SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

Data Tech 2024

2024年11月21日(木)オンライン開催

EnterpriseZine Day Special

2024年10月16日(火)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

【ExtraHop】山西 毅の「ソフトウェアサプライチェーン攻撃の脅威と対策」

ソフトウェアサプライチェーン攻撃に備えるためのチェックリスト

第3回

 サプライチェーン攻撃の被害が深刻化している。IPAの「情報セキュリティ10大脅威 2023」においても「サプライチェーンの弱点を悪用した攻撃」は前年の3位から2位へと順位を上げており、実際に2022年はサプライチェーン攻撃により多くの企業が被害に遭った。サプライチェーン攻撃は複数の分類があるが、本連載では、ソフトウェアサプライチェーン攻撃の現状と対策について紹介する。

NDRソリューションが提供すべき5つの機能

 NDRが提供すべき機能として、前回「クラウド規模の機械学習(ML)」について紹介した。ここではまず、残りの4つの機能について紹介する。残りの4つとは、「連続およびオンデマンドのパケットキャプチャ(PCAP)」「内部トラフィックの戦略的復号」「調査ワークフロー」「資産検出」である。

継続的およびオンデマンドのパケットキャプチャ(PCAP)

 ネットワークデータは、ハイブリッドやマルチクラウドにおけるセキュリティと監視のための究極の“真実のソース”といえる。このため、ネットワークパケットをキャプチャするPCAP機能は、セキュリティおよびITチームがネットワークで何が起こっているかを正確に把握することに役立つ。

 PCAPは、高度なサイバー攻撃に対して、侵入方法や影響範囲を特定するためのフォレンジック分析と調査に活用できる。また、Executive Order 14028やOMB M-21-31といった米国連邦政府のサイバー近代化指令に準拠するため、コンプライアンス面でも有効となる。ただし、PCAP機能には「継続的PCAP」と「精密(手動・オンデマンド)PCAP」の大きく2種類あることに注意が必要。

 継続的PCAPは、平常時からネットワークを通過するすべてのパケットを収集し保存する。このため、セキュリティイベントやパフォーマンス問題の発生前、発生中、発生後のパケットを分析が可能になる。また、脅威を未然に防ぎ、新しい脅威情報を入手したときにデータを遡って調査することにも役立つ。ただし、大容量のストレージが必要となる。

 精密なPCAPは、手動またはトリガーによって「オン」にしたときのみ情報を収集する。このため、必要とされるストレージスペースは継続的なPCAPよりはるかに少ない。しかし、トリガーされる前の情報は入手できず、侵害を検出できなかった場合もキャプチャは行われない。

 企業においては、常時稼働する継続的PCAPと、イベントまたは手動によってトリガーされる精密PCAPの双方を活用できるNDRソリューションが理想といえる。

内部トラフィックの戦略的復号

 サイバー攻撃者は、侵入した企業に気づかれないように機密情報を入手するために、高度な技術を駆使する。例えば、C&C(コマンド&コントロール)サーバーへの通信にHTTPSなど一般的なプロトコルを使用する。また、すでに暗号化されている組織内のトラフィックを利用することもある。

 コンプライアンス要件などにより、今後より多くのネットワークトラフィックが暗号化されると考えられる。そうなると、サイバー攻撃者は独自の特別なツールを導入することなく、を検知することも難しくなる。

 しかし、企業が暗号化キーを作成したトラフィックのみを復号する(戦略的復号)場合は、キーを持たないトラフィック(例えば、従業員がオンラインバンキングや個人の電子メールアカウントにアクセスする)を復号しない。このため、プライバシーを損なわずにトラフィックを確認する能力を得ることができる。

 戦略的復号では、SSL/TLSだけでなくMS-RPC、WinRM、SMBv3にも対応できることが重要だ。これらのプロトコルを通過するトラフィックを復号することで、サイバー攻撃者によるラテラルムーブメントを非常に早い段階で検知できる。NDRソリューションを選ぶ際には、最新の脅威に対応できる戦略的復号が可能なものを選ぶべきといえる。

調査ワークフロー

 NDRソリューションを選ぶ際には、機能とユーザーインタフェース(UI)も重要な評価ポイントとなる。ガートナーも、"NDR技術のメリットの一つは、その管理・監視コンソールがインシデント対応のワークフローを促進する機能である"とコメントしている。

 しかし、一部のNDRワークフローのUIは、不便で操作しにくい場合がある。また、オンプレミスやクラウドなど、異なる環境のUIを行き来する必要がある場合もある。優れたUIはデータの理解に役立つ。サイバー攻撃が増加し、高度化する中で、複雑すぎる調査ワークフローに煩わされることなく、インシデントに対応できる必要がある。

 アナリストが高度な脅威をより理解し、封じ込めることができるよう、明確で直感的な調査ワークフローを提供するNDRソリューションを選ぶ必要がある。クラウドスケールのMLでデータを収集し、事前に分析を行うことで、NDRはセキュリティ調査に関連する多くのステップを自動化でき、前例のない可視性、決定的な洞察、迅速で確信に満ちた対応のための回答をすぐに提供できる。

<p> (図版)</p>
 NDRソリューションのUI例 [画像クリックで拡大]

資産検出

 レガシーシステムへの依存度が高い業界や、管理されていないデバイスが多数存在する業界では、企業のネットワーク上のすべての資産を発見し、その攻撃対象領域を内側から調査する能力が不可欠となる。

 シャドーITやIoTデバイス、BYOD、サードパーティの請負業者やサービスプロバイダーなど、従来よりもアタックサーフェスは拡大しており、自社やサードパーティのセキュリティを完全に監査できない傾向がある。しかし、こうした課題も適切なNDRソリューションによって軽減できる。

 ネットワーク上に存在しているものを正確に把握するためには、自動化された資産発見が不可欠となる。適切なNDRソリューションは、新しいデバイスが通信するとすぐに自動的に検出できる。さらに、継続的な監視によりデバイスを自動分類し、依存関係をマッピングし、デバイスが環境内の他の類似したデバイスと比較して異常な動作を示すたびに、MLにより正確なアラートを作成する。

次のページ
ソフトウェアサプライチェーン攻撃に備えるためのチェックリスト

この記事は参考になりましたか?

  • Facebook
  • X
  • Pocket
  • note
関連リンク
【ExtraHop】山西 毅の「ソフトウェアサプライチェーン攻撃の脅威と対策」連載記事一覧

もっと読む

この記事の著者

山西 毅(ヤマニシ ツヨシ)

ExtraHop Networks Japan株式会社 日本担当バイスプレジデント
ネットワーク・セキュリティに関する業務に20年以上携わり、デジタルガーディアン株式会社、パロアルトネットワークス株式会社、ルックアウト・ジャパン株式会社、リバーベッドテクノロジー株式会社、ジュニパーネットワークス株式会社、...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/17920 2023/06/29 09:00

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング