Webアプリケーションセキュリティ

2021年 企業が注目すべきWebアプリケーション・セキュリティ・トレンド 　その1

by ブログ

サイバー攻撃者の主な標的になっているWebアプリケーションエリアは企業の核心情報に近接しています。そのため徹底したセキュルティ対策を立てることが何よりも重要です。急激に変化しつつある昨今のIT環境において、「果たしてどのようなセキュリティ対策をとるべきなのか」という問題を解くことはそう簡単ではありません。しかし企業はキュリティトレンドへ常に注目し、あらゆるサイバー攻撃に対抗できる対策について考え続ける必要があります。

そこで今回は、2021年企業が注目すべきWebアプリケーションセキュリティトレンドを２回にわたって説明したいと思います。

 

1. マシンラーニング・AI

医療・金融・製造等、様々な産業で使われているマシンラーニングとAI技術がもはやセキュリティ分野にも積極的に活用されており、この傾向は2021年以降にも堅調な推移が見込まれます。現在、セキュリティ分野ではAIが人の代わりに悪性コードの判明・分析を行い、誤検知率を低減させ、管理者の管理負担を軽減させる役割を果たしています。

2021年には以下の目標を目指して取り組みを続けていくと思われます。今後もAI・マシンラーニングによるセキュリティパフォーマンスは益々向上すると推測できるでしょう。

  • セキュリティ脅威検知技術の柔軟性向上
  • Webアプリケーションでの作業をモニタリングし、不正プログラムを検知
  • データの処理及び分析機能の向上
  • Webアプリケーションに発生できる脅威を予測

一方、これらの技術はセキュリティ分野だけでなく、サイバー攻撃を行う側にも利用されています。企業はIT技術の進歩がサイバー攻撃者に逆手に取られる可能性にも常に警戒し、対応策を講じておく必要があります。

 

2. クラウドコンピューティング・サーバレース環境

クラウドへ移行する企業と組織が多くなっている現在、急速に進むクラウドシフトと共にサーバレース環境も成長し続けています。
サーバレース環境とは、サーバの構築やメンテナンスの必要なく、アプリケーション機能を開発、実行、管理できるクラウドコンピューティングモデルの1つです。体表的にはFaaS (Function as a Service) があります。

サーバレース環境の導入におけるメリット

  • サーバー管理はサーバレスプロバイダーがすべてやってくれる
  • サーバー導入や管理などが一切不要になるため、開発の際プログラムを書く作業に集中できる
  • 使用時間と容量に合わせて費用が発生するため、費用対効果が高い

しかし、サーバレス環境ではさまざまなイベントソース（HTTP　API、クラウドストレージ、IoTのデバイス間通信など）によって攻撃範囲が拡張されます。また、サーバレスは新規プラットフォームであるため、現在サーバレースを標的とした攻撃パターン等の情報は少ない状況です。企業はWebアプリケーションが見知らぬ脅威に遭わないために新しい技術導入にも注意を深める必要があります。

 

3. API統合

API(Application Programming Interface、アプリケーション・プログラミング・インターフェイス)は、異なるアプリケーション間の相互作用を可能にするために標準化されたツール、定義、プロトコルを意味します。このAPIを統合するということは、「2つ以上のアプリケーションがAPIを通じて互いにデータを交換できるようにする結び付き」だといえます。 このAPI統合によるメリットを簡単にご紹介すると以下の通りです。

  • ビジネスサービスの速度や生産性が向上
  • ユーザとパートナーにAPIを提供することによって、関連データが円滑に共有され顧客の満足度を向上

それぞれのアプリケーションがすべてつながるIT環境において、API統合の重要性は更に高まるはずです。しかし、API統合によって共用・個人ネットワークまたはクラウドネットワーク上でAPIが露出される可能性も高くなっており、これがサイバー攻撃者にとっては新たな機会になるかもしれません。 安全が保証できないAPIエンドポイントが深刻なデータ侵害のきっかけになりうることに注意を深める必要があります。

 

4. 企業のデータサイエンス

データサイエンスとはデータの中で有意義な情報と知識を探索・解析し、データの新たな価値を発見する学問分野のことです。データに基づいた合理的な意思決定を助けるデータサイエンスは、企業の経営活動に欠かせない学問分野となっています。セキュリティ分野においても、数えきれないIT環境の情報を収集·分析してこそ、より安全で徹底したセキュリティ対策を立てられるため、データサイエンスの重要度は高くなっております。

なお、データサイエンスがWebアプリケーションのセキュリティに提供するメリットは次の通りです。

  • セキュリティ脅威検知機能向上
  • 膨大なデータを分析し、攻撃者の行動を分析
  • データ保護(データサイエンスがマシンラーニングと結合する場合)

データサイエンスを踏まえた意思決定により、企業はサイバー攻撃を予測し、重要情報を守るセキュリティを実現できます。

 

5. 浸透テスト

企業は浸透テストを通じて「攻撃者の手口」や「攻撃者に狙われやすいセキュリティ脆弱性」を調べられます。浸透テストとは、ホワイトハッカーを通じて、実際の攻撃行為のシミュレーションを行うことです。浸透テストは情報セキュリティレベルを能動的に評価できる次のような情報を提供するため、Webアプリケーションのセキュリティのトレンドとなっています。

浸透テストが提供する情報

  • アプリケーションの脆弱性
  • アクセスされた重要データ
  • テスターがシステム内で検知されなかった時間

「敵を知り、己を知れば百戦危うからず」という諺のように、ハッカーが侵入した状況を意図的につくって、そこから攻撃者の手口や保護対象のセキュルティ脆弱性、敏感なデータなどを識別したら、実際の攻撃にも対応できるセキュアな環境を構成することができるでしょう。

 

さいごに

企業は、サイバー攻撃者の手口を用いる浸透テストや有意義な情報を収集・分析するデータサイエンスに基づいて先制的防御システムを構築できます。しかし、クラウド、サーバレス環境やAPI などのビズネス活動の利便性を増進させる技術が、サイバー攻撃に利用される場合もあることに警戒する必要があります。また、セキュリティ強化に使われるAI•マシンラーニングなどのIT技術が、サイバー攻撃者にとっても攻撃を高度化させる材料として使われる可能性も考えておくべきです。

次回のWebアプリケーションのセキュリティトレンドでも、注目すべきのセキュリティトレンドをご紹介いたしますので、一読をお願いいたします。

フィッシング

日本がフィッシング攻撃のグローバルターゲットに！その現状に対して緊急レポート

by ブログ

フィッシング対策協議会の報告によると、2020年12月のフィッシングは1,204 件増加し、過去最多となる32,171 件となりました。これは前月11月にはじめて3万件の大台を突破した3万967件からさらに1204件の増加となります。前年よりこちらでも度々警告してきたフィッシング詐欺の増加ですが、増加の一途をたどっています。しかもグローバルで11月に観測された攻撃キャンペーンの上位10件はいずれも日本を標的とするフィッシング攻撃です。それらはAmazon、楽天、三井住友カードの利用者をターゲットにし、中でもAmazonは1日あたり数十万件単位で送信されており、100万件を超える日も確認されています。今日本がフィッシング攻撃の標的にロックオンされているのは間違いなく、今回はその現状に警鐘を鳴らすと共に、企業がとり得る対策についてもお届けしたいと思います。

引用：フィッシング対策協議会

 

フィッシング攻撃とは

フィッシング（phishing）とは、インターネットのユーザから経済的価値がある情報を奪うために行われる詐欺行為です。第三者がユーザをだましてオンラインから個人情報を入手しようと試みます。フィッシング サイトが要求する情報には次のようなものがあります。

  •  ユーザ名とパスワード
  • 社会保障番号
  • 銀行口座番号
  • PIN（暗証番号）
  • クレジット カード番号
  • 母親の旧姓
  • あなたの誕生日

金融機関や有名企業を装った電子メールに、「アカウント更新のため」などとして電子メール内に書かれているURLをクリックさせ、表示された偽のWebサイトに口座番号などのID、パスワードなどを入力させ、個人情報を取得するというものです。偽のWebサイトとはいえ、見た目はそっくりに作られているため、それが偽のWebサイトであるということに気づくのは困難です。

 

フィッシングの種類

スピアフィッシング

スピアフィッシングは、単純ですが危険性の高い、Eメール経由の標的型攻撃です。一見何の変哲もないメールの 本文にリンクが記載されていたり、ファイルが添付されていたりします。他のフィッシングとの違いは、普通のフィッシングは範囲や標的を絞らずに行うのに対し、スピアフィッシングは特定の企業の特定の人物や社員を標的にする点です。標的を絞り込むため精度が高まり、通常のフィッシングよりも悪質で危険度が高いと言われています。サイバー犯罪者は標的に関する情報を慎重に収集し、標的を引き付ける「餌」を用意します。うまく作られたスピアフィッシングメールは本物とほぼ見分けがつかないため、相手をより簡単に釣り上げられるのです。不特定多数に送り付けるスパムメールならメールを開く人も3%程度なのが、狙いを定めたスピアフィッシングでは、70％ものメールが開かれてしまうと言う統計もあります。

攻撃者は、基本的に実用的で小さなプログラム、Microsoft WordのマクロやJavaScriptコードを使って文書を攻撃の手段に変え、一般的なファイルに埋め込みます。その唯一の目的は、さらに有害なマルウェアを標的のコンピューターにダウンロードすることです。コンピューターに感染したマルウェアは、標的のネットワーク全体に拡散することもあれば、集められるだけの情報を集めまくることもあります。このようにして、マルウェア作成者は目的の情報を探し出します。こうした高度に入念に準備して行うスピアフィッシングでは、大企業の幹部、金融機関の職員等影響力のある人物に狙いを定めます。

スピアフィッシングのメールの大半は、ITの監督権限のある方、あるいはネットワークドメインのアドミニストレータを標的に送られます。ここを攻略すれば社内ネットワークにマルウェアを広げることができるからです。

スピアフィッシングの中でも、特に大きな獲物、すなわち最高経営責任者（CEO）などの経営幹部を狙うフィッシングのことを、ホエーリング（whaling）やホエールフィッシング（whale phishing）と呼びます。社外の取締役等はその会社の社員ではないことから、業務関連の連絡に個人用のメールアドレスを使っている場合も多く、ホエールフィッシングの標的に狙われやすいという指摘もあります。

新型コロナウイルスの感染拡大に便乗した、中国、北朝鮮、ロシアの攻撃グループによる複数のスピアフィッシング攻撃等も報告されています。

ラテラルフィッシングメール

ラテラルとは横方向を意味し、サイバー攻撃により内部ネットワークに不正侵入後、横方向への感染を拡大する行為を「ラテラルムーブメント」と呼びます。ラテラルフィッシングは、攻撃者が組織内のメールアカウントを何らかの手法で乗っ取り、その組織の正規アカウント（ドメイン）から、取引先等なんらかの横つながりにある企業に対し、フィッシングメールを送るものです。正規の内部アカウントからのメールなので、現在の攻撃検知の想定外のため、一般に検知が困難です。フィッシングが浸透してから、「偽ドメインからのメール」へ警戒を強める従業員も多くなりました。有名企業を騙るメール名でも、ドメインが異なれば不用意に開かいのは最早常識となりました。しかし、ラテラルフィッシングは、「正規ドメイン」からフィッシングメールが送付されて来るので、この常識が通用しません。

インターネットバンキングの被害にも

インターネットバンキングの口座に不正アクセスされ、知らない間に預金が詐欺グループに送金されるケースがあります。フィッシング詐欺では、実際に存在する銀行やクレジットカード会社、ショッピングサイト、SNSなどを装った偽のメールやショートメッセージ（SMS）が送付され、本物のログインページを精巧に模した「偽のログインページ」に誘導されます。この偽のログインページで入力してしまったアカウント情報などは、悪意のある第3者に送信されます。この不正に盗まれた情報は、不正送金などのために悪用される恐れがあります。そしてIDやパスワードなどの情報を入力させて盗み取り、口座から預金を不正に引き出すのが典型的なものです。実際に送付されてくるメールでは、「システムトラブル」や「セキュリティ対策のため」などを装い、偽のログインページにアカウント情報を入力させるように巧みに誘導する文面になっています。フィッシングで偽サイトに誘導されている場合は、URLなどを確認することで、正規のサイトであるかどうか確認することが可能です。

 

企業に影響のあるフィッシング被害

なりすまし被害

自社がフィッシングのなりすましにあうケースが想定されます。例えばECサイトの場合、対象サイトは売上減だけではなく、サイトの信頼回復に時間がかかるとの報告もあります。一見しただけではニセモノと見分けがつかないサイトが多いこと、またネットショップ側になりすましたメールでフィッシングサイトへ誘導されることもあります。

そこで企業としては入手したいのが『SSLサーバー証明書』です。SSLサーバー証明書は『https://』で始まるサイトの暗号化だけでなく、第三者のなりすましによる偽サイトを防ぐためにも役に立ちます。 ただし、SSLサーバー証明書にはランクがあり、中には信頼できない機関によって発行されるものも存在するため注意が必要です。 最上位の証明であるEV（Extended Validation）SSL証明書であれば、認証基準に基づいた実在確認をするため、非常に高い信頼性が期待できます。

Webページが改ざん被害

またSQLインジェクションではWebページが改ざんされ、フィッシングサイトへ訪問者を誘導されることもあります。あるいは、SQLインジェクションを利用してサーバー上のファイルを書き換えることでWebページを改ざんされることもあります。この場合、訪問者をフィッシングサイトに誘導したり、ウィルスに感染させたりといった被害が予想されます。
他にもロスサイトスクリプティング（Cross Site Scripting、XSS）によってお問い合わせフォームに悪意のあるスクリプト（JavaScriptなど）を入力して、ホームページを改ざんする攻撃も存在します。埋め込んだスクリプトを利用して、訪問者のcookie（クッキー）情報を盗み取り、各種サービスのログインID・パスワードを盗みとります。
このようなケースの場合、実際は自社が被害者であるにもかかわらず、加害者として扱われてしまうことになります。クロスサイトスクリプティングによる情報流出が発生すると、甚大なクレームが発生し、会社の社会的な信頼も失われてしまいます。

 

さいごに

SQLインジェクションやクロスサイトスクリプティングといったWebアプリケーションの脆弱性を防御するには、防ぐ有効な手段としてWAFが注目されています。WAFの大きなメリットは、ホームページに予期していない脆弱性が潜んでいたとしても、攻撃パターンを読み取ってアタックを未然に防いでくれる点です。また、脆弱性を修正されるまでのタイムラグにゼロデイ攻撃を受けつづけるリスクも減少します。WAFを導入することで、ホームページのセキュリティが格段に向上します。

Webサイトがフィッシングサイトへの踏み台として利用されることは大変な信用失墜につながります 。特に、ECサイトなど、顧客情報や機密データを取り扱う企業にとっては、一度失われた信頼を回復には莫大な時間と費用がかかりますので、事前に脅威を防ぐための防御態勢を整える必要があります。

クラウド型WAFであるクラウドブリック（Cloudbric）はPCI-DSSに準拠したエンタープライズ向けWAFサービスを提供します。クラウドブリックを導入することで、企業はハッカーの不正な動きを事前に発見し遮断することができるため、顧客情報を安全に守れます。

Cloudbric WAF+

テレワーク脅威

2021年セキュリティ脅威予測 : テレワーク環境がサイバー攻撃の弱点に！

by ブログ

トレンドマイクロは12月22日、脅威動向を予測したレポート「2021年セキュリティ脅威予測」を公開しました。その中で自宅のテレワーク環境がサイバー攻撃の弱点になりうると警鐘をならしています。2020年、多くの企業は新型コロナウイルス（Covid-19）のパンデミックに対応するため、業務機能、クラウドマイグレーション、テレワークのサポート等、さまざまな側面から運用とセキュリティのプロセスを見直す必要に迫られました。こうした状況の中、これまでのセキュリティリスクに加え、2020年に企業が直面した課題だけでなく、今後も続くであろう混乱に対する備えについても懸念が高まっています。テレワークの実施が恒常化したいま、テレワーク環境を狙ったサイバー攻撃が急増しています。手口が高度化・巧妙化する脅威の侵入を完全に防ぎ切ることは、もはや難しいとみられます。これからは、テレワーク環境で使われるエンドポイントからの侵入を前提にしたセキュリティ対策が必要になってくるでしょう。そんな中どのようなセキュリティ対策が効果的なのか、今回は紐解いていきたいと思います。

 

テレワーク環境がサイバー攻撃の弱点になっている

テレワークが当たり前になった現在、社員の自宅は、今後も引き続きオフィスとして利用される可能性があります。これにより、多くの社員が自宅からデバイス（私的なデバイスを含む）を使用して社内ネットワークの機密情報にアクセスする状況となり、こうした業務体制があらゆる企業にとって深刻なリスクとなります。このような状況においては、安全なアクセスを維持し、攻撃経路を阻止できる強固なセキュリティツールを導入しない限り、攻撃者は、容易に社内ネットワークへ侵入し、利用可能なターゲットを見つけるために端末へと移動を続けることになります。

１．自宅のテレワーク環境がサイバー攻撃の弱点に

今後、サイバー攻撃者が脆弱なホームネットワークから従業員の自宅のコンピュータを乗っ取って、組織ネットワークへ侵入することが顕著になることが予想されます。サイバー攻撃者にとって、自宅のルーターは格好の標的となります。侵入済みのルーターへのアクセス権をアンダーグラウンド市場で販売する傾向が見られるでしょう。加えて、企業の経営幹部やIT管理者のテレワーク環境など、サイバー攻撃者にとって価値の高いホームネットワークへのアクセス権を提供するアンダーグラウンドのサービスは需要が高くなるとみられています。
また、VPNシステムの脆弱性による侵入やアンダーグラウンド市場で脆弱性が適用されていないシステムのリストが確認されており、多くの組織にとって今後はVPNの脆弱性に一層注意する必要があります。

２．新型コロナウイルスに便乗した脅威の継続と医療機関を狙ったサイバー攻撃の深刻化

サイバー犯罪者は、新型コロナウイルスに対する人々の不安に便乗し、サイバー攻撃をおこなっており、この傾向は2021年も継続するとみられます。2021年は新型コロナウイルスに対するワクチンの開発や治験、提供が進むことで、ワクチン開発関連組織へのサイバー偵察・情報窃取が行われることが懸念されています。

３．修正プログラム適用までの空白期間を狙う「Nデイ脆弱性」の悪用が横行

2021年はベンダーにより修正プログラムが提供されている既知の脆弱性「Nデイ脆弱性」が重大な懸念を引き起こすとみられています。デイ脆弱性は、該当のソフトウェアやシステム開発企業から公開開示文書などが公開されており、悪用できる方法を探しているサイバー攻撃者にとって、悪用できる脆弱性の特定が容易です。加えて、2020年はVPNの脆弱性を狙う攻撃を多く確認したほか、複数の攻撃キャンペーンでも既知の脆弱性が多数悪用されていたことを確認しています。

 

テレワークを行う際のセキュリティ上の注意事項

世界中が新型コロナウイルス感染症によるパンデミックの災禍に見舞われるなか、不安につけ込んだサイバー攻撃が次々に見つかってます。複数のセキュリティ調査機関によると、コロナウイルス関連情報に見せかけたファイルやドメインを使用するサイバー攻撃、パンデミックを悪用して利益を得ようとするランサムウェアなども確認されています。とくに感染拡大被害が大きい地域、過酷な勤務によって疲弊する医療機関をターゲットにした脅威がめだって増えており、攻撃者の卑劣さが改めてうかがえます。2021年のサイバー攻撃の脅威としては、テレワークが鍵になっていることが各種レポートから伺えます。例えばIPA（情報処理推進機構）ではテレワークを行う際のセキュリティ上の注意事項として以下のような注意点をあげています。

所属する組織や企業からテレワーク環境が提供されている場合

  1. テレワーク勤務者の方は、お使いのテレワーク環境に関して所属先が定めた規程やルールをよく理解し、それに従ってください。
  2. 不明な点等がある場合は自分で判断せず、まずは所属先のシステム管理者等に相談をしてください。
  3. 規程やルールとあわせて、お使いのパソコン等に対して＜日常における情報セキュリティ対策＞を実施してください。

所属する組織や企業からテレワーク環境が提供されていない場合

  1. 本格的なテレワーク環境が提供されておらず、自宅のパソコン等で業務に関わるメールの送受信や資料作成等を行う場合には、自身によるセキュリティ対策を強く意識する必要があります。自分はITにそれほど詳しくない、相談できるシステム管理者がいない、等の状況にある方は、普段使っている個人の環境のセキュリティ対策を見直すことから始めてください。
  2. そのために、以下の＜日常における情報セキュリティ対策＞を確認し実施してください。
  • 修正プログラムの適用
  • セキュリティソフトの導入および定義ファイルの最新化
  • パスワードの適切な設定と管理
  • 不審なメールに注意
  • USBメモリ等の取り扱いの注意
  • 社内ネットワークへの機器接続ルールの遵守
  • ソフトウェアをインストールする際の注意
  • パソコン等の画面ロック機能の設定

テレワーク時に特に気をつけるべき注意事項

  1. テレワークで使用するパソコン等は、できる限り他人と共有して使わないようにしてください。共有で使わざるを得ない場合は、業務用のユーザーアカウントを別途作成してください。
  2. ウェブ会議のサービス等を新たに使い始める際は、事前にそのサービス等の初期設定の内容を確認してください。特にセキュリティ機能は積極的に活用してください。
  3. 自宅のルータは、メーカーのサイトを確認のうえ、最新のファームウェアを適用、ソフトウェア更新してください。

公共の場で行う場合

  1. カフェ等の公共の場所でパソコン等を使用するときはパソコンの画面をのぞかれないように注意してください。
  2. 公共の場所でウェブ会議を行う場合は、話し声が他の人に聞こえないように注意してください。
  3. 公衆Wi-Fiを利用する場合は、パソコンのファイル共有機能をオフにしてください。
  4. 公衆Wi-Fiを利用する場合は、必要に応じて信頼できるVPNサービスを利用してください。
  5. デジタルデータ／ファイルだけではなく、紙の書類等の管理にも注意してください。

 

さいごに

働き方改革が推進される中で流行した新型コロナウイルスの影響で「テレワーク」が急増しています。セキュリティガイドラインの策定をはじめ、実践的なセキュリティルール・情報管理ルールの策定が企業には求められています。今回まとめたように、従業員がテレワーク時にとるべき行動をルール化し、ガイドラインとルールを遵守できる環境作りが大切になってきます。

情報セキュリティの重要性について理解してもらい、従業員一人ひとりに浸透させていくことが欠かせません。

特にテレワーク勤務者は、オフィスから目の届きにくい場所で作業をすることとなります。そのためにも、ルールの趣旨や、ルールを遵守することの重要性を自覚してもらうことが大切です。

DDoS攻撃

2020年、主要DDoS攻撃事件まとめ

by ブログ

この1年を振り返ってみると2020年はコロナ一色でした。コロナ禍でオフラインでの活動が制限され、その分デジタルシフトが一気に進みました。様々なサイバーセキュリティ事件も発生しつつありますが、特に今回はDDoS攻撃に注目してみたいと思います。カルペルスキーの調査によると、2020年DDoS攻撃量が2019年に比べ3倍に増加しています。日本では不正アクセスの被害に比べ、DDoS攻撃への注目度は比較的に低いようですが、「DDoS攻撃の地理的分布」をみると、日本は初めて9位（0.18％）にランクインしていることが分かります。それでDDoS攻撃に対してより一層厳しい注意が求められます。今回は世界各地から発生した2020年第3四分期までの主要DDoS攻撃事件をまとめてみました。

 

分期別DDoS攻撃事件

第1四分期

1月：ギリシアでは政治的な動機で行われたサイバー攻撃が観測されました。政府機関及び応急サービスのWebサイトを狙った2回のDDoS攻撃の試みで首相、警察、消防署のWebサイトが一時停止されました。1回目の場合、トルコのハッカー組織「Anka Neferler Tim」が犯人であることが明らかになりましたが、2回目の犯人はまだ見つかっていません。

3月 : 3月中旬、新型コロナウイルス感染拡大への対応で重要な役割を担う米保健福祉省(HHS) のWebサイトからDDoS攻撃の試みが検知されました 。この攻撃はデータの窃取などを目的としたものではなく、新型コロナウイルスにおける対応への妨害が目的とみられます。
ドイツとホランダのフードデリバリーサービス会社のLieferandoとThuisbezorgdは DDoS攻撃によるシステム障害で、顧客の注文をまともに処理できなかったため、全額返金するといった事件が発生しました。Lieferando社の場合、DDoS攻撃の停止と引き換えに2BTC ($ 13,000 USD以上) を要求されました。

第2四分期

5月：5月には特に米国の人権団体を狙ったDDoS攻撃が急増し、1ヶ月で約1,120件の攻撃が報告されました。これらの攻撃は米ミネソタ州のミネアポリスでアフリカ系アメリカ人のジョージ・フロイドが警察の不適切な対応で死亡した事件への抗議デモを妨害させる目的でした。抗議デモが広がるにつれてミネアポリス市警への不満も寄せられ、市警のWebサイトを狙ったDDoS攻撃も発生しました。犯人はハクティビズム（政治的主張を基づきハッキング行為を行う）のハッカー集団「アノニマス」で、「ジョージ・フロイドの死」事件に対するネアポリス市警の犯罪事実を暴露する目的で攻撃を行い、ミネアポリス市警のWebサーバがダウンしました。

6月：6月中旬から7月初旬まで、ロシアでは憲法改正の是非を問う国民投票が実施され、投票期間中に中央選挙管理委員会とオンライン投票サービスを狙らったDDoS攻撃が発生しました。
6月中旬、米国の情報セキュリティ会社Cloudflareは6月18日から21日まで四日間DDoS攻撃を受けました。この攻撃は1秒あたり最高7億5400万パケットの速度を持ち、極めて大規模なDDoS攻撃でした。攻撃トラフィックは31万6000以上のIPアドレスから発信されたもので、Cloudflareの無料プラン利用者が使っていた1つのIPアドレスを狙った攻撃であったと見られています。

 第3四分期

2020年第3四分期は多数の組織がArmada Collective、FancyBear、Lazarus などのハッカーグループから脅迫メールを受け、DDoS攻撃の停止と引き換えにビットコインで身代金を要求された事件がありました。

8月~9月：脅迫型DDoS攻撃の標的となったNew Zealand Stock ExchangeのWebサイトが数日間オフラインになる事態が発生しました。その他にもPaypal、Braintree、 Indian Bank Yes Bank 及び多数の金融機関にビットコインで金額を要求する脅迫メールが送られたことが確認されています。
また第3四分期では、メディア組織を狙ったDDoS攻撃事件が少なからずありました。ロシアのテレビ放送局のDozhd は8月24日、週・夜間放送中、ニュース報道を停止させようとする攻撃を受けました。携帯キャリアのUgraproも9月初旬頃、一秒あたり5,000パケット以上のジャンクトラフィック攻撃がロシアや他の地域から送り付けられ、大きな被害を受けました。

 

2021年DDoS攻撃動向予測

2020年も残り僅かとなりますが、いまだに新型コロナの流行は落ち着いていない状況です。クリスマスと年末年始を迎え盛んになる取引行為も主にオンライン上で行われると予測できます。このようなオンライン活動の増加がDDoS攻撃被害の原因にならないように細心の注意を払うことが重要です。

今回の2020年主要DDoS攻撃を調べてみた結果、DDoS攻撃は地域や産業群を問わず発生していること、そしてDDoS攻撃者は社会・政治面における話題に伴って動いていることを把握できました。企業のセキュリティ担当者は以下のようなトピックにおいてDDoS攻撃の可能性を常に念頭に置く必要があります。

デジタルトランスフォーメーションと2021年オリンピック

企業にはDX（デジタルトランスフォーメーション）を通じて事業競争力を向上させることが重要な課題となっていますが、その一方サイバー攻撃の被害が増加していることもデジタル化の過程で解決すべきの問題であります。今年にDDoS攻撃の発生が増加したのは、コロナ禍につれて一気に進んだデジタルシフトが主な原因だと見られているため、DXの推進と共にDDoS攻撃への警戒心を持ち、被害を未然に防止することが重要です。

2021年開催予定である東京オリンピックもDDoS攻撃者にとって良いチャンスになる可能性があります。Ciscoの報告書によると、2016年リオオリンピックで約1カ月間の大会期間中に検知されたDDoS攻撃が223回で、極めて大規模な攻撃が行われました。2021年の東京オリンピックでこのような攻撃が発生しないという保証はできません。

加速するDXと国際的なイベントであるオリンピックによって大規模なサイバー攻撃に露出されないためには、DDoS攻撃を含むサイバーテロに徹底的に備える必要があります。

Cloudbricは全てのレイヤーに対するDDoS攻撃を遮断し、大規模のDDoS攻撃にも速やかに対応できる「Advanced DDoS Protection」を提供しております。「Advanced DDoS Protection」は、全世界45ヶ所のエッジロケーションからDDoSインテリジェンスを収集・分析・配信を行うため、様々な手段で攻撃を仕掛けてくるDDoS攻撃を防いで安全なオンライン環境を構築します。
詳細は下記のリンクをご確認ください。

Cloudbric ADDoS

カード情報漏えい

個人情報がつまったECサイトが狙われている！ECサイトが受ける不正アクセス攻撃とリスクについて徹底解説　その２

by ブログ

前回、ECサイトが受ける不正アクセス攻撃による「個人情報漏えい」のリスクについてご紹介しました。2回目となる今回はもうひとつのリスク、「クレジットカードの不正利用」について解説していきたいと思います。ネット利用が普及し生活が便利になる一方で、日々、多くのECサイトでクレジットカード情報漏えい事故が起こっています。ECサイトの担当者へのアンケートによると、49.1％が「ECサイトに対してサイバー攻撃を受けたことがある」と回答しています。ECサイトの立ち上げを検討している担当者は、ECサイトの最も大きいセキュリティリスクである「クレジットカード情報の漏えい対策」を行う必要があります。

 

クレジットカード決済で不正利用が起こる原因

クレジットカードは、現代における生活の必需アイテムになっています。クレジットカードがあれば、手持ちの現金がなくても実店舗で買い物できますし、ネット通販でも手軽に決済できます。とても便利なものですが、クレジットカードは悪意ある第三者によって不正利用されてしまうリスクがあることも心得ておかなければなりません。そして近年、ECサイトが不正アクセスを受け、顧客情報の他に、クレジットカード情報が漏えいする事件が相次いでいます。

日本クレジット協会の発表によると、2018年のクレジットカード不正利用被害額は235.4億円、2019年は上半期だけで137億円となっています。金額も増加していますが、比率がそれ以上に増加していて、クレジットカードの持ち主が意図しない不正利用がECサイトなどで多発していると言えます。クレジットカード決済で不正利用が起こる原因とその手口は、以下のものがあげられます。

フィッシング

フィッシングとは、金融機関などの有名企業を詐称したメールを送り付け、本文のURLをクリックさせることで偽サイトに誘導し、不正にIDとパスワードなどを詐取する詐欺行為のことです。設定変更や機能追加を行うためとしてメール本文のURLをクリックさせ、本物とそっくりのフィッシングサイトに誘導し、ID、パスワード、口座番号などを入力させ、これらの情報を搾取することを目的としています。近頃よく見られる手法に、Office 365のようなクラウドアプリケーションのログイン認証情報を盗み出すためにも使われます。ハッカーは、自分のOffice 365アカウントにログインして、プラットフォームへのアクセスの再取得、共有ファイルの回復、アカウント情報の更新など実行するように促すメールをユーザーに送信します。

フィッシングの一種であるスピアフィッシングと呼ばれる攻撃手法もあります。フィッシングは不特定多数の人へ行われるのに対し、スピアフィッシングは特定の標的を狙って行われます。フィッシングは大量配信攻撃であり、比較的広範囲に罠を仕掛けます。スピアフィッシング攻撃は槍（spear）を突き刺すように標的を定めて攻撃を行うため、騙されやすく非常に危険な攻撃です。メールによるスピアフィッシング攻撃は、日本では「標的型攻撃メール」とも称されます。スピアフィッシング攻撃は、事前に情報収集を行った結果を元に標的に狙いを定めて攻撃を行うため、精度が高いという特徴を持ちます。

スキミング

「スキミング」というのは、クレジットカードの情報を不正に入手して、まったく同じ偽造カード（クローンカード）を作って不正利用する犯罪のことです。クレジットカードそのものを盗むのではなく、「スキマー」と呼ばれる装置を使って、クレジットカードの磁気ストライプに書き込まれている情報のみを読み取るため、自分が被害者であることに気がつきにくいという特徴があります。
このスキミングがさらに進化したのがオンラインスキミングです。オンラインスキミングとはECサイトなどに不正なコードを挿入し、利用者が入力した決済情報を盗む行為を指します。ユーザーがフォームに入力したクレジットカード情報を盗み取るため、カード番号や有効期限だけではなく、不正利用防止のために設定されているセキュリティコードまで盗まれてしまいます。さらに、本人認証用の３Dセキュアのパスワードまで盗まれることもあります。オンラインスキミングでは偽決済ページヘの誘導を行ったり、不正者への情報送信を行ったりします。こちらの手口ではECサイトのカード情報入力フォームに直接JavaScriptのコードが埋め込まれています。利用者がカード情報を入力し確認ボタンをクリックすると、不正者にも入力されたカード情報が送信され、個人情報が盗まれてしまいます。

なりすまし

「なりすまし」とは、流出した、もしくは盗み取ったカード情報を使って、第三者が本人になりすまして、クレジットカードを不正利用する手口です。上記のフィッシングやスキミング、そしてサイトからの情報漏えいで流出してしまったカードを本人になりすまして、不正利用します。一般社団法人日本クレジットカード協会によると、年によって増減がありながらも、全体的に増加傾向です。内訳としては番号盗用による被害が多くを占めています。

 

ECサイトからの情報流出

前回のようなパスワードアタックのような攻撃にあい、ECサイトから直接カード情報が流出する危険性もあります。

EXILEの公式ECサイトに不正アクセス　カード情報4万4000件が流出か
2020年12月08日
音楽ユニット「EXILE」などが所属する芸能事務所LDH JAPANは12月8日、同社が運営するECサイト「EXILE TRIBE STATION ONLINE SHOP」が不正アクセスを受け、4万4663件のクレジットカード情報が流出した可能性があると発表した。このうち209件のカード情報については、11月27日時点で第三者に不正利用された可能性がある。
流出の可能性があるのは、8月18日～10月15日に同サイトでカード情報を登録するか、登録済みの情報を変更した利用者のカード名義人、カード番号、有効期限、セキュリティコード。
引用：https://www.itmedia.co.jp/news/articles/2012/08/news139.html

こうしたニュースが今も後を断ちません。セキュリティ対策に無頓着な場合、いつ自社が狙われてもおかしくはないのです。

 

クレジットカード情報が漏えいした場合のECサイトのリスク

1. ECサイトの閉鎖

カード情報が流出した場合、カード決済の停止やサイトを一時閉鎖するなどの措置がとられます。セキュリティ事故が起きると約半数のサイトが完全復旧できないほか、完全復旧するにはECサイトのリニューアルが必要で、ECサイトの信頼度低下や顧客離れなどを含めると、セキュリティ事故のダメージは計り知れないものとなります。

2.フォレンジック調査の費用

「フォレンジック調査」は漏えい発生に際し、原因特定や被害範囲特定を行うための調査です。カード会社との加盟店契約において、加盟店は漏えい事故が起きた際の調査が義務付けられています。特定の専門機関への調査依頼が必要となり、調査費用は数百万円から1000万円程度が見込まれます。

3.対象顧客への報告と損害賠償金の支払い

お客様へのお詫び対応のデスク設置やクレジットカードの差し替え費用、損害賠償金の支払い等が発生します。カード情報が流出した場合、ほとんどのケースは裁判になります。そしてその賠償金は、過去の判決例から分類すると、秘匿性に合わせて大きく3種類です。 まず、秘匿性が「低」と判断される場合です。住所や氏名など、特殊な情報でない場合がこれに該当します。この場合の相場は、一件あたり500円から1,000円くらいです。 次に、秘匿性が「中」の場合です。クレジットカード情報や、収入、職業に関する情報など、一般的には知られていないはずの情報がこれに該当します。この場合、一件あたり1万円くらいが相場となります。そして、秘匿性が「高」と判断されるケースでは、一件あたり3万円超となります。極めて個人的な情報、たとえばスリーサイズや手術歴、ユーザーIDとパスワードのセットなどがこれに該当します。因みに過去の判例で、1件当たり平均想定損害賠償額は3億3,705万円となっています。

4.社会的信頼の失墜

監督庁への報告がマスコミの報道や、ネットでの情報掲示でネガティブ情報として取り上げられる可能性があります。企業の社会的信頼が薄れ、株価が下落します。顧客に不安を与え、顧客離れが起きます。

5.行政の指導や罰則のおそれ

2018年6月1日に施行された「割賦販売法の一部を改正する法律（改正割賦販売法）」では、クレジットカードを取り扱うEC事業者などに対して、「クレジットカード情報の適切な管理」と「不正使用防止対策の実施」が義務付けられ、カード情報の漏えい対策として制定された同法律では、法的にもEC事業者への責任が強化されています。

 

さいごに

システムのセキュリティホールは、色々な角度から狙われています。攻撃者は対象のシステム全体から、SSHやFTP等のリモートアクセスの他、ウェブサイトへのSQLインジェクションの試行等、攻撃可能なセキュリティホールをあらゆる手段を駆使してスキャンしています。こうした攻撃に対する「クレジットカード情報の漏えい対策」には、WAFのような不正検知システムの導入が効果的です。いつ、どのような手段によって行われるか分からない攻撃に備えるためには、システム全体のセキュリティ対策が必要ということになります。

WAF は従来のファイアウォールや IDS/ADS では防御しきれなかった攻撃の検知・防御が可能となります。ファイアウォールは、主に不要なサービス（サービスポート）へのアクセスを制限し、不正なアクセスの防御を行っております。また IDS/ADS では不正なアクセスを検知するとアクセス元の通信を遮断します。しかし Web サイトなど、公開されているサービス（HTTP や HTTPS）はファイアウォールでは制限されない形となるため Web アプリケーションに脆弱性があると攻撃の脅威となります。WAF ではファイアウォールや IDS/ADS では検知できない攻撃を検出することができます。

クラウド型セキュリティ・プラットフォーム・サービス

Cloudbric WAF+

情報漏えい対策WAF

個人情報がつまったECサイトが狙われている！ECサイトが受ける不正アクセス攻撃とリスクについて徹底解説　

by ブログ


ECサイトが受けるセキュリティ脅威として、主に「個人情報漏えい」と「クレジットカードの不正利用」があります。個人情報漏えいは、外部からの不正アクセス（サイバー攻撃）によって、自社で保有している個人情報が流出してしまうことです。近年、特に「パスワードリスト攻撃」の被害によって個人情報が流出してしまうサイトが相次いでいると危惧されています。今回は2回に分けて、ECサイトが受ける攻撃とその事例、そして対策についてまとめてみました。第一回目は「パスワードリスト攻撃」による情報漏えいについての手法を中心にご紹介します。

 

ECサイトが受ける不正アクセス攻撃とリスク

ECサイトは購入者の個人情報やクレジットカードといった、サイバー攻撃者に狙われやすい情報が蓄積されていて格好のターゲットとなっています。もしECサイトが一度不正アクセスを受けると次のような被害が発生します。

  • 現金化しやすい「ポイントチャージ」商品を大量に購入する。
  • 登録しているクレジットカード情報を盗み出し、別サイトで決済する。
  • 住所を変更し、現金化しやすい商品を大量に購入、発送する。

不正アクセス攻撃によってサイト運営者がうけるリスク

ECサイトが攻撃を受けて顧客の個人情報やカード情報等が流出すると、以下のようなリスクが発生します。

  • 購入者をはじめ、社会からの信頼を失墜。
  • 事実告知やお詫び等の費用・労力。
  • 当該サイトを一時閉鎖することによる、売上減少。
  • 漏洩原因の調査、システムの改修等の費用。
  • 購入者様のカード差替費用。
  • 行政当局、マスコミへの対応。
  • 個人情報流出への損害賠償の支払い。

こうしたリスクは社会的信用の失墜の他、莫大な損害賠償等金銭的負担も大きくかかってくる場合があります。サイト運営者が、情報が流出した顧客一人一人に賠償しなければならなくなることもあります。個人情報流出の損害賠償平均額は年々莫大になり、JNSAの『2018年 情報セキュリティインシデントに関する調査報告書』によると、一件あたり平均想定損害賠償額は6億3,767万円ともなりました。企業価値の維持とリスクヘッジのため対策が絶対不可欠になってきます。

 

パスワードリスト攻撃の手法

パスワードリスト攻撃

「パスワードリスト攻撃」とはリスト攻撃とも言われ、オンラインサービス等への不正ログインを狙った不正アクセス攻撃の一種です。何らかの手段により他者のID・パスワードを入手した第三者が、これらのID・パスワードをリストのように用いてさまざまなサイトにログインを試みることで、個人情報の閲覧や窃盗などを行うサイバー攻撃です。このリストは他のサービスから流出、窃取されたIDとパスワードのリストで、他のサービスでも同様のID、パスワードを利用している場合には総当たりが不要で、リストに従って不正アクセスを試行すれば簡単にアカウントの乗っ取りが可能になります。

ユーザがとあるサイトA、サイトB、サイトCで同じパスワードを使いまわしていた場合、どこか一つのサイトが攻撃を受けてそのパスワードリストが流出すれば、他のサイトもアカウントを不正に乗っ取ることが可能になります。ユーザ側がパスワードを使い回す理由は、「各サイトともに、大文字小文字、数字、記号などを組み合わせるパスワードを求めているが、こうした複雑なパスワードをたくさん覚えられない。よって、要件を満たすパスワードを1つ作って、そのパスワードを複数のサイトで使い回すのが便利」という考えからです。

パスワードリスト攻撃による被害が増えている理由として、IDとパスワードがセットになったリストが「ダークウェブ」（闇ウェブ）などで販売されている点があげられています。仮にサイトAからパスワードリストが流出し、サイトAがパスワードの変更等措置を講じても、他のサイトではそのパスワードを使える可能性が高く、攻撃者は別なハッカーに対して、「ショッピングサイトAから流出したパスワードリスト」を販売する手法をとることもあります。匿名性が高い「ダークウェブ」上で情報のやり取りをし、決済はビットコインなどの「仮想通貨（暗号資産）」を使い、「誰がどこで決済したか」が分からないように売買を行います。

その他の攻撃

ネットショップの中にはカスタマイズ性の高いオープンソースのショッピングカートを使ってるところもあります。しかしきちんとバージョンアップへの対応等メンテナンスを行えていないところもあり、そうした場合、カートシステムのプログラムの脆弱性を突かれ不正アクセスを受けることもあります。

 

パスワードリスト攻撃による実際の攻撃事例

ヤマト運輸がクロネコメンバーズ3467件の不正ログインを確認　－ 2019年7月25日
ヤマト運輸は7月24日、クロネコメンバーズのWebサービスにおいて外部から「パスワードリスト攻撃」(他社サービスから流出した可能性のあるIDとパスワードを利用して、Webサービスにログインを試みる手法)による不正ログインがあったことが判明したと発表した。
同社によると、7月23日に特定のIPアドレスからの不正なログインを確認し、緊急の措置として該当のIPアドレスからのログインを遮断するなどの対策を講じた上で調査した結果、不正なログインに使用されたID・パスワードは同社で使用されていないものが多数含まれており、他社サービスのID・パスワードを使用したパスワードリスト攻撃による不正ログインと判明したという。
引用：https://news.mynavi.jp/article/20190725-865750/

「リスト型アカウントハッキング（リスト型攻撃）」による弊社オンラインストアサイトへの不正ログインの発生とパスワード変更のお願いについて　－2019年05月14日
株式会社ファーストリテイリング株式会社ユニクロ株式会社ジーユー弊社が運営するオンラインストアサイト(ユニクロ公式オンラインストア、ジーユー公式オンラインストア)において、お客様ご本人以外の第三者による不正なログインが発生したことを、2019年５月10日に確認しました。
今回の不正ログインは、2019年４月23日から５月10日にかけて、「リスト型アカウントハッキング(リスト型攻撃)」の手法で行われ、現時点判明分で不正ログインされたアカウント数は、461,091件となります。
引用：https://www.uniqlo.com/jp/ja/contents/corp/press-release/2019/05/19051409_uniqlo.html

「カメラのキタムラ」にリスト型攻撃で不正アクセス、個人情報が閲覧された可能性　－2020年6月17日
キタムラは6月15日、ECサイト「カメラのキタムラ ネットショップ」で“なりすまし”による不正アクセスが発生したと発表した。
不正アクセスの手法は、何らかの手段により他者のID・パスワードを入手した第三者が、これらのID・パスワードをリストのように用いてさまざまなサイトにログインを試みることで、個人情報の閲覧などを行うサイバー攻撃「リスト型アカウントハッキング（リスト型攻撃）」。
悪意の第三者が外部で不正に取得したと考えられるメールアドレス・パスワードを使い、「カメラのキタムラ ネットショップ」に不正ログインを試行。複数人の会員情報で不正アクセスが行われ、顧客情報が閲覧された可能性があるという。
引用：https://netshop.impress.co.jp/node/7742

こうした大手のサイトでも次々とパスワードリスト攻撃の被害が生じています。いつ自社が被害にあうか常に危機意識を持つ必要があります。

パスワードリスト攻撃への対策にも有効なWAF

「パスワードリスト攻撃」などは、ユーザにパスワードの使い回しをやめるよう注意喚起する方法もあります。もちろんそれだけではセキュリティ対策として不十分です。ECサイトへの攻撃を運営側が防ぐには次のような対策を取り入れるのが推奨されています。

  • 多要素認証（二段階認証）が導入されている。
  • リスクベース認証が導入されている。
  • これまでログインされたことがないIPアドレス (接続元) からアクセスがあった場合のみ、追加の認証を要求する。
  • 住所変更、クレジットカード変更など、重要な情報を変更するときには、ID・パスワード以外の情報を追加で要求する。
  • ログインすると、自動のメールなどで「現在ログインされました」という通知が送られる。（万が一不正アクセスが発生しても、早期に気付ける仕組み）

こうした「セキュリティに強い」サイトにするには手間をかけるか、ツールの導入も検討すべきでしょう。例えばクラウド型WAF(Webアプリケーション・ファイアーウォール)ならばWebサイトやWebサーバへのサイバー攻撃を可視化し、攻撃をブロックすることも可能です。例えば同じIPアドレス（端末）から連続して異なるアカウントでの大量ログインを検知した際、ID・パスワードが実際に存在するか否かに関わらず強制的にそのアクセスを遮断するような機能も備わっています。そのため今回ご紹介したような「パスワードリスト攻撃」への有効な対策となります。

クラウド型セキュリティ・プラットフォーム・サービス

Cloudbric WAF+

マルウェアIcedId

マルウェア『IcedID（アイスドアイディー）』の攻撃が本格化！Webサイト改ざんに要注意

by ブログ

 前回『Emotet(エモテット)』について注意喚起をしたところですが、今回はEmotetに類似した別のマルウェア『IcedID（アイスドアイディー）』の攻撃が活発化していることが観測されています。11月6日、JPCERT コーディネーションセンター（JPCERT/CC）からも、マルウェア「IcedID」感染を目的とした不正なメールについて注意喚起出されています。IcedIDはメールやブラウザなどの情報を窃取するトロイの木馬型の不正プログラムです。 Emotetと同様に他のマルウェアを二次感染させる機能を持ちます。感染攻撃に使われる不正メールは10月下旬に流通し始め、11月3日頃から増加しています。今回は今攻撃を本格化させているIcedIDいついて詳しく解説していきます。

 

IcedID（アイスドアイディー）の特徴と被害

IcedIDは2017年に登場が報告されているマルウェアです。2017年にIBMのセキュリティ研究者が発見したトロイの木馬型の不正プログラムで、銀行やペイメントカード会社、モバイルサービスプロバイダー、オンライン小売り、給与計算ポータル、メールクライアントなどを標的に、金融関連情報や資格情報などを窃取したり、他のマルウェアローダーとして活動したりすることが報告されています。他に主な特徴をまとめてみました。

  • 感染手法や発生する被害はEmotetと非常に類似しているもののEmotetとは異なるマルウェア
  • Emotetの場合、Display Name/表示名を偽装しているがIcedIDは正規の送信メールアドレスを使用
  • メールの件名が「返信（Re：）や転送（FW：）」ではじまる
  • ZIPで圧縮されたパスワード付きメールを送付
  • メール文面が日本語で書かれており、日本人をターゲットにしている

セキュリティ製品によってはパスワード付き圧縮ファイルの解凍に対応していないため、検出が回避されて受信者の元にメールが届く可能性があり、感染の拡大が危惧されています。JPCERT/CCが提供しているEmotet感染チェックツール「EmoCheck」ではIcedIDを検出することができず、やっかいなマルウェアです。またIT管理者などがEmotetの攻撃手法が似たIcedIDの攻撃に気付けず、被害につながる恐れがあると警告されています。

攻撃の流れ

  • パスワード付きZIP形式の添付ファイル付きメールが配送（パスワードは同一メールに記載）
  • ユーザがZIPファイルを解凍し、Wordファイルを開封
  • ユーザがWordファイルを開いた時、マクロの有効を許可
  • マクロがWindowsのシステムからmshta.exe をコピー
  • コピーされたmshta.exe を利用して、htaファイルのダウンロード、実行。
  • htaファイルによって、COM DLLファイルがダウンロードされ、regsvr32.exeでサービス登録。並行して、IceID /IcedIDマルウェアをダウンロード、実行。
  • IceID /IcedIDマルウェアに感染

攻撃は上記のような流れで行われますが、件名が「返信（Re：）や転送（FW：）」ではじまるメールをうっかり開き、マイクロソフトの「セキュリティ警告」を無視して「コンテンツの有効化」クリックすると感染します。

IcedIDの被害

  • メールアドレスやパスワード、ブラウザなどの認証情報など個人情報の盗取
  • 自組織から他の組織へ過去にやり取りしたメールに返信する形で攻撃メールが送信される
  • 別のマルウェアがダウンロードされる
  • IcedIDは不正なプログラムを受け取ると、ユーザが金融機関やカード支払を行う際の表示を偽装したり偽サイトに誘導したりする攻撃手法(Webインジェクション、リダイレクト攻撃)により、金融情報や資格情報を盗み取る(バンキングトロイ)

IcedIDは感染しても自らの存在がばれないように痕跡を隠します。そして密かに外部の犯人(C&Cサーバ)と交信し、感染したパソコンの概要(コンピユーター名、どんなソフトが動いているかなど)を伝えてしまいます。感染パソコンの概要を知った外部の犯人が攻撃方法を決め、IcedIDに不正なプログラムを送り攻撃命令を出し被害を及ぼします。以上のようにIcedIDはいったん感染するとなかなか発見されずに、長期間にわたって被害を与えていく可能性があります。

 

IcedIDの対策

IcedIDはユーザがWordファイルを開いた時、マクロの有効を許可することで発動します。そのためJPCERT/CCでもEmotetと同様にマクロを有効化しないことを推奨しています。また、なりすましメールの送信元はマルウェア起因でなく、メールアカウントへの不正ログインが疑われるのでパスワードを再設定するようにとも言われています。

マルウェアによる標的型攻撃とWebサイト改ざんへの対策

EmotetやIcedIDのようなマルウェアによる標的型攻撃を防ぐには、従来のセキュリティ対策ソフトだけでは不十分です。近年は従来のセキュリティ対策ソフトでは検知できない標的型攻撃が増加しており、一度マルウェアが侵入すると攻撃に対処することは不可能です。日々深刻化する標的型攻撃の中でもWebサイト改ざんによる被害が増加しています。WAF(Web Application Firewall)はホームページへの通信内容を監視し、脆弱性などを検知します。HTTPプロトコルやパラメータの名前・値などを検査し、不正な通信を検知すると自動でそれを遮断します。他にも、Cookieの暗号化や応答ヘッダの追加など、さまざまなWebアプリケーションの防御機能を搭載しています。そのためWebサイト改ざんといった攻撃の防御に有効です。

WAFは、従来のネットワークセキュリティであるFW(Firewall：ファイアウォール)、IPS(Intrusion Prevention System：侵入防止システム)、NGFW(Next Generation Firewall：次世代ファイアウォール)と異なり、防御可能な通信レイヤー(層)および防御可能な攻撃の種類にその差があります。クラウド型WAFは導入コスト・運用コストが安く、自社にセキュリティのエンジニアを配置する必要がないメリットがあります。数あるクラウドがタWAFの中でもクラウドブリック(Cloudbric)は日本国内のみならず海外でも多く利用されているだけではなく、セキュリティの安全性を表す世界的な基準に準拠している点が特徴です。さらに、クラウド型WAFサービスを含め、L3/L4/L7DDoS攻撃対策サービス、SSL証明書サービス、脅威情報データべースに基づく脅威IP遮断サービス、ディープラーニング(AI)エンジンによるWebトラフィック特性学習サービスなど5つのサービスを1つのプラットフォームにて提供するため、Webサイトに対する高度かつ幅広いセキュリティを実現することができます。まさに「グローバルに活躍するクラウド型セキュリティ・プラットフォーム・サービス」であり、さまざまな機能を数多く持ち合わせたセキュリティ対策です。

 

さいごに

IcedIDは前述のように、Emotetと似ていますが異なるマルウェアなのでEmotetを対策するツールでは防御できません。Emotetは2019年末から日本で流行し多くの被害を与えていることから、広く認知されています。2020年2月にはJPCRET/CCがEmotetに感染していないかを確認する「EmoCheck（エモチェック）」をリリースしました。Emotetへの感染が疑われたらEmoCheckで確認している企業様も多いと思いますが、IcedIDはEmoCheckでは確認できません。感染の事実に気が付かず長い間被害にあい続けてしまう、という事態が発生する可能性がでてくるのです。

IcedIDの対策は、不審なメールを受信した・不審なメールの添付ファイルを開いた場合は特定の部門まですぐに報告するよう周知するのに加え、メールで送付されたWord文書ファイルの「コンテンツの有効化」は基本的に実行しない、なりすましメールの送信が疑われる場合はメールアカウントのパスワードを再設定するといった対策を徹底するようにしましょう。またWAFの導入等、一般のセキュリティソフトでは対策できない攻撃を防ぐセキュリティツールの利用の検討も行い、日頃から多層的に防御していくことが重大な被害を防ぐことに有効です。

一石五鳥のWebセキュリティ対策「クラウドブリック」に関する詳細情報はこちらからご確認ください。

Cloudbric WAF+

クラウドブック「リモートアクセスソリューション」

テレワーク導入を阻むセキュリティ課題をゼロトラスト視点で見直す

by ブログ

大東建託株式会社が今年9月に行ったテレワーク実施状況などに関するインターネット調査では、実施率は26.3％と依然４分の１以上の企業がテレワークを継続している状況です。コロナ過の長期化に伴い、テレワークで働く人が一定数いる状況は今後も続くと予想されますが、セキュリティ対策強化の困難さが問題として浮き上がっています。従来、業務用PCは物理的にIT部門の近くにあるため管理も比較的容易でしたが、テレワークにより設置場所が社員の自宅へと一気に拡散し、管理が複雑になることで、セキュリティリスクの上昇とともに、トラブル対応が増加し生産性の低下などを招く可能性も出ています。 今回はテレワークを推進するにあたっての、セキュリティ上の課題とその解決策をまとめていきたいと思います。

 

テレワークのセキュリティ課題

Wi-Fiからの情報漏えい

外出先でインターネットに接続して作業する際に、公共Wi-Fiを利用することがあるかもしれません。公共Wi-Fiは無料で利用できて便利です。しかし、公共のWi-Fiはどのようなセキュリティ対策が施されているかわかりません。万が一不備がある場合は、データの盗み見や詐欺サイトへの誘導など、第三者への情報漏えいの懸念があります。

また家庭用Wi-Fiもセキュリティに不備があると、ネットワークへの不正侵入や不正サイトへの誘導、ウイルス感染の可能性があります。社内ネットワークにアクセスする手段として、家庭内Wi-Fiが悪用される可能性もあるので注意が必要です。

セキュリティ対策のない私物端末の使用

テレワークで使用されるパソコンに、ウイルス対策ソフトなどのセキュリティ対策が施されていないと、万が一ウイルスに感染した際に対処できません。最悪の場合、パソコンからデータを抜き取られ、会社の情報漏えいにもつながります。

 

VPNの負荷と脆弱性

VPN（Virtual Private Network）接続とは、インターネット上に仮想の専用線を設定し、特定の人のみが利用できる専用ネットワークです。接続したい拠点（支社）に専用のルーターを設置し、相互通信を行うことができます。「トンネリング」「暗号化」「承認」を設定することで、セキュリティ上安全にデータのやり取りを行うことができるといわれていて、テレワーク下で多くの企業が利用しています。しかし、VPNアプリは決して万能ではありません。

実際にテレワークで使ってみると、VPNで会社につなげたくても、回線や機器の負荷が高すぎてつながらない」「重たくて仕事にならない」といった声があがっています。従来のアーキテクチャでは、従業員からの通信はVPNを利用していったん内部に集約されます。クラウドサービスの利用も、いったん企業のVPNゲートウェイを経由して行われます。ダイレクトにクラウドサービスを利用する場合に比べ、データセンターへの行ったり来たりが増えて帯域もセッション数も消費し、ボトルネックとなっています。

標的型攻撃や最近のランサムウェアといったサイバー攻撃の高度化も深刻な懸念材料になっています。RDP（Remote Desktop Protocol）やVPNといったリモートアクセス環境で弱いパスワードが設定されているアカウントを乗っ取ったり、脆弱性を悪用したりと、さまざまな手段で攻撃を仕掛けてきます。一旦内部に侵入されてしまえば、共有ファイルサーバやディレクトリサーバへのアクセスも可能になり、社内セキュリティは無防備にさらされます。ユーザがインターネットを利用している間に、ウイルス感染したサイトに誘導することもできるため、VPNの使用は慎重に行わなければなりません。

 

ゼロトラスト・セキュリティ

VPN接続の場合、ファイアウオールなどによるネットワークの「境界防御」が破られ、「安全な」ネットワークの内側に侵入されると、侵入者によって社内アプリケーションへ好き勝手にアクセスされてしまう問題があります。これまでのセキュリティ対策は、ITの世界を、信頼できる「内部」と、脅威が蔓延する危険な「外部」とに分け、外側から侵入を試みる不正アクセスやマルウェア、悪意あるメールなどを、境界で検知してブロックするという境界防御の考え方が主流でした。しかしIT環境の変化とサイバー攻撃の高度化により、もはやこの境界防御では防ぎきれない現実があります。また社内に置かれていたサーバがIaaSやSaaSといったクラウド環境にどんどん移行し、これまでは通信先も通信元も社内にあったのが、今はいずれも内部にあるとは限らず、内と外を分ける境界自体があやふやになっています。そのため、境界防御の考え方に代わって注目され始めたのが「ゼロトラスト・セキュリティ」です。場所にとらわれることなく常に認証やセキュリティ状態のチェックを行い、その結果に基づいて適切なリソースへのアクセスのみを許可していくというセキュリティの概念です。

実際米グーグルは従業員が在宅勤務をする際、VPNを一切使っていません。グーグルがVPNを使わなくなった背景には、いわゆる「ゼロトラスト・ネットワーク」の考え方があります。ゼロトラスト・ネットワークの考え方においては、どのような種類のネットワークであっても信頼しません。社内アプリケーションへのアクセスは、社内ネットワークからであっても社外からであっても必ず「アクセスプロキシー（認証サーバ）」を経由させ、社内アプリケーションの利用の可否を細かく制御しています。

 

Cloudbric Remote Access Solutionによる安全で簡単なテレワークセキュリティの実現

Cloudbric Remote Access Solution（クラウドブリック・リモートアクセス・ソリューション）は、境界防御にとらわれない企業専用ソリューションです。クラウド基盤で提供されるため、専用線やVPNを構築せず安全なリモートアクセス環境を提供します。VPNは一般のインターネット回線を使用してユーザとサーバを接続するため、安全性が低い場合もあります。例えば、ハッカーがネットワークに侵入した場合、これを防ぐ手立てがありません。 Cloudbricが提供するRemote Access Solutionは、権限のないユーザのアクセスを遮断し、プライベートネットワークに向かうすべてのトラフィックをリアルタイムでモニタリングするセキュリティ機能を提供します。

インストールや複雑な設置が不要

既存のVPNソリューションとは異なり、複雑なインストールが不要でWebブラウザ環境からログインするだけで、社内ネットワークにアクセスできます。テレワーク体制が必要な企業だけでなく、様々なオンラインサービスなどを行わなければならない教育機関や公共機関でも簡単に導入することができます。またユーザにプライベートネットワーク(Private Network)にあるWebサーバ、サーバ内のデータ、あるいはアプリケーションにリモートアクセスできるクラウドベースのセキュリティのみならず、ハッキングやの侵入、DDoS攻撃まですべて防御できるセキュリティ機能も提供します。

特徴

  • 拠点間ゲートウェイの設置不要
  • 追加ソフトウェアのインストール不要
  • DNS情報の変更だけですぐに利用可能
  • Webブラウザからログインするだけで遠隔地からも業務を進められる
  • モバイル、タブレットなど様々な端末から社内環境へアクセス可能

リモートアクセス環境を安全に保護

3つのセキュリティ対策を通じて、あらゆる方向からのサイバー攻撃を事前に防御します。様々なWeb脅威を防御し、送受信されるすべてのトラフィックへの安全性を確保しつつ、いつ、どこでも社内ネットワークに安全にアクセスすることができます。すべてのセキュリティ機能には、別途インストールが必要なく、ユーザとサーバ間のトラフィックが基本的に暗号化されて転送されます。

3-Layer Security

  • Traffic Monitoring（トラフィックのモニタリング）
  • User Authentication（ユーザ認証）
  • Hack Prevention（ハッキング対策）

新型コロナウイルス感染症はいまだ終息が見えません。セキュリティ面から導入を取りやめる企業もでているテレワークは、経営課題である人手不足への有効な対応策にもなり得るメリットもあり、今後積極的に活用できるかどうかで企業の人事戦略に大きく影響がでてくることも予想されます。セキュリティの構築が面倒、VPNでは防御しきれないとあきらめる前に、導入も簡単で、高精度なセキュリティを実現するRemote Access Solutionをご検討ください。

Cloudbric RAS

ddos

DDoS攻撃への対策とは？攻撃手法や実際の被害事例も紹介

by ブログ

近年、企業や公共機関を狙ったDDoS（分散型サービス拒否）攻撃の被害が急増しています。攻撃者は世界中の感染端末を使って大量の通信を送りつけ、サーバーやネットワークに過剰な負荷をかけることで、Webサイトの停止やオンラインサービスの遅延を引き起こすのが特徴です。

この記事では、DDoS攻撃の仕組みや目的、実際の被害事例、そして企業が取るべき効果的な対策について詳しく解説します。

DDoS攻撃とは

DDoS（Distributed Denial of Service）攻撃とは、複数のコンピュータから標的のサーバーやネットワーク機器に大量の通信を送りつけ、システムを麻痺させるサイバー攻撃のことです。

通信量が一気に増加することでサーバーが過負荷となり、正規のユーザーがサイトやサービスにアクセスできなくなります。結果として、業務停止や顧客の信用低下などの深刻な影響をもたらす可能性があります。

DDoS攻撃は、企業や官公庁を狙ったサイバー攻撃の被害が増えており、近年ますます巧妙化・大規模化が進んでいます。

 

DDoS攻撃の狙い

DDoS攻撃は単なる「いたずら」ではなく、多くの場合、明確な意図や利益を目的としています。

代表的な例としては、競合するサイトやオンラインストアを一時的に停止させることで売上機会や顧客の信頼を奪う営業妨害や、政府機関などを標的にして政治的・社会的主張を訴えるハクティビズム（政治的抗議）があります。

さらに、攻撃を止める代わりに金銭を要求する恐喝型の事例や、DDoSによる混乱に乗じて不正アクセスや情報窃取を隠蔽する陽動目的の攻撃も確認されています。

 

DoS攻撃との違い

DoS攻撃（Denial of Service攻撃）とは、1台のコンピュータから対象のサーバーやWebサイトに大量のリクエストを送りつけ、システムのリソースを使い切らせてサービスを停止させる攻撃です。攻撃元が単一であるため、IPアドレスの特定やアクセス遮断による対策が比較的容易で、被害範囲も限定されるのが特徴です。

一方で、DDoS攻撃は、DoS攻撃をさらに大規模かつ分散化した手法です。世界中の感染端末（ボットネット）を利用して同時に攻撃を仕掛けるため、通信経路が複雑になり、防御や検知が難しくなります。その結果、被害の規模はより深刻化し、復旧にも時間を要するケースが多く見られます。

 

DDoS攻撃の特徴

DDoS攻撃には、いくつかの共通した特徴があります。複数の感染端末を利用して攻撃を仕掛ける「複数ボットの利用」や、正規ユーザーの通信を妨げてサービスを停止させる「遮断の拒否」、そしてサーバー資源を使い果たす「リソース枯渇」などが代表的です。ここではDDoS攻撃の特徴について紹介します。

 

特徴①複数ボットの利用

DDoS攻撃の大きな特徴は、多数のマルウェア感染端末（ボット）を同時に利用して攻撃を行う点にあります。

攻撃者は世界中に分散して存在するこれらの端末を遠隔操作し、標的のサーバーやネットワークに向けて膨大な量の通信を一斉に送りつけます。こうした「ボットネット」による攻撃は、単一の発信元を遮断しても防御が難しく、攻撃の規模や継続時間が非常に大きくなるのが特徴です。

また、ボットの所在地やIPアドレスが多岐にわたるため、検知・遮断の難易度が高く、被害の特定や復旧にも時間を要するケースが少なくありません。

 

特徴②遮断の拒否

攻撃トラフィックが正規ユーザーの通信を圧迫し、アクセスを事実上遮断してしまう点もDDoS攻撃の特徴のひとつです。

攻撃が成功すると、サーバーやネットワーク機器が大量の不正通信によって処理能力を使い果たし、正規のリクエストに応答できなくなります。その結果、Webサイトやアプリが表示されない、接続が極端に遅くなるといった障害が発生し、ユーザーにサービスを提供できない「DoS状態」に陥ります。

このような状況は、業務停止や顧客離れ、ブランドイメージの低下など、ビジネス面での損失に直結し、場合によっては、企業活動全体に深刻な影響を及ぼすこともあります。

 

特徴③リソースの枯渇

サーバーやネットワーク機器のリソース（資源）を枯渇させることも、DDoS攻撃の特徴です。攻撃者は標的に対して膨大なリクエストやデータを送りつけ、CPU・メモリ・通信帯域といった処理能力を限界まで消費させます。

その結果、システムは正規ユーザーからのアクセス要求を処理できなくなり、サービス全体が遅延または完全に停止する事態が発生します。リソースの枯渇は一時的な障害にとどまらず、復旧に長時間を要するケースや、業務停止・信頼低下といった経済的損失を引き起こすこともあります。

このように、DDoS攻撃は単なる一過性のトラブルではなく、企業の継続的な運営に直結する深刻なリスクと言えます。

DDoS攻撃の種類については、以下の記事で詳しく解説しています。あわせてお読みください。

DDoS攻撃の種類と企業がとるべき有効な対策とは？

 

DDoS攻撃による被害事例

ここまでDDoS攻撃について紹介してきましたが、過去どのような被害事例があったのでしょうか。ここでは最近の事例を紹介します。

 

事例①日本航空(JAL)

2024年12月26日、日本航空（JAL）は外部からの大規模なサイバー攻撃を受け、社外システムとの通信に不具合が発生しました。本事案は、攻撃の性質から「DDoS攻撃」である可能性が高いと見られています。

この影響により、手荷物管理システムに不具合が発生し、国内線・国際線の一部で出発遅延が発生しました。さらに、業務システムの一部が停止したことで、利用客や運航スケジュールに直接的な影響が及びました。

交通インフラを支える企業での発生は、DDoS攻撃の脅威が社会全体に及ぶことを改めて示す事例と言えます。

 

事例②三菱UFJ銀行

2024年12月26日、三菱UFJ銀行はインターネットバンキングサービスへのアクセス障害が発生したと発表しました。原因は、外部から大量のデータを送りつけるDDoS攻撃によるものと見られています。

その日の午後からログインが不安定となり、生体認証の利用が困難になるなどの不具合が発生し、法人向けのWebサービスの一部でも一時的に同様の障害が確認されました。以降、断続的に接続しづらい状態が続いたものの、顧客データの流出やウイルス感染は確認されていないとのことです。

今回の攻撃は、金融機関のオンラインサービスがサイバー攻撃の標的となる危険性を示す事例となりました。

 

事例③日本気象協会

2025年1月、日本気象協会が運営する天気予報専門メディア「tenki.jp」が、複数日にわたって大規模なDDoS攻撃を受けたと発表しました。1月5日と9日に発生した攻撃により、Web版およびアプリ版の気象情報サービスで、表示や更新の遅延・停止といった障害が確認されました。

9日午前の攻撃は夕方に一度復旧したものの、同日夜に再び攻撃を受け、通信障害が断続的に続きました。特に大雪や暴風雪の影響が懸念されていた時期であったため、利用者が気象情報を確認できない状況は社会的にも大きな影響を及ぼしました。

DDoS攻撃以外のサイバー攻撃の事例は、以下の記事でも詳しく紹介しています。あわせてお読みください。

【2025年最新】国内外のサイバー攻撃事例10選！対策方法も紹介

 

DDoS攻撃への主な対策

対策①CDN（コンテンツデリバリーネットワーク）の導入

DDoS攻撃対策として効果的なのが、CDN（コンテンツデリバリーネットワーク）の導入です。CDNは、世界各地に分散配置されたサーバーを通じてコンテンツを配信する仕組みで、アクセスや攻撃トラフィックを複数拠点に分散させることで、特定のサーバーへの負荷集中を防ぐ役割を果たします。

通常の通信や攻撃データはエッジサーバーが一旦受け止め、不要なトラフィックを吸収・緩和するため、オリジンサーバーへの直接攻撃を遮断できます。その結果、サービスの安定稼働と高速な応答性を両立でき、突発的なアクセス集中や攻撃にも強い耐性を発揮します。

 

対策②DDoS対策専門サービスの利用

専門事業者が提供するDDoS対策サービスの活用も有効な手段のひとつです。これらのサービスは、攻撃の検知・防御・緩和に特化しており、自社に専門知識や専用設備がなくても、高度な防御体制を外部委託で構築できる点が大きなメリットです。

専用のインフラによって数百Gbps規模の大規模攻撃にも耐えられ、専門チームが常時監視・分析を行うことで最新の攻撃手法にも迅速に対応します。また、攻撃検知から遮断までを自動化できるため、セキュリティ担当者の負担を大幅に軽減できます。

結果として、サービス停止リスクの最小化と運用の効率化を同時に実現できます。

 

対策③マネージドサービスの活用

DDoS攻撃対策において、マネージドサービスの活用も効果的な手段のひとつです。マネージドサービスは、専門のプロバイダーが攻撃対策の監視・分析・防御運用を代行するもので、自社に専門知識や専任スタッフがいなくても高度な防御体制を維持できます。

プロバイダーは常時ネットワークを監視し、最新の脅威にも迅速に対応します。さらに、大容量の通信を処理できる専用設備（スクラビングセンター）を活用することで、攻撃トラフィックを除去し、正常な通信のみを通過させます。

その結果、業務停止を防ぎながらサービスを継続でき、自社の運用負荷を軽減しつつ、安定したセキュリティ体制を実現できます。

 

まとめ

DDoS攻撃は、企業の規模を問わず発生しうるサイバー脅威です。攻撃の完全な防止は困難ですが、早期検知と分散防御の仕組みを整えることで被害を最小限に抑えられます。

その中でもCloudbric WAF+は、AIエンジンを搭載した高度な攻撃検知とDDoS対策を組み合わせたオールインワンのセキュリティサービスです。Webサイトの可用性を維持しながら、ボット攻撃や不正アクセスを同時に防御することができます。

専門的な知識がなくても導入・運用が容易であり、中小企業から大企業まで幅広い業種で活用されています。公式サイトからお気軽にお問い合わせください。

クラウドサーバー・サービス

クラウドコンピューティング時代に注目されるVPSとは？

by ブログ

2010年頃から時代は「クラウドコンピューティング」期を迎え、今や右肩上がりで、世界中で活用されています。インターネット上で超大容量のデータを保管するデータサーバを集めたデータセンターと、そこへアクセスするためのサービス展開を軸にしたサービス技術です。現在は企業がクラウド上の仮想サーバを利用して自由な拡張性や柔軟性でサーバを持つのが主流となっています。クラウドは今注目されているインターネットと接続されていなかったセンサや機器をネットでつなぐIoTとも親和性が高いといわれています。さらに、自社サーバを設立するよりも低コストでIoTを構築することが可能であるため、IoTのデータ受信先はクラウドのデータセンターである場合がほとんどです。こうして今やクラウドサービスの利用は常識となりつつありますが、改めてクラウドサービスは何か、そして最近注目を集めているVPSについて紹介し、自社にとってベストなソリューションを提供してくれるプロバイダーの選び方等を解説していきたいと思います。

 

クラウドとは

クラウドはクラウドコンピューティング（cloud computing）の略語で、インターネットなどのコンピュータネットワークを経由して、コンピュータ資源をサービスの形で提供する利用形態です。「ユーザがインフラやソフトウェアを持たなくても、インターネットを通じて、サービスを必要な時に必要な分だけ利用する考え方」のことです。

クラウドコンピューティングは、1台の物理サーバに複数台のサーバを仮想的に立てることができるハイパーバイザー（仮想化技術）により実現したものです。このようなサーバは「仮想サーバ」と呼ばれ、物理サーバに近い環境が仮想的に作られています。この仮想サーバの登場により、スペースは今までと変わらない物理サーバ1台分のスペースで複数の仮想サーバを運用することができるようになりました。データーセンターの集約にもつながることから、クラウドコンピューティングは、サーバの統合にふさわしいとされています。また仮想化により、サーバ（インフラ）をユーザが好きなときに好きな分だけ利用できるクラウドサービスの提供も可能になったのです。

 

VPSとは

VPSも仮想化技術を使って、仮想サーバをクライアントに提供しています。 VPS（Virtual Private Server、仮想専用サーバ）では、1台の物理サーバ上に 契約者それぞれに仮想サーバが割り当てられ、複数の仮想サーバが構築できます。1台の物理サーバを共有することではなく、契約者それぞれに独立した空間に異なるOSをインストールし利用することが可能です。独立した環境が実現できるため、同じサーバ内で運用されている他のサイトに障害が起きたり、多くのアクセスが発生したりしても自社のサイトに影響を受けないし、導入や運用に自由度が高く、カスタマイズが容易にできることが特徴です。

 

VPSとクラウドの違い

VPSの特徴

  • 低価格で仮想サーバ1台を利用できる
  • 完全月額固定料金
  • あらかじめ決められたプランのリソースを選択する
  • 急なアクセス負荷時等に、リソースを増減できない
  • 1契約で複数台の仮想サーバを構築できない
  • サーバの削除は契約を解約する必要がある

クラウドの特徴

  • 1契約で複数台の仮想サーバを構築できる（台数制限無し）
  • 用途に応じた仮想サーバが構築することができる
  • 外部アクセス、内部アクセスとネットワークを分けて安全なサイト運用が可能
  • 急なアクセス負荷時等に、リソースを増減できる
  • 検証・開発環境から本番環境へスムーズな切り替え運用ができる
  • サーバ環境を丸ごとテンプレート化し、異なる仮想サーバに適用できる
  • ロードバランサーやバックアップ機能が標準装備
  • 専用セグメント（VLAN）やVPNなど高セキュリティな運用ができる
  • 月額固定料金もしくは従量課金

 

クラウドサーバプロバイダーの選び方

サーバ（インフラ）を提供するクラウドサービスのIaaS（ Infrastructure as a Service）を代表的な例としてはAWS（Amazon Web Services）やLinodeなどが挙げられます。

AWSのシェア拡大と低下する質の問題

現在、日本国内のクラウドサービスのシェアはAmazonの「Amazon Web Services(AWS)」が約5割を占め、トップシェアを誇っています。次いで「Microsoft Azure（MA）」が約3割、業界3位に国内メーカでもある富士通の「FUJITSU Cloud Services」が1割のシェアを獲得している状況です。これまではクラウドコンピューティング＝AWSというイメージも強い物でしたが、果たしてAWSにはそれほどのアドバンテージやメリットが存在するのでしょうか？大きくなったデータセンターに障害や災害による被害があるとその影響は大きく、昨年、日本時間2019年8月23日に業界トップのAWSのサーバに数時間の障害があり、アクセス不能となっただけでも、その障害の影響力の大きさは大々的に報じられました。つい先日の10月22日にも、AWSの東京リージョンで障害が発生しモバイル決済サービス「PayPay」や一部のスマートフォンゲームなどが利用しづらい状態になりました。

こうしてデータセンターに障害が起こった場合、自社サービスに影響が及ばないのか、丁寧なサポートは受けられるのかといった疑問が生じます。AWSのシェアの拡大と同時に、安定稼働の問題、サポートの質の低下、割高な料金、ほとんどが使用されない複雑なアプリケーション構成…といった問題が膨らんでいます。そんな中、多くの開発者がAWSに替わった別のソリューションを提唱しています。

Linodeクラウドサーバ・サービス

AWSの代替としてお勧めしたいのがLinodeクラウドコンピューティングを利用したクラウドサーバ・サービスです。LinodeはアマゾンのAWSの3年前の2003年に設立されたクラウドプロバイダーです。

  • コストとパフォーマンスの最適化
  • クラウド料金のコスト削減を実現
  • オープンクラウド (ベンダーロックインなし)
  • リアルカスタマーサービス
  • 100%独立したオープンクラウド
  • シンプル
  • 非競合

LinodeではAWSとは異なるこれらのアドバンテージを掲げ、現在世界中で800000人の利用者と開発者に選ばれています。
Amazon がインドで大きくなればなるほど、カスタマーサービスは悪化します。メールやチャットでの人的サポートは不可能で、電話では非常に難しいです。さらにすべての問題を解決するためには2、3回の電話が必要です。

こうした苦言が散見される中、Linodeは専門家によるサポート体制を強化し、適切な価格で実証済みのグローバルネットワークを構築してきました。さらにシンプルかつ予測可能な料金設定で、クラウド費用を簡単にコントロール可能でコストパフォーマンスにも優れています。クラウドインフラをよりシンプルに、最大の独立オープンクラウドプロバイダーとして、クラウドコンピューティングを簡素化し、リーズナブルな価格提供を実現します。

この度、クラウドブリックは、Linodeの日本パートナーとして、日本市場におけるLinodeクラウドサーバ・サービスを開始致します。Linodeクラウドサーバ・サービスの導入・運用・サポート、決済代行まで、これまで積み重ねてきたノウハウを踏まえ、クラウドブリック熟練した専門家による手厚いサポートを実現致します。 詳細は以下のページよりご覧ください。