サイバーセキュリティ 攻撃への対策のフレームワークや考え方

ウィキペディア

サイバーセキュリティ

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/07/03 03:39 UTC 版)

攻撃への対策のフレームワークや考え方

サイバーセキュリティフレームワーク

NIST（アメリカ国立標準技術研究所）のサイバーセキュリティフレームワーク(正式名称：重要インフラのサイバーセキュリティを向上させるためのフレームワーク)によれば、重要インフラのサイバーセキュリティ対策は以下の５つのフェーズに分類できる：

	具体例	担当する組織
特定	資産管理、ビジネス環境、ガバナンス リスクアセスメント、リスク管理戦略	リスク管理部門		活動範囲の広い CSIRT
防御	アクセス制御、意識向上およびトレーニング、データセキュリティ、情報を保護するためのプロセスおよび手順、保守、保護技術	-	(2018年現在から見た)従来型のIT管理部門
検知	異常とイベント、セキュリティの継続的なモニタリング、検知プロセス	いわゆるSOC、CSIRT
対応	対応計画の作成、伝達、分析、低減、改善		危機管理部門
復旧	復旧計画の作成、改善、伝達	-

上の表でSOC、CSIRTはセキュリティ対応のための組織である。両者の役割分担や関係性、業務内容等は企業毎に異なるが、概ねSOCは「平時」の分析運用を行い、CSIRTは「有事」のインシデント対応を行う。

このフレームワークは、それ以前の類似のフレームワークと比較した場合、攻撃が行われた後の検知、対策、復旧のフェーズの重要性を明確化した事と、各フェーズの習熟度について言及した事に特徴がある。

このフレームワークでは「ガバナンスのサイクル」と「マネジメントのサイクル」を回すことがサイバーセキュリティ対策で重要だと主張している。

またおなじNISTが発行したSP800-61「コンピュータセキュリティ・インシデント対応ガイド」ではインシデント対応プロセスは、準備、検知および分析、封じ込めおよび根絶、インシデント後の活動の4段階に分類されるとしている。

以下、サイバーセキュリティフレームワークの各フェーズを説明するが、一部JPCERT/CCの文献を元に加筆した。

特定

サイバーセキュリティ対策をする上で基本となるのは、守るべき資産を特定し、各資産のリスクを把握することである。

組織の置かれた状況の特定

産業分野やサプライチェーンにおける自社の位置づけ、重要サービスを提供する上での依存関係と重要な機能等を把握し、自組織のミッション、目標、活動に関する優先順位を決め、伝達する必要がある。JPCERT/CCは、守るべき資産を特定する前準備として、組織のプロファイルを作成することを推奨している。このプロファイルには規模や提供製品のような基本的事項のみならず、システムダウンの影響度合いや規制のレベルなどリスクアセスメントに必要となる情報も含める。また、組織のサイバーセキュリティ防御能力に関する文書を作成する。

またセキュリティに関する法規制を把握し、自組織の情報セキュリティポリシーを定め、セキュリティに関する役割と責任について内外のパートナーと調整や連携を行う。さらにガバナンスやリスク管理のプロセスをサイバーセキュリティリスクに対応させる。

守るべき資産とそのリスクの特定

自組織内の物理デバイス、システム、ソフトウェアプラットフォーム、アプリケーション、外部情報システムといったリソースの一覧を作成し、ネットワークの通信やデータフローを図示し、これらのリソースやデータのうち、守らなければならないものとその理由、およびそれが抱える脆弱性を特定する。この際、ビジネスに対する潜在的な影響とその可能性も特定する。そしてそれら守るべき対象を守れなかった場合に発生するリスクを、脅威、脆弱性、可能性、影響等を考慮して分析し、リスクに対処するためのコストやリスクが顕在化した場合の減損、対処後の残存リスクを特定し、自組織の役割、事業分野等を考慮してリスク許容度を明確化する。そしてビジネス上の価値に基づいてこれらのリソースやデータを優先度付けをする。さらに自組織の従業員や利害関係者に対し、サイバーセキュリティ上の役割と責任を定める。リスク管理のプロセスを自組織の利害関係者で確立、管理、承認する必要がある。

なお、保有資産の特定にはIT資産インベントリ検出ツールが利用でき、未登録機器の発見にはDHCPサーバのロギング機能等が利用できる。またアクセス監視の際、資産リストと突合する事で、承認されたデバイスのみがネットワークに接続されている事を確認できる

なおリスク分析の際にはどのようなタイプの攻撃者が自組織が属する業界を攻撃するのかを事前に特定しておくのが望ましい。

脆弱性管理による防御

脆弱性管理計画の作成・実施を行い、脅威と脆弱性に関する情報を入手する必要がある。JPCERT/CCによれば、脆弱性スキャンはセキュリティ設定共通化手順「SCAP」のチェックリストにより検証済みのスキャナを用いて、毎週ないしそれ以上の頻度で行う必要がある。これによりコードベース・構成ベース方法の脆弱性を検出する事が可能である。攻撃検知のイベントログと脆弱性スキャン結果を突合することで、どの脆弱性が標的にされたのかを判別できる。アプリケーション、OS双方に対し自動パッチ適用ツールを用いる事が望ましい。

ID管理とアクセス制御による防御

自組織の全ての従業員のIDに対してアクセス制御リスト(ACL)を定義し、ACLに従って従業員の資産や関連施設への物理アクセスやリモートアクセス、データへのアクセスを制限する。ACLは定期的に棚卸し、人事の異動、追加、削減に際してアクセス権限の無効化や従業員の審査を行う。従業員等にシステムや資産に対する権限を与える場合には、最小権限の原則に従う。

システム開発時の防御

システムの開発ライフサイクルや設定変更を管理する。また開発の際には開発環境やテスト環境を実環境と分離することで情報漏えい等を防ぐ。

意識向上やトレーニングによる防御

全てのユーザをトレーニングし、権限ユーザ、上級役員、利害関係者、 物理および情報セキュリティ担当者にポリシー、手順、契約に基づいた役割と責任を理解させる必要がある。またAPTなどの攻撃に対する演習を事前に行っておく必要がある。

データの防御

自組織のリスク戦略に従って、保存されたデータや伝送中のデータの機密性、完全性、可用性を保証する。データの可用性の保証に関しては十分な容量を確保し、機密性に関しては漏洩対策を実施し、完全性に関しては何らかの完全性チェックメカニズムを導入する。データは定期的にバックアップ・テストする。またデータはポリシーに従って破壊し、資産の撤去、譲渡、廃棄も管理する。

なお情報はその機微度に応じて「高、中、低」等の格付けを事前に実施し、自組織を狙う可能性がある攻撃者がどのような情報に関心を示すのかを特定しておく事が望ましい。

保守運用作業における防御

システムのベースラインを設定・維持する必要がある。保守と修理はポリシーや定められた手順に従って実施する。重要な資産を保護するプロセスを定め、重要なシステムに対して適用可能なセキュリティ管理策を全て実施していることを確認する。保守や修理の際は、管理されたツールを用いてタイムリーに行い、ログを記録する。特に遠隔保守の際には、承認、ログの記録、不正アクセス防止を行う必要がある。監査記録やログの対象をポリシーに従って決め、取得した監査記録やログをレビューする。ログデータは、DNS、プロキシ、ファイアウォールなど重要機器に対して取得し、時刻はNTPにより同期する。事前にセキュリティを強化し、構成管理を厳密に行ったOS等のイメージを作成しておき、従業員のPCや新規導入システムにはこのイメージをインストールする。

ネットワークのセキュリティ構成は、変更管理委員会によって文書化、確認、承認を行う。

その他の防御方法

セキュリティポリシー、プロセス、手順を維持し、資産の物理的な運用環境に関するポリシーと規制を満たすようにする。また保護プロセスを継続的に改善する必要がある。

インシデント対応、事業継続、インシデントや災害からの復旧計画の実施・管理・テストを行う。保護に使う技術の有効性の情報共有を行う。

取外し可能な外部記憶媒体はポリシーに従って保護したり、使用を制限したりする。

またJPCERT/CCによれば下記を行う事が望ましい：

• 自組織のセキュリティ方針やセキュリティ計画に情報システム・重要データが扱う必要がある。
• 自組織のネットワーク境界の外部および内部からペネトレーションテストを定期的に実行する必要がある。ペネトレーションテストに用いるアカウントはコントロール・モニタリングし、テスト終了後に除去するか通常機能に戻ることを確認する。
• システムで使うソフトウェアが限定されている場合には、実行可能なソフトウェアのホワイトリストを作り、そうでない場合は利用して良いソフトウェアとそのバーションを定めて無許可のソフトを検知できるようにする事でリスクを低減できる。利用して良いソフトウェアが改竄されるリスクを低減する為、ファイル完全性チェックツールでモニタする事が望ましい。

検知

検知を行う前提条件として、ネットワーク運用のベースラインを定め、データフローを特定・管理する。そしてセキュリティイベントを検知できるよう、ネットワーク、物理環境、個人の活動、権限のない従業員・接続・デバイス・ソフト、外部サービスプロバイダの活動等をモニタリングし、マルウェア対策ソフトなどで悪質なコード、特にモバイルコードを検出できるようにする。

そしてイベントログを複数の情報源やセンサーから収集し、SIEMなどで一元管理して、相互に関連付け、検知したイベントを分析し、その影響範囲を特定する。また事前に定めたしきい値に従って、検知したイベントをインシデントとみなすかどうかを判断する。

検知プロセスはテストし、継続的に改善する必要がある。また説明責任が果たせるようにする必要がある。

対応

CSIRTの主たる担当業務である。検知フェーズで発見したセキュリティイベントにタイムリーに対応できるよう対応計画を事前に定めておき、法執行機関の支援が得られるよう情報共有や利害調整を行う。そして対応計画にしたがってインシデント分類し、フォレンジックを行うなどしてセキュリティイベントを調査し、その影響範囲を把握し、事前に定めた基準に従ってインシデントの封じ込めないし低減を行う。インシデント対応の結果学んだ教訓を生かして対応計画を更新する。

復旧

タイムリーに復旧できるよう事前に復旧手順を定め、復旧の際にはその計画を実施する。システムの復旧を行うのみならず、広報活動を管理するなどして評判回復に努める。対応フェーズと同様、教訓を生かして復旧計画の更新も行う。

開発ライフサイクルにおけるセキュリティ確保

システムの安全性を確実に担保するにはシステム開発ライフサイクルの初期段階からセーフティ、セキュリティ、プライバシーなどを考慮しておくことが望ましい。開発プロセスのより早い段階でセキュリティを考慮する事を（開発プロセスを左から右に書いたときにセキュリティを考慮するのを左に寄せる事から）シフトレフトという。特に、情報セキュリティを企画・設計段階から確保するための方策をセキュリティ・バイ・デザイン（Secure By Design、SBD）といい、プライバシーに対する同様の概念をプライバシー・バイ・デザインという。

またDevOps（デブオプス、開発 (Development) の担当者と運用 (Operations) の担当者が一体となった開発手法）の普及に伴い、これにセキュリティの確保も一体になった開発手法であるDevSecOpsも注目を集めるようになっている。DevSecOpsでは設計段階からセキュリティを意識することはもちろん、セキュリティ対策ツールを開発ライフサイクルに組み込むなどして脆弱性診断を自動化し、アプリケーションを修正するたびに脆弱性を作り込まないようチェックし、利用しているライブラリの脆弱性を日々チェックするような活動も含む。

サプライチェーンにおけるセキュリティ確保

システム開発ではその工程の一部を外注する事も多いため、サプライチェーン全てでセキュリティを担保する事が重要となる。このような調達時の脅威に対応する事をサプライチェーンチェーンリスクマネジメント(Supply Chain Risk Management、SCRM)という。ISO/IEC 27036ではアウトソーシングの際のセキュリティのガイドラインが規定されている。米国ではNIST SP800-161やNIST IR 7622にSCRMの規定がある。またISO/IEC 20243には不良品や偽造品を排除するためのベストプラクティス等が規定されている。

また事業継続計画(BMC)の観点からもサプライチェーンの継続を図ることも重要であり、SCCM(Supply Chain Continuity Management)と呼ばれ、ISO 22318に規定されている。なお災害復旧とサプライチェーンマネジメントをあわせてSCDRM(Supply Chain Disaster Recovery Management)と呼ぶ。

多層防御

多層防御とは、様々な階層で複数のセキュリティ対策を施す事で、重要部への侵入前に攻撃の検知および対応を行う事で、軍事・戦闘の世界のDefense in Depth (縦深防御) を応用したものである。複数の防御壁を設けて、一つの壁を突破されても次の壁で阻止して、機密情報に到達されてしまう確率を下げる事を目的とする。

多層防御の手法として以下で述べる入口対策、内部対策、出口対策の３つを取り入れる組織内対策や、複数組織をまたがった攻撃連鎖を上流で断つ国レベルでの対策などがある。

入口対策、内部対策、出口対策

入口対策はファイアウォール、ウイルス対策ソフト、脆弱性対策など、攻撃者やマルウェアが組織内に侵入するのを防ぐ対策手法で標的型攻撃やAPTが普及する以前は有効であった。しかし標的型攻撃やAPTでは組織に侵入する方法が巧妙化しており、しかも侵入方法の変化が激しいので、入口対策だけで攻撃を防御するのは難しい。そこで、攻撃者が組織内部に侵入しているのを前提として、組織の内部対策を行う事より侵入の拡大を防ぎ、攻撃の外向き通信を遮断・監視する出口対策により組織からの情報の持ち出しやC&Cサーバとの通信を防ぐ必要がある。

サイバーレジリエンス

サイバーレジリエンスは攻撃を受けてしまう事を前提として、攻撃を受けた際に、どのように組織の機能を維持し、いかにすばやく対処・復旧するかという回復力（レジリエンス）を高めるべきという考え方である。 世界経済フォーラムによる「グローバルリスク2013」を契機として「レジリエンス」という用語がビジネス等で使われるようになり、それと時期を同じくしてサイバーレジリエンスという用語も広まった。なお「レジリエンス」という用語はISO22300では「複雑かつ変化する環境下での組織の適応能力」と定義されている。

セキュアなネットワーク構成

非武装地帯 (DMZ)

非武装地帯(DMZ、DeMilitarized Zone)はメールサーバ、ウェブサーバ、DNSコンテンツサーバ、Proxyサーバといった、組織内、インターネット双方とアクセスする必要があるサーバ群を置いておくためのネットワーク領域で、組織内ネットワーク・インターネット・DMZの３つの領域間の通信をファイアウォールで制限する。ウェブサーバ等をDMZではなく組織内ネットワークに設置すると、ウェブサーバが用いるポートを開けて置かなければならない為、そのポートを利用してインターネットから組織内に攻撃を行う事が可能になってしまう。これを防ぐためにウェブサーバ等をDMZに設置する。

マイクロセグメンテーション

ネットワークを細かくセグメント分けする事。マイクロセグメンテーションにより、セグメントをまたいだラテラルムーブメントやウィルスの二次感染を防ぐ事ができる。実現手法としてh、スイッチングハブの各ポートにそれぞれ1台の機器を接続するというものがある。また仮想マシン（ないし仮想デスクトップ）の場合は各仮想マシンに仮想ファイヤーウォールを立てる事で、同一ネットワーク上にある仮想マシンであっても、仮想マシン一台で一つのセグメントを構成できる。

ゼロトラスト

ゼロトラストはForrester ResearchのアナリストJohn Kindervag（ジョン・キンダーバグ）により提唱された概念である。従来のセキュリティ対策ではネットワークの境界で攻撃の遮断が可能であり、境界内は信頼できる事を前提としていたが、標的型攻撃や内部犯行の広がりによりこうした前提は崩れており、攻撃者が内部に侵入してくるのを前提とした対策が必要となる。

それに対しゼロトラストは従来型のセキュリティ対策よりも「性悪説」に基づいており、組織内ネットワークであっても、ユーザがデータやリソースにアクセスする際、ユーザが利用しているデバイスの信頼性とユーザ自身の信頼性とを動的に評価してデータやリソースへのアクセス認可を行う。一般的にはゼロトラストネットワークはユーザ関連情報を管理する ID プロバイダ、リソースにアクセスできるデバイスのリストを管理するデバイス ディレクトリ、管理者が設定したポリシーにユーザとデバイスが適合しているかを判断するポリシー評価サービス、リソースへのアクセス制御を行うプロキシから構成され、ゼロトラストネットワークのプロキシはユーザとリソースの間に置かれ、ユーザはプロキシでアクセス認可を受けた場合のみがデータやリソースにアクセスできる。

アクティブディフェンス

アクティブディフェンス（Active defense、能動的防御）は、実際の攻撃に先んじて脆弱性や攻撃方法を発見して予防策を積極的に構築する取り組みの事。攻撃者が防御技術を研究して回避・無効化する事で、対応が後手に回って攻撃側に主導権を握られるのを防ぐ。

アクティブディフェンスの基本的手法としては以下のものがある：

• アノイヤンス（Annoyance）：攻撃の労力を増加させる事。デコイサーバや偽のDNSエントリなど各種デセプション技術で攻撃者を騙し、時間を稼ぐ等。
• アトリビューション（Attribution）：攻撃者の属性（Attribution）を明らかにする事。攻撃されそうなサーバやファイルにウェブビーコンやマクロ等を仕込んで攻撃者のIPアドレスや位置情報を取得する等。
• アタックバック(Attack Back)：攻撃者に攻撃し返す事。

なおアタックバックはアクティブディフェンスに含まないとする意見もある。

フリーのアクティブディフェンスツールとしては、ADHD(active defence harbindger distribution)、Artillery、Nova (Network Obfuscation and Virtualized Anti-Reconnaissance)、BearTrap、Decloak、Honey Badgerなどがある。

Moving Target Defense

アクティブディフェンスの手法の一つ。これまでのセキュリティ対策では、静的なシステムに検知技術や防御技術を導入することでセキュリティを担保していたが、それに対しMoving Target Defense (MTD)は、守るべきシステムの構成、特にネットワークを動的に変更する事で、攻撃者がシステム内を探索したりシステム構成を予測したりするのを難しくする手法である。従来のセキュリティ対策では、攻撃側がシステムを熟知しているのに対策側は攻撃者に関して断片的にしか知りえないという非対称ゆえの不利が対策側にあったが、MTDはこの種の不利を攻撃者にも背負わせようというアイデアである。