犯罪者の選択

前回は、インターネットの黎明期から海外、特にアメリカの最新セキュリティ製品を国内に展開してきた筆者の目線で見たサイバーセキュリティの変遷についてご説明しました。

今回からは、過去と現在で大きく変わったと感じている「人の脆弱性」に注目したサイバーセキュリティの話をしたいと思います。まずは、現実世界の犯罪とサイバー空間の犯罪を比較し、セキュリティ対策のトレンドをご紹介します。

賢い犯罪者はサイバー空間に集まる?

実社会にしろ、サイバーの世界にしろ、目的を持った犯罪者は、なるべく捕まるリスクが少なくて、得られる利益が大きいフィールドを選ぶと言われています。迅速に目的を達成でき、身元が割れず、痕跡が残らないフィールドがベストなわけです。

最近では、コンビニ強盗などが減っている一方で(『余談:コンビニ強盗が激減した理由』参照)、サイバー空間での犯罪は増えている傾向にあります。その匿名性から、犯罪者が目的を達成するうえでは、相対的に物理空間よりもサイバー空間のほうが”割の良い”場所になっていると言えます。

サイバー攻撃はコンピュータやサイバー空間からやってきますが、当然のことながら背後には人がいます。

ただし、人手により一件一件攻撃する家内制手工業的なやり口ではありません。クラウドコンピューティングの普及により、事実上無制限のリソースを使って、高速で大規模な攻撃を、安価に、簡単に仕掛けられる環境が整っているので、それを存分に活用します。しかも、クラウドに隠れることで、見つかりにくくなるという副次的効果もあります。

さらに悪いことに、サイバー攻撃に国家が関与しているケースもあると指摘されています。サイバー攻撃には、金銭、知財、政治、思想などにまつわる目的があり、利益を得ようとする主体が大きな組織であることもあるのです。

こうしてみると、サイバー攻撃は攻撃者優位の図式が成り立っているように思われます。

標的型攻撃を防ぐ試み

注意していただきたいのは、サイバー攻撃と一言で言っても、ばら巻き型と標的型の2種類があるということです。

ばら巻き型は、最新のセキュリティテクノロジーや製品で防御がほぼ可能ですが、標的型は犯罪者(あるいは団体や国家)が目的を持って標的とする企業を攻撃してきますから、いったん防御に成功しても、引き続き、手を変え品を変え、ダイナミックに、より高度な攻撃を仕掛けてきます。

高度な検知とDeception

こうした標的型攻撃への対策については、さまざまな試みが続けられています。

標的型攻撃は、既存のマルウェアに手を加えながら攻撃を実施することもあるため、シグニチャやブラックリストですべてを防ぐことは事実上無理です。そのため、振る舞い検知やより高度なマルウェア検知を取り入れる試みもありました。

また、前述のように、防御に成功したとしても、攻撃者からすれば、どこまで対応できるか/できているかの情報を手にすることになります。次の攻撃への手掛かりとして使われ、徐々に陥落することになりかねないため、新たな対策として、目的達成に近づく直前までわざと泳がせておく「Deception(騙し)」と呼ばれる方法も考えられました。

例えば、攻撃者が個人情報を狙ってきていることがわかれば、企業ネットワークへの侵入まではいったん甘受し、例えばターゲットとなる個人情報などに攻撃者がリーチする直前になって一気に対策を講じます。攻撃者を混乱させ、攻撃の時間をかけさせるという戦術です。

攻撃に時間がかかればかかるほど、攻撃者の身元がバレる危険が高まります。攻撃側の目的にもよりますが、それほどのリスクを冒すくらいなら、セキュリティの甘そうな他のターゲットを探す方にシフトしていくでしょう。そうした流れで攻略を諦めさせる戦略です。

Deceptionの実施に向けて

Deceptionを実施するには、常に攻撃者の動きを監視し、意図を理解し、必要な段階で必要な対策を打つことが求められます(図1)。

自社をサイバー攻撃から守るという視点では、図1のような「止めないセキュリティ」は非常に有効な考え方で、一歩先を行っていると言えるでしょう。

ただし、攻撃者を監視し、次の攻撃や打ち手をどうするかを判断・実行するのは、相当なスキルを持ったセキュリティ担当者が必要です。人材面でも費用面でも負担になる体制を敷かなければなりません。自社での調達が難しい場合は、セキュリティ運用のアウトソーシング等を利用するという手もあります。

このあたりの具体的なお話は、次回以降で追ってご紹介しましょう。