Inspector」で内部侵入した未知の脅威を可視化2017年08月07日更新ITのデトックスデータの脱メタボ社内システムにいつのまにかマルウェアが潜り込んでいる。社内情報が知らぬ間に社外に送り続けられている。そんな状況にある企業がもしかしたら少なくないのかもしれない。サイバー攻撃の被害が相次ぐ今、社内のセキュリティ環境を見直して、溜まりかけた毒素を排出(デトックス)できる環境を構築すべき時期が到来しているようだ。合わせて、増えすぎたデータの棚卸し(脱メタボ)も実行し、データを的確に保護できる環境も整備したい。今年の5月と6月に発生したランサムウェアの世界的な被害は、改めてサイバー攻撃の恐ろしさを顕在化させた。企業はいつでも犯罪者たちのマルウェアの餌食になり得ることが浮き彫りになったが、ランサムウェアについては被害がすぐに表面化するという特長があった。攻撃者側は感染の事実を知らせて身代金を要求するのがランサムウェアの手口だからだ。一方で、マルウェアに感染していることを気づかせないで内部情報などを継続的に搾取する標的型サイバー攻撃のリスクも依然として存在している。トレンドマイクロによると、標的型サイバー攻撃による被害の公表事例は減少しているが、マルウェアに侵入されている企業は「4社に1社」の割合で発生しているという。これは同社が監視サービスを行った事例から無作為に抽出した100件の調査において、標的型サイバー攻撃の疑いのある通信(RAT通信)を確認した法人組織の割合が25%という結果による。2016年上半期には、月平均で59万件の不審な通信を確認したという。標的型サイバー攻撃の攻撃手法は以下の通り。「標的型サイバー攻撃では、攻撃前に対象を徹底的に調べあげます。社内システムなども調査した上で不正プログラムを作成するため、いわば成功前提で攻撃されるわけです。標的型サイバー攻撃の特性によって、これまでは「攻撃に気づけない」「脅威へ対処するまでに時間がかかる」「被害が拡大してしまう」といった悪循環が形成されていた。特定の企業を狙った未知の不正プログラムは従来型のアンチウイルス対策などでは検知が難しく、社内システムに長くとどまって情報を搾取され続けてしまうリスクが高い。そのため、現在では「侵入されることを前提」とした対策の導入が常識になりつつある。した対策において重視されるのは、企業のシステム内に侵入した脅威をいち早く顕在化させる機能と迅速に対処できる体制だ。Inspector」を提供している。Inspectorは、標的型サイバー攻撃による初期段階から内部への拡散、外部への通信に至る攻撃フェーズを監視するソリューションだ。具体的には、不審なデータをサンドボックス上で実行して危険度を判定したり、不正なWebサイト(C&Cサーバー)への接続を検知したり、サーバーへの不正な通信を検出したり、マルウェアに感染したクライアントの特定と内部活動の原因究明を可能にしたりする。Inspectorで未知の脅威の可視化が可能になりますが、可視化後には、ログの精査やパターンファイルの生成と端末への配布といった対処も必要になります。Defense」というプロセスを提案している。これは、未知の脅威の発見から解析、シグネチャの生成、端末への配信・管理、脅威のブロックまでの一連の流れを同社の各製品を連携させて自動で実現する仕組みだ。Manager」に配信する。コーポレートエディション」を経由してサーバーやクライアントに配信され、未知の脅威の検知、ブロック、隔離が実現する。「システムに侵入した未知の脅威に対抗するためには、まずは可視化が必要です。Inspectorの導入がそうした未知の脅威の迅速な検知を可能にするのです。標的型サイバー攻撃の特性によって、これまでは「攻撃に気づけない」「脅威へ対処するまでに時間がかかる」「被害が拡大してしまう」といった悪循環が形成されていた。特定の企業を狙った未知の不正プログラムは従来型のアンチウイルス対策などでは検知が難しく、社内システムに長くとどまって情報を搾取され続けてしまうリスクが高い。そのため、現在では「侵入されることを前提」とした対策の導入が常識になりつつある。した対策において重視されるのは、企業のシステム内に侵入した脅威をいち早く顕在化させる機能と迅速に対処できる体制だ。Inspector」を提供している。Inspectorは、標的型サイバー攻撃による初期段階から内部への拡散、外部への通信に至る攻撃フェーズを監視するソリューションだ。具体的には、不審なデータをサンドボックス上で実行して危険度を判定したり、不正なWebサイト(C&Cサーバー)への接続を検知したり、サーバーへの不正な通信を検出したり、マルウェアに感染したクライアントの特定と内部活動の原因究明を可能にしたりする。Inspectorで未知の脅威の可視化が可能になりますが、可視化後には、ログの精査やパターンファイルの生成と端末への配布といった対処も必要になります。Defense」というプロセスを提案している。これは、未知の脅威の発見から解析、シグネチャの生成、端末への配信・管理、脅威のブロックまでの一連の流れを同社の各製品を連携させて自動で実現する仕組みだ。Manager」に配信する。コーポレートエディション」を経由してサーバーやクライアントに配信され、未知の脅威の検知、ブロック、隔離が実現する。「システムに侵入した未知の脅威に対抗するためには、まずは可視化が必要です。Inspectorの導入がそうした未知の脅威の迅速な検知を可能にするのです。氏ただし、「高価な専用製品を導入したり、専門の人員がいなければ運用できないソリューションでは意味がありません」と関場氏は指摘する。Business』ならば、標準機能で振る舞いの記録やロールバックなどが利用できます」とアピールする。標準装備されている脆弱性管理機能で利用できる脆弱性レポートの画面。Businessには、「システムウォッチャー」という機能が搭載されている。これは、PC上のアプリケーションによって実行された動作に関するデータを記録し、ファイルやレジストリの改ざん、外部ネットワークへの不正な接続、脆弱性を狙った攻撃などの動作があった場合にブロックできる機能だ。「動作ログの取得によって、不正なプログラムが悪さを始めたら止めることが可能になります。不正プログラムの侵入後に役立つ機能です」(関場氏)ブロックだけでなく不正なプログラムによる処理を元に戻すロールバックも行える。現在のセッションと以前のセッションも含めて疑わしい動作に関する情報が収集されるため、後で悪意のあるアプリケーションとして判明した場合でも、そのアプリケーションで実行された処理を元に戻せるのだ。システムウォッチャーでは脆弱性を狙った攻撃もブロックできる。Officeなどの頻繁に狙われるアプリケーションの挙動を監視して、不審な実行ファイルが起動されようとした場合、追加のセキュリティチェックを行ってブロックする。脆弱性の管理がこれからのキーワード関場氏は、「これからは脆弱性を管理できるソリューションの注目度が高まっていくでしょう」と見解を明かす。プログラムの不具合や設計ミスによって生じる脆弱性は、さまざまなサイバー攻撃に利用されるため、その管理を徹底できるかどうかが、サイバー攻撃の被害に遭う確率を左右する。アプリケーションに脆弱性が発見された後はメーカーからパッチの適用が促されるが、それらがすべてのシステムに適用されることはまずなく、発見された脆弱性を利用した攻撃のリスクにさらされることになる。「管理する端末やシステムの脆弱性を人手ですべて把握するのは困難です。端末のパッチ適用を従業員個人に任せているケースも少なくありません。BusinessのAdvancedエディションでは、クライアント端末にインストールされているアプリケーションの脆弱性の定期的な監査を可能にし、定時レポートを作成できる機能が搭載されている。パッチ適用の強制実行やスケジュール実行なども可能で、サイバー攻撃によって狙われる脆弱性の穴を攻撃前に埋められるようになる。Businessの導入によって利用できるEDR系の機能や脆弱性対策は、費用をかけられない中小企業にとって魅力的だ。Businessを切り口にした提案手法について次のようにアドバイスする。「費用対効果が高いため、販売パートナーの皆さまにとっては、エンドユーザーに対してセキュリティの見直しを促せます。販売パートナーの皆さまが脆弱性レポートを活用すれば、エンドユーザーのシステム環境を知るチャンスにもなり、そこから新たな提案の機会も創出できるでしょう」ライフサイクルで守る「すべてのサイバー攻撃からシステムを100%守りきるのは今や不可能です。平野祐司氏もこう語るように、すでにアンチウイルス製品やゲートウェイ製品だけでサイバー攻撃を防御できる時代は過ぎ去った。現在は、社内システムに侵入されることを前提として、被害を最小限に抑えられる仕組みの構築が主流となってきている。氏マカフィーが提唱しているのは「脅威対策ライフサイクル」だ。そのサイクルを構成するのは、「Protect(防御)」「Detect(検知)」「Correct(復旧)」「Adapt(適応)」の四つ。Protect(防御)は、従来のアンチウイルスやゲートウェイ製品によって実現されるが、現在はそれだけでは十分ではない。システムに侵入された場合でも、その兆候などを素早く検知(Detect)して、被害を速やかに復旧(Correct)できることが重要だ。負担の大きな運用プロセスを自動化して被害を最小化する。して得られた情報をライフサイクルにAdapt(適応)させて防御力や運用効率を高める。それが、マカフィーの脅威対策ライフサイクルというアプローチだ。「現在は、何らかのインシデントが発生した際は、担当人員が総出でシステムを点検して、それでも原因がわからない場合は外部に依頼するようなケースが少なくありませんが、それでは時間とコストがかかり過ぎてしまいます。Response」に統合されている)。主な機能は以下の通り。■コンテキスト情報を収集し、システムの状態を常時監視。攻撃の兆候の可能性がある変更や潜伏している攻撃コンポーネントを検出して、分析、運用、フォレンジックに向けた脅威情報をセキュリティ担当者に自動的に送信する。■実際の攻撃やその可能性のある挙動に関する警告を受けた際に、攻撃の状況に合わせてデータの自動収集、アラート、対応方法を自社のポリシーに合わせてカスタマイズ可能。脅威を検出・駆除できるように事前に設定された対応アクションを実行する。■攻撃イベントを検出した場合は、自社システムからデータを検索して表示する「コレクター」が、あらかじめ対応アクションなどを設定した「トリガー」を実行し、ユーザーとシステムに攻撃があったことを警告する。一つの命令セットで、重要なイベントや状態の変化を継続的に監視できる。「怪しい通信があれば遮断し、ファイルをサンドボックスに送って分析します。不正なプログラムが検出されれば駆除し、そのデータはフィードバックして検知率の向上に役立てます。PCディスプレイからケーブルが消える日。