Global(English)サイト内の現在位置を表示しています。企業の中には、NOC(ネットワーク機器の死活監視)だけにも拘わらず、SOCと言っているケースも散見されると聞きます。SOCは、お客さまのセキュリティ製品が検知した脅威をレベル分けしてお客さまに連絡するのが主な業務ですが、実際の現場では、どのような課題があるのでしょうか。SOCでインシデント発生時に頼りにするのは、お客さま環境のさまざまな「ログ」です。これがないと、"いつ・どこで・誰が・何を・どのように行ったか"正確に掴むことができません。ログの取得と管理はセキュリティ対策すべての基本になるわけですが、意外なほど、ログを正しく取得していないケースが多いです。「正しくログを取っているほうが珍しい」ぐらいかもしれません。フォレンジック調査を行う上では端末ログだけだと詳細が分からない。ネットワーク機器のログも取得しておく必要があります。プロキシサーバのログがどれだけ残っているかで調査の精度がかなり変わってきます。さまざまな機器から出力される膨大なログを管理するには、アーカイブ用のストレージも含めてかなりコストがかかります。ここが企業にとってもネックになっていますが、組織の運用事情に合わせて相応の期間、ログを保存しておく必要があります。いくつかのログを短期間でも保持して頂ければ、何がどこまで行われたか掴めると思いますが、それすら実施されていないケースでは、「何の情報が盗まれたか」と問われても、調査の手立てすらありません(推奨されるログ取得箇所の一例については、下の図を参照)。拡大する近年のサイバー攻撃者行動を検出するためには、下記のログ収集が重要です。フォレンジック調査は、明らかにインシデントが発生したと判断されると呼び出されます。「1台、ウイルス感染したから見てほしい」とのことで、お客さまの環境に伺うのですが、実際には、数台のケースもあれば、1000台以上の場合もありました。その場合、フォレンジック(サイバー犯罪の証跡を科学的に分析)調査は、予算との兼ね合いで通常は数台で終了します。調査した結果、ほとんどのケースで、何らかの情報が盗まれています。従って、我々の仕事は、被害に遭ったことを証明するための作業ともいえます。して話を伺ってみると、高度化したサイバー攻撃ばかりが注目されますが、実際は基本的な対策をしっかり実施していれば、防御できることも多そうですね。セキュリティに対する意識が醸成されていないことが大きな要因かもしれません。「対岸の火事」になっていて、セキュリティに費用をかける文化やマインドになっていないわけです。その結果、新しいシステムを構築したりリプレースする場合でも、現場やベンダ任せになってしまう。経営層が特別に費用を計上しないという方針ならば、現場はIT予算のどこかを削るしかない。そこでセキュリティに関するチェックやシステムが甘くなるという悪循環を生んでいるのではないでしょうか。セキュリティの費用は5年で一括りにできるようなものではないので、そうした体制や認識を変えることがこれまで以上に大事になってくるでしょう。1つ、技術的な問題もあります。組織が大きくなるとプロキシサーバも多段構成になり、それによって端末間のログの時間がズレてくること。最近は仮想サーバのVM間でも時間がズレているケースがあるので、インシデントの調査時に大変苦労しています。そのあたりはインシデント発生時の現場保全状態が深く関わってきます。感染端末のネットワークからの隔離まではよいのですが、電源を落としたり、アンチウイルス製品でスキャンしたりしますと、検体が除去されるだけでなく、感染端末のログも消失します。発生した事象を時系列に因果関係や原因調査する上でも、無理せずインシデントの現場を保全して頂き、専門家に任せていただくことが肝心ですね。企業側で中途半端な調査を行ったことにより、証跡のログが上書きされて全く調査不能というケースもあります。私もインシデントの調査依頼を受けて実際に調査してみると、数台の感染との話が、実際には数千台に広がっていたというようなケースも...。その規模になると、業務の一時停止やメディア発表など事業継続にも影響が出るレベルですね。これは当社が担当した事例ではありませんが、ログがほとんど取得されておらず、調査不能なケースもあるようです。そのためお客さま側は「何者かが侵入した形跡はあるが、情報が外部に漏れている証拠もない。公表する必要はない」と判断したそうです。コンプライアンス的にも問題がありますし、内部告発などで外部に発覚した場合は、マスコミなどから「組織的隠蔽」と非難されても仕方がありません。ならないためにも事前に徹底した対策を立て、万一の際に調査できる基盤を作っておくべきでしょう。そこでお役に立てるのが、専門家の知見と技術になるわけですね。NECのSOCでは、セキュリティの専門家が24時間365日体制でお客さまのネットワーク境界のさまざまな機器を統合的に監視・分析して支援しています。そこでのお客さまとの関係性で何か気づいたことはありますでしょうか。当たり前のことですが、やはりSOC単独では巧妙化・先鋭化するサイバー攻撃を防ぐことはできません。お客さまには情報システムを運用する際のセキュリティ設計やログ管理の仕組み、CSIRT体制をしっかり構築していただくことが必要です。フルタイム監視とはいってもIDS/IPSの機器不具合などで一時的に監視が止まるケースもありますし、(業務上必要な通信はお客さまによって異なることもあり)正常な通信でもSOC側で把握していないと不審な通信として検知するケースもあります。リモートからサービス提供する状況では限られた情報しかないため、できる事も限られます。いった細かな部分も理解しながら、常に情報や問題意識を共有し合い、最適なセキュリティ運用を行っていける信頼関係を築き上げていくことが必要です。ログ取得の重要性について標的型攻撃メールは、フリーメールや取引先・関係組織の送信元を偽装(その組織に侵入して正規アカウントを不正利用)して送信されます。これらを受信するメールサーバのログ取得が必要です。Controlサーバ(攻撃者が攻撃の制御で使用するサーバ)へコールバックなどが発生するため、FireWall、IPS・IDSなどの通信ログ、Webプロキシサーバのアクセスログが必要です。ログや、社内リソースへのアクセスで使われるAD(ActiveDirectry)などの認証サーバのログも必要です。Controlサーバを通じて攻撃者の指示を受けながら、組織内の別のPCへの感染活動やファイルサーバなどへのアクセスを行い、最終的に盗み出した情報を外部に送信します。ログ保存期間に関する考え方NISC、JPCERT/CC、IPAは、1年以上のログ保存を推奨しています。長期にわたる高度サイバー攻撃などでは、調査に必要なログの保持期間が長引く傾向にあります。NISC(内閣サイバーセキュリティセンター)は、1年以上のログ保存期間を推奨。JPCERTコーディネーションセンター)では、インシデント対応支援などの結果から1年分のログ保存を推奨。)は、1年以上のログ保存を推奨。ログの保存は、自組織の運用に合わせた適正化が必要です。SOCもCSIRTもない組織はどうすればよいか?もしも、自組織のシステム管理者がサイバー攻撃の兆候を見つけた場合、情報漏えいや組織内への感染拡大など攻撃の進展を食い止める必要があります。インシデント発生時の初動対応で留意すべき事項は、下記の通りです。最近のマルウェアは複数のファイルを使用して動作しており、一部のファイルがターゲット先で削除されるとマルウェア調査ができない場合があります。PCやサーバなどの各種設定(ログインパスワードを含む)を変更する。設定の変更がマルウェアによるものか否か判断できなくなり、調査がより困難になります。ス対策ソフトなど)をインストールし実行。マルウェアの痕跡が失われ、マルウェア調査ができない場合があります。被害の拡大を防止するために、直ちにネットワークから切り離すことが推奨されていますが、ネットワーク切断されるとマルウェア自身が自己消去して証拠隠滅を図る場合があります。感染PCをシャットダウンすると、メモリ上に展開していたプロセスやマルウェアが生成したデータなどが消失します。マルウェアやその痕跡が消去されると、被害範囲の特定も駆除も困難になります。機密漏えいと感染拡大の防止が最優先されますが、状況に応じて専門家に相談することも重要です。Corporation。