5連休だったシルバーウィークも終わりました。次に大型のシルバーウィークが来るのは11年後とか6年後とか言われておりますが、皆様楽しまれましたでしょうか?さて、リレーコラムは「すぐできる標的型攻撃対策」をテーマに、3人の方の寄稿を連載します。中林聖裕様の寄稿です。聖裕)標的型攻撃による被害は、依然として多発しています。標的型攻撃を受けると、漏洩した情報の面、コストの面において、多大な影響を被ります。標的型攻撃を受けた場合、すぐに発見できればいいのですが、なかなか発見することができないのが実状です。セキュリティ調査会社のMandiant社の調査によると、標的型攻撃を受けた組織の「94%」が第三者の報告によって、初めて標的型攻撃を受けたいたことがわかったそうです。標的型攻撃が発見されにくい理由としては、攻撃が巧妙化している、最新のウイルス対策ソフトで検知されないことを確認してから、ウイルスを送りつけるなど、セキュリティ対策をかいくぐる手法を利用しているからです。最新のウイルス対策ソフトを持っている攻撃者の割合は、「100%」との報告もあります。このような状況の中では、標的型攻撃の対策は、「標的型攻撃から防御する」という考えから、「標的型攻撃を受けても情報を漏らさない」という考えに転換することが重要です。組織にとって重要な情報です。その一つは、「特権ID」情報です。特権ID情報さえ入手できれば、攻撃者は、ネットワークやサーバを自由に調査でき、しかも、正当なユーザになりすますことができるため、発見を遅らせることもできます。標的型攻撃を受けた場合、「100%」、認証情報が盗まれていると、同Mandiant社は報告しています。このように、「標的型攻撃を受けても情報を漏らさない」ための重要な対策の一つとして、「特権ID管理」があります。「特権ID管理」の重要な点について、お話しします。特権IDとは、様々な定義があると思いますが、ここでは、以下のように定義します。デバイス、アプリケーション、制御装置(SCADA)などに存在し、一般的には従業員の3倍の特権IDが存在するという報告もあります。このように、組織には多くの特権IDが存在し、特権IDの悪用が組織に多大な影響を及ぼすにもかかわらず、適切に管理されていないケースが見受けられます。特権IDのありがちな利用状況をいくつか挙げます。特権ID管理が適切におこなわれていない場合、攻撃を受けやすく、また、利用状況が不明であるため、インシデント発生時の追跡が困難になります。リスクを軽減する上で必要と思われる項目を挙げました。先にも述べましたが、標的型攻撃ではほとんどの場合、認証情報が盗まれています。特権IDで、直接、サーバにログインしているケースでは認証情報の盗難は、致命的なインシデントになります。そのため、サーバにログインする際は、少ない権限の一般ユーザIDでログインし、必要に応じて、特権を利用することがリスクを軽減する方法になります。Linux/Unixでは、一般ユーザでログイン後、’su’コマンドや’sudo’コマンドで、また、Windowsでは、runasコマンドで一時的に特権を利用します。ユーザごとに、アクセスできるサーバを制限することも重要です。(2)利用者識別(本人確認と認証の強化)脆弱なパスワードや長期間同一パスワードを利用している場合は、パスワードが推測され、なりすましの危険性があります。複数のユーザでパスワードを共有している場合は、誰が特権IDを利用しているか不明になる恐れがあります。いずれの場合も、標的型攻撃など、セキュリティ事故が発生した時に、特権IDの利用者を識別できないため、調査や原因の特定が遅れ、被害を拡大させる危険性があります。以下に、利用者を識別するための対策例を記述します。ユーザごとに一意のIDを割り当て、複雑なパスワードを利用するパスワードは定期的に変更するワンタイムパスワードなどの二要素認証を利用するすでに、共有の特権IDを利用しており、ユーザごとに一意のIDを割り当てることが難しい場合は、特権ID管理ソリューションなど、共有の特権IDを利用している環境においても利用者識別ができるシステムを利用することをお勧めします。(3)トレーサビリティセキュリティ事故が発生した場合、調査や原因の特定をおこなうためには、証跡が必要です。特権ID利用に関して、以下の項目が証跡の内容に必要です。特権IDを利用したサーバ利用した特権IDさらに、詳細な調査や迅速な調査をおこなうために、「特権IDを利用した際の操作(コマンド)記録」を取得することを推奨します。操作記録の取得には、専用のソリューションや特権ID管理ソリューションでおこなえ、取得方法は画面を動画で取得する方法やキーストロークを取得するものなどがあります。以上が、特権IDに対する必要最低限の管理項目になります。これ以外にも考慮すべき項目を挙げておきます。万が一、標的型攻撃で利用者PCがマルウェアに感染した場合、直接、重要なサーバへのアクセスやマルウェアの拡散を防ぐために、論理的にネットワークを分離するここに挙げた管理項目を今までに聞いたことがある方もおられると思いますが、特権IDに関して、対策が適切におこなわれていないケースが多々見受けられます。特権IDの認証情報は、その権限の大きさから、標的型攻撃の攻撃者が最も入手したい情報であり、高セキュリティで保護されたサーバや情報へアクセスするために必要な情報です。特権IDを適切に管理し、保護することは、万が一、標的型攻撃を受け、ネットワークに侵入された場合でも情報を守ることができます。特権IDの管理について、もう一度、見直してみられてはいかがでしょうか?#連載リレーコラム、ここまで<お断り>本稿の内容は著者の個人的見解であり、所属企業及びその業務と関係するものではありません。★マイナンバー対応情報セキュリティ検討WGでは、マイナンバー制度に対応した情報セキュリティ対策の導入や運用に役立つ情報を提供するためのポータルサイトを作成、公開しました。このポータルサイトの活用方法の説明と、マイナンバーに関する理解を深めるために、10月5日にWG主催セミナーを開催します。ただいま申込み受付中です。※JNSA会員の方を対象に18時より飯田橋カナルカフェにて15周年記念パーティ(参加費無料)も行います。あわせてご参加ください。★「JNSAセキュリティセミナー」開催中!JNSA設立15周年記念イベントの一環として、全国各地でセキュリティセミナーを開催します。★登録情報にご変更がある方がいらっしゃいましたら、事務局までご一報をお願いいたします。☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。*************************************。