AWS WAFとは?

AWS WAFとは? 特徴や機能、メリット・デメリットを解説

近年、WebサイトやWebアプリケーションの安全の確保がますます重視されています。AWS WAFは、Amazon Web Servicesが提供するセキュリティサービスで、Web上のリソースをさまざまな脅威から守るためのソリューションです。本記事では、このAWS WAFの特徴や機能、そして導入のメリット・デメリットについて詳しく解説します。AWS WAFの導入を検討する際の参考情報として、ぜひご覧ください。

 

AWS WAFとは? 特徴などをわかりやすく解説

AWS WAFとは、どのようなサービスなのでしょうか。AWS WAFを理解するために、AWSとWAFそれぞれについてはじめに解説します。

 

・AWSとは?

AWS(Amazon Web Services)とは、Amazonが提供するクラウドサービスの総称です。AWSを導入すると、ストレージ、アプリケーション開発、データ分析、機械学習など、多種多様な機能を必要なときに必要なだけ利用できます。さらに、AWSはクラウドサービスであるため、運用コストが低く導入しやすくなっています。このため、多くの企業がWebサービスの展開や開発環境の構築、データ活用などにAWSを活用しています。

 

・WAFとは?

WAFとは“Web Application Firewall”の略で、WebサイトやWebアプリケーションの防御に特化したセキュリティツールです。WAFは以下のように、さまざまな攻撃からWeb上のリソースを保護します。

【WAFで対処できる代表的な攻撃例】

  • SQLインジェクション
  • クロスサイトスクリプティング(XSS)
  • DDoS攻撃
  • ブルートフォース攻撃
  • バッファオーバーフロー

 

・AWS WAFとは?

AWS WAFはその名の通り、AWSが提供するWAFです。その大きな特徴は、セキュリティ機能や脅威の検知ルールを柔軟にカスタマイズできることにあります。このため、企業は自社のニーズに応じてセキュリティ対策を選択・調整できます。その他、AWS WAFに含まれる主な機能や特徴は次の通りです。

【主要機能および特徴】

  • Webトラフィックフィルタリング機能
  • AWS WAF Bot Control
  • アカウント作成詐欺防止
  • アカウント乗っ取り詐欺の防止
  • リアルタイムの可視性
  • フル機能 API
  • AWS Firewall Manager への統合

このような機能を組み合わせてコンテンツへのアクセスを監視・制御し、Webリソースの安全を確保します。

 

AWS WAFの4つのメリット

AWS WAFを導入することで、企業は具体的にどのようなメリットを得られるのでしょうか。AWS WAFの強みを4つ解説します。

 

・メリット1:導入が簡単

AWS WAFの特長のひとつが、非常に簡単に導入できることです。従来のアプライアンス型のソリューションとは異なり、AWS WAFでは特別なソフトウェアのインストールや複雑な設定が必要ありません。AWS内で運用しているAmazon CloudFrontやAmazon API Gatewayといったサービスの設定でWAFを有効にするだけで利用を開始できます。最小限の労力と時間でセキュリティを強化できるのは非常に魅力です。

 

・メリット2:低コスト

AWS WAFの料金システムは従量課金制なので、実際に利用した分だけのコストしか発生しません。利用料金は、設定するルール数などに応じて変動する形です。AWS WAFには最低使用料金や初期費用の設定もなく、無駄な出費が生じません。自社のセキュリティ予算に応じてコストコントロールがしやすい点は、企業規模を問わず大きなメリットです。

 

・メリット3:Webアプリへの攻撃対策

AWS WAFは、Webサイトを含むWebアプリケーションを狙った攻撃への対策に特化したソリューションです。AWSが提供する基本ルールセットとAPIを活用することで、SQLインジェクション、クロスサイトスクリプティング(XSS)、DDoS攻撃など、多様な攻撃からWebアプリケーションを守れます。防御の際、トラフィックをほぼリアルタイムで監視できることもAWS WAFの強みです。このため、セキュリティの強化を目的に行う分析・監査用途のログを取るといった用途にも活用できます。

 

・メリット4:マネージドルール

AWS WAFはカスタマイズ性に優れているため、セキュリティの知見やノウハウに乏しい企業は、逆に使いこなせるか不安を覚えるかもしれません。そうした企業にとって助けとなるのが、マネージドルールです。マネージドルールとは、テンプレートとして利用できるルールのセットのことで、AWS純正のセットから、他のセキュリティベンダーが組んだセットまで幅広い選択肢があります。たとえば、SQLインジェクションを含むSQLデータベースを狙った攻撃に対処するときは、SQLデータベース用のルールセット「SQL database managed rule group」を選択します。ルールセットの中から自社が必要なものを選ぶことで、専門的なセキュリティ知識がなくても、安全な環境を簡単に構築可能です。

 

AWS WAFのデメリット

AWS WAFは多くの利点を持つ一方で、使いこなすためには一定の知識が必要など、運用面で課題があります。

まず、ルールセットが用意されている一方、ルールを最適化するには、ユーザー自身でも最新の脅威やその対策に関する情報を収集することが欠かせません。マネージドルール機能によりWAFを運用しやすくなっていますが、どのルールセットが自社に適しているか判断するために一定の知識が求められます。

また、AWS WAFのルールセットの詳細やパラメータは非公開です。このため、検知した攻撃のパターンやその痕跡についての詳細な解析まで自社で行いたい場合は、情報不足に陥る可能性があります。また、誤検知が発生したときに状況を細く分析して、独自の対策を講じたい場合にも、この不透明性が障壁となることがあります。

このように、AWS WAFには、「運用の難易度が高い」「ルールセットの透明性が欠ける」などの短所もあります。AWS WAFの導入を検討する際は、長所と短所の双方を考慮し、判断することが大切です。

 

まとめ

AWS WAFとは、WebサイトやWebアプリケーションをさまざまな脅威から保護するための強力なセキュリティツールです。AWS WAFにはいくつかの短所もありますが、導入のしやすさや高度なカスタマイズ性といった無視しがたい利点も数多く備えています。AWS WAFを使えば、自社に最適化されたセキュリティ対策を講じることが可能です。AWS WAFの導入を検討する際は、ぜひ本記事で紹介した情報をお役立てください。

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WMS for AWSについてはこちら

▼パートナー制度のお問い合わせはこちら

CDN

CDNとは?概要やメリット・デメリットをわかりやすく解説

コンテンツ配信で重要なのは、いかに迅速かつ安全にユーザーへコンテンツを配信できるかどうかです。魅力的なコンテンツであっても、配信速度が遅いとユーザーにストレスを与えてしまいます。このような課題の解決に有効なのがCDNです。本記事では、CDNに関する基礎知識やメリット・デメリットについて解説します。コンテンツ配信を検討している企業の経営者や担当者は、ぜひ最後まで目を通してください。

 

CDNとは?

CDNとは、Contents Delivery Networkの略であり、テキストや画像、動画などのコンテンツをユーザーへスムーズに配信するためのサービスです。画像や動画は容量が大きいため、ただでさえ配信に時間がかかります。人気のコンテンツであればあるほど、Webサイトへはアクセスが集中しやすくなり、さらなるレスポンスの低下を招きます。

また、物理的に遠く離れている場所からのアクセスも、レスポンスが低下しがちです。物理的な距離が長くなるほど、データのやりとりに多くの時間を要するためです。CDNの導入は、これらの課題解決に役立ちます。

 

CDNの基本的な仕組み

サーバーへの負荷が集中すると、対応しきれなくなり、コンテンツ配信にも時間がかかります。CDNは、配信するコンテンツをキャッシュし、サーバーの代わりに応答する仕組みです。ユーザーから要求があったとき、CDNがあらかじめコピーしておいたコンテンツをユーザーへ提供するため、スピーディーな配信が可能です。

CDNは、オリジンサーバーとキャッシュサーバー、ロードバランサーの3つで構成されます。オリジンサーバーから提供されたデータをキャッシュサーバーがコピーし、ユーザーへ配信する仕組みです。ロードバランサーはアクセスを複数のキャッシュサーバーへ振り分け、負荷を分散する役割を担います。なお、データをキャッシングする仮想サーバーは各地に設置されているため、ユーザーの居場所に近いデータセンターからスピーディーな配信が実現します。

 

CDNの利用によるメリット

CDNの利用によるメリットとして、表示速度向上と配信高速化が挙げられます。また、サーバーの負荷軽減、DoS/DDoS攻撃対策に有効である点もメリットです。

 

・表示速度向上・配信高速化につながる

CDNは、Webサイトの表示速度向上や配信高速化に有効です。いくつも展開したキャッシュサーバーから、最短距離で配信を行うことができ、コンテンツのスピーディーな提供を実現します。

また、最新のプロトコルを利用した配信ができるのも魅力です。HTTP/2やHTTP/3などの通信プロトコルは高速なウェブアクセスを実現できます。従来よりもコンテンツを効率的に転送できるため、表示速度の向上に有効です。

スピーディーにコンテンツを提供できれば、ユーザーはストレスフリーで利用でき満足度も高まります。

 

・サーバーへの負荷が減少する

サーバーへのアクセスが集中すると、負荷が増加しページ速度の低下を招きます。ページ速度が著しく低下すると、ユーザーはストレスを感じ、ページやWebサイトから離脱しかねません。

CDNを導入すると、本来サーバーへのしかかるはずの負担を分散できます。データを保有するオリジンサーバーに代わり、ユーザーのもっとも近くに存在するキャッシュサーバーが対応するため、負荷の軽減が可能です。

 

・DoS/DDoS攻撃の対策に使える

DoS攻撃とDDoS攻撃は、どちらもサーバーへ過度な負荷をかけ、機能障害などを引き起こすサイバー攻撃です。代表的な手口として、F5ボタンを連打して何度もリロードし負荷をかける「F5アタック」が挙げられます。

DoSやDDoS攻撃によってサーバーへ負荷がかかり、お客さまへサービスを提供できなくなるおそれがあります。自社の業務にも多大な支障をきたし、甚大な損失をもたらすかもしれません。状況の改善をエサに、金銭を要求してくる悪質なDoS/DDoS攻撃もあるため注意が必要です。

CDNの導入は、DoS/DDoS攻撃対策としても有効です。CDNはいくつも展開されるキャッシュサーバーが攻撃を受けるため、大量の同時アクセスを実行されても負荷を分散できます。トラフィック量によっては防御しきれずオリジンサーバーに到達してしまう可能性があるものの、被害の軽減には有効です。

 

CDNの利用によるデメリット

CDNにはいくつものメリットがあるものの、デメリットも複数あるため覚えておきましょう。アクセス元が特定しにくい、変更がすぐ反映されない、キャッシュ事故のリスクがあるの3点が主なデメリットです。

 

・アクセス元が特定しづらい

通常、ユーザーがオリジンサーバーへアクセスすると、ログが残ります。そのため、アクセス元がどこなのか特定可能ですが、CDNではログがキャッシュサーバーに残り、特定が困難です。

アクセスログが必要なら、CDNにログの記録ができる機能が備わっているか確認しておきましょう。近年では、CDNのなかにもアクセスログを残せるサービスがあります。

 

・変更がすぐ反映されない

オリジンサーバーのみを運用しているケースでは、コンテンツの変更点が速やかに反映されます。一方、CDNを導入していると、変更を行っても更新情報はすぐに反映されません。変更前にコピーしたコンテンツが、キャッシュサーバーに一定期間保管されるためです。

変更がすぐ反映されないことで、顧客に不利益を与えてしまうおそれがあるため、必要に応じてキャッシュ時間の調整が必要です。

 

・キャッシュ事故のリスクがある

CDNの運用によって、キャッシュ事故が発生するリスクがあります。本来は対象外のコンテンツをキャッシュすることで、配信すべきではない情報を配信してしまう事故のことです。

たとえば、顧客のマイページなどをキャッシュすることで、顧客の氏名や住所、クレジットカード番号といった情報が誤って他人へ配信されてしまうおそれがあります。こうした重大な情報漏えい事故が発生すると、企業としての信用は失われてしまいます。

こうした事故を起こさないよう、適切な設定が必要です。個人情報のようなページにキャッシュを設定しないよう注意してください。

 

まとめ

CDNは、さまざまなコンテンツをユーザーへスピーディーに配信できるサービスであり、表示速度向上やユーザーのストレス軽減などのメリットを得られます。また、DoS/DDoS攻撃の対策としても有効です。一方で、アクセス元を特定しづらい、変更がすぐ反映されないなどのデメリットがあることも覚えておきましょう。

安心して利用できる、高性能なCDNを求めるのなら、「Cloudbric CDN」がおすすめです。コンテンツを迅速かつ安全に配信でき、オンラインビジネスの成功率を高めます。

高性能コンテンツ配信サービス Cloudbric CDN

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WAF+の無償トライアルはこちら

▼パートナー制度のお問い合わせはこちら

なりすましメール

なりすましメールとは? ランサムウェア被害を受けないための対策方法について解説

なりすましメールはサイバー攻撃の一種であり、あらゆる企業をターゲットとして被害を及ぼすおそれがあります。ときに被害は甚大となることもあるため、企業は適切な対策を講じなくてはなりません。本記事では、なりすましメールのよくある手口や、なりすましメールを通じたランサムウェアへの感染によって生じる被害、具体的な対策方法などについて解説します。

 

なりすましメールとは?

なりすましメールとは、実在する人物や企業を装い、悪意のもと送信されるメールです。なりすましメールの目的は、マルウェアへの感染やそれに伴う情報・金銭の詐取などです。これは標準型攻撃(特定の相手を狙うサイバー攻撃)における「初期侵入」の段階に該当します。

近年は、SaaS事業者を対象とした、ランサムウェア(マルウェアの一種)による攻撃事例が報告されています。それらの多くは、感染先で不具合を引き起こし、解決と引き換えに金銭を要求するケースです。

 

ランサムウェアに感染するとどうなるのか?

ランサムウェアは、身代金要求型ウイルスとも呼ばれています。法人を対象とするケースが多く、標的型や侵入型などの攻撃手法があります。

ランサムウェアに感染すると、保有するデータが暗号化されて使えなくなったり、デバイスがロックされて使用できなくなったりします。そのうえで、暗号化解除のパスワードやロックの解除と引き換えに身代金の支払いを要求してくるのが一般的な手口です。

また、要求に応じないとデータを公開する、DDoS攻撃を仕掛けるなど、二重・三重の脅迫を行ってくるケースもあります。ただ、身代金を支払ったからといって必ずしも状況が改善するとは限らないため、安易に応じないよう注意が必要です。

盲点を突いてくるランサムウェアの脅威認知と企業での対応策を解説

 

・被害事例:エムケイシステム

社会保険労務士向けのクラウドサービスを提供している「株式会社エムケイシステム」は、過去ランサムウェアの被害に遭っています。同社では2023年の6月5日早朝に不正アクセスを検知し、翌日にはランサムウェアの被害を受けたことを公表しました。

この攻撃によって、同社の主力製品である「社労夢」や「ネットde顧問」などが影響を受けています。情報漏えいは確認されていないものの、その懸念はあるとして調査は継続されており、事案発生から2カ月ほどの経過後も完全な復旧には至っていません。

 

・被害事例:パーパス

エネルギー事業を手掛ける「パーパス株式会社」も、マルウェアの被害に遭っています。同社は、エネルギー事業者向けの管理システム「クラウドAZタワー」の稼働に関わるサーバーが、マルウェアによる被害を受けたと2023年6月8日に公表しました。

同社では、攻撃がランサムウェアによるものかどうかは断言していません。これは身代金の要求がなかったためです。しかし、OSやソフトウェアの暗号化、消失といった手口はランサムウェア攻撃と酷似しています。

なお、情報漏えいなどは確認されていないものの、クラウドAZタワーのシステム基盤に損傷が見つかりました。そのため、システム基盤再構築やデータの復旧など、膨大な手間が発生しています。

 

なりすましメールの対策方法

なりすましメールへの主な対策として、ここでは4つの方法を解説します。

 

・メールアドレス・本文などを確認する

送られてきたメールのアドレスはもちろん、本文にも違和感がないかチェックしましょう。メールアドレスが公式サイトのものと合致しているか、文章に日本語としての違和感がないか、本文に記載されているURLが正規のものか、といった部分を重点的に確認します。

 

・メール添付のリンクやファイルを開かない

メールにマルウェアを添付し、感染させる手法はよくあるなりすましメールの手口です。少しでも違和感をいだいた場合、添付ファイルを開くのはやめましょう。また、メール本文に記載されているURLへのアクセスにあたっても慎重な姿勢が必要です。メールに不審点がなくても、送信元へ問い合わせるなど、念には念を入れて注意しましょう。

URLをクリックし、遷移先のWebサイトでパスワードや個人情報などの入力を要求された場合には、とりわけ注意しなければなりません。一度離脱し、公式サイトへアクセスし直したうえでログインするなど対策しましょう。

 

・送信ドメイン認証を活用する

送信ドメイン認証は、メールが正しい送信元から送られてきたものかどうかを検証できる認証技術です。種類としては「SPF」「DKIM」「DMARC」の3つがあります。

 

SPF(Sender Policy Framework)

SPFは、送信元メールサーバーのIPアドレスを検証し、正規のメールかどうかを確認する仕組みです。ドメインのSPFレコードをDNSサーバーへ要求し、受信したメールの送信元IPアドレスと照合して判断します。

 

DKIM(DomainKeys Identified Mail)

DKIMは、電子署名を利用した認証技術です。メールに付与された電子署名を受信側が検証することで、メール内容の改ざんやなりすましなどを回避します。

送信者は、送信するメールに秘密鍵情報を利用した電子署名を付与します。その後、DNSサーバーとメールサーバーのあいだでやり取りされた公開鍵情報を用いて、電子署名の検証を行う仕組みです。転送されたメールでも検証可能である点がメリットです。

 

DMARC(Domain-based Message Authentication, Reporting and Conformance)

DMARCは、SPFとDKIMを用いた認証が失敗に終わったときの対応策を定義したものです。メールの受信側が認証を失敗したとき、メールをどう扱うのかを判断します。

送信側は、認証失敗時に受信側がどのようなアクションを起こすべきかを、DMARCポリシーとして定めます。なお、このポリシーは運用側で定義可能です。誤判定によるなりすましメールを検出できるほか、なりすましメール対策の効果がより高まるというメリットもあります。

 

・ゼロトラストセキュリティを構築する

ゼロトラストとは、「すべてを信用しないこと」をベースとしたセキュリティの概念です。

従来は、ファイアウォールでネットワークの外と内を明確に区別し、外側からだけの脅威に対策をしていました。
しかし、クラウドサービスの拡大や働き方の多様化などにより、従来の境界型セキュリティ対策では限界が見え始めています。すべてを疑うゼロトラストの考えに基づいたセキュリティ環境の構築により、これまで以上に堅牢なセキュリティ環境を整備でき、なりすましメールへの防御力も強化できます。

 

まとめ

なりすましメールによってランサムウェアに感染すると、自社のデータが暗号化され使えなくなる、金銭的な被害を受けるなどさまざまな不利益を被ります。適切な対策によってランサムウェアの被害は防げるため、セキュリティ向上の取り組みを進めましょう。

なりすましメール対策にも有効なゼロトラスト環境の構築に役立つソリューションとしては、「Cloudbric RAS」がおすすめです。安全なテレワーク環境の整備による、多様な働き方の実現も目指せます。この機会に導入を検討してみてはいかがでしょうか。

認証基盤リモートアクセスソリューション Cloudbric RAS

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WAF+の無償トライアルはこちら

▼パートナー制度のお問い合わせはこちら

標的型攻撃

標的型攻撃とは?攻撃手法や対策方法をわかりやすく解説

企業の規模にかかわらず、標的型攻撃のターゲットとなるリスクがあります。標的型攻撃を受けると、機密情報を奪われたり、金銭的なダメージを負ったりとさまざまな不利益を被るため、企業は適切な対策を施さなければなりません。本記事では、標的型攻撃の概要や代表的な手口、具体的な対策方法などについて解説します。組織のセキュリティ強化を検討しているのであれば、ぜひ最後までご覧ください。

 

標的型攻撃とは?

標的型攻撃とは、特定の組織や地域をターゲットとするサイバー攻撃の一種です。インターネットを介してターゲットにアプローチし、データの破壊や詐取などを行います。

企業が標的型攻撃を受けることで被るダメージは小さくありません。攻撃の種類や規模によるものの、万が一顧客の個人情報や培ってきたノウハウが外部へ流出すれば、事業の存続すら危ぶまれる状況に陥るおそれがあります。

企業の規模にかかわらず、標的型攻撃のターゲットになりえます。上記のようなリスクを少しでも軽減できるよう、企業は標的型攻撃への適切な対策が必要です。

 

・標的型攻撃の目的・無差別型攻撃との違い

標的型攻撃の目的はさまざまです。特定の企業に対する嫌がらせや金銭の詐取、盗んだデータの悪用、転売などが考えられます。

無差別型攻撃との大きな違いは、ターゲットが明確であるかどうかです。サイバー攻撃は、ネットワークやシステムが脆弱な不特定多数をターゲットに実行されるケースが少なくありません。この場合、そもそも目的がないケースも見受けられます。

一方、標的型攻撃はターゲットや目的が明確であるため、より巧妙かつ悪質な手口を用いることがほとんどです。

 

標的型攻撃の種類

標的型攻撃で有名な手口は、メールを用いた攻撃です。また、ソフトウェアの脆弱性をつく手法や、水飲み場型攻撃と呼ばれる方法もあります。対策を練る前に、標的型攻撃の代表的な種類を把握しておきましょう。

 

・メールによる攻撃

メールを用いた標的型攻撃は、もっともポピュラーな手法です。メールにマルウェアを添付したり、本文のリンクを踏ませて別途用意したサイトへ誘導したりといった手口がよく見受けられます。

標的型攻撃はターゲットが明確であるため、メールの受信者が疑いなくメールを開くよう工夫しているケースが少なくありません。たとえば、実在する取引先の担当者名でメールを送ってくる、といった具合です。

「書類への修正が発生しました。至急、添付した書類データをご確認ください」のように、添付ファイルを開くよう工夫しているケースも珍しくありません。

 

・脆弱性を突いた攻撃

ソフトウェアの脆弱性(セキュリティホール)を狙った攻撃も代表的です。ソフトウェアに脆弱性が発生していると、そこから悪意をもつ第三者の侵入を招き、マルウェアへの感染リスクが高まります。

脆弱性を狙った攻撃には、潜伏型と速攻型の2種類があります。前者は、ターゲットとする機器やシステムへマルウェアを仕込み、長期間潜伏させておく手口で、後者は数時間から数日の短期間で情報を盗む手法です。

潜伏型の場合、機器やシステムに潜伏しつつ、より重要度の高い情報へアクセスできる端末へ感染を拡大させながらチャンスを待ちます。潜伏期間中は特にこれといったアクションを起こさないため、気づきにくいのも潜伏型の特徴です。速攻型の場合、パソコンの動作が遅くなるなどして異常に気づきやすいですが、短期間で情報が盗まれるため素早い対応が求められます。

 

・水飲み場型の攻撃

水飲み場型攻撃とは、ターゲットがよくアクセスするWebサイトなどを把握したうえで、模倣した偽サイトへ誘導し攻撃を仕掛ける手法です。砂漠で水を求めて水飲み場にやってきた動物が、待ち伏せしていた肉食動物に襲撃されやすいことから、このような名称がつきました。

実在するWebサイトの脆弱性を狙い、プログラムを改ざんするケースも見受けられます。アクセスしたユーザーがマルウェアに感染するようプログラムを書き換える手口です。

ターゲットユーザー以外には、これといって問題のないWebサイトに見えることが大半であるため、発覚しにくいのも水飲み場型攻撃の特徴です。

 

標的型攻撃の対策方法

企業がとるべき行動は、標的型攻撃を未然に防ぐための対策を行うことです。また、万が一攻撃されたとき、できるだけ被害が広がらないよう対処しなくてはなりません。

 

・ウイルス対策ソフトやメールのフィルタリングを使用する

ヒューマンパワーだけで、悪意をもつ第三者の標的型攻撃を完全に回避するのはほぼ不可能です。標的型攻撃を防ぐには、ウイルス対策ソフトやメールのフィルタリング機能などの活用が有効です。

ウイルス対策ソフトをインストールしておけば、脅威の検知からマルウェアの駆除まで一貫して行えます。スパムメールの自動仕分けやマルウェアの種類、被害内容の特定などができる製品もあります。

ウイルス対策ソフトを導入するのなら、常に最新の状態を維持しましょう。アップデートによってわずかな脆弱性も潰すことができ、新たなサイバー攻撃の手口から組織の資産を守れます。

 

・従業員への教育を徹底する

ウイルス対策ソフトやメールフィルタリング機能は、完全無欠の存在ではありません。結局のところ、こうしたツールを使うのは人であり、従業員の行動ひとつで組織を脅威にさらすおそれがあります。

従業員へのITリテラシー教育に注力することで、標的型攻撃のリスクを軽減できます。怪しいメールが届いたときどうすればよいのか、マルウェアに感染したおそれがある場合、どのような対応をとればよいのか、といったことを日ごろから指導しましょう。ITリテラシー向上を目的とした社内セミナー、勉強会を開催するのもおすすめです。

また、実際に被害を受けたときのシミュレーションをしておくのも対策として有効です。いざ被害を受けたとき、慌てることなくスムーズに行動できます。

 

・アクセスログを取得しておく

アクセスログを取得できる体制を整えておけば、外部からの不正アクセスにもいち早く気づけます。ログ監視ツールのようなツールを導入すれば、24時間365日体制でログをモニタリングでき、セキュリティ強化に有効です。

標的型攻撃によって実害が生じるまでには、少なくとも数時間が必要です。こまめにアクセスログを収集できる体制を整えておけば、すべてのデータを盗まれる前に気づけ、適切な対応ができます。

 

まとめ

特定のターゲットを狙った標的型攻撃は、金銭やデータの詐取、機器やプログラムなどの破壊が主な目的です。メールや脆弱性をついた攻撃、水飲み場型などの代表的な手口があるので覚えておきましょう。

標的型攻撃の手口は巧妙ですが、日ごろからの適切な対策で回避が可能です。ウイルス対策ソフトやメールのフィルタリング、従業員へのITリテラシー教育、アクセスログ取得環境の構築などを進め、迫る脅威に対抗できる環境を整えましょう。

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WAF+の無償トライアルはこちら

▼パートナー制度のお問い合わせはこちら

DoS攻撃とDDoS攻撃の違い

DoS攻撃とDDoSの違いは?攻撃を防ぐ対策方法まとめ

サイバー攻撃にはさまざまな種類があり、なかでもDoS攻撃やDDoS攻撃はよく知られた手法です。どちらも、ターゲットになると甚大な被害を受けかねないので、企業は適切な対策を行わねばなりません。
本記事では、DoS攻撃とDDoS攻撃の概要やそれぞれの違いなどを解説します。併せて、具体的な対策方法についてもお伝えするので、今からでも対策への取り組みを始めましょう。

 

DoS攻撃とは?

DoS攻撃(Denial of Service Attack)とは、特定のWebサイトやアプリへ意図的に負荷をかけるサイバー攻撃の一種です。1台の端末から大量のデータを送ることでサーバーに負荷をかけ、機能障害を引き起こします。

DoS攻撃のターゲットとなるのは、規模の大きなWebサイトばかりではありません。個人サイトや知名度が低いアプリであっても狙われることがあるため注意が必要です。

DoS攻撃の種類としては、通常を装って短時間に大量のアクセスを行う「フラッド(洪水)型」と、サーバーの脆弱性をついて膨大な処理を行わせたり、マルウェア感染を狙う「脆弱性型攻撃」の2つが代表的です。

 

DDoS攻撃とは?

DDoS攻撃(Distributed Denial of Service Attack)は、DoS攻撃をさらに強力にしたサイバー攻撃です。DoS攻撃が1台の端末から仕掛けるのに対し、DDoS攻撃は複数の端末からターゲットのサーバーへ負荷をかけます。

DDoS攻撃の特徴は、事前にマルウェアなどを用いて乗っ取った端末を攻撃に使うことが多い点です。マルウェアに感染した不特定多数の端末へ攻撃者が命令を出すと、ターゲットに対し一斉に攻撃を加えます。

なお、乗っ取られた端末の所有者が攻撃に気づきにくいことも、DDoS攻撃のおそろしいところです。特定のWebサイトを攻撃する意思などなくても、知らぬうちにDDoS攻撃に加担させられることがあります。

 

DoS攻撃とDDoS攻撃の違い

DoS攻撃とDDoS攻撃は、どちらもサーバーに大量のデータを送り、負荷をかけて機能障害へ追い込む手法です。
双方では、攻撃を仕掛ける端末の数に違いがあります。DoS攻撃は1台の端末で実行されますが、DDoS攻撃では複数の端末が使われます。

複数の端末で大規模な攻撃を行うDDoS攻撃は、1台のみのDoS攻撃より被害が大きくなりがちです。また、DDoS攻撃の多くはマルウェアなどで乗っ取った端末を用いることから、攻撃者が直接的に行うDoS攻撃と比べて攻撃元の特定が難しい点にも違いがあります。

 

・攻撃を行う理由・目的

これらの攻撃を行う目的のひとつとして、ターゲット企業のイメージダウンが挙げられます。サーバーに高負荷がかかると、機能障害によってユーザーがアプリやECサイトなどのWebサービスを利用できない、という状況に陥りかねません。被害を受けた企業は、セキュリティ対策が弱い、サービスが不安定で信頼性に欠ける、といったネガティブな印象をユーザーに与えます。

また、嫌がらせやいたずら、脅迫、抗議などを目的とすることがあります。「楽しいから」「困った様子を見てみたい」といった愉快犯的な犯行のほか、「金銭を支払えば攻撃を停止する」という脅迫などのために行われます。

 

DoS攻撃・DDoS攻撃で起こりうる被害とは?

DoS攻撃やDDoS攻撃によって、金銭的な被害を受けるおそれがあります。たとえば、ゲームアプリを運営している企業であれば、攻撃によって一時的に障害が発生すると、ユーザーがアイテムを買えない状況に陥るかもしれません。
このようなサービス・商品の販売機会の損失に加えて、不具合が発生する、一部サービスを利用できないといった機能不全の結果、ユーザー離れを招くおそれもあります。

ほかにも、サーバーに負荷がかかることで通常業務に支障をきたすかもしれません。業務が停止、混乱するほどの被害を受けた場合、原因究明や復旧までに時間がかかれば、その間に得られたはずの利益分の損害が発生します。

 

DoS攻撃・DDoS攻撃の対策方法3選

DoS攻撃やDDoS攻撃は、適切な対策によって防御が可能です。具体的な対策としては、同一IPや海外からのアクセス制限、対策サービスの導入、OSやアプリの常時最新化の3つです。

 

1.同一IP・海外からのアクセスを制限する

PCやスマートフォンといったネットワーク機器には、各端末を識別するためのIPアドレスが割り当てられています。
同じIPアドレスの端末からしつこく攻撃を受けているようなケースでは、特定のIPアドレスのアクセスを制限することで対策できます。なお、この方法はひとつのIPアドレスを使用するDoS攻撃に対しては有効ですが、多数の端末を用いるDDoS攻撃にはあまり効果がありません。

ほかには、アクセス分析して海外の一部の国から攻撃が多いと分かれば、その範囲でアクセス制限を実施するのも手です。ただし、グローバルに展開するサービスでは、アクセス制限した国や地域への提供ができなくなります。そのため、この方法は国内向けに限るようなサービスで有効です。

 

2.DoS攻撃・DDoS攻撃対策サービスを導入する

DoS攻撃やDDoS攻撃は、専用の防御サービスの導入によって対策が可能です。代表的なサービスとしては、WAFやUTMなどが挙げられます。

WAF(Web Application Firewall)は、Webサイトの保護に特化したセキュリティソリューションです。不正アクセスの検知機能によって、一般的な利用とDoS攻撃・DDoS攻撃を見分け、攻撃のみを止められます。ほかにも情報の搾取やシステム基盤の侵害といった脅威度の高い攻撃からWebサイトを守ります。

UTM(Unified Threat Management)は、日本語で統合型脅威管理と訳されます。コンピュータやネットワークを、外部からの脅威から守る管理手法のことです。ファイアウォールやIPS、アンチスパムなどのセキュリティツールを統合することで、効率的なセキュリティ強化を実現します。

DDos攻撃への対策としてCloudbric ADDoSがあります。Cloudbric ADDoSはDDoS攻撃の防御に特化したクラウド型セキュリティサービスです。全世界に分散配置したエッジネットワークを利用し、最大100Tbpsの大規模攻撃まで防御が可能です。
参考:Cloudbric ADDoS

 

3.OSやアプリを最新版に保つ

DoS攻撃・DDoS攻撃は、単純にアクセスを繰り返すだけでなく、セキュリティ対策を潜り抜けてアクセスを確立させられるよう、年々手口を巧妙化させています。一方で、OSやアプリもそれに対応し、見つかった脆弱性をカバーするために更新され続けます。

OSやアプリのバージョンが古いままでは、新たな攻撃手法に対応できず被害を受けるおそれがあります。こうしたリスクを軽減するため、OSやアプリは常に最新の状態で使用しましょう。定期的にアップデートを行い、最新の状態に保つことで攻撃を対策できます。

 

まとめ

DoS攻撃とDDoS攻撃は、どちらもターゲットのサーバーに過度な負荷をかけ、機能障害などを引き起こすサイバー攻撃の手口です。機会損失に伴う金銭的な被害をはじめ、顧客離れにもつながるため、企業には適切な対策が求められます。
具体的には、攻撃対策サービスの導入、OSやアプリを最新の状態で使用するなどの方法が有効です。これらの対策により、脅威から組織を守れる環境を整えましょう。

Cloudbric ADDoSは全世界70以上のエッジロケーションを活用した高度化されたDDos攻撃防御サービスです。常時トラフィックの監視がリアルタイムに行われ、発信元に近いエッジにて攻撃を分散処理することで、最大100Tbps以上のトラフィックを緩和することができます。詳細は以下のサービス概要をご確認ください。
参考:Cloudbric ADDoS

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WAF+の無償トライアルはこちら

▼パートナー制度のお問い合わせはこちら

アイキャッチ_58810 中小企業の情報セキュリティ対策ガイドラインの改訂内容を解説

中小企業の情報セキュリティ対策ガイドラインの改訂内容を解説

適切な情報セキュリティ対策を行っていないと、情報漏えいにつながるだけではなく、事業停止や従業員のモチベーション低下、離職など、企業はさまざまな不利益を被ります。このような事態を回避すべく、「中小企業の情報セキュリティ対策ガイドライン」を活用しましょう。本記事では、2023年4月に第3.1版として改訂・公開されたガイドラインの内容について詳しく解説します。記事を参考に、本格的な情報セキュリティ対策への取り組みを始めましょう。

 

中小企業の情報セキュリティ対策ガイドラインの改訂

中小企業の情報セキュリティ対策ガイドラインは、企業経営者や実務の担当者が情報セキュリティ対策の重要性を正しく理解し、適切に対策へ取り組めるように知識や手法をまとめたコンテンツです。IT関連の資格試験、検定などを主催している、独立行政法人「情報処理推進機構(IPA)」が当該ガイドラインを作成しました。

当該ガイドラインは、2019年3月に第3版がリリースされましたが、それから4年が経過した2023年に内容が改訂されました。改訂された背景としては、急速に普及したテレワークが挙げられます。働き方改革の推進や新型コロナウイルス対策により、多くの企業がテレワークを導入しましたが、その結果、情報セキュリティリスクが高まりました。

また、サイバー攻撃の手口が年々巧妙化しているのも、ガイドライン改訂に至ったひとつの理由と考えられます。

関連記事:情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン

 

情報セキュリティ対策ガイドラインでの変更点

変更点として、テレワーク環境下における具体的なセキュリティ対策の追加が挙げられます。3.1版には、テレワークの方針施策とともに、具体的なセキュリティ対策の手法が追加されました。

また、セキュリティインシデント発生時における、具体的な対応方法を追加したのも変更点です。インシデントの予兆を察知したときにまず取るべき行動や、再発防止の取り組み方法なども盛り込まれました。さらに、付録として「中小企業のためのセキュリティインシデント対応の手引き」が追加されています。

 

第1部 経営者編で注意すべきポイント

情報セキュリティ対策ガイドラインは、1部と2部で構成されています。1部は経営者編となっており、対策の必要性や経営者が負う責任、やるべきことなどを記載しています。

 

・情報セキュリティ対策の必要性

情報セキュリティ対策を怠ると、企業はさまざまな不利益を被ります。金銭の損失や顧客の喪失、事業の停止、従業員のモチベーション低下、離職などです。

たとえば、情報セキュリティ対策を怠ったばかりに、顧客情報が外部へ流出し、顧客を失ってしまうかもしれません。一度失った信頼はなかなか取り戻せず、そのまま事業停止につながるおそれもあります。経営者は、組織のトップとして企業と従業員を守らなくてはなりません。そのため、当該ガイドラインで情報セキュリティ対策の必要性、重要性を正しく理解する必要があります。

 

・経営者が負う責任

当該ガイドラインには、経営者が負う責任についても記載されています。情報セキュリティ対策を適切に行わず、組織に何かしらの被害をもたらした際には、経営者にさまざまな責任が発生します。

たとえば、適切な安全管理措置を行わなかったがために、社員の情報が流出してしまい、法的責任を問われる場合があります。また、顧客情報や取引先との契約情報などが流出した場合、関係者や社会に対する責任も果たさなくてはなりません。

 

・認識すべき「3原則」

当該ガイドラインには、経営者がすべきことを3つの原則で紹介しています。

・原則 1 :情報セキュリティ対策は経営者のリーダーシップで進める
対策の推進がスムーズかつスピーディーに進むよう、経営者が先頭に立ちトップダウンで進めます。

・原則 2 :委託先の情報セキュリティ対策まで考慮する
外部へ重要な情報を提供するのなら、委託先が適切な情報セキュリティ対策を行っているかどうかも確認しなくてはなりません。

・原則 3 :関係者とは常に情報セキュリティに関するコミュニケーションを
日常的に情報共有とやり取りを行うことで、顧客や取引先、株主など業務上の関係者との信頼関係を構築・維持できます。

 

・実行すべき「重要7項目の取組」

当該ガイドラインで紹介されている「重要7項目の取組」は以下の通りです。

・情報セキュリティに関する組織全体の対応方針を定める
・情報セキュリティ対策のための予算や人材などを確保する
・必要な対策を検討し実行を指示する
・情報セキュリティ対策に関する適宜見直しを指示する
・緊急時の対応や復旧のための体制を整備する
・委託や外部サービス利用の際には、セキュリティに関する責任を明確にする
・情報セキュリティに関する最新動向を収集する

 

第2部 実践編の内容で注意すべきポイント

実践編では、情報セキュリティ5か条と組織的な取り組みの流れ、損害を防ぐための具体的な対策が記載されています。具体的な対策を立てる際の参考にしましょう。

 

・情報セキュリティ5か条

情報セキュリティ5か条は、必ず実行すべき5つの対策です。

・OSやソフトウェアは常に最新の状態にしよう!
・ウイルス対策ソフトを導入しよう!
・パスワードを強化しよう!
・共有設定を見直そう!
・脅威や攻撃の手口を知ろう!

同時にすべての項目に取り組むのは難しいと考えられるため、取り組みやすそうなものから手をつけてみましょう。

 

・組織的な取り組みの流れ

まずは、情報セキュリティに関する基本方針を定めましょう。軸となる方針がないと、対策にブレが生じるおそれがあります。また、基本方針を定めるだけでなく、従業員に周知しなくてはなりません。

次に、現状における対策の実施状況を把握します。当該ガイドラインの付録を活用すれば、容易に実施状況の把握が可能です。実施状況を把握したら、対策を決めて従業員への周知を進めましょう。

 

・損害を防ぐための具体的な対策

事業に深刻な損害を及ぼす事故を回避するための対策も、ガイドラインには記述されています。

・管理体制の構築
対策を推進し、万が一事故が発生したときスムーズに対応できるよう管理体制を構築します。

・DXの推進と情報セキュリティの予算化
DX推進によってより複雑化するリスクに対応するため、対策に必要な予算を確保しなくてはなりません。

・情報セキュリティ規程の作成
自社にマッチした規程を作成するには、対応すべきリスクを抽出したうえで対策を決定します。

・委託時の対策
委託時の対策が適切でないと、委託先と共有した機密情報が外部に流出する可能性があります。

・点検と改善
対策がきちんと実行できているか、効果を得られているか、改善の余地はないかなどを確認します。

 

まとめ

中小企業の情報セキュリティ対策ガイドラインが改訂となり、安全なテレワークを実現するための具体策やインシデント発生時に取るべき行動なども追記されました。情報セキュリティ事故が発生すると、情報漏えいや利益損失につながるだけでなく社会的な信頼を失い、事業停止にも追いやられかねません。こうしたリスクを回避すべく、当該ガイドラインを参考にしつつ適切な対策を進めていきましょう。

 

▼製品・サービスに関するお問い合わせはこちら

▼Cloudbirc WAF+の無償トライアルはこちら

▼パートナー制度のお問い合わせはこちら

アイキャッチ_58809 ペネトレーションテストとは?脆弱性診断との違いややり方を解説.png のコピー

ペネトレーションテストとは?脆弱性診断との違いややり方を解説

ITシステムやネットワークなどに脆弱性があると、サイバー攻撃の対象となりかねません。システムのセキュリティに懸念があるのなら、ペネトレーションテストの実施が有効です。本記事では、ペネトレーションテストの基礎知識や脆弱性診断との違い、具体的なやり方などについて解説します。実施によって得られるメリットや取り組み方を把握し、この機会にぜひ取り入れてみましょう。

 

ペネトレーションテストとは?

ペネトレーションテストとは、システムへ意図的に攻撃、侵入しセキュリティ能力を検証するテストです。ペネトレーション(penetration)は、侵入や貫通を意味する英単語であり、このことからペネトレーションテストは侵入テストとも呼ばれます。

システムに存在する特定の脆弱性や、攻撃を受けたときの被害レベルを把握するために行われるテストです。シナリオに基づきシステムへの侵入を試みるため、実施する際には専門の技術者が担当します。

なお、テストの調査対象は検証内容によって異なります。これは、悪意をもつ攻撃者が求める結果を出せるかどうか、テストによって確認するためです。

 

・ペネトレーションテストと脆弱性診断との違い

ITシステムなどのセキュリティをチェックする手法として、脆弱性診断が挙げられます。脆弱性診断とは、システム全体に存在する脆弱性を網羅するためのテストです。サイバー攻撃は、システムの脆弱性を狙ったものが多いため、どのような弱点があるのか把握し、適切な対策を行わなくてはなりません。脆弱性診断はそのために実施します。

脆弱性診断は、専門の技術者が行うこともあれば、ツールを利用するケースも少なくありません。診断によって、介在している脆弱性の特定や脅威レベルの設定、レポートへの記載などを行います。

ペネトレーションテストとの大きな違いは、目的と調査対象です。ペネトレーションテストの目的は、特定の脆弱性や被害レベルの抽出で、検証内容によって調査対象が変わります。一方、脆弱性診断はシステム全体が調査対象であり、侵入口となる脆弱性を網羅的に発見するのが目的です。

なお、目的に応じた脆弱性診断を実施したいのであれば、以下のサービスが適しています。

Cloudbric 脆弱性診断

Cloudbric脆弱性診断

 

ペネトレーションテストの種類

ペネトレーションテストは、大きく分けて内部テストと外部テストに分類されます。前者は、アプリケーションサーバやセキュリティシステムなど内部のシステム、後者は公開サーバや機器など、外部からアクセスできるシステムなどが対象です。

 

・内部ペネトレーションテスト

内部ペネトレーションテストは、アプリケーションサーバや認証サーバ、セキュリティシステム、DBサーバなど、外部とシャットアウトされた内部システムを調査対象としたテストです。これらは、外部からのアクセスが困難であるものの、攻撃の対象にならないわけではありません。

また、外部からの攻撃にしっかりと備えていても、すでに侵入されていた、内部に不正を働く者がいる、といった状況ではシステムを守り切れません。このような状況の回避や、ダメージ最小化を実現するためテストを行います。

 

・外部ペネトレーションテスト

外部ペネトレーションテストは、ネットワークを介して外部からアクセス可能な、公開サーバやシステム、機器などを対象に行うテストです。実際に専門の技術者が外部からシステムなどへ侵入を試み、脆弱性や被害レベルなどを可視化します。

外部からの代表的なサイバー攻撃と言えば、標的型メールが挙げられます。標的型メールとは、特定の対象をターゲットとしたメール攻撃です。主に、ターゲットとした組織が保有する重要な情報を盗むために用いられる手法で、マルウェアを仕込んだメールを添付して実行されるケースがほとんどです。

そのため、外部ペネトレーションテストでも、疑似マルウェアを用いて侵入を試みるテストがよく行われています。疑似マルウェアを添付したメールを送付し、侵入可能な領域などを抽出します。

 

ペネトレーションテストの手法

ペネトレーションテストには、ホワイトボックステストとブラックボックステストの2種類があります。双方に特徴があるほか、どちらを実施するかで費用が変わることも覚えておきましょう。

 

・ホワイトボックステスト

ホワイトボックステストは、システムの設計や仕様、ソースコードなどを共有して行われるテストです。すべてのロジックを対象にテストを行うため、表面化していない潜在的な脅威を検出できる可能性があります。

ホワイトボックステストを行う際、場合によっては思うような成果が得られないケースがあるため注意が必要です。当該テストは、システムの詳細設計書に基づき実施されます。そのため、詳細設計そのものに誤りがあると、正しく検証を行えず問題を抽出できません。

 

・ブラックボックステスト

ブラックボックステストは、システム情報を開示しないまま実施される侵入テストです。検証を実施する技術者に、システムの情報を何ひとつ教えないため、実際のサイバー攻撃に限りなく近いシチュエーションのもとテストを実施できる点が特徴です。

また、システム利用者の目線でテストを行えるため、システムの改善につながるヒントを得やすいのも魅力です。開発側では把握できていなかった、システムの使いにくさ、画面の見にくさなどに気づくきっかけとなりえます。

一方、システムの性能を評価するテストとしては優れていません。システムの設計や仕様といった情報を共有しないままテストを実施するためです。

 

ペネトレーションテストの手順

ペネトレーションテストを実施するには、まずシナリオを作成します。たとえば、「マルウェアが添付されたメールを従業員が開いてしまう」といった具合に、実際のサイバー攻撃を想定したシナリオを作成しましょう。

シナリオが完成したら、調査対象への攻撃を開始します。検査を行う技術者の技量によって、結果が大きく左右されることがあるため、その点に注意が必要です。

テストが終了したら、検証を担当した技術者や企業が報告書を作成し、提出します。外部に依頼する場合、報告は書面で渡されるだけのケースもあれば、結果内容について担当者が説明してくれることもあります。このあたりの対応は、依頼先によって異なるため、事前に確認しておきましょう。

 

まとめ

実際のサイバー攻撃を想定したペネトレーションテストの実施により、脆弱性の特定と適切な対策が可能です。各種システムのクラウド化が進む昨今では、クラウドセキュリティの重要性が高まっています。クラウドを含めたシステムの情報セキュリティに問題があると、機密情報の漏えいにつながり、社会的な信用を失いかねません。このような状況を回避するためにも、セキュリティ向上を実現できるペネトレーションテストの実施を検討してみましょう。

 

 

▼Cloudbirc 脆弱性診断の詳細はこちら

▼製品・サービスに関するお問い合わせはこちら

▼パートナー制度のお問い合わせはこちら

Emotet

Emotetとは? その特徴や被害のほか、対策についても解説

企業の扱うデータ量が膨大になり、クラウド環境が一般的になると、懸念されるのが情報セキュリティの問題です。この記事では、「Emotet(エモテット)」と呼ばれるマルウェアの一種について、特徴や攻撃方法、万一感染した場合の影響について解説します。また、大切な情報を守り、円滑に事業活動を進めるためにどのような対策ができるのかについても紹介します。ぜひ参考にしてみてください。

 

Emotetとは

Emotet(エモテット)とは、悪意のあるソフトウェアやプログラムとして働くマルウェアの一種です。初めて確認された2014年頃は、メールを介してオンラインバンキングのIDやパスワードを盗み取られる被害が頻発しました。2021年1月には欧州刑事警察機構が対応に動いたことでいったん被害が減ったものの、一方で同年11月にも活動が確認されました。
業務上必要と思われそうなメールで送られてくるため、その手口は非常に巧妙です。企業における情報セキュリティ上の重大な脅威として、近年あらためて注目を集めています。

 

Emotetの特徴

 

・添付ファイルを媒体として感染する

Emotetは、WordやExcelなどのOfficeファイルが添付されたメールを送付する手口がよく見られます。そのファイルにはマクロが組み込まれており、対策が十分ではない企業の社員や一般ユーザーが開くとマルウェアに感染してしまうという仕組みです。
ほかにも、メール本文から別のWebサイトへ誘導し、「無料」とうたってウイルス対策ソフトをダウンロードさせるように促す手口もあります。もちろんそれを信じてダウンロードしてしまうと不正プログラムが取り込まれ、マルウェア感染は避けられません。

マルウェアに感染してしまうと、Emotetが置かれているサーバーへアクセスし、企業の情報漏えいにつながります。さらに、被害者になりすまして関連する取引先などのPCへ同様のメールを送付することから、被害が拡大してしまいます。

 

・マルウェアだとバレないような巧妙な工夫が施されている

Emotetのやっかいなところは、送付するメールがまるで正規のメールのように工夫されている点です。業務上、Officeの添付ファイルを送るといったシーンはとくに珍しくありません。近年は、正規にやり取りされたメールに「Re:」を付けることでスレッドに割り込み、見分けがつかないようにする手口も見られるようになりました。季節的、社会的な事柄に関するメールが送られてくることもあり、疑う余地もなくマルウェアに感染しているケースは十分ありえます。

また、あくまでEmotet自身には、不正コードが組み込まれているわけではありません。受信者がメールの添付ファイルを開くとEmotetのサーバーへアクセスし、情報搾取するモジュールをダウンロードすることで機能します。このモジュールはローカルファイルとして保存されず、メモリ上で動くというのが特徴です。
そのため、セキュリティの担当者ですら発見しにくく、被害が大きくなりやすい点も多くの企業を悩ませています。

 

Emotetによる被害

 

・情報漏えいなど企業活動に影響が出る

Emotetによってマルウェアに感染すると、情報を搾取するためのモジュールによって重要なデータが盗み取られ、情報漏えいにつながるおそれが高まります。ひとたびこうした事態が起きると、社会的な信用を失い、事業活動を安定的に継続していくことが難しくなってしまうかもしれません。

 

・さらなる感染の拡大が起きる

Emotetは情報搾取のモジュールだけではなく、ほかのマルウェアにも感染させようとすることがあります。たとえば、データを勝手に暗号化して復旧するのに身代金を要求する「ランサムウェア」に感染してしまうと、何の情報が漏れたのかすら不明となり、通常業務が滞ってしまうことも問題です。
なりすましメールによって社内のみならず社外にも感染が拡大するため、取引先など関係者にも大きな迷惑をかけてしまいます。

 

Emotetへの対策

Emotetの仕組みは巧妙であるため、なかなか対策を打ちにくいのではないかと思われるかもしれません。それでも、以下で説明するように被害を起きにくくしたり、最小限にとどめたりするための対策があります。

 

・予防策を講じる

Emotetは基本的にメールが感染経路となるため、まず届いたメールが誰からのものか、送信元を必ず確認しましょう。また、マクロが自動実行しないように設定しておくことも大切です。Officeのマクロ設定を「警告を表示してすべてのマクロを無効」としておきます。
さらにWindowsなどのOSでは、新型の脅威に対応するためにセキュリティパッチを更新しています。そのため、OSの新しいバージョンが配布されれば、忘れず早めに更新作業をしておくと安心です。

 

・対処法を用意する

細心の注意を払って予防していても、ついうっかり誤ってファイルを開いてしまうかもしれません。そのため、万一疑わしいファイルを開いてEmotetに感染してしまった場合、どのように対処すればよいのかをあらかじめ確認しておくようにしましょう。
たとえば、すぐさまネットワークを遮断する、関連部門へ連絡する、といった方法が挙げられます。

 

・セキュリティソフトを導入する

マクロの組み込まれたファイルが添付されているなどの怪しいメールを検知できるように、セキュリティソフトを導入するのも一案です。ただ、直近に確認されたEmotetでは、メールに添付されたZIPファイルを展開すると大きなサイズのファイルとなり、既存のウイルス対策ソフトの検知機能をすり抜けることも指摘されています。
そのため、ソフトを選ぶ際には機械学習型の検索機能以外に、サンドボックス機能も使えるものを検討するとより安心です。

 

まとめ

Emotetの被害は一時期下火となっていましたが、近年はまた企業のセキュリティに対する脅威として注目されています。マルウェアだと気付かないような巧妙さが特徴で、社内外へあっという間に被害が拡大してしまい、企業活動にも重大な影響を及ぼしかねません。そのため、できる対策はすべて打っておくことが大切です。

サイバー攻撃の種類が増えてきている昨今、どのような対策を取るべきか、どのようなサービスを導入すべきか、判断に迷うこともあるかもしれません。クラウド型セキュリティサービス「Cloudbric」は、企業において情報セキュリティ上必要なソリューションが一元的なプラットフォームで提供されているため、様々なサイバー攻撃に対応できるセキュリティサービスの導入をお考えであれば、ぜひ導入を検討してみてください。

 

Cloudbric(クラウドブリック) トップページ
製品・サービスに関するお問い合わせはこちら
Cloudbirc WAF+の無償トライアルはこちら
パートナー制度のお問い合わせはこちら

サイバーセキュリティ経営ガイドライン

サイバーセキュリティ経営ガイドラインVer3.0|改訂内容を解説

クラウドサービスやAI、IoTなど、企業は劇的に変化していくIT環境に適応するために、適切なセキュリティ対策を講じる必要があります。この記事では、2023年3月に改訂された「サイバーセキュリティ経営ガイドライン」について、基本事項を紹介しつつVer2.0との違いを解説します。改訂内容を把握した上で、自社に適したセキュリティ対策を検討する際に、ぜひお役立てください。

 

サイバーセキュリティ経営ガイドラインとは?

近年、AIやIoTなど最新のデジタル技術が急速に発達し、浸透してきました。企業が扱うデータ量も膨大になり、ITの利活用は不可欠です。一方で、クラウド環境ではインターネットを介することから、サイバーセキュリティ犯罪には一層警戒を強め、適切な対策を講じていかなければなりません。

こうした企業の課題への向き合い方について、経済産業省が独立行政法人情報処理推進機構(IPA)と協議し策定したのが、「サイバーセキュリティ経営ガイドライン」です。脅威となっているサイバーセキュリティへの対策を効果的に進めるためには、経営者がリーダーシップを発揮し、このガイドラインを確認の上、着実に実行していかなければなりません。
本ガイドラインの内容は、サイバー攻撃からいかに自社を守るかといった観点から、主に以下の2つの柱を掲げているのが特徴です。

  • 経営者が認識すべき3原則
  • サイバーセキュリティ経営の重要10項目

 

「経営者が認識すべき3原則」の改訂内容

サイバーセキュリティ経営ガイドラインは2023年3月にVer2.0からVer3.0へ改訂されました。ここでは「経営者が認識すべき3原則」の項目で主にリニューアルされたところを解説します。

 

・重要課題として経営者のリーダーシップのもとでの対策が必要

サイバーセキュリティは今や社会的にも大きな関心事です。企業の代表である経営者がこうした脅威を放置していては、取り返しのつかない大きな被害を受けかねません。
そこでVer3.0では、経営者の責務としてリーダーシップを発揮することや対策の重要性を明文化しています。今やITの利活用とあわせて、自らサイバーセキュリティ対策を積極的に推進できる経営者が求められているといっても過言ではありません。

 

・自社のみならず全体にわたる対策への目配りが必要

次に、経営者がどのような範囲で対策を打つべきかが改訂されたことも注目すべきポイントです。
これまで多くの企業では、社内だけの問題としてセキュリティ対策を検討すればよいといった認識が一般的でした。しかし、サイバー犯罪は日々刻々と巧妙化の一途をたどっています。また、サプライチェーンも複雑化しています。
したがって、自社が関わる社外のサプライチェーン全体を見た上で、最適なサイバーセキュリティ対策とは何かを考えなければなりません。そうした意味から、今回のガイドライン改訂では、より広範囲まで目配りしなければならないといった内容が明示されました。
常日頃から連絡体制を整えられていれば、万一のインシデント発生時にも復旧に向けた素早い初動対応が可能になります。

 

・関係者との積極的なコミュニケーションが必要

サイバー攻撃を受けたときに初めて関係者と密に連絡を取ろうとしても、なかなかスムーズにいかないことは往々にしてあります。
そのため、緊急時のみならず、何も問題が起きていない平常時であってもさまざまな関係先と継続的にコミュニケーションを図っておくことが大切です。そこでどういった対策が必要かを議論しておけば、互いの課題を共有し、より効果的な方法を模索できます。

 

「サイバーセキュリティ経営の重要10項目」の改訂内容

ガイドラインのもうひとつの柱である「サイバーセキュリティ経営の重要10項目」では、全体的に項目の見直しがなされました。ここではその中で4つの項目を取り上げて紹介します。

    • 「指示3:サイバーセキュリティ対策のための資源(予算、人材等)確保」

セキュリティにまつわるインシデントを防ぐためには、IT部門のみならず、すべての従業員がセキュリティ対策を「自分ごと」と捉えなければならないこと、また確実に遂行できるスキルを身に付けたり予算を確保したりしなければならないといった内容が追記されています。

    • 「指示8:インシデントによる被害に備えた復旧体制の整備」

サプライチェーン全体がインシデントに対応できる体制づくりや留意点、訓練を実施しない場合に起きうる影響などについて、具体的に追記されています。

    • 「指示9:ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」

セキュリティ対策を打つ範囲はサプライチェーン全体におよぶこと、また効果的な方法を検討するとともに状況把握も的確に行う必要があること、関係先との役割を明確化し、責任の所在を明らかにすることなどが盛り込まれています。

    • 「指示10:情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供」

サイバーセキュリティに関する新しい情報を受け取るためには情報共有を進んで行うことも大切であること、被害を受けた場合の報告や公表体制、ステークホルダーへの開示などが追記されています。

 

サイバーセキュリティ経営ガイドラインが改訂された背景

サイバーセキュリティ経営ガイドラインが改訂された背景には、いくつかの要因があります。とくに、近年のサイバー攻撃は多様化、巧妙化しているのが特徴です。対策を打てば打つほど、今度はそれらを回避するような攻撃が仕掛けられることもよくあり、各企業ではさらなる対策の強化が求められています。その際には、現場に任せきりにするのではなく、経営者がリーダーシップを発揮することが重要です。こうした社会的なニーズの高まりから、ガイドラインは企業の対策をサポートする形で改訂されました。

 

まとめ

経済産業省がIPAと協力して策定、公表している「サイバーセキュリティ経営ガイドライン」は、企業がサイバー犯罪から身を守り、セキュリティ対策をどう打てばよいのかといった指針となるものです。
クラウド環境が浸透しつつある昨今では、社内外のネットワークを包括的に見据え、柔軟な対策が求められています。そこでおすすめなのが「Cloudbric」です。一元化されたプラットフォーム上で企業は自社にとって必要なソリューションを選択、導入できます。
セキュリティ対策の強化に課題をお持ちであれば、ぜひご検討ください。

 

Cloudbric(クラウドブリック) Webセキュリティ
製品・サービスに関するお問い合わせはこちら
Cloudbirc WAF+の無償トライアルはこちら
パートナー制度のお問い合わせはこちら

サプライチェーン攻撃

サプライチェーン攻撃とは? 攻撃方法やその対策を紹介

サプライチェーン攻撃

サプライチェーン攻撃は、標的となる企業に対して直接攻撃を行わず、セキュリティの脆弱な関連企業や取引先・委託先を狙うサイバー攻撃です。
この記事では、自社が取引先企業などに重大な損失を与える原因とならないためにも、企業の経営者が把握しておくべきサプライチェーン攻撃について、概要や攻撃方法、攻撃への対策などを解説します。

 

 

サプライチェーン攻撃とは

サプライチェーンとは、製品の企画から原材料の調達、製造、販売、消費までの一連の流れのことです。メーカー以外にも、製品の原材料を販売する企業や部品を製造する企業など、複数の企業が関連しているケースも少なくありません。

サプライチェーン攻撃は、こうした組織間または企業間のつながりを悪用して、目的の企業に直接攻撃するのではなく、セキュリティが弱い関連企業や取引先を標的に行われる間接攻撃です。業務委託先の企業や周囲の取引先などを攻撃して侵入してから、その企業を介して強固なセキュリティ対策を行っている企業に対して攻撃を仕掛けます。

ターゲットとする企業が使用するソフトウェアや更新プログラム、ハードウェアなどに不正なプログラムを組み込んで、マルウェアなどに感染させる攻撃方法もあります。

 

 

サプライチェーン攻撃の攻撃方法

・ハードウェアやソフトウェアを介した攻撃

ハードウェアやソフトウェアを介して実施される攻撃は、ソフトウェアサプライチェーン攻撃と呼ばれます。攻撃者が製造段階や提供段階で不正なコードを入れたソフトウェアを制作・提供し、企業内に入り込んだ不正コードの働きにより攻撃が開始される手法です。企業が使用しているソフトウェアをアップデートした際にマルウェアに感染し、不正にアクセスされるケースなどが考えられます。

自社が対策を行っていても、セキュリティの弱い関連企業のソフトウェアが感染させられ、ほかの企業を介してネットワークに侵入されるケースもみられます。比較的感染に気づきにくい方法のため、充分に対策を行うことが重要です。

 

・サービス事業者を介した攻撃

攻撃者がプロバイダなどに対して不正アクセスを行ってから、プロバイダがサービスを提供している顧客を狙う手法です。プロバイダを介して、顧客の企業にランサムウェアを拡散させるため、広範囲にわたって攻撃が実行されます。

サプライチェーンには、ターゲット企業の子会社、海外拠点、関連会社などさまざまな企業が該当します。サービス事業者を介した攻撃はサービスサプライチェーン攻撃とも呼ばれ、狙われるのは主に企業が利用しているWebサービスやMSP(Managed Service Provider)などです。

 

・委託先を介した攻撃

委託先を介した攻撃とは、ターゲット企業の取引先を調査してから、セキュリティが弱い委託先に攻撃を仕掛ける手法です。システム開発や顧客情報の管理などを委託している場合には、業務を委託している企業が狙われ不正アクセスが実行されます。

委託先企業から機密情報を盗み、ターゲット企業から金銭を脅し取るケースも見られます。

 

 

サプライチェーン攻撃への対策

・サプライチェーン全体の状況を把握する

サプライチェーン攻撃は自社だけでなく、取引先や委託先など、サプライチェーン全体で取り組む必要があります。そのためには、ビジネスを始める際にセキュリティ対策の内容を明確に定めてから契約を行うことが重要です。対策を共同で行うため、系列企業や委託先企業などが取り入れている対策の状況を把握する必要もあります。

対策状況は、定期的に確認を行います。万が一サプライチェーン攻撃を受けた場合に備えて、攻撃の被害を確認、報告する体制を整えることも重要です。

 

・情報セキュリティ教育の実施や対応フローの確立をする

社員の情報セキュリティに対する意識改革も対策のひとつです。たとえ情報セキュリティ対策を実施していても、社員のセキュリティ意識が低い場合には確実な対策ができません。

社内の情報セキュリティに対する意識を高めるには、研修や社員教育を行うことが重要です。社員が必要な知識を身につけることで、ヒューマンエラーによるマルウェア感染の防止にもつながります。

サイバー攻撃を受けたケースまで想定し、トラブル発生時の対応フローを設定しておくと、迅速な対応も可能です。

 

・OSやソフトウェアは最新にしておく

OSやソフトウェアには、「セキュリティホール」と呼ばれる情報セキュリティ上の脆弱性が発生する場合があります。セキュリティホールを狙って攻撃が行われるケースもあるため、OSなどは常に最新の状態にアップデートしておきましょう。

OSやソフトウェアメーカーは、発見したセキュリティホールを修復するため、更新プログラムをユーザーに配布しています。OSなどの脆弱性を修正する更新プログラムは、受け取った際にすぐ実行することが大事です。

 

・セキュリティソフトを導入する

ウイルス感染を防ぐには、セキュリティソフトの導入が適しています。これは基本的なセキュリティ対策として多くの企業が導入している方法です。

セキュリティソフトは、ウイルス対策やファイアウォールなどの機能で、ウイルス感染や不正侵入、さまざまなサイバー攻撃からネットワークとコンピュータを守ってくれます。導入後にはこまめなアップデートを行い、最新の状態を維持しておきましょう。

 

・ネットワーク対策を行う

サプライチェーン攻撃では、関連企業などを介して攻撃される恐れがあるため、被害を最小限に抑える目的でネットワーク上の対策も必要です。たとえば、重要な情報に関わるデバイスやネットワークは、他のネットワークとはつなげずに独立させておくことも対策になります。

ネットワークが独立していると、万が一攻撃を受けた際にも、他のネットワークから重要なデータへのアクセスを防ぐことが可能です。また、アクセス制限を設けるなどの対策も、外部からの攻撃を阻止するのに役に立ちます。

 

・パスワード対策を行う

不正なアクセスを防ぐため、推測や解析されにくいパスワードを設定することも重要です。さまざまなシステムやネットワークで同じパスワードを使い回していると、万が一パスワードが外部へ流出した際に被害が拡大しかねません。

パスワード対策では、長く、複雑なパスワードを設定し、パスワードの使い回しを防止しましょう。さらに、パスワードが流出した場合に備えて、多要素認証と組み合わせる方法でセキュリティを強化することも効果的です。

 

まとめ

サプライチェーン攻撃は、製品の企画、原材料の調達から消費まで、事業活動の一連の流れにおいて関係する企業を介し、目的の企業に攻撃を仕掛けるサイバー攻撃です。主に企業が使用するソフトウェア、サービス事業者、委託先などを介して行われます。
サプライチェーンのなかでもセキュリティが脆弱な企業を狙って攻撃されるため、全体のセキュリティ対策状況を把握することが重要です。ほかにも、OSを最新にしておく、セキュリティソフトを導入するなどの対策が考えられます。

より万全な対策を求める場合には、WAFに加えて脅威IPや悪性ボットの遮断といった機能を備えるクラウド型WAFサービス「Cloudbric WAF+」の導入をご検討ください。