標的型攻撃への対策でできることはもはやダメージコントロールだけ？
今さら言うまでもなく、標的型攻撃によって企業や組織が受ける被害は、年々増大している。日本年金機構が約125万人分もの個人情報を漏えいさせた事故はまだ記憶に新しいが、ほかにも連日のように標的型攻撃に起因する情報漏えい事故が報道されている。しかし標的型攻撃は、何も最近になって出てきたものではない。
ハミングヘッズ株式会社 顧問の石津 広也氏
「IPAが公開している資料『2011年 標的型攻撃／新しいタイプの攻撃の実態と対策』によれば、2005年には日本でも官公庁に対する標的型攻撃が報告されている。しかもその手口は、マルウェアを仕込んだファイルをメールに添付して職員に送り付けるというもので、今日行われているそれとほとんど変わりがない」（石津氏）
つまり、標的型攻撃は10年前から既に存在し、その間に使われている手口もほとんど変わっていない。にもかかわらず、なぜいまだに有効な対応策が取られずに、被害が続出しているのか。石津氏は、その背景には「攻撃手法の高度化」があると指摘する。
「未知の脆弱性を狙ったゼロデイ攻撃が多くなり、アンチウイルス製品では対策が困難になってきた。また近年のマルウェアは、サンドボックスでのふるまい検知型ウイルススキャンを回避する工夫もなされている。さらには、メール受信者に添付ファイルを開かせるために、実に用意周到で巧妙な手口を使うようにもなっている」
もちろん、こうした攻撃を防ぐためのさまざまな対策が提唱されているものの、それらすべてを行ったとしても、もはや攻撃を100％防げるとは言い切れないのが実情だ。そのため、いまやセキュリティ業界では「侵入や情報漏えいを100％防ぐことはできないため、ダメージコントロールに重点を置くべき」という論調が大勢を占めつつある。
ダメージコントロールの前にできることはもっとある！
しかし石津氏は、こうした論調に異を唱える。
「ダメージコントロールをするしかないという論旨の背景には、『添付ファイルを開くことを止められない』『ゼロデイ攻撃は止められない』『未知の攻撃は検知できない』という前提がある。しかし最新のセキュリティ技術を使えば、こうした前提を覆すことは可能だ」
そして、それを可能にするセキュリティ製品の一つが、ハミングヘッズが開発・提供する「Defence Platform」なのだという。同製品は、プログラムが何らかの不正動作や疑わしい動作をした際に、その動作をいったん止めて、画面上にダイアログボックスを表示してユーザーにアラート通知してくれるというものだ。
メールの添付ファイルを介した攻撃には、ある決まったパターンがある。まずユーザーが添付ファイルを実行すると、不正プログラムのインストールが実行される。そしてインストールが完了したら、スタートアップフォルダやレジストリに不正プログラムが自動登録される。その後はバックドアを開いて外部のC＆Cサーバに接続し、コマンドを実行してその結果をC＆Cサーバに送信する。
こうした「インストール」「自動設定」「バックドア作成」「C＆Cサーバとの接続確立」といった各動作をプログラムが行おうとするたびに、Defence Platformは介入してユーザーにアラート通知する。こうして、マルウェアが不正動作を試みるあらゆる機会を捉えてユーザーに確認を促すことで、たとえ未知の攻撃であっても検知・シャットアウトできるという。
「確かに、ユーザーをいくら教育しても、巧妙な手口で送られてきたメールの添付ファイルを実行してしまうことは避けられない。しかし、たとえ不正プログラムを実行してしまっても、その後のインストールや登録、コマンド実行、通信といったタイミングで何度もその動作をブロックする機会を提供してくれる。これによって、『標的型攻撃は止められない』『ダメージコントロールするしかない』という前提を覆すことができる」（石津氏）
標的型攻撃対応を解説した新刊を抽選で10名様にプレゼント！
標的型攻撃対応の専門書『Defense Platform 標的型攻撃対応セキュリティ導入ガイド』が翔泳社から1月7日に刊行されました。刊行を記念し、抽選で10名様に本書をプレゼントいたします。Security Online Dayでも講演されているハミングヘッズさん監修のわかりやすい解説本となりますので、ご興味のあるかたはこの機会にお申込みください！
『Defense Platform 標的型攻撃対応セキュリティ導入ガイド』
- 目次：
- Chapter1 企業を取り巻くリスク ～ウイルスの歴史
- Chapter2 標的型攻撃とは何か
- Chapter3 エンドポイントセキュリティとDefense Platform
- Chapter4 ビジネスエディションの導入方法
- Chapter5 DePの基本設定ホワイトリストの作成
- Chapter6 ディフェンスモードへの移行
- Chapter7 DePをより便利に使う
- Chapter8 DePのログを読む
