用語集インシデント関連情報Homeインシデント関連情報セキュリティの最新動向のニュースまとめと事故事例についてインシデント関連情報Pocketでシェアする2018-05-24セキュリティの最新動向のニュースまとめと事故事例についてインターネットでセキュリティに関するニュースを追いかけていると、毎日のように攻撃事例が報告されています。オンライン・オフラインを問わず身の回りに数多くの情報機器が存在する現代において、私たちがサイバー攻撃から無縁だと思える根拠はどこにもありません。すべてのハードウェア、ソフトウェアには脆弱性が潜んでいる可能性があると考え、常に万全の状態でいることが重要なのです。万全の状態でいるとはどういう事でしょうか。「常に自発的にアンテナを張り、そこで得られた情報をもとにセキュリティ環境を改善していく」ということです。実際に脆弱性を利用したサーバー攻撃の事例を見てみると、その攻撃が最初に確認された日付は、その脆弱性への修正パッチが発表された日付より後であることがほとんどです。順番としては修正パッチ⇒攻撃となっているのです。かかわらず、なぜこんなことが起こるのでしょうか。それは単純に、アップデート修正パッチをあてたり、ソフトウェアのアップデートを行ったりしていない企業が多いからだといえます。逆に言えば、常に最新の情報を仕入れ、きちんとそれに伴ったアクションをとっていれば、大半の攻撃から身を守れるということでもあります。本記事では、執筆時点での情報セキュリティの具体的な最新情報を紹介していきますので、ご自身のアンテナが正しく機能しているかをチェックしてみてください。spectre、meltdownに続く第三の情報5.結局は人に原因あり。一般データ保護規則7.セキュリティにかける予算の変化と実情8.無知が生む被害。終わりの見えないイタチごっこ私たちが特に考えるべき脆弱性というのは、製品の開発、販売、提供が済んだ後に見つかるものです。メーカーが苦心に苦心を重ねて世に送り出した製品であっても、どこかに脆弱性が見つかってしまうものです。その現状を考えれば、100%安全という事はあり得ません。したメーカー側が公開する脆弱性だけではなく、攻撃者が独自に見つけ出した脆弱性が攻撃に使われることもあります。メーカーが公表した脆弱性に対して行われる攻撃も、悪意のあるユーザによって発見された脆弱性に対して行われる攻撃も絶えることはなく、サイバー攻撃から身を守るためのアップデートの旅というのは、途中で情報機器を全放棄でもしない限り永久につきまとってくる、イタチごっこのようなものなのです。そんなイタチごっこの中で企業の情報資産を守るという役目を持つセキュリティ担当がやるべきことと言えば、繰り返しになりますが、常に最新の情報に触れ続けることで、情報資産を守るセキュリティ環境を担保していくことです。WannaCRYに学ぶ「1年前の脆弱性でも放置されている現状」2017年に世界中で大きな被害を巻き起こしたランサムウェアが、「WannaCRY」です。大企業から小規模な事業所まで、数多くの、そしてさまざまなコンピュータが被害に遭い、甚大な損失が発生しました。ここまで大きな問題となっているのは、WannaCRYに用いられている攻撃ツール「EternalBlue」に対する修正パッチをきちんと適用しない人が多かったことです。大手企業や病院などが被害に遭ったという報道でWannaCRYを知り、慌てて対策パッチを入れた、と言う人もたくさんいましたが、ここで少しデータを見てみましょう。Softwareによると、過去1年間の間に起こったWannaCRYによる攻撃は、1億7600万回(日本国内だけでも16万回近く)にも及ぶそうです。Securityの発表では、先ほどのEternalBlueを利用した攻撃は2018年4月に最多を記録したそうです。WannaCRYが盛んに報道されたのは、2017年の春先です。修正パッチも公開されている現状で、なぜ攻撃回数が増え続けているのでしょうか。言うまでもないことですが、この数字は私たちに、どれだけ多くの人がアップデートをし、修正パッチをあてていないかを示唆しています。Softwareの調査では、2018年5月時点で全世界のWindowsパソコンのうち29%(日本では11%)に、EternalBlueに対する脆弱性が残っているとされています。修正パッチの公開から1年を経たにもかかわらず、これほどまで多くのコンピュータが未修正のままあるという事は、攻撃者にとっては非常に都合の良い状況と言えます。セキュリティ担当者であるにも関わらず、この攻撃者にとって都合のいい環境づくりに加担しているのなら、すぐにでも更新をかけて、教訓として胸に刻んでおきましょう。複合型ゼロデイ攻撃のきざし複数の脆弱性を組み合わせて行われるのがこの「複合型ゼロデイ攻撃」です。Acrobat/Readerの脆弱性と、Windowsの脆弱性を組み合わせることで非常に高い攻撃力を持った攻撃手法が挙げられます。Acrobat/Readerでは2018年5月の修正、Windowsでは同年5月の月例パッチ、それぞれのタイミングで対策が図られているのですが、しかしこの攻撃手法、実は2018年3月にはすでに確認されていたのです。これは脆弱性が公開される前に発生したゼロデイ攻撃(正確にはゼロというよりマイナスなのですが、ここでは便宜上ゼロデイと呼びます)になります。脆弱性を利用した攻撃の大半は脆弱性公開後に発生しますが、中にはこのように悪意のある攻撃者自身が脆弱性を見つけ、攻撃を仕掛けるものもあります。Acrobat/ReaderとWindowsのように複数の脆弱性を組み合わせたものも増えてきています。これを防ぐためには、社内では今どんなソフトウェアがインストールされているのかをきちんと管理、把握し、逐一アップデートをかけていくことが重要です。spectre、meltdownに続く第三の情報ソフトウェアのように修正パッチを当てたりアップデートをかけたりできない、特殊な脆弱性があります。それは上書き機能のないハードウェアの脆弱性です。上書きできないという事は修正ができないという事であり、この脆弱性への対策としてはOSレベルでの機能の修正を行うという方法がとられます。そんな厄介なハードウェアの脆弱性ですが、各社が発売しているCPUに脆弱性が発見されたというニュースが話題となったのは、2018年の初頭でした。インテル製CPUに見つかった「meltdown」と、多くのメーカーが対象となる「spectre」です。それぞれすでにOS開発メーカーと連携して修正が完了しています。「ハードウェアのひとつの脆弱性が、ユーザの手元にあるモバイルデバイスからデータセンターまで広範囲に被害を及ぼす」ということを実感した一件と言えるでしょう。そんな状況で2018年5月、新たなCPUにおける脆弱性が発見されました。これもspectre同様、各メーカーで作られているCPUに共通して見つかった脆弱性です。現状これを利用した攻撃は確認されてはいませんが、常にアンテナを張り情報収集に努めることで素早い対応を心掛けることが大切です。ちなみにインテルは、5月中には第1弾パッチを、8月には第2弾パッチのリリース予定を発表しています。