先般発生した公的機関における大規模な情報漏えい事故に代表されるように、標的型攻撃による組織の被害には沈静化の傾向が見られない。こうした状況を受けて、ここに来て多くの企業が早急な対策を進めているものの、標的型攻撃とはどのようなものか、そしてなぜ深刻な脅威なのかを正しく理解しているところが果たしてどれだけあるのか疑問も残る。

ソフトバンク・テクノロジー 技術統括 セキュリティソリューション本部 シニアセキュリティエヴァンジェリスト、辻伸弘氏

そこで9月11日(金)に開催されるセミナー「標的型攻撃 / セキュリティセミナー」の特別講演では、ソフトバンク・テクノロジー 技術統括 セキュリティソリューション本部 シニアセキュリティエヴァンジェリスト 辻伸弘氏が、最新の状況を踏まえて標的型攻撃についての考え方を改めて整理するとともに、最適な対策に必要な手順を紹介する予定だ。そこで本稿では当日のセミナーに先立ち、標的型攻撃やそれを取り巻く世間の動向について辻氏の見解を語ってもらった。

標的型攻撃 / セキュリティセミナー開催!! [PR]

ご応募は⇒こちらから

あの情報漏えい事故は標的型攻撃ではなかった？

「この2、3年の間に「標的型攻撃」という言葉がひとり歩きをしてしまい、その定義があいまいになっている感が否めません」と、辻氏は疑問を呈する。

標的型攻撃の歴史は意外と古く、2006年頃には「スピア型攻撃」と呼ばれることもありました。長く時を経るにつれてその定義がぼやけてしまってきているようなのだ。例えば先日の公的機関での大規模な情報漏えい事件にしても、標的型攻撃によるものとされているが、本当にその組織だけをターゲットにした攻撃だったのかどうかについて、辻氏は疑念を抱いている。

「たとえターゲットに含まれていたとしても、攻撃者は多くのの組織を対象にしていて、少しずつ内容を変えていただけなのかもしれませんし、もしかしたら次の攻撃のための踏み台だったのかもしれません。そうなってくると、もはやこれは「標的型」と言えるのかどうかわからなくなってきますよね。たまたま被害を受けた組織が世の中的に目立ったというだけで、攻撃者から見ればことさら特別な攻撃対象ではなく、他の多くの組織と同じように扱われていたとも考えられます。なのに、あれもこれも「標的型攻撃」と呼んでしまういことは特別視されてしまい、自分には関係ないと思う方が多くなるのではないかとも危惧しています」(辻氏)

つまり、着目すべきは標的型攻撃であるかどうかではないということだ。いかなる企業であっても、他の組織とサプライチェーンでつながっている以上、もはやサイバー攻撃に無関心であってはならないと認識することこそが重要なのである。

標的型攻撃 / セキュリティセミナー開催!! [PR]

ご応募は⇒こちらから

「ある攻撃が標的型攻撃であったかどうかやその意図・狙いというのは、こちら側の調査である程度推測はできたとしても最終的には攻撃者に聞かないとわからないことですので、あまりそこにこだわっても意味はありません。そうではなく、攻撃者はどのように組織間や個人間の関係性を巧みに利用するのかなど、標的型攻撃だけではなく昨今の脅威の本質の部分を正しく理解することが重要なのです」

また合わせて、先の公的機関に送られた標的型メールでも使われた手口同様、攻撃者が組織の公開メールアドレスを探す手法も紹介される。そのうえで、標的型攻撃の7つのフェーズを具体的に解説しながら、その対策を考える道筋が示されるのである。

「“うちは標的型攻撃など無関係だろう”とか “標的型攻撃が何となく怖いんだ”ではなく、きちんと攻撃の性質を認識したうえで、“正しく怖れる”ことが結果的にセキュリティの向上につながります。そのためにも、もういちど標的型攻撃についての考え方を皆さんと一緒に整理をしていきたいですね。ただやみくもに怖がるのではなく、“これならば自分たちでも対策できる”と、小さくとも希望のようなものをもっていただけるような講演にできればと思っています」──。セミナー当日は少しでも多くの人々に、辻氏のメッセージをしっかりと受け止めていただきたい。

(マイナビニュース広告企画)

[PR]提供：マイナビ