(特権ID)による成りすましの防止(トレーサビリティ上、最も重要な起点)について、第5回でサイバーセキュリティ対策について述べてきました。Team:セキュリティ事故対応組織)]となります。日本は欧米に比べて、IT技術者の所属する組織に大きな違いがあるようです。IT技術者の70%が、欧米では一般企業に、日本ではIT企業に在籍していると言われています。セキュリティ技術者はまだ絶対数が少ないことを併せて考えると、CSIRT(セキュリティ事故対応組織)を各事業体で組織化する難しさが浮き彫りにされます。事業体に専門家を育てる、リクルートする事も基本的には大切なことですが、昨年11月に実施された一般社団法人金融ISAC*1の「サイバークエスト*2」合宿のレポートで発表されたアンケートの内容が興味を引きます。攻撃側に参加したセキュリティ技術者はアンケートで「この合宿に参加して、久しぶりに友達に出会うことが出来た」との事です。IT技術者の中でも、セキュリティ技術者はまだ特殊な位置づけとなっていることから、組織的なノウハウの継承が難しいと言うことを、予め認識しておく必要があります。社を超える金融機関が会員となって活動している。連携して情報交換を行っている。日で実施されたサイバー攻撃演習。まで攻撃される事態になる。チームの守備側は既存の対応マニュアルでは役に立たず、現場の確認、システムの対応を行う。目にする謝罪会見を行うこととなる。システム面でも、体制面でも、自社の脆弱性に直面し、これからやるべき課題が明らかになる。想定を超える事態が発生した場合のアクションプランの立案と言うことが無理のない考え方と思われます。Management:統合ログ管理)が重要かつ必須です。Response):エンドポイントでの検出と対応のキーワードが話題となっております。Response)はエンドポイントセキュリティの検知を一歩進めた、ファイルレス(Fileless)、パワーシェル(PowerShell)、エクスプロイト(Exploit)を利用した管理者権限を乗っ取った振る舞いなどを検出し対応を実行として捉えると言う考え方です。どちらも必要な要素で、組み合わせて原因究明を行う事も想定しなければなりません。忘れてはいけないことは、ついリアルタイムでサーバ攻撃を発見することに目を奪われがちですが、日本のサイバー攻撃などによる漏えい事故は、自分で気付かず、NISC(内閣サイバーセキュリティセンター)、警察、JPCERT/CC等からの連絡で初めて認識させられるケースが多い*3と言うことです。この様な場合は、SIEMの相関分析などにより原因究明を行います。最初に突破したウィルスが、年金機構内の閉ざされているはずのメールアドレスを盗み出し、侵入を拡大させた。発見の経緯は以下の通り。日に日本年金機構は警視庁から情報流出の事実を知らされた6回続けて来た連載のテーマ「セキュリティソリューションの要はエンドポイントにある」の主旨から、今回はEDRについて以下に説明します。Response(エンドポイントでの検出と対応)」のことで、EDRプラットフォームは、エンドポイントの監視を強化するために構築され、標的型攻撃やランサムウェアなどによるサイバー攻撃を検出して対応するために使用するエンドポイント・セキュリティ・ソリューションです。Chuvakin氏によって2013年にこの用語「EDR」が定義されました*4。データの探索https://blogs.gartner.com/anton-chuvakin/2013/07/26/named-endpoint-threat-detectionresponse/高度なエンドポイントセキュリティプログラムであるEDRに欠かせない7+1の重要な要素は次の通りです。フォレンジック対応をアウトソーシングサービス利用の場合は、回線遮断してもサービスセンターとの通信を確保するEDRソリューションはすべての関連する攻撃活動を総合し、攻撃の及ぶ範囲を特定し、フォレンジック調査に大きく貢献します。ここで、従来のエンドポイントセキュリティ製品とEDR製品の違いを明確にしておきます。ビジネススイートを例に挙げると、従来のエンドポイントセキュリティ製品は「マルウェアに感染しないこと」を担い、実行型ファイル(.exeファイル)のパターンマッチング、振る舞い検知を実行します。不正な挙動の検知およびマルウェアに感染した後の対応を迅速に行うことと目的が異なっており、EDRは従来のエンドポイントセキュリティ製品でカバーできていなかったチェック(検出)と対応を担う領域と言えます。EDRソリューションにはアウトソーシングサービスが組み合わさったものがあり、製品(サービス)内容、自身のセキュリティ環境に適合するか否かを判断する必要があります。Response:エンドポイントでの検出と対応)マネージドサービス](別途契約)が、エージェントインストール型でエンドポイントセキュリティと連携して機能する上、アウトソーシングサービスとしてセキュリティセンターの人手で対応するサービスとなっています。このRDSをベースに具体的にEDR製品(サービス)の説明をします。Response)マネージドサービス(有人対応)です。Center)チーム、特にセキュリティ技術者を維持することが出来ない事業体に最適です。フォレンジック(コンピュータなどのデジタルデータを対象とした電磁的記録の証拠保全及び調査・分析)対応を有人で実施し、事業体のCISO(最高情報セキュリティ責任者)に通知します。Service)概要は図1の通りです。Center)と連携します。デコイセンサー(エンドポイントにて実行される囮センサーで記録した、ネットワーク接続や接続の試み、通信など)により、イベントベースのデータを収集します。Center:セキュリティセンター)にリアルタイムで送られ、分析されます。Officer)に報告が上がると共に、「インシデント対応」も示されることになります。forensics)パソコンやサーバ、ネットワーク機器など、デジタルデータを扱う機器全般の蓄積された通信・操作記録から違法行為の証拠となる活動記録を割り出したり、破壊・消去された記憶装置を復元して証拠となるデータを割り出したりといった技術・活動。不正アクセスや機密情報漏洩など、コンピュータや通信ネットワークに直接関係する犯罪において、捜査や立証に活用される。2018年4月19日、追加サービスとして、日本国内のサービサーによるセキュリティオペレーションセンター(SOC)サービスが発表されました。Officer:最高セキュリティ責任者)への連絡(メール)は日本語となり、問い合わせも日本語で可能となります。当初は日勤帯(平日ビジネスタイム)体制により5月31日から開始されますが、24時間365日体制の対応も計画されています。有人オンサイトサービスも別料金で依頼可能などきめ細かいサービスが提供されます。Team)*6としての対応方法に関してRDCの助言を得る、又は対応方法そのものを教えて貰うことが出来る、と考えを進めると、この様なサービスを利用することの価値を理解することが出来ます。Agreement:サービス提供者と利用者との間でサービス内容に関し明示的になされた合意)として「30分以内に通知」と定義されている点も見逃すことが出来ません。Incident(以降、インシデント)」に対応するための専門チーム。サイトにおいて以下のように説明されている。情報システムの運用におけるセキュリティ上の問題として捉えられる事象。改ざん、DoS(DDoS)など。組織内で発生したインシデントに対応する「組織内CSIRT」。必要に応じた被害者への保証などの対応を挙げることが出来ますが、EDRソリューション(サービス)が全てをカバーする訳ではありません。そもそも、EDRソリューション(サービス)はユーザーのSIEM(統合ログ)の相関分析を行うものではありません。EDRソリューション(サービス)はSIEMより「動作・挙動」に関して粒度の細かい情報を監視すると言う大きな特徴があります。ユーザーが必要とする行動の専門家(ユーザーだけのために作業をして貰うことの出来る専門知識を持ったコンサルタントまたはエンジニア)に依頼しなければならないものが含まれます。今回の冒頭で述べたように、セキュリティ技術者を自分自身で育成して体制に組み込むことの難しさを前提とした場合、第5回で述べたエンドポイントから見たサイバーセキュリティ対策を一歩進めたEDRソリューション(サービス)をカバーする範囲を正しく理解した上で活用する事が大きな意味を持つことは間違いありません。2017年から各ベンダーから積極的に発表されているこのソリューション(サービス)は注目する必要があります。今回を最終回とする予定でしたが1回延長させて頂き、少し時間を頂いて、次回はセキュリティ対応システム構築パターン別投資額からみた施策の指針について説明します。(2)静脈認証とは指静脈認証は生体認証の1種で、指の静脈を読み取り、本人確認を行う技術です。高い次元で兼ね備えた認証機器とソフトウェア開発キットを提供して、エンドユーザー様と開発パートナー様、双方の利便性を追求した静脈認証ソリューションの提供に尽力しております。日本自動認識システム協会)という組織の中にバイオメ...中国出張時に生体認証関連で感じたこと4月に中国出張をしました。一週間ほど中国に出張していました。社長ブログ創立記念日にあたって本日12月6日で、弊社は創業まる9年となりました。