WAFの機能にはないボット対策やDDoS対策の機能を超えたさらなる進化もみられるでしょう。

 

「Cloudbric WAF＋」がガートナー社によるRepresentative Providersに選定！

新たなWAAP製品・サービスが次々と誕生しています。WAAPが全く新しい概念ではないとはいえ、がWAAP製品やサービスを選ぶ基準についてはまだ明確な基準がないのも事実です。だからこそ、ガートナーにより公開された報告書内容を前提に、WAAPについて理解し、自社システムに合った対策を導入することが重要です。

ガートナーは、 「Defining Cloud Web Application and API Protection Services」において、WAAPの定義、仕組み、特長などを解説しています。また、次のように代表プロバイダー も紹介してますので、是非参考にしてみてください。

今回、弊社の「Cloudbric WAF＋」が、ガードナー社のRepresentative Providers（代表プロバイダー）に選定されました。Cloudbric WAF＋は、1つのプラットフォームにて WAFサービスに加え、L3/L4/L7DDoS防御、SSL証明書、脅威IP遮断、悪性ボット遮断など、Webアプリケーションセキュリティに必要な機能を統合提供しております。APIセキュリティも提供しているため、あらゆる範囲からのサイバー攻撃に対し、強固なセキュリティでWebサイトを守ることが可能です。そして、高セキュリティでありながらリーズナブルに利用することができることから、日本国内だけでも6,550サイト以上の導入実績があります。

Cloudbric WAF+

Cloudbric WAF＋へのお問い合わせはこちら。

 

まとめ

今回は、ガートナー社によって提唱される「WAAP」について解説してきました。WAFだけでは守り切れない悪意のある第3者による攻撃は、今後も増えていくでしょう。そのような環境下で行うべきセキュリティ対策として、「WAAPの導入」や「API保護も可能なWAFを選ぶこと」は有効だと考えられます。ぜひ、自社にあったセキュリティ対策方法を導入して、万全なセキュリティ体制の構築してください。

 

AWS WAF利用とCloudbric WMS

「AWS WAF」とは？利用状況やおすすめ機能などを紹介！

by ブログ

Webアプリケーションの脆弱性を悪用した攻撃の遮断やDDoS対策として注目されているWAFサービス。そんなWAFサービスのなかでも、今回は特に注目されている「AWS WAF」について解説しています。悪意のある第3者による攻撃が後を絶たず、小規模企業でもターゲットとされる可能性がある昨今、「AWS WAF」はセキュリティ面において有力なシステムとしてさまざまな企業で活用できる可能性を秘めているサービスです。そんな運用管理サービス「AWS WAF」の1つとして、この度新たに誕生した「Cloudbric WMS for AWS」についても紹介もしていますので、ぜひ、最後までご覧ください。

 

「AWS WAF」とは？利用状況やおすすめ機能について解説！

WAFは「Web Application Firewall」の略で、近年増えているWebアプリケーションの脆弱性を悪用した悪意のある第3者からの攻撃から、Webアプリケーションを守るセキュリティ対策の1つです。例えば、米アマゾンドットコムでは、同社の世界規模のECサイト（オンラインショップ）の運営基盤として使用している機能を、下記のような従量制のサービスとして提供しています。

  • 仮想サーバなどを貸し出すIaaS（Infrastructure as a Service）サービス
  • アプリケーション実行環境を提供するPaaS（Platform as a Service）サービス
  • 固有の機能を持つソフトウェアを利用させるSaaS（Softwar as a Service）サービス

そんなAWSを利用したクラウド型WAFサービスの提供が「AWS WAF」で、。まずは、「AWS WAF」の利用状況について確認してみましょう。

 

最新情報！「AWS WAF」の利用現況は？

 

画像クレジット：Canalys

現在、世界中のデータセンターから200 以上のフル機能のサービスを提供していることもあり、AWSは世界で最も包括的で広く採用されているクラウドプラットフォームとなっています。市場調査会社Canalysが発表した2021年第1四半期におけるグローバルのクラウド市場規模の資料によると、AWSはクラウドインフラ市場で30％以上の利用状況を誇ります。

そんなAWSのサービスの1つである「AWS WAF」は、従来の一般的なWAFサービスと比べて安価かつ容易にWAFを導入可能です。また、後述する優れた機能があることから、Webアプリケーションのセキュリティ対策として、多くの企業で選ばれています。

 

【厳選】おすすめ！AWS WAFの機能3選

「AWS WAF」には、様々な優れた機能が搭載されています。

  • リアルタイムでの可視化機能
  • APIを使用した完全管理機能
  • 「AWS Firewall Manager」での一元管理機能

それでは、詳しくみていきましょう。

リアルタイムでの可視化機能

「AWS WAF」では、リアルタイムメトリクスを使用し、「IPアドレス」「地理位置」「URI」「User-Agent」「ヘッダーなどの各種リクエストの詳細」の可視化が可能です。また、望ましくないアクティビティを実行するボットも可視化できるため、特定の攻撃が発生した際のカスタムアラームを簡単に設定できます。

APIを使用した完全管理機能

「AWS WAF」には、フル機能のAPIによる完全管理機能があります。具体的には、フル機能のAPIによってAWSが提供している標準のルールだけでなく、「Webセキュリティルールの作成」「デプロイ」「メンテナンスの自動化」などのAPIを活用して新たな管理ルールの作成が可能。さらに、新たな作成した管理ルールをアップデートして、自社に合わせた運用もできます。

「AWS Firewall Manager」での一元管理機能

「AWS WAF」は、「AWS Firewall Manager」への統合が可能です。「AWS Firewall Manager」とは、企業・組織内にあるアカウントとアプリケーション全体で一元的にファイアウォールのルールを設定、管理できるセキュリティ管理サービスのことです。この「AWS Firewall Manager」に統合することで、複数のAWSアカウントにまたがる「AWS WAF」を一元設定・一元管理できるようになります。

 

「AWS WAF」を導入するメリットとデメリットを紹介！

前述した優れた機能の数々が利用できることは、「AWS WAF」導入の大きなメリットですが、その他にも得られるメリットが存在します。また、導入によって発生の可能性があるデメリットについてもあるため、注意しなければなりません。

「AWS WAF」のメリット

「AWS WAF」は他のAWSサービスと同じく従量課金制です。利用した分でしか料金が発生しないため、従来のWAFサービスと比べてコスト的に優れており、料金体系も分かりやすいことが特徴です。従来のWAFサービスは、セキュリティルールを設定しても、それがシステムに反映させるまで時間がかかっていました。しかし、「AWS WAF」ならすぐに反映できるため、脅威による問題が発生した場合に即座に対応できます。

 クラウドタイプのサービスなので、導入時にソフトのインストールやハードウェアの準備をする必要がないため、すぐに導入できます。

  • DDoS攻撃
  • バッファオーバーフロー
  • SQLインジェクション
  • OSコマンドインジェクション
  • ディレクトリトラバーサル
  • クロスサイトスクリプティング
  • ブルートフォースアタック　

上記のようなサイバー攻撃を防止してくれるところは大きなメリットといえるでしょう。

「AWS WAF」のデメリット

「AWS WAF」は、状況にあわせてルール作成ができますが、そのルールを細かく設定する場合には専門的な知識が必要です。そのため、もし何かしらの問題が発生して、その対策として細かなルール設定が必要となった場合、専門スキルや関連する専門知識が乏しいと設定に時間がかかり対応が遅れてしまうでしょう。

AWS WAFから提供されているマネージドルールを利用することも可能ですが、最新のサイバー攻撃から企業のWebアプリケーションを安全に守るためにはセキュリティ対策を更に強化する必要があります。専門ベンダーにより提供されるWAFを導入する方がより確実なセキュリティ対策となるでしょう。

 

正式リリース！AWS WAF運用管理サービス「Cloudbric WMS for AWS」の紹介！

「AWS WAF」で細かなルール設定をする場合には、専門的な知識が必要であるということは前述しました。その対策として、今回紹介するサービスがセキュリティ専門家によるAWS WAF運用管理サービス「Cloudbric WMS for AWS」です。AWSをプラットホームとしたWAFに関連したサービスの1つとして、正式リリースを開始しました。

「AWS WAF」は導入しやすく・コスト的にも優れたWAFサービスですが、安定的な運用のためには専任のセキュリティ担当者が不可欠となります。大手であれば専任のセキュリティ担当者を雇うことも難しくありませんが、中小企業では対応が困難な場合もあります。

AWS WAF運用管理サービス「Cloudbric WMS for AWS」は、AWS WAFにおける効率的な運用管理を実現し、最高のセキュリティレベルを保証します。弊社のセキュリティの専門家によって、低コストで「AWS WAF」のルール作成・最適化・運用や24時間365日体制でのサポートします。自社でのルール作成・管理・運用が難しいことが「AWS WAF」導入の課題としてあるのなら、ぜひとも検討してみてはいかがでしょうか。

 AWS WAF運用管理サービス「Cloudbric WMS for AWS」の料金やサービス内容についての詳細を知りたい方は、こちらをご覧ください。

what is ztna2

ZTNA(Zero Trust Network Access)の重要性とは？メリットなども解説！

by ブログ

働き方改革とコロナ禍の影響から、日本企業でもテレワークのリモート・在宅勤務の導入が増加しています。そして、テレワーク増加と比例して増加している事例がVPNの脆弱性を狙ったサイバー攻撃です。

そんななか、VPNのような境界型セキュリティでは防ぐことのできないサイバー攻撃に対応できる次世代のセキュリティとして注目されている概念が「ZTNA（Zero Trust Network Access）」です。ZTNAの概念やセキュリティモデルについての詳細は、こちらの記事で解説しています。

⇒ZTNA（Zero Trust Network Access）とは？概念とセキュリティモデルを解説！

本記事では、次世代セキュリティとして注目されるZTNAの重要性と導入のメリットについて解説しています。ぜひ、最後までご覧ください。

 

企業担当者必見！ZTNA（Zero Trust Network Access）の重要性とは？

ZTNAが注目されるようになった背景には、ITの技術や働き方の変化によって、VPNなどの従来の境界型セキュリティでは守り切れない事例が頻出してきたことが挙げられます。IT技術の変化や企業のクラウド環境への移行が進むとともに、求められるセキュリティ対策も変わってきました。そしてテレワークのリモート・在宅勤務の増加など働き方が急激に変化する中、リモートアクセスに対するセキュリティ対策を見直す必要があるという議論がはじまって、従来のVPNに代わる対策としてZTNAが注目されました。

それでは、なぜZTNAの導入が重要なのでしょうか？まずは、クラウド環境におけるZTNAの重要性について、詳しく解説していきます。

クラウド環境ではZTNAが重要！

近年、ランニングコスト削減効果や安価でスピーディーな環境構築などを目的にクラウド環境の導入・移行に踏み切る企業が増加傾向にあります。クラウド環境とは、離れた場所にあるシステムの本体（物理的なサーバなど）から、インターネットなどのネットワークを介して、ユーザにサービスを提供する形態のことです。

境界型セキュリティと呼ばれている従来のセキリティは、下記のポイントを軸に対策されています。

  • 外部ネットワークとの「境界線（ペリメータ）」でセキュリティ対策を行う
  • 内側（社内）と外側（社外）の接点における悪意のある第3者の存在

つまり、従来のセキュリティ対策としての考え方は、外側は信用できず内側は信頼できるという意識が働いていました。システムの本体が内側にあれば、従来のセキュリティ対策でも、悪意のある第3者からの攻撃は防げるでしょう。

しかし、クラウド環境で離れた場所にシステムの本体がある場合、境界型セキュリティでは攻撃を防ぐことはできません。それに対して、ZTNAは、ゼロトラストという「ネットワークの外側も内側も依存しない」という考えでセキュリティ対策を行うため、クラウド環境にも対応しています。だからこそ、クラウド環境に移行した企業や移行を考えている企業は、クラウド環境にある情報資産を守れるセキリティ対策として、ZTNAの導入は重要となります。

 VPNが安全な対策であると言えない理由は？

境界型セキュリティとして最も一般的で、テレワークでのリモート・在宅勤務での主流となっていた仕組みと言えば、VPNがあります。テレワークの推進やコロナ禍の影響でリモート・在宅勤務をする方が増加したことで、社内ネットワークに外部から安全にアクセスする際に使うVPNは急速に多くの企業に拡がりました。しかし、VPN製品の脆弱性が相次いで発見され問題となりました。そして、その脆弱性を利用したサイバー攻撃や攻撃者の侵入が次々と発覚し、もはやVPNは安全なセキュリティ対策ではないといわれています。

 また、脆弱性があることだけでなく、VPNのような境界型セキュリティは「内側が安全」と考えられているため、他者のなりすまし攻撃に弱いという特性があります。そのため、社内ネットワークへの攻撃を防ぐことは困難といえるでしょう。

ZTNAは脱VPN事故に不可欠！

VPNを狙った悪意のある第3者によって、VPN事故（VPNの欠陥をついた攻撃による情報流出などの事故）が発生する可能性は十分あります。VPNは、もはや安全なセキュリティ対策とはいえなくなっており、一刻も早く「脱VPN」への対策が必要といえるでしょう。そして、そんな脱VPN対策として注目されている概念が、ZTNAの導入です。

 

VPNの代わりに注目されるZTNA（Zero Trust Network Access）のメリットとは？

ZTNAであれば、VPNなどの境界型セキュリティでは守り切れない資産を守ることができますが、他にも下記のようなメリットが得られます。

  • アクセス速度が早まる
  • セキュリティが強固となる
  • 管理者の負担が減る
  • ユーザの増加に柔軟に対応できる

それでは、ZTNA導入におけるそれぞれのメリットについて、詳しくみていきましょう。

アクセス速度が早まる 

ZTNAは、VPNとは異なり、許可された限られたユーザしかネットワーク上のアプリケーションやデータにはアクセスができません。そのため、これまでより無駄なアクセスが減り、接続が最適化されたことでアクセス待ちの時間が短縮します。また、クラウド環境でVPNを利用したリモートワークは、下記のようなアクセス経路を辿ります。

  1. リモート端末
  2. 社内ネットワーク
  3. クラウド

そのため、社内ネットワークに対して、VPNアクセスとクラウドへのアクセスで2重に負担がかかることで速度が遅延しやすいという特性がみられます。ZTNAを導入すれば、効率的なクラウド利用が可能となるでしょう。

 セキュリティが強固となる

ユーザがIDとパスワードによる認証が通過すれば、ZTNAでは、アクセス権限を持つアプリケーションのみアクセスが可能となるよう権限の制御が可能です。もしユーザの端末が乗っ取られても、悪意のある第3者は限られたアプリケーションにしかアクセスできないため、被害を抑えられるでしょう。また、IPアドレスは許可されないユーザには公開されないため、IPアドレスの外部公開によるサイバー攻撃の軽減も期待できます。

 管理者の負担が減る 

VPNの場合、拠点ごとにアクセス制御ポリシー（保護リソースに対するアクセスをユーザに許可するか拒否するかを定義する一連の条件）の管理が必要です。ZTNAを導入すれば、組織全体のアクセス制御ポリシーがすべてクラウド上で一元管理できるため、拠点ごとに管理する必要がありません。そのため、管理者の負担が大きく軽減されるでしょう。また、ACL（アクセス制御リスト）も簡素化できることから、さらに管理者の負担は減るところは大きなメリットです。

ユーザの増加に柔軟に対応できる

VPNの場合、ユーザが増加すると、利用規模に対してサーバなどの性能や容量が負荷に耐えられません。そのようなシステム障害の発生を防止するためには、サイジングの必要性や急なユーザ追加に対して、柔軟に対応しなければなりません。しかし、ZTNAを導入すれば、性能による問題などの処理はすべてクラウド上で行えるため、急にユーザ増加があっても柔軟で迅速な対応ができます。

 

ZTNAソリューションのおすすめ「Cloudbric RAS」を紹介！

脱VPNのセキュリティ対策として、ZTNAを選ぶ企業もあることでしょう。すでに、各企業からいくつものZTNA製品（ZTNAソリューション）の提供を開始しています。しかし、製品によって提供形態やサービス内容が異なるため、ZTNAの導入をする際は製品を見極めて自社にあったサービスを選ぶことが重要。そして、導入するZTNA製品を見極める際のポイントとして、は、下記の4つが挙げられます。

  • セキュリティ能力
  • 情報の管理のしやすさ
  • 相互運用性の良さ
  • 問題が起きた際の対処・対応速度

これら4つのポイントからおすすめするZTNAソリューションといえば「Cloudbric RAS」があります。マルチ・クラウド上に構築されている複数のWebアプリケーションに対し、利用者単位でアクセス権限を設定できるクラウド型セキュリティサービスです。

 

さいごに

今回は、ZTNAの重要性やメリットなどについて解説してきました。セキュリティコンサルティングを世界的に展開しているガートナー社によると、現在「VPN」を利用している企業の約6割が、2023年までにZTNAへ移行すると予想しています。これまで、VPNは利用すべき安全対策といわれてきましたが、今の時代や環境に対応できていない事例が数多く報告されているのが現状。今後のテレワークを推進や会社のクラウド化を目指しているのなら、ぜひZTNAを導入して、脱VPNを検討してみてはいかがでしょうか。

 

ZTNA ソリューション「Cloudbric RAS」の詳細はこちら

Cloudbric RAS

what is ztna

企業担当者必見！ZTNAとは？概念とセキュリティモデルを解説！

by ブログ

現代社会において、インターネットを利用するさまざまなサービスの通信手段としてVPN接続が活用されています。しかし、多くの利用があることもあり、VPN接続の脆弱性を悪用した第3者によるサイバー攻撃が年々増加しています。そして、VPN接続の脆弱性を悪用したサイバー攻撃・トラブルを解決できる新しいセキュリティとして注目されている仕組みが「ZTNA（Zero Trust Network Access）」ソリューションです。

本記事では、従来の境界型セキュリティからの転換を実現するZTNAについて解説しています。また、クラウド環境でのZTNAの重要性や従来のVPN接続を使い続けたときの危険性のうち、日本国内でのVPN関連事故の事例も紹介していますので、ぜひご覧ください。

 

企業担当者必見！ZTNA（Zero Trust Network Access）の概念とは？

まずは、ZTNAの概念について解説します。ZTNAとは、「Zero Trust Network Access（ゼロトラストネットワークアクセス）」の略語です。ゼロトラストとは、ネットワークの外側も内側も何も信頼しないという概念です。従来のセキュリティは、外側は信用できなくても内側は信頼できるという概念で対策されていました。その理由は、悪意のある第3者からのサイバー攻撃から保護する対象（データ・情報）がネットワークの内側にあったためです。しかし、クラウド時代の到来により、現在は保護する対象がネットワークの外側に存在しているケースが主流を占めています。そのため、こうした保護する対象がネットワークの内側と外側に点在するようになったことで、従来のセキュリティ対策では守り切れない状況に陥っています。そこで、生まれた概念がZTNAです。 具体的には、「ゼロトラスト」の概念から考えられたセキュリティソリューション（コンサルティング・対策・運用監視・インシデント対応までをトータルサポートするセキリティ対策）を行います。

ZTAとの違いは？

ZTNAと同義の言葉に、ZTA（Zero Trust Architecture、ゼロトラスト・アーキテクチャ）があります。そもそも、アーキテクチャという言葉は、「建築（物）・建築術・建築様式、・構造・構成」などの意味を持ちます。そして、ITの分野では、コンピュータやソフトウェア・システム、あるいはそれらの構成要素などにおける、基本設計や共通仕様・設計思想などを指します。

つまり、ZTNAはゼロトラストの概念を取り入れたセキュリティソリューションのことであり、ZTAとの違いはゼロトラストの特徴をそのまま反映させたシステム構想を意味します。

VPNの代わりに注目されるZTNAのメリットとは？

VPN接続とは、インターネット上に仮想の専用線を設定し、特定の人のみが利用できる専用ネットワークのことで、インターネットを利用するさまざまなサービスの通信手段として利用されています。

基本的に、VPN通信は暗号化できることから、安全に通信可能と言われています。そのため、ネットワークの外側と内側の境界線を構築し、セキリティ強化が見込めます。

一方、ZTNAには境界線が存在しないことから、ネットワークの内側外側のどちらにも脅威が存在することを前提にセキュリティ対策を行わなければなりません。そのため、より強固なセキュリティ対策が行われる必要があります。

 ZTNAのメリットには、下記の4つが挙げられます。

  • 高度なユーザ認証ができ、より詳細な制御が可能
  • 最小の権限での認可が可能となり、セキュリティ管理者の負担が軽減する
  • 端末ごとの信頼性評価で接続の可否を判断するため、乗っ取られても被害を最小限に抑えられる
  • ユーザに対する透明性がアップする

ZTNAの重要性やメリットについては、こちらの記事で詳しく解説しています。

⇒ZTNAの重要性とは？メリットなども解説！

次章では、そんなZTNAのメリットを活かせるセキュリティモデルについて解説します。

 

ZTNA（Zero Trust Network Access）のセキュリティモデルは？

次世代のセキュリティモデルと言われているZTNAには、「サービス主導型」「クライアント主導型」の2つのタイプが存在します。これら2つのタイプの解説と、ZTNAソリューションの例を紹介します。

「サービス主導型」は、SDP（Software Defined Perimeter）と呼ばれる概念を取り入れたタイプです。Webアプリケーション構築プラットフォームやソフトウェアを利用してアクセス制御やサイバー攻撃を防ぎます。通常、Web制作会社や開発会社が快適にアプリケーションを構築し、クライアントに提供できるようにするためのプログラムを採用します。

一方、「クライアント主導型」は、クライアントが必要に応じて、バックアップ・リカバリー処理を指示する方法を採用した形態であるため、クライアント主導型の方が、ユーザにとって導入しやすいといわれています。

ZTNAソリューションの例｜Cloudbric RAS

「Cloudbric RAS（クラウドブリック・ラス）」は、マルチ・クラウド上構築されている複数のWebアプリケーションに対し、利用者単位でアクセス権限を設定できるクラウド型セキュリティ・サービスです。既存のDirectConnectやVPNの構築などが不要で、DNS情報を変更するだけで利用開始でき、ユーザ向け認証用画面と管理者向け統合管理画面の2つのインターフェースを提供することが特徴です。

企業システムをドメイン単位で管理できるようになるため、複数のシステムが一元管理できることも大きな魅力です。また、認証セキュリティの強化によってZTNAだけでなく、従業員と企業の安全の確保でき、簡単かつ安全なテレワーク環境の実現できます。 

⇒「Cloudbric RAS」の詳細を確認する

 

日本でのVPN関連事故の事例を紹介！

ここでは、VPN接続のリスクと関連事故の事例について紹介します。それでは、詳しくみていきましょう。

Pulse Secure社のVPN製品

2021年4月下旬、Pulse Secure社がVPN製品「Pulse Connect Secure」で深刻な脆弱性（CVE-2021-22893）が存在し、その脆弱性を狙ったサイバー攻撃による被害を受けていたことを発表しています。悪意のある第3者がこの脆弱性を悪用した場合、認証を回避して任意のコードを実行可能となります。同年5月に、この脆弱性を修正したバージョンが提供されており、日本国内での被害はありませんでした。

 しかし、国内での悪用は確認されており、修正バージョンの提供まで約1か月間かかったことから、今後被害が確認される可能性もあるでしょう。

また、Pulse Secure社のVPN製品は、他にも下表のような脆弱性が確認されています。

バージョン 概要
CVE-2019-11510 HTTPS経由で送信・細工されたURIを処理することにより、任意のファイルが読み出される可能性
CVE-2019-11509 管理用Webインターフェースにログインしたユーザによって、PulseSecureアプライアンス上で任意のコードを実行される可能性
CVE-2019-11508 Pulse Connect SecureのNetwork File Share (NFS) の実装には脆弱性があり、認証されたユーザが悪意あるファイルをアップロードすることによって、ローカルシステム上に任意のファイルが書き込まれる可能性
CVE-2019-11542 管理用Webインターフェースにログインしたユーザから受け取った、細工されたメッセージを処理することによって、スタックバッファオーバーフローが発生する可能性
CVE-2019-11541 Reuse Existing NC（Pulse） SessionオプションでSAML認証を使用しているユーザの認証情報が漏えいする可能性
CVE-2019-11540 Pulse Secureには脆弱性があり、遠隔の攻撃者によって VPN サーバに接続するエンドユーザを対象としたセッションハイジャック攻撃が行われる可能性
CVE-2019-11539 管理用Webインターフェースにログインしたユーザによって、任意のコマンドが実行される可能性
CVE-2019-11538 Pulse Connect Secure の Network File Share（NFS） の実装には脆弱性があり、認証されたユーザによってローカルファイルシステム上の任意のファイルにアクセスされる可能性

Citrix社製品のVPN製品

2019年12月にCitrix社の一部のVPN製品で、任意のコードを実行可能な脆弱性（CVE-2019-19781）が確認されました。さらに2020年1月11日には、この脆弱性を悪用する攻撃コードが、インターネット上で公開されていることも確認されました。また、同年7月にも、Enterprise Cloud 2.0（ECL2.0）のロードバランサー（NetScaler VPX）メニューで提供しているCitrix社のNetScalerで、脆弱性（CVE-2020-8257/CVE-2020-8258）が確認されました。これらの脆弱性を狙って、国内外で継続した非常に多くのサイバー攻撃が行われたとのことです。

 

さいごに

今回は、ZTNAの概念とセキュリティモデルについて解説してきました。コロナ禍の影響もあり、テレワークのリモート/在宅勤務を導入する日本企業が増えています。そのため、日本国内でもVPNの脆弱性を狙ったサイバー攻撃が活発化しています。これまでは、VPNだけでも安全に通信ができました。しかし、クラウド環境への変化に加え、働き方の多様化によって安全であるはずのVPN接続は安全ではなくなっています。時代の変化に合わせ、悪意のある第3者からの攻撃から重要な情報・データを守るためには、ZTNAを導入しVPN環境から脱することも検討する必要性が高まりつつあります。

 

ZTNA ソリューション「Cloudbric RAS」の詳細はこちら

Cloudbric RAS

2021 WMS for AWS logo_1

AWS WAF運用管理サービス「Cloudbric WMS for AWS」リリース

by プレスリリース

–正式リリース記念1カ月無償トライアルキャンペーン実施–

クラウド&エッジコンピューティングセキュリティ企業のクラウドブリック株式会社（英文社名：Cloudbric Corp. 代表取締役：鄭 泰俊、http://139.162.127.206/jp）は9月8日、AWS WAFの効率的な運用・管理サポートを実現するインテリジェンス基盤のセキュリティ・ルール管理サービス「Cloudbric WMS for AWS」をリリースした。

AWS WAFは、アマゾンウェブサービス（以下 AWS）が提供するクラウド型WAFサービスで、SQLインジェクションとクロスサイトスクリプティング（XSS）攻撃など、様々な脆弱性や攻撃からWebアプリケーションを保護する。セルフサービスのため、自社環境に合わせてカスタマイズすることができる一方、セキュリティ・ルールの作成及び構成、管理までユーザ側で設定する必要がある。そのため、AWS WAFを安定的に運用するためにはセキュリティに対する専門知識が必須で、セキュリティ・インシデント発生時に対応できる専任のセキュリティ担当者が必要である。

「Cloudbric WMS（WAF Managed Service）for AWS」は、アジア・パシフィックマーケットシェア1位のセキュリティ・エンジン基盤でAWS WAFルールを作成及び管理するため、高性能のセキュリティ・ルールの提供及び高い検知率を実現する。95ヵ国100,000レファレンスから収集されるインテリジェンスを活用した脅威自動検知技術とセキュリティ専門家による高度な分析技術でセキュリティ・ルールを最適化させ、誤検知を最小限にするとともに新規脆弱性の早期対応などを支援する。

また、経験豊富なクラウドブリックの専門家によるフルマネージドサービスを提供する。ユーザ環境に最適化されたセキュリティ・ルールとセキュリティ運用管理サービスが提供されるため、顧客はルール作成、管理、運用といった作業を気にする必要がない。インシデント発生時に迅速に対応できる24時間365日サポート体制が整っているため、ユーザのWAF運用負担を最小化でき、自社内にセキュリティ専任担当者がいなくても、常時高レベルのセキュリティを維持できる。

クラウドブリック株式会社の代表取締役社長の鄭は、「サードパーティーのWAFの運用管理が難しいというお客様からのお声を受け、費用の負担を抑えつつも、効果的なルール構成及び高レベルのセキュリティを確保できるセキュリティ・ルール管理サービスを開始することになった」とし、「今後もクラウドブリックの強力なセキュリティサービスを基盤として新たな付加価値の創出に向けた取り組みを加速させ、日本クラウドセキュリティ市場をリードするマネージドセキュリティサービスプロバイダーになることを目指して努力していきたい」と述べた。

■「Cloudbric WMS for AWS」30日間無償トライアルキャンペーン
クラウドブリックは、「Cloudbric WMS for AWS」のリリースを記念いたしまして、AWS WAFをご利用または導入を検討されるお客様を対象に、30日間無償トライアルキャンペーンを実施いたします。無償トライアル期間中は、有料プランをご利用のお客様と同じサービスをお試しいただけます。キャンペーンの詳細および申し込み方法等はこちらをご確認ください。
https://www.cloudbric.jp/cloudbric-wms/

 

Web攻撃と脆弱性

【必見】最新版！Web攻撃と脆弱性について10のパターンを紹介！

by ブログ

近年、Webサイトを対象とした悪意のある攻撃者からのサイバー攻撃が後を絶ちません。ペンタセキュリティ株式会社とクラウドブリック株式会社が共同で公開した2021年第2四半期のWeb脆弱性トレンド情報によると、Web脆弱性発生件数は上昇傾向にあり、2021年6月は70件が発生しました。Webアプリケーションの脆弱性を狙った攻撃が巧妙化し、セキュリティ対策の必要性はますます高まっています。 そのため、Webアプリケーションを利用したサービス提供をしているのなら、最新のWeb攻撃の動向や事例は、知っておくべきでしょう。

 本記事では、Webアプリケーションの脆弱性を狙ったWeb攻撃の動向や事例についてまとめました。

Web攻撃動向レポートのダウンロードはこちら

 

最新版！Web攻撃と脆弱性10選

Webアプリケーションとは、インターネット上で稼働するシステムの総称で、主に、Webサーバー上で動作し、ChromeなどのWebブラウザで操作します。それに対して、スマートフォンなどの端末やパソコンにインストールして利用するアプリケーションはネイティブアプリケーションと呼んでいます。ちなみに、これらの2つの大きな違いは、利用する際にインターネットアクセスの有無で、一般的には、Webアプリケーションはインターネットへアクセスする必要があるため、攻撃者からのサイバー攻撃に遭遇する危険性が伴います。 

それでは、最新のWebアプリケーションへ主に発生する10のWeb脆弱性について詳しく見てみましょう。

  • クロスサイトスクリプティング
  • サービス運用妨害（DoS）
  • メール不正中継
  • バッファオーバーフロー
  • 強制ブラウズ
  • ディレクトリトラバーサル
  • コマンドインジェクション
  • SQLインジェクション
  • URLパラメータの改ざん
  • ファイルアップロード

過去のWebアプリケーション脆弱性についての記事は、こちらをご覧ください。

 

クロスサイトスクリプティング（XSS攻撃）

「クロスサイトスクリプティング」とは、悪意のあるスクリプトが挿入されたWebサイト（ページ）を直接的なターゲットとしているのではなく、サイト利用者・閲覧者をターゲットとした攻撃のことです。例えば、攻撃者が悪意のあるスクリプトを埋め込み、それを利用者が閲覧し実行してしまった場合、利用者は偽サイトに移動（クロスサイト）してしまいます。

クロスサイトスクリプティングは、Webアプリケーションへ主に発生するWeb攻撃（脆弱性）の1つとされており、それに気付かずに情報を入力してしまい、フィッシング詐欺やセッションハイジャックに遭う危険性があります。

 

サービス運用妨害（DoS攻撃） 

「サービス運用妨害」とは、処理に時間のかかるアルゴリズムを採用しているなどの脆弱性を狙ったWeb攻撃です。一般的には、Webアプリケーションへ主に発生するWeb攻撃に起因することから、DoS攻撃とも呼ばれています。例えば、Webサーバーに対して通常の範囲を超えたアクセスメール送信などを行い、メモリやCPUを全稼働させて処理速度を低下させます。

 また最近、DoS攻撃の進化版でもあるDDoS攻撃（不正な方法で乗っ取った複数のマシンを使ったDoS攻撃）の攻撃・被害件数も増加傾向がみられます。

 

メール不正中継

メールサーバ（SMTP）はメールが送られてきた際、自身のドメイン宛てのメールではなかった場合、別のメールサーバに転送します。そして、この機能を利用して攻撃者が他人のサーバを使い、送信元の身元が分からない大量の迷惑メールを送信する攻撃のことを「メール不正中継」と呼びます。Webアプリケーションへ発生するWeb攻撃のポイントとしては、主に下記の2つがあります。

  • 使用している電子メール配送プログラムに、メール中継に関する制限を設定していない
  • そもそも設定がないなどの脆弱性がある

これらの脆弱性により、メール不正中継などのサイバー攻撃を受けてしまう危険性があります。

また、攻撃者から大量の迷惑メールが送られてくることで、サーバが本来必要のないメール配信処理をすることになり、提供しているWebアプリケーションを利用したサービスに影響が出ます。

 

 バッファオーバーフロー

「バッファオーバーフロー」とは、データの受け取りや保管のために用意された領域（バッファ）に想定以上の長さのデータを書き込んでしまうが原因で発生するWebアプリケーションにおけるWeb攻撃のことです。溢れたデータが隣接する領域を不正に書き換えてしまったり、それによって動作異常が発生したりします。

 バッファオーパーフローは、典型的なWebアプリケーションの脆弱性の1つで、攻撃者が外部から故意に想定よりも膨大なデータを送り込んでプログラムを異常終了させたり、攻撃用のコードを送り込んで実行させたりするということです。

 

強制ブラウズ

利用しているWebアプリケーションに、URLへのアクセスを適切に制御していない脆弱性がある場合、「強制ブラウズ」という攻撃に遭遇する危険性があります。強制ブラウズとは、Webページ上からリンクを辿るのではなく、アドレスバーからURLを直接入力して本来システム側では公開していないはずのディレクトリやファイルなどにアクセスを試みること、つまり、強制的にブラウザに表示させられてしまいます。

  • ディレクトリの配置ミス
  • ファイルの配置ミス
  • Webサーバの設定ミス

Webアプリケーションにおける矯正ブラウズの脆弱性発生の原因としては、主に、上記3つが挙げられます。

 

ディレクトリトラバーサル

「ディレクトリトラバーサル」とは、「../」のような文字列を使ってサーバのディレクトリ・パスを遡る攻撃のことです。Webサーバに置いたままにしている非公開ファイルにアクセスし、そこに保存されている情報を盗まれる危険性があります。

Webアプリケーションを利用して目的のデータを表示させるようなサービスを提供しているサイトに入力される可能性のあるデータに対する考慮不足があった場合、ディレクトリトラバーサルの被害に遭遇する危険性が伴います。

 

コマンドインジェクション

「コマンドインジェクション」とは、コマンド（コンピュータの利用者がOSのシェルに与える文字列による命令のこと）を利用し、Webアプリケーションの脆弱性を悪用する攻撃です。WebアプリケーションのコードにOSコマンドの呼び出し処理があり、ユーザーが入力したデータがコマンドの一部分を構成している場合に発生します。

  • 攻撃者がWebサーバ内に保存されているファイルを読み出す
  • システムに関係する操作、プログラムを不正に実行することが可能
  • 情報漏洩だけでなく、サーバー自体が乗っ取られてしまう危険性がある

コマンドインジェクションによって、上記のような危険性が伴います。

 

SQLインジェクション

「SQLインジェクション」とは、データベース言語（SQL）を利用して、Webアプリケーションの脆弱性を悪用する攻撃のことをいいます。コマンドインジェクションと同様に、攻撃者がWebサーバ内に保存されているファイルを読み出したり、システムに関係する操作、プログラムを不正に実行されたりします。

ユーザIDとパスワードを入力するサイトで、入力情報がアプリケーション内部でSQL文として解釈されてしまう脆弱性がある場合に、被害を受けてしまうため注意が必要です。

 

URLパラメータの改ざん

URLパラメータとは、URLにパラメータというプログラムを付け加えたシステムのことです。URL末尾に「？」が付け加えられ、「？」以降の文字列がパラメータとなります。

 このURLに付加されるパラメータ（URLパラメータ）をアドレスバーから直接改ざんして、不正アクセスを行う攻撃が「URLパラメータの改ざん」の手口で、Webサイトが改ざんされたり、Webサーバが誤動作するようにされてしまいます。

 

ファイルアップロード

「ファイルアップロード」とは、攻撃者がWebシェル（悪意のあるプログラム）をアップロードして、悪意のあるスクリプトを注入することです。Webサーバーなどに意図しない動作を引き起こさせたり、情報を抜き出されたりします。ファイルのアップロード機能のあるページの脆弱性を衝いてくる攻撃です。

 

Web攻撃による脆弱性に関する事例を紹介！

当社の「EDB/CVEレポート」で公開している通り、2021年第2四半期（4・5・6月）の脆弱性件数は合計169件でした。

ここでは、2021年第2四半期に脆弱性が観察されたWebアプリケーションの事例として、WordPress事例を紹介します。WordPressとは、Webサイトやブログを簡単に作成できるアプリケーションのことで、Webアプリケーションに起因するシステムの脆弱性により、Web攻撃を受けやすいことが特徴です。しかし、インターネット上の40.0％以上のサイト・ブログでWordPressが採用されていることを受け、WordPressの脆弱性を突いたサイバー攻撃が後を絶ちません。

2021年第2四半期で発生した、サイバー攻撃の手口といえばクロスサイトスクリプティングとSQLインジェクション。しかし、WordPressの事例では、ファイルアップロードなども確認されています。

概要について、下表にまとめました。

日付 脆弱性カテゴリ 脆弱性名
2021.5.19 クロスサイトスクリプティング WordPress Plugin Stop Spammers 2021.8 – ‘log’ Reflected Cross-site Scripting (XSS)
2021.5.24 クロスサイトスクリプティング WordPress Plugin ReDi Restaurant Reservation 21.0307– ‘Comment’ Stored Cross-Site Scripting (XSS)
2021.5.25 クロスサイトスクリプティング WordPress Plugin Cookie Law Bar 1.2.1 – ‘clb_bar_msg’ Stored Cross-Site Scripting (XSS)
2021.5.28 クロスサイトスクリプティング WordPress Plugin LifterLMS 4.21.0 – Stored Cross-Site Scripting (XSS)
2021.6.1 クロスサイトスクリプティング WordPress Plugin WP Prayer version 1.6.1 – ‘prayer_messages’ Stored Cross-Site Scripting (XSS) (Authenticated)
2021.6.7 ファイルアップロード WordPress Plugin wpDiscuz 7.0.4 – Arbitrary File Upload (Unauthenticated)
クロスサイトスクリプティング WordPress Plugin Smart Slider-3 3.5.0.8 – ‘name’ Stored Cross-Site Scripting (XSS)
2021.6.8 ファイルアップロード WordPress Plugin wpDiscuz 7.0.4 – Remote Code Execution (Unauthenticated
2021.6.9 クロスサイトスクリプティング WordPress Plugin visitors-app 0.3 – ‘user-agent’ Stored Cross-Site Scripting (XSS)
2021.6.23 SQLインジェクション WordPress Plugin Poll_ Survey_ Questionnaire and Voting system 1.5.2 – ‘date_answers’ Blind SQL Injection
クロスサイトスクリプティング WordPress Plugin WP Google Maps 8.1.11 – Stored Cross-Site Scripting (XSS)
2021.6.28 クロスサイトスクリプティング WordPress Plugin YOP Polls 6.2.7 – Stored Cross Site Scripting (XSS)

なかには、深刻度が緊急（Critical）および重要（High）の指標も存在し、悪用された場合、第3者に遠隔から任意のコードを実行される危険性（RCE）もあります。Web脆弱性が確認される度に修正はされていますが、今後も注意が必要です。

 

まとめ

今回は、Webアプリケーションへ主に発生するWeb脆弱性の種類と事例について解説してきました。攻撃者はさまざまな巧妙な手口で、Webアプリケーションへの攻撃（脆弱性）を狙ってきます。また、WordPressなどのWebアプリケーションはとても便利ですが、脆弱性については数多く報告されています。そのため、脆弱性を狙った攻撃から守るためにも、Webセキュリティは最新の状態に更新しておきましょう。

最新のWeb脆弱性の情報はこちらからご確認ください。

▼Web攻撃動向レポートはこちら

 

▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」

▼製品・サービスに関するお問い合わせはこちら

cloudbric - press release

クラウドブリック、Zero Networks社と販売代理店契約を締結

by プレスリリース

-セキュリティ人材不足の課題に応える一石五鳥のWebセキュリティ対策を提供–

クラウド&エッジコンピューティングセキュリティ企業のクラウドブリック株式会社（英文社名：Cloudbric Corp. 代表取締役：鄭 泰俊、http://139.162.127.206/jp）は8月19日、自社が提供するクラウド型WAFサービス「Cloudbric WAF＋」の販売について、Zero Networks株式会社と販売代理店契約を締結したことを発表した。

昨今、クラウドインフラへのシフトおよび新型コロナウィルスの拡散により、セキュリティ対策に優先順位を付与する企業が増加している。一方、Webシステムを狙ったサイバー攻撃の手口は年々高度化する反面、セキュリティ人材が不足していることが深刻な問題となっている。経済産業省が今年の4月に公開した「サイバーセキュリティ体制構築・人材確保の手引き」によると、重要事項の一つとして挙げられるのが「不足しているセキュリティ人材の確保・育成」である。しかし、中堅・中小企業の場合は依然として専任の担当者がいなかったり、多くの予算を割けないなど、しっかりとしたセキュリティ対策が取られていないというのが現状である。

クラウドブリック株式会社は、サーバ・ネットワークインフラにおける設計、構築、運用を行っているZero Networks社と販売代理店契約を締結し、Webセキュリティ対策に対する中堅・中小企業のニーズに、より蜜にお応えできるよう連携していく。Zero Networks社は、東京に本社を構えているSierで、各種ソフトウェアや、ハードウェアの販売、保守も対応可能となり、企業状況に合わせて適材適所のシステム構築やセキュリティソリューションを柔軟に提案できるのが強みで、Cloudbric WAF+に対し、法人顧客に提案、設計、構築、運用保守までワンストップでサポートできるようになる。

「Cloudbric WAF+」は、社内にセキュリティ担当者がいなくても、サイバー脅威の可視化を実現するクラウド型WAFサービスである。今年、WAFサービスに加え、DDoS対策、SSL証明書、脅威IP遮断、悪性ボット遮断などWebセキュリティに必要な5つのサービスを1つのプラットフォームで提供することによって、セキュリティ性能の高度化と一貫性のあるユーザエクスペリエンスの実現に取り組んできた。「Cloudbric WAF+」は現在、日本国内550社超 7,180サイト以上を保護するなど成長を続けている。

クラウドブリック株式会社代表取締役の鄭は、「現在企業様が当面しているセキュリティ課題に対し、Cloudbric WAF＋は見えないサイバー脅威を可視化し簡単に高度なWebセキュリティを実現できる最適なソリューションとなるだろう」とし、「これからは、高い技術力と柔軟な提案能力といった両社のそれぞれの強みを活かして、より一層日本のお客様のニーズに寄り添い、セキュリティ性能や利便性の高いソリューションを提案していきたい」と述べた。

 

クラウドマイグレーションとは？オンプレミス環境の違いについて

【企業向け】クラウドマイグレーションとは？オンプレミス環境との比較解説

by ブログ

総務省の「令和2年版情報通信白書」によると、企業によるクラウドマイグレーションの割合は64.7%（令和元年度：58.7％）でした。このことからも、自社で物理的なサーバを保有して管理・運用するオンプレミス形態の環境から、クラウドマイグレーションする企業が増加傾向にあることが分かります。クラウドマイグレーションによって、クラウド環境に移行すれば、コストの大幅カットが見込めるといわれていますが、他にもさまざまなメリットがあります。本記事では、クラウドマイグレーションとオンプレミス環境との違いについて解説していきたいと思います。

 

クラウドマイグレーションとオンプレミス環境との違いについて

ここでは、クラウドマイグレーションとオンプレミス環境との違いについて解説しています。その前に、クラウドマイグレーションについて詳しくみていきましょう。

クラウドマイグレーションとは？

クラウドマイグレーションとは、自社内に設置した物理的なサーバで運用してきたシステムを、外部の事業者のクラウド環境のサービスでのシステム運用に切り替えることです。和訳すると、「クラウド化」「クラウド移行」といった意味です。

 クラウド環境とは、従来、個々のストレージや自社の物理サーバに保存していたデータを、外部の一ヵ所で集約・管理し、必要なときにインターネットを経由して利用できる環境のことで、そのクラウド環境を提供しているサービスのことを総称して、「クラウドサービス」と呼んでいます。クラウドサービスは、利用者が場所を選ばずどの端末からでも利用することができることから、数年前から需要が高まっています。そして、このような社会的背景から、企業のクラウドマイグレーションへの移行が進む傾向にあるということがいえます。

 

オンプレミス環境との違いは？

もともと、大手企業を中心に導入が進んできたオンプレミス環境。オンプレミス環境とは、自社内に設置したサーバ-や情報システム設備で、社内のさまざまなシステムを運用する環境のこと。和訳するとは、「自社運用」という意味です。それでは、企業が導入するクラウドマイグレーションとオンプレミス環境には、どのような違いがあるのでしょうか。クラウドマイグレーションとオンプレミス環境との比較項目として、下記の5つを挙げることができます。

  • 品質
  • コスト
  • 調達スピード
  • カスタマイズ性
  • セキュリティ面

この5つの項目を下表にまとめてみました。

クラウドマイグレーション オンプレミス環境
品質 オンプレミス環境に比べて通信速度が劣る　 通信速度は速く、安定している
コスト 基本、月額利用料以外の費用がかからない 初期導入費や維持・管理費など、さまざまな費用がかかる　
調達スピード 即日の利用開始が可能 利用できるまでに時間がかかる
カスタマイズ性 自由にカスタマイズできない 自由にカスタマイズが可能
セキュリティ面 自社での対策は必要ない 自社で対策が必要となる

<品質>

5G化などにより通信速度は年々向上しています。しかし、クラウドマイグレーションでは、ネットワークを介して離れたところにあるサーバへアクセスするため、回線の速度と質は安定していません。一方、オンプレミス環境は社内のネットワークを利用しているため、回線の速度と質が安定しています。ただし、オンプレミス環境の品質は、サーバ・システムを構築したエンジニアのスキルによって差異が生じます。

<コスト>

自社内に物理サーバを設置してシステムを運用するためには、必要となる機器の購入費や設置に関する工事費など、さまざまな初期費用がかかります。また、運用や管理にもコストがかかり、拡張となれば新たな購入費や工事費などが必要です。しかし、クラウドマイグレーションを導入すれば、自社でサーバー環境を保有する必要がないため、初期費用だけでなく、運用・管理に必要となる費用を大幅に抑えることができます。ただし、利用するサービスによっては月額利用料は利用した従量によって変動することがあります。そのため、月額費用が固定されるオンプレミス環境と比べて予算化が難しい場合もあります。

<調達スピード>

必要となる機器の購入や工事が必要になり、設置しても調整しなければ運用がスタートできないのがオンプレミス環境です。そのため、調達・導入・運用には相当な時間がかかります。クラウド環境はオンプレミス環境と比べてすぐに使用可能であることが特徴です。自社のシステムにマッチングするための調整時間は必要ですが、サーバ構築を自社内で行わないため、調達スピードはクラウドマイグレーションの方が圧倒的にスピーディーです。

<カスタマイズ性>

クラウドマイグレーションするデメリットとして、システムのカスタマイズが行いにくいことが挙げられます。一方、オンプレミス環境は、自社でサーバー・システムを管理・運用しているため自由にカスタマイズすることが可能です。しかし、クラウドマイグレーションをは、契約した他社が提供しているサービスを活用しているため、システム環境を自由に変更・カスタマイズすることは困難です。ただし、リソース面でのカスタマイズは可能なサービスが多く、リソースのカスタマイズ性でいえば、オンプレミス環境よりも優れています。

<セキュリティ面>

企業を狙った新たなサイバー攻撃の手法は年々増加しています。オンプレミス環境では、障害が起きたり、サイバー攻撃を受けた場合、自らでWebセキュリティ対策をしなければなりません。しかし、クラウドマイグレーションは提供する会社が基本的なWebセキュリティ対策を行うため、コストをかけずにセキュリティ対策を取ることは大きなメリットといえます。ただし、外部とのネットワークを利用するクラウドマイグレーションは、外部からのハッキングや情報漏れなどのリスクは高くなるため、WAF（Webアプリケーションファイアウォール）等を導入しセキュリティを更に強固にする必要もあります。

 

企業がクラウドマイグレーションに移行する3つのメリットとは？

次に、企業がクラウドマイグレーションに移行する3つのメリットについて解説します。

<低コストで導入可能>

一般的に、オンプレミス環境でシステム運用する場合は、下記のような費用がかかります。

  • サーバーの設置費
  • 付帯設備費
  • ハードウェアやソフトウェアの購入費
  • ライセンスの購入費
  • システムの維持・管理費

これらの費用は、場合によっては数千万円かかることもあり、企業運営にとって大きな課題でした。しかし、クラウドマイグレーションであれば、これらのコスト削減が可能です。さらに、システム運用や維持・管理のために、エンジニアなどの専門家を雇う必要もなくなるため、人件費も抑えることができます。

<障害時にかかる復旧が容易>

どんなに慎重にシステム管理していても、突然何らかの原因でシステムに障害が発生する危険性はあります。もし、オンプレミス環境で運営していれば、障害が発生した場合自らで対応しなければなりません。社内に専門チームがあればすぐに復旧できますが、そうでなければ復旧には相当な時間を要します。

 それに対してクラウドマイグレーションは、障害への対応は基本的に提供会社が行います。しかも、専門的な知識を持つ運用スタッフが対応するため、短時間で復旧することは大きなメリットといえるでしょう。

 また、障害時にサーバが破損して、会社の大切なデータが失われてしまうリスクも軽減できます。

<屈強なセキュリティ>

クラウドマイグレーションでは、経済産業省の「クラウドセキュリティガイドライン」をベースに、情報セキュリティ管理・対策を行っています。経済産業省が策定した「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」の通称で、クラウドという概念が広まった当初、運用にあたっての明確なルールは存在せず、多くの顧客情報や社外秘とされる情報が流出する危険性がありました。この問題に対処するべく策定され、発生した事例に対応できるように制定されたルールが「クラウドセキュリティガイドライン」です。詳細を見ると、企業のクラウドマイグレーション運用において、クラウドセキュリティガイドラインに則ってWebセキュリティ管理を行っているため、安心して利用できるということです。

ちなみに、クラウドマイグレーション事業者が適切なデータ保護やセキュリティ対策を実施していることをマークとして表示する制度もあります。実績のある会社のクラウドマイグレーションであれば、屈強なWebセキュリティ対策も可能でしょう。

しかし、クラウドを導入するにあたって、注意しなければならないこともあります。IaaS、PaaS、SaaSなど種類によって違いますが、ユーザ側にもセキュリティ面での責任はあります。例えば、SaaSの場合、クラウド上のデータ管理についてはユーザの責任範囲であることが一般的です。

だからこそ、オンプレミス環境であっても、そしてクラウド環境であっても、ユーザ自らセキュリティに対して徹底的な検討を行い、どのようなセキュリティ対策を導入するかを決定していくことが求められます。

詳しい内容は下の記事を参考してください。

https://www.cloudbric.jp/blog/2021/03/cloud_security_u_must_know/

 

さいごに

今回は、企業におけるクラウドマイグレーションをテーマに解説してきました。クラウドマイグレーションには、コスト面やセキュリティ面など、多くのメリットがあるため導入を検討している企業も増加傾向にあります。しかし、すべての面でクラウドマイグレーションがオンプレミス環境より優れているということではありません。

例えば、オンプレミス環境で利用できていたシステムが、クラウド環境にしたら利用できないこともあります。また、トラブルが発生したりするなど、クラウドマイグレーションに移行したことによって、既存システムとの連携が困難となるケースも報告されてます。

そして、十分な検討なく短期間でクラウド移行を進めることによって外部からのハッキング等に十分に対策を取っていない状況でセキュリティ事故が起きたりするケースもあります。

そのため、企業でのクラウドマイグレーション導入は、セキュリティ対策を含めて、慎重に検討しましょう。

 

クラウド型WAFサービス「Cloudbric WAF＋」

Cloudbric WAF+