株式会社 キャスト・ワークス様の Cloudbric WAF+の導入事例が公開されました。
導入までの経緯、感想、導入効果、おすすめのポイント等について紹介しております。
ぜひご覧ください。
https://www.cloudbric.jp/reference/2021/07/cast-works/
株式会社 キャスト・ワークス様の Cloudbric WAF+の導入事例が公開されました。
導入までの経緯、感想、導入効果、おすすめのポイント等について紹介しております。
ぜひご覧ください。
https://www.cloudbric.jp/reference/2021/07/cast-works/
近年、中小企業が悪意のある第3者からサイバー攻撃を受ける事例が増加しています。悪意のある第3者からの攻撃にはさまざまな手口が存在しますが、ゼロデイ攻撃(Zero-day Attack)もその1つです。また、ゼロデイ攻撃だけでなく、DDoS攻撃の標的となる危険性もあるため早めのWebセキュリティ対策を心掛けておかなければなりません。
本記事では、ゼロデイ攻撃を受け、さらにDDoS攻撃の標的された場合のWebセキュリティ対策について解説しています。
そもそも、 Webセキュリティ上の脆弱性を衝いたサイバー攻撃の一種であるゼロデイ攻撃(Zero-day Attack)とは、どのようなサイバー攻撃なのでしょうか。詳しくみていきましょう。
悪意のある第3者から受けるサイバー攻撃といえば、導入しているOSやアプリケーションのWebセキュリティ上の脆弱性を狙った攻撃が一般的です。OSやアプリケーションの脆弱性が発見された場合、提供元はすぐにその脆弱性を改善した新バージョンのOSや修正プログラム・パッチを開発し対策を取ります。
しかし、脆弱性が発見されてからすぐに対策を取るのは非常に困難で、その脆弱性解消の対処・対策が確立されるまでには、どうしても期間が必要です。そして、脆弱性の発見から対策方法の確立までの期間のことを「ゼロデイ(Zero-day)」と呼び、その期間を狙って攻撃してくる手法を「ゼロデイ攻撃」と呼んでいます。
ゼロデイ攻撃は、対策ができていないWebセキュリティ上の脆弱性を狙ってくるため、取り得る防御手段が少なく大きな被害を受けるケースも少なくありません。
ゼロデイ攻撃によって、顧客情報が盗み出されるなどの直接的な被害を受けるだけでなく、間接的な被害を受けてしまう可能性もあります。
間接的な被害とは、DDoS攻撃に利用するゾンビマシンの標的となることを意味します。そもそもDDoS攻撃とは、ターゲットとしている企業サイトやWebサーバに、複数のコンピューターから大量の情報を送り、サービスの遅延・停止を起こさせる攻撃方法を指します。また、ターゲット企業のサービスに影響を与える目的だけでなく、その攻撃を止める条件として金銭(身代金)を要求する目的でDDoS攻撃を仕掛けるケースもあります。
このDDoS攻撃には複数のコンピューターが使用されますが、そのほとんどが悪意のある第3者がこの攻撃のために別のサイバー攻撃で乗っ取った「ゾンビマシン」が使用されています。
ゾンビマシンとは、サイバー攻撃によって侵入したウィルスやプログラムの改ざんによって、悪意のある第3者が遠隔操作できるようにされたコンピューターのことで、このゾンビマシン化されたコンピューターは、Webセキュリティの脆弱性のあるOSやアプリケーションを使っているケースも珍しくありません。そのため、Webセキュリティ対策が未熟なゼロデイを狙って、DDoS攻撃を仕掛けてくる場合があります。
もし、ゾンビマシン化されたコンピューターでDDoS攻撃を仕掛けたターゲット企業が取引先だった場合、それによって取引が中止したり損害賠償を求められる可能性もあります。
ゼロデイ攻撃によってコンピューターがゾンビマシン化され、DDoS攻撃に使用された可能性のある事例についてみていきましょう。
2014年11月4日、トレンドマイクロが、同社公式ブログでWebセキュリティの脆弱性「Shellshock」を利用した新たな攻撃を確認したことを発表しています。その発表は、Linuxなどで使用されているオープンソースプログラム「Bourne-again shell(Bash)」コマンドシェルに重大な脆弱性が見つかったことが発端で、その対策完了までに、DDoS攻撃などのさまざまなサイバー攻撃が確認されました。例えば、Webセキュリティの脆弱性「Shellshock」を利用してSMTP(Simple Mail Transfer Protocol)サーバを狙う、ゼロデイ攻撃もその1つです。このケースで被害を受けたコンピューターは、DDoS攻撃の目的で遠隔操作が可能となることもその発表に含まれていました。そのため、サイバー攻撃が確認された地域で、ゾンビマシン化目的でのゼロデイ攻撃を受けたコンピューターが被害に遭った可能性が高いといわれています。実際、日本国内でもゼロデイ攻撃を受けて、遠隔操作されたコンピューターが複数確認されています。
ゼロデイ攻撃で、Webセキュリティ対策が完了する前にDDoS攻撃が行われれば、取り得る防御手段の選択肢が少ないのが現状です。しかし、まったく対策法が存在しないということではありません。ここでは、ゼロデイ攻撃でDDoSの標的となった場合の3つの対策法を紹介しています。
WAF(Web Application Firewall)とは、FW(ファイアウォール)やIPS/IDS(不正侵入防止システム/不正侵入検知システム)では守れないWebアプリケーションの脆弱性を攻撃から守ることができるセキュリティ対策です。このWAFには、クラウド型・ハードウェア組み込み型・サーバインストール型の3種類が存在しますが、ゼロデイ攻撃対策として導入するならクラウド型WAFをお勧めします。また、ゼロデイ攻撃対策は、発覚してからすぐに施策する必要があります。
ちなみに、クラウド型WAFは機器の購入・ネットワークの構築などが必要なく、すぐに導入可能でセキュリティ担当者の負担を減らせます。また、初期費用・運用コストが低く、スポット利用もできるため、脆弱性のWebセキュリティ対策が完了するまでのゼロデイ攻撃の対策におすすめです。
DDoS攻撃によるゼロデイ攻撃から被害を最小限に抑えるためには、Webセキュリティ上素早い対応が求められます。そのため、DDoS攻撃が防御できるサービスも、同時に導入しておいた方がよいでしょう。そんなDDoS攻撃対策におすすめのサービスといえば「Cloudbric ADDoS」です。導入しておけば、最大65Tbpsの大規模DDoS攻撃まで迅速かつ安全に遮断してくれます。
「Cloudbric ADDoS」についての詳細は、こちらの記事を参考にしてください。
https://www.cloudbric.jp/blog/2021/06/rddos/
DDoS攻撃に利用するゾンビマシンの標的となることを、防止できるWebセキュリティ対策も重要なポイントです。
EDRを導入しておけば、ゼロデイ攻撃によってゾンビマシン化している際に、いち早く検知可能であるため、気づかないうちにコンビューターがDDoS攻撃に利用されたり、攻撃の踏み台にされるのを防げます。EDR(Endpoint Detection and Response)とは、パソコンやサーバの状況および通信内容などを監視し、異常あるいは不審な挙動があれば管理者に通知してくれるソリューションです。ゼロデイ攻撃による直接的な被害は防げませんが、導入しておけば、取引先へのDDoS攻撃に利用されて間接的な被害を防止できるためおすすめです。
今回は、ゼロデイ攻撃で、DDoSの標的となった場合のWebセキュリティ対策について解説してきました。ゼロデイ攻撃は気づいたときには手遅れになっているケースも少なくありません。そのため、いち早く気づき、早急にWebセキュリティ対策することが重要です。
現代では、悪意のある第3者によるゼロ攻撃やDDoS攻撃は増加傾向にあるため、いつサイバー被害を受けるか予測できません。本記事を参考に、いち早くWebセキュリティ対策に取り組みましょう。
Webサイトなどネットワークを利用したサービスの脅威となるのがDDoS攻撃です。DDoS攻撃を受けるとWebサイトなどのサービスが一時的に停止してしまい、サービスを利用しているユーザーの信頼を失うだけでなく企業イメージにも悪い影響を与えることもあります。
今回は日本国内で発生したDDoS攻撃の事例や対策方法について紹介していきます。
DDoS攻撃の説明をする前にまずDoS攻撃について説明していきます。DoS(Denial of Services)攻撃とは1台のパソコンから行うサイバー攻撃で、パソコンからインターネットサービスに対して大量のデータを送ることで、サーバーに負荷がかかりシステムがダウンしてしまいます。DoS攻撃は複数の種類があります。F5攻撃という方法はWebサイトでF5を連続で実行してサイトに大量のリクエストを送りサーバーに負荷をかけます。メールを大量に送信してサーバーに負荷をかける手法もあります。
DDoS(Distributed Denial of Service)攻撃とはDoS攻撃を複数のパソコンから行うサイバー攻撃です。ウィルスやマルウェアなどで他人のパソコンを不正に乗っ取り、そのパソコンを利用してDDoS攻撃を行う場合もあります。厄介なのは不正に乗っ取ったパソコンを利用していると犯人を特定しにくくなります。
近年普及しているIoTがDDoS攻撃の被害を受けるケースもあります。
ここからはDDoS攻撃の種類を説明します。
SYNフラッド攻撃とは接続元IPを偽ったボットからSYN(接続要求)を大量に送る攻撃です。そしてFINフラッド攻撃とは接続元IPを偽ったボットからFIN(絶段要求)を大量に送る攻撃です。
ACKフラッド攻撃とは大量のACKパケットを送信してサーバーに負荷をかける攻撃です。
Slow HTTP DoS Attackとは少ないパケット数を長時間送信して他のユーザーがサービスを使えないようにする攻撃です。大規模サイトを少ないリソースで攻撃できます。
DNSフラッド攻撃とはDNSサーバーに対して大量のリクエストを送信して、他のユーザーからの名前解決を妨害する攻撃です。
ここからは日本国内で発生したDDoSの事例について紹介します。
2015年11月パラリンピック大会組織委員会のホームページにDDoS攻撃がありホームページが約12時間閲覧不能になりました。
2014年8月SONYが運営するPlayStation NetworkにDDoS攻撃があり、これにより1億人以上の個人情報が流出した可能性があります。
2007年ニコニコ動画がDDoS攻撃を受けて正常にサービスを提供できなくなり、一時的にサービスを停止しました。ニコニコ動画と同一ネットワーク上にあるドワンゴの携帯電話向けサイトにも影響が出ました。
2010年に10万人規模のDDoS攻撃を受けてサーバーがダウンしました。
ここからはDDoS攻撃への対策について紹介します。
DDoS攻撃を仕掛けているIPアドレスからのアクセスを遮断します。アクセス自体を遮断することで攻撃を受けないようになります。DDoS攻撃は複数のIPから攻撃を受けるので問題の解消にはならないですが、継続することで被害を少なくできます。
正規のユーザーが国内アクセスしていて、DDoSの攻撃元が海外の場合は海外からのアクセスを停止することでDDoS攻撃を防ぐことができます。DDoS攻撃は海外のサーバーを経由して実行されることがあるので、効果的な対策でしょう。
WAF(Web Application Firewall)とはWeb上のアプリケーションに特化したファイアウォールです。Webサイトの中でもユーザーが情報を入力するサイトやリクエストに応じて動的なページを生成するサイトを守ります。WAFはWebサービスへのアクセスを解析して正規のユーザーか不正な攻撃かを判断します。不正な攻撃と判断するとアクセスを遮断してWebサイトを守ります。
WAFはDDoS攻撃だけでなくSQLインジェクション・ブルートフォースアタック・クロスサイトスクリプティング・OSコマンドインジェクション・LDAPインジェクションなどさまざまなWeb攻撃からWebサイトを守ってくれます。
WAFにはアプライアンス型・ソフトウェア型・クラウド型の3つがあります。
アプライアンス型は独自のWAFシステムを構築可能でサーバー自体の性能に影響されません。デメリットとしては利用するために専門的な知識や技術が必要という点です。
ソフトウェア型はカスタマイズ性が高くて専用機器が必要ありません。デメリットとしては複数のサーバーを運用している場合は、サーバーごとにコストがかかるという点です。
クラウド型は他のタイプよりも簡単に導入できて専門的な知識や技術が必要ありません。デメリットとしてはカスタマイズ性が低いという点です。
▼WAFはもちろん、DDoS攻撃対策や脅威IP遮断など、5つの機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」
IDS(Intrusion Detection System)とは不正侵入検知システムと呼ばれています。Webサイトへのアクセスを解析してDDoS攻撃など不正なログインと判断すると管理者に通知します。IDSには2つのタイプがありネットワーク型はネットに流れる通信パケットを検知します。ホスト型はサーバーに設置して通信で発生したサーバー上のデータやログを検知します。
IPS(Intrusion Prevention System)とは不正侵入防止システムと呼ばれています。Webサイトへのアクセスを解析して、不正なアクセスや攻撃を検知するとそのアクセスを遮断します。
IDS/IPSは主にネットワークやシステム面へのセキュリティ性能が高いです。DDoS攻撃に対する防衛は可能ですがSQLインジェクションやクロスサイトスクリプティングなどは防ぐことができないので注意しましょう。
UTM(Unified Threat Management)とは統合脅威管理と呼ばれています。ウィルス・スパム・キーロガー・スパイウェアなど、さまざまな攻撃に対応できるセキュリティシステムです。Webサービスへの攻撃方法は年々多様化しているので、総合的にWebサイトを守りたいならばおすすめです。
▼クラウド型WAFサービス「Cloudbirc WAF+」
▼製品・サービスに関するお問い合わせはこちら
インターネットの普及を背景に、悪意のある第3者からのサイバー攻撃に備えて、Webセキュリティ対策をしておく必要があります。もちろん、大企業だけでなく、中堅・中小企業も同様に、Webセキュリティ対策は意識しておかなければなりません。そもそも、悪意のある第3者からの攻撃を受けているのは大企業だけではなく、近年は中堅・中小企業が被害に遭う割合が増加傾向にあります。しかし、そんな中堅・中小企業のWebセキュリティ対策の方法が分からないこともあるでしょう。
本記事では、中堅・中小企業のWebセキュリティ対策で取り組むべきことについて解説しています。
年々、増加傾向にある悪意のある第3者からのサイバー攻撃。そのなかで、特にターゲットとされる事案が増加しているのが中堅・中小企業です。
悪意のある第3者が中堅・中小企業を攻撃のターゲットにする理由は、大企業と比べてWebセキュリティ対策をきちんとしていないところが多いためです。そもそも、中堅・中小企業が大企業と比べてWebセキュリティ対策が不十分な理由は、「まさか自社がターゲットにされることはない」という意識の低さもありますが、経営状況も大きく影響するようです。Webセキュリティ対策には、膨大な費用もかかりますし、基本的には担当者を設けなければ上手く運用できません。
悪意のある第3者が中堅・中小企業をターゲットとする目的は、大企業と比べて対策が疎かになっていることは前述しましたが、実はそれだけではありません。他にも、「本命のターゲットの足がかり」とする目的で狙われることがあります。そもそも、本命とする企業が強固なWebセキュリティ対策をしている場合、直接攻撃することは困難です。そのため、本名のターゲットと直接取引のある中堅・中小企業を足がかりとして狙うケースも珍しくありません。このようなた場合、足しかがりとするために狙われた中堅・中小企業は、サイバー攻撃による直接的な被害に加えて、情報を流出させてしまったことで取引先の大企業から損害賠償を求められるなど、間接的な被害も受けてしまうことも考えられます。
中堅・中小企業で、悪意のある第3者による攻撃を受ける可能性がもっとも高いツールが企業ホームページやキャンペーンページ等のWebサイトです。そして、そのWebセキュリティの脆弱性を衝いた攻撃の手口としては、主に以下の手法が存在します。
中堅・中小企業のサイトで「お問い合わせフォーム」を設けており、Webセキュリティ対策が不十分な場合は、SQLインジェクションやクロスサイトスクリプティングで攻撃される可能性があります。SQLインジェクションとは、お問い合わせフォームにデータベースの管理や操作を行うための言語である「SQL」を混在させた文章を送り、データベースが不正に操作されて情報を奪う手法をいいます。
SQLインジェクションについての詳細を知りたい方は、こちらの記事をご覧ください。
⇒SQL Injectionとは?脆弱性に対する3つの対策について解説!
また、クロスサイトスクリプティングは、お問い合わせフォームに不正なJavaScriptが埋め込まれたことで、Webサイトが不正改ざんされる手口です。ちなみに、お問い合わせフォームを設けていなくてもこれらのサイバー攻撃を受けることがあるため、中堅・中小企業にとって安心はできません。
例えば、DoS攻撃の被害を受ける危険性があります。DoS攻撃とは、Webサイトに短期間で数万回もアクセスすることにより、ページの表示を極端に遅くしたりサーバをダウンさせたりする手口のことをいいます。そして、これらの攻撃を受けた後、ウィルス(ランサムウェア型)によってパソコンなどが操作不能状態にされた後、悪意のある第3者が解除を条件にお金(身代金)を要求してくるランサムDDos攻撃をしてくる危険性もあります。
ランサムDDos攻撃についての詳細を知りたい方は、こちらの記事をご覧ください。
中堅・中小企業にとって、悪意のある第3者が攻撃してくるツールとして、ホームページがターゲットとなりやすいことは前述しました。このような背景から、Webサイトを運営する中堅・中小企業は、しっかりとしたWebセキュリティ対策をしておく必要があります。しかし、その必要性が高いことは分かっても、具体的なWebセキュリティ対策について分からないこともあるでしょう。ここでは、Webセキュリティ対策の始め方や具体的な施策方法について解説しています。
中堅・中小企業がWebセキュリティ対策に取り組むためには、何を守りたいのか明確にしましょう。大企業と違って、中堅・中小企業はWebセキュリティ対策に費やせる費用や人員が限られています。そのため、すべてのWebセキュリティ対策を施策することができない場合もあります。
次に、自社のWebセキュリティの現状を把握しましょう。自社の情報システムの現状はどうなっているのか、そして現在、どこまで対策できているのかを把握しなければなりません。そこを理解すると、中堅・中小企業において、守るべき対象を脅威から守るための施策方法を見出せます。そして、自社のWebセキュリティ対策の状況を把握するのに便利なツールが、独立行政法人情報処理推進機構(IPA)が提供している「5分でできる!情報セキュリティ自社診断シート」。これは、簡単な問いに回答していくだけで、自社のWebセキュリティ対策の現状や問題点などを見つけてくれるツールです。
中堅・中小企業向けの対策として、まず紹介するのが「セキュリティプラットフォーム」の導入です。セキュリティプラットフォームとは、1つシステムで攻撃からの脅威に対抗する各種機能を一元管理できるプラットフォームのこと。導入すると、下記の内容が1つの管理画面で統合管理できるためおすすめです。
また「常時SSLの導入」も、中堅・中小企業向けのセキュリティ対策の1つ。さらに、中堅・中小企業は、Webサイトにかかる費用を少しでも安くするため、「お問い合わせフォーム」などの一部のページのみを共有SSLにしていることが多いです。ちなみに、会社独自のドメインに対してSSLを導入し、全ページを暗号化して保護する常時SSLを導入すれば、サイトの全ページが悪意のある第3者からの攻撃から守ることができます。しかし、これらの導入には、当然費用がかかります。
とはいえ、コロナ禍において中堅・中小企業が、前述したような内容で費用をかけることは抵抗があることでしょう。そこで、「サイバーセキュリティ対策助成金」を活用する方法があります。例えば、東京都と東京都中小企業振興公社が、都内にある中堅・中小企業を対象に、企業がWebセキュリティ対策を実施するために必要な設備等の導入経費の一部を助成してくれます。こうしたWebセキュリティ対策に対する助成を行っている県・市町村は数多く存在するため、探してみてはいかがでしょうか。
サイバーセキュリティ対策促進助成金について、詳細を知りたい方はこちらをご覧ください。
今回は、中堅・中小企業のWebセキュリティ対策は何から取り組むべきなのか?というテーマで解説してきました。現代社会において、中堅・中小企業でもWebセキュリティ対策は重要です。Webセキュリティ対策が不十分だったことで、悪意のある第3者からの攻撃により直接的な被害を被る危険性があります。また、間接的な被害を受けたことで信用を失い、金銭的にも大損失に繋がる可能性があるため注意しなければなりません。
Webセキュリティ対策には、莫大な費用がかかることはありますが、損失のことを考えれば、早急に施策しておくべきでしょう。本記事が、何からWebセキュリティ対策に取り組めばよいのか分からない、中堅・中小企業の担当者様の参考になれば幸いです。
ちなみに、当社で提供するCloudbric WAF+は、Webサイトを守るための5つの対策を、統合したプラットフォームにて提供しております。
コストパフォーマンスと高度なセキュリティを両立できるWebセキュリティ対策をお探しの企業様にとって、最善の選択肢であると思いますので、ぜひチェックしてみてください。
Cloudbric WAF+の詳細はこちら
この度、2021年6月16日(水)~18日(金)に開催される「第1回 Japan IT Week【オンライン】/情報セキュリティEXPO」に出展いたします。
当社ブースは、「Cloudbric Security Platform Service」、「Web Security」、「Data Security」、「Connected Car Security」の4つの製品カテゴリーで構成し、当社にて提供している幅広い製品ラインナップの情報をご覧頂けます。
ブースでは、超コネクテッド時代に企業価値を高めるために必要なクラウドセキュリティ対策として統合したプラットフォームにて選択導入ができるクラウド型・セキュリティ・プラットフォーム・サービスの「Cloudbric(WAF+、RAS、ADDoS)」をご紹介致します。他にも、インテリジェント型WAF「WAPPLES、WAPPLES SA」、データ暗号化ソリューション「D’Amo、MyDiamo」、 自動車セキュリティEnd to Endソリューション「AutoCrypt」など、企業様の多様なニーズに応える最適なソリューションをご提案します。
展示会の開催期間中、当社ブースにてチャットやビデオなどのお問い合わせに対応しておりますので、当社製品・ソリューションに関してご質問のある方や製品の導入をご検討の方はお気軽に当社ブースにお立ち寄りください。
なお、6月17日(木)に開催されるオンラインセミナーでは当社代表取締役の陳が「今こそ必要なセキュリティの取り組み方、「Data-Centric」なアプローチと企業のアカウンタビリティとは。」をテーマに、現在の企業セキュリティにおいて、従来の「Product-Centric」な取り組みではなく、企業として守るべきデータは?という根本的な観点からのアプローチ、「Data-Centric」な取り組みについて解説致します。
ぜひご登録の上、弊社出展ブースやセミナーをご覧いただきますよう、よろしくお願い申し上げます。
ブースURL:https://ol.japan-it-online.jp/entrance/zone/92
Japan IT Week【オンライン】 開催概要
展示製品
セミナー概要
この度、ITツール・Webサービス比較サイトSTRATE(ストラテ)にクラウド型WAF「Cloudbric WAF+」が掲載されました。Cloudbric WAF+の概要のほか、導入効果、料金、導入事例なども合わせてを紹介して頂いています。
詳細については下記リンクよりご覧ください。
掲載WebサイトURL
https://strate.biz/waf/cloudbric/
Cloudbric WAF+に関するお問い合わせについては、下記のお問い合わせフォームをご利用ください。
https://www.cloudbric.jp/inquiry/