三菱電機、不正アクセス事案の第三報を公開。サイバー攻撃者にとって有益なヒントが多数公開される。現在JavaScriptが無効になっています。Yahoo!ニュースのすべての機能を利用するためには、JavaScriptの設定を有効にしてください。JavaScriptの設定を変更する方法はこちら。三菱電機、不正アクセス事案の第三報を公開。サイバー攻撃者にとって有益なヒントが多数公開される。6:00ツイートシェアブックマークサイバー攻撃の成功した手口は、同業他社を狙うサイバー攻撃者に大きなヒントとなる。(写真:アフロ)三菱電機は、1月20日に発表した機密情報の流出が疑われる不正アクセスに関する調査結果となる第3報を公開した。現段階で判明しているサイバー攻撃の経緯や手法、対策案等が記載されている。■現段階での調査状況、対策案の公開には疑問点も100%完全なサイバー攻撃対策は有り得ない。公表された内容を後から批判するのは簡単なことである。セキュリティ対策の末席に関わるエンジニアの一人として、今回第三報として公表された内容は果たして他企業にとって有益な物だろうか?むしろ、第二、第三の被害発生に繋がる「ヒント」を、サイバー攻撃者に提供してしまっているのではないだろうか?と疑問を感じざるを得なかった。三菱電機の受けた不正アクセス被害とはどういった事案だったのか?現在までに公表されている同社が受けた不正アクセスの経緯をまとめると以下の通りとなる。サイバー攻撃者に侵入される中国拠点にあるウィルス対策管理サーバーが、外部からゼロディ攻撃を受ける。パターンファイルアップデート機能を悪用され、同拠点内の他端末に侵入が拡大する。※ウィルス対策管理サーバーへの攻撃者の送信元IPアドレスは詐称されていた。3月18日にウィルス対策管理サーバーに対して侵入が成功したということであれば、侵入行為が一回で成功するとは考えづらくそれ以前から不正アクセス失敗等の予兆は存在していたと考えられる。不審な挙動を検知ウイルス対策ソフトの挙動検知機能によって、国内拠点の端末での不審な挙動を検知。不正アクセスと断定PowerShellを用いたファイルレスマルウエア攻撃の実行を確認。万台の端末とサーバーを共通管理している構成管理ツールで調査実施。PowerShellが他の複数の端末にも存在することを確認。国内外の複数拠点にまたがる不正アクセスの可能性が高いと判断。同日までに不正な通信先を遮断。社会インフラに関する機微な情報、機密性の高い技術情報、取引先に関わる重要な情報は流出していないと発表。社会インフラに関する機微な情報は含まれていなかったという発表を撤回。・防衛省の「注意情報」が含まれていたことを2月7日に発見し、防衛省に報告したことを公表。(NIST)の規格である「サイバーセキュリティーフレームワーク」の考え方に基づき、セキュリティ対策を実施していたが、今回はこのフレームワークをすり抜けられたとの見解を発表。・攻撃の経緯、現在までの調査結果を発表。・対策案も含めて公表。本事案は、三菱電機という日本を代表する企業ということ、漏洩したデータの中に防衛省の注意情報が含まれていたこと等から、社会的にも非常に関心の高い事案である。そのような関心の高い事案の調査結果を公表することは、一見すると社会全体の情報セキュリティ向上に貢献出来ると捉えられなくもない。企業毎にセキュリティ対策にかけられる予算や人員には大きな違いがあり、今回の三菱電機の教訓を全ての企業が活かせるわけではない。自社CSIRTを運営している企業でさえ、検出することの出来なかった有効な攻撃手段として、日本を狙うサイバー攻撃者達に多くのヒントを提供してしまっているのでは無いだろうか?・NIST流、多層防御でも不正アクセス断定まで10日かかった第三報の冒頭で、三菱電機はNISTのサイバーセキュリティーフレームワークを採用し、それに従って多層防御を備えていたと明かしている。そのNIST流多層防御を持ってしても、不正アクセスと断定するまでに6月28日から7月8日まで10日も要しているのである。これはサイバー攻撃者にとっては朗報だろう。日本を代表する規模の企業でかつ、NIST流多層防御を施していた企業が不正アクセスの検出から断定まで10日も必要としたのである。サイバー攻撃者にとっては「日本企業は最低10日程度は気づかない」というヒントを与えてしまっている。・適切な運用が実施されていない可能性が高いのではないか?NISTのサイバーセキュリティーフレームワークを採用し構築はされたものの、どこまでフレームワークで推奨されている定期的なソフトウェアのアップデートやログ監視が行われていたかは報告書からは読み取れない。フレームワークは実装するだけでは意味はなく、適切な運用がなされていなければ、意味をなさない。本事案が成立したことで、三菱電機程の規模と自社CSIRTを抱えるような組織であっても、十分な運用が行えていないのではないか?三菱電機より規模が小さく、セキュリティコストもかけれない日本の他企業ならより容易に攻撃出来るのでは無いか?というヒントを与えてしまってはいないだろうか?・同業他社や、国内企業のセキュリティ対策レベルの推測が可能に最新の報告書では今回のサイバー攻撃の手口が記載されているが、セキュリティ対策を迂回されてしまったポイントも明記されている。報)」この図を見ると、マルウェアに感染したサーバー以外に、遠隔からのマルウェア感染拡大の通信が成功していたこと、不審なクラウドサービスとの通信が検出されなかったことによって、そこから感染を拡大させる行為が有効だったことが読み取れる。C&Cサーバへの通信の監視や、不審なクラウドサービスとの通信を可視化、抑止するような仕組みが実装されていない、あるいは機能していなかったことが読み取れる。全てでは無いが、セキュリティに限らず日本国内のIT投資の特徴として「同業他社と横並び」になる傾向が有る。三菱電機の一連の報告書を見たサイバー攻撃者は、三菱電機程の企業のセキュテリィであっても迂回出来る攻撃手法として、同業他社やその他国内企業を攻撃する有効な手段として、ヒントを与えてしまってはいないだろうか?・まだ対策は実施されていない第三報では、「サイバーセキュリティー対策強化に向けた今後の取り組み」が記載されおり、今後のセキュリティ対策ソリューション強化案と、4月1日以降にセキュリティ対策を新体制で刷新すると記載されている。一見するとセキュリティ強化が成されると読み取れるが、サイバー攻撃者の視点に立てば「まだ強化されていない」「4月1日まで新体制にならない」と読み取れる。セキュリティ対策案は実施してから公表すべき内容では無いだろうか?・全ての企業が三菱電機と同程度の対策を実施出来るわけではない第三報の最後は「当社は、今回の事案を教訓として、社会全体のセキュリティーレベル向上に貢献してまいります。」と締めくくられている。同社は今回の事案の概要や同社が行った対策を社会に公表することで、日本全体のセキュリティレベル向上に貢献出来ると考えたのかもしれない。残念ながら全ての企業が三菱電機同様にNIST流多層防御を実装出来るわけではないし、自社CSIRTを運用出来るわけでもない。三菱電機の今後のセキュリティ強化施策を真似出来るわけではない。セキュリティにかけられる予算と人員リソースは企業によって大きく異るからである。いった状況と社会的にも注目の高い事案で、サイバー攻撃の成功の手口を公開することは、社会的意義よりも、三菱電機よりセキュリティ対策を具備できない他の日本企業に対するサイバー攻撃を増加させるリスクは無いだろうか?■GDPR対応等の観点からも不安が残る今の時代、グローバルにビジネスを展開している企業が意識すべきは、NISTのサイバーセキュリティーフレームワークに準拠していることではなく、欧州のGDPRや米国カリフォルニア州消費者プライバシー法(CCPA)等の法令対応である。これらの国や州に属する個人情報流出が発生した場合には、制裁金を課せられるリスクがある。GDPRは個人情報の流出を企業が認識した場合には、72時間以内に管轄監督機関に報告する「努力」をしなければならない。三菱電機の不正アクセス断定から、アクセスされたファイルの仕分けまでには一ヶ月の時間を要しており、そこからさらに事案の公表には半年経過している。自社CSIRTを抱える企業でさえ、これ程の時間を必要とするのだから、他の企業はGDPR等の要求に対応することは出来るのだろうか?という不安を感じる。昨年米国で不正アクセスによって一億件以上の情報漏えい事故を起こした「CapitalOne」は2019年7月17日に外部のセキュリティ研究者から報告を受け、その2日後の2019年7月19日に内部調査によってインシデントの発見に至り、2019年7月29日に本件を公表と対策が完了したことを発表している。不正アクセス直後はその数が膨大であったため大きな批判を集めたが、その後の迅速な対応を評価する声は多い。三菱電機の不正アクセス事案はセキュリティ業界でも関心は高く、詳細の公開を求める声は少なくない。注目度の高い事案だけに、情報公開には慎重に対応する必要があるだろう。SIerに所属し、通信業界で設計、提案、企画を14年経験後、クラウド利用増加に伴いクラウドセキュリティソリューションのビジネスイネーブルメントを担当し、現在はクラウドセキュリティコンサルティングを担当している。経営学部にて非常勤講師を兼務しており、即戦力の有る学生を育成するため学生向けに企業におけるモバイル/クラウド活用講座を実施している。6:00確定申告が2月17日から開始。新型コロナウィルス対策のためIT利用を推奨。スマホからの申告も可能に。18:31NTTデータ、協働者がコロナウィルスに感染。14名の濃厚接触も特定される。世間のイメージとの大きな溝に迫る。Limitedによって提供されており、この機能によって生じた損害に対してヤフー株式会社は一切の責任を負いません。