ロシアによるウクライナ侵攻（ ） をめぐる情勢が刻一刻と変化する中、世界中の政府や企業の幹部たちは、国家主体のサイバー攻撃に対する強力な防御体制の構築に注力しています。
米国、英国、EUなどによるロシアへの制裁に対する報復として、 攻撃が行われる可能性があります。 懸念されているのは、敵対勢力が、 Log4j、SolarWinds、そしてMicrosoft Exchange Serverのサプライチェーンの脆弱性を「子供だまし」のように思わせるほどの規模で行動を起こす可能性があるということです。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 を通じて、企業や組織 —規模の大小を問わず— に向けたガイダンスを発表し、 ロシアによるサイバー攻撃が重要インフラや金融機関を脅かす場合に備えて防御体制を強化するために利用可能な無料のツールやサービス を一覧化しました。 「米国内のあらゆる組織は、重要なサービスを混乱させ、ひいては公共の安全に影響を及ぼす可能性のあるサイバー脅威のリスクにさらされています」と、CISAは声明の中で警告しました。
とはいえ、経営陣は慌てない方が賢明でしょう。 サイバーセキュリティに関しては、「冷静さを保ち、平常通り行動する」という心構えを常に念頭に置いておくのが賢明です。 Taniumの米州担当CISOであるクリス・ハレンベック氏は、サイバー戦争の展開は、まずウクライナや防衛問題に関与する政府機関やNGOを巻き込み、その後、ロシアの利益に対する制裁を実施している の金融機関 が標的となる可能性が高いと述べています。 ロシア側の対応の性質次第では、サイバー戦争はそこから他の企業や業界へと拡大する可能性があります。
経営陣が万全の備えを整えられるよう、 Endpoint では、この1年間にわたりセキュリティ情勢を網羅してきた当社の専門家たちによる、最も有益なアドバイスをまとめました。 要するに、行動を起こすべきだったのは昨日だったのです。 「ウクライナ侵攻のような出来事が起きてから、サイバーセキュリティ対策に取り組もうと決めるのであれば、すでに手遅れです」と、ハレンベック氏は述べています。
サイバーレジリエンスの対応マニュアルを見直しましょう
CISAは、すべての民間企業に対し、 が最近公開したプレイブック「」を確認するよう要請しました。このプレイブックには、サイバーセキュリティの向上を図るため、 のバイデン大統領が発出した大統領令 に対応して、米国政府が展開している最新の取り組みがまとめられています。 これらのプレイブックは、行政府の連邦民間機関を対象としていますが、CISAは民間セクターに対しても、その戦略と基準の両方を活用するよう「強く推奨」しています。
「どんな計画でも、計画がないよりはましです」と、ハレンベック氏は述べています。 「自社の業務や企業文化に合わせた計画を立てるのが、さらに望ましいでしょう。」 しかし、計画を棚に置いてほこりをかぶらせておくだけでは、誰の役にも立たない、と彼は付け加えます。 企業は、従業員が計画の内容やその中で果たすべき役割を確実に理解できるよう、的を絞った机上訓練を実施し、さらにさまざまなシナリオを検証して、計画が実際に機能することを確認する必要があります。
[ぜひお読みください：CISAのインシデント対応プレイブックがCISOにとって何を意味するのか]
サプライチェーンのリスク軽減に注力する
サイバー犯罪者や国家が関与するハッカーは、組織を直接標的にするのではなく、 といったソフトウェアや、 のようなサプライチェーン攻撃、 や SolarWinds などを利用してデータを盗み出し、場合によっては米国の重要なインフラやサービスを停止させています。
彼らは、組織の業務を支えるソフトウェアに攻撃コードを埋め込み、特に脆弱性のあるソフトウェア開発パイプラインやセキュリティ対策が不十分なクラウド設定を標的にしたり、ソフトウェアの更新プロセスを悪用したりします。 欧州連合サイバーセキュリティ庁（ENISA）によると、 2021 年から2020年にかけて、サプライチェーン攻撃は4倍に増加しました。
「サプライチェーンに関連するリスクは、脆弱性によるものであれ、実際の攻撃によるものであれ、その発生頻度と深刻度はますます高まっている」と、ハレンベック氏は述べています。 「そして今、ウクライナでの紛争のような事態が発生しており、これにより、サプライチェーンに対する新たなサイバー攻撃が発生する可能性が高まっています。」 準備を整えるためには、組織は 環境をスキャンし、 自組織がどのような資産を保有しているか、それらがどこにあるか、そしてそれらの資産に何がインストールされているかを把握しなければならない、と同氏は述べています。 エンドポイントが侵害されていないかを確認し、脆弱性があれば直ちに是正措置を講じなければなりません。
[ぜひお読みください：「 Log4j」後のサプライチェーンリスクへの対処]
脅威ハンティング活動を強化する
脅威ハンティングでは、ほとんどの場合、「未知の未知」――つまり、これまで検出されていなかった異常や不審な活動、あるいはサイバー攻撃の侵入経路となり得る悪意のあるコード――を探し出すことが求められます。 体の免疫システムが機能するのと同様に、脅威ハンターは、組織のネットワークやエンドポイント（ノートパソコン、PC、タブレット、クラウド上の仮想マシンなど）全体にわたって、サイバーセキュリティ上の脅威を絶えず探しています。 のアプローチでは、ハッカーがネットワークに侵入する前に、脅威を で積極的に検知・除去・是正します。
「常に、敵が自分の環境に侵入していると想定すべきです」と、ハレンベック氏は述べています。 「そして、積極的な脅威ハンティングを通じて、侵害の兆候に常に注意を払ってください。」 脅威ハンティングチームは、攻撃者が組織の環境に侵入し、内部を移動するために用いると思われる行動や手法を分析し、侵害を示唆する異常な動きを探します。 年に1、2回程度であれば、中規模の組織であっても、外部の企業に依頼して人材探しをしてもらうことは、費用対効果が高いと言えます。
[ぜひお読みください：「脅威ハンティングとは何か、なぜ重要なのか？」]
パッチ管理プロセスの改善
攻撃対象領域が拡大し続ける中、 のパッチ管理 は、著しく複雑化しています。 「パンデミックにより、パラメータ化されたネットワークからの脱却の動きが、桁違いに加速しました」と、グローバル・サイバー・アライアンスの社長兼CEOであり、ソニーの元CISO、そしてオバマ政権時代のサイバーセキュリティ担当高官でもあったフィル・ライティンガー氏は述べています。
広く利用されているオープンソースソフトウェアに対する「 Log4j ハック」の出現により、状況はさらに悪化し、企業や政府機関はシステムのパッチ適用に追われています。
パッチの適用は、サイバー犯罪に対抗するための最も簡単で効果的な手段の一つと見なされることがよくあります。 しかし、実際には難しい場合もあります。 ハッカーたちは、パッチ管理システムの遅れを徹底的に利用しています。 しかし、彼らは最先端のハッキング手法を用いるのではなく、長年にわたって存在している、コストも手間もかからない脆弱性に狙いを定めることがよくあります。 そのため、新しいパッチを展開する前に十分なテストを行う一方で、毎月のパッチ適用作業の大部分を自動化することが、推奨される対策となります。
[Please read: CISOs face 2022 in crisis mode]
サイバー衛生管理の取り組みを強化する
サイバー・ハイジーン（ ）とは、重要なデータの安全な取り扱いを確保し、ネットワークのセキュリティを強化するための一連の習慣的な実践のことです。 それは、健康上の問題を予防したり軽減したりするために、些細ながらも明確な行動を頻繁に繰り返す習慣を身につける、いわゆる「身の回りの衛生管理」のようなものです。 サイバー衛生対策には、ネットワークに接続されているすべてのエンドポイントの によるインベントリ 、脆弱性管理、およびソフトウェアやアプリケーションへのパッチ適用（上記参照）が含まれます。
サイバー衛生管理は、犯罪者が組織のネットワークに侵入するのを防ぐのに役立ちます。あるいは、少なくとも「機会費用」を高めることで、ハッカーが諦めて別の標的を探すほど、侵入を困難にします。
結局のところ、適切な衛生管理を行うことで、攻撃対象領域を縮小することができます。 「組織はパッチ適用に多大な時間、労力、そして費用を費やしており、それは称賛に値することです」と、タニウム社のハレンベック氏は述べています。 「でも、誰も使っていないものを修正するのなら、なぜわざわざそんな手間をかけるのでしょうか？」 「使われていない、あるいは十分に活用されていないものを稼働させ続けていると、監視や保守が必要な項目が増えてしまいます。」
[ぜひお読みください：「サイバー・ハイジーンとは何か、なぜ重要なのか？」]
よく言われる格言とは異なり、「最良の攻撃は、実は堅実な守備である」のです。 こうした戦略やその他の対策を活用することで、経営陣は、今後発生しうるあらゆるサイバー危機に備え、それに対応する際にも、冷静さを保つことができるでしょう。
