攻撃者は、被害者を乗っ取るために、数多くのツールを自由に利用できます。 しかし、こうした攻撃を未然に防ぐために、ネットワークの防御担当者ができることも数多くあります。 ランサムウェアによる侵害の被害を軽減する場合でも、サイバー諜報活動の試みを未然に防ぐ場合でも、重要なのは、 のサイバー衛生管理の基本 を正しく実践することにあります。
組織がどのようにセキュリティ侵害を受けるのか
ITチームやセキュリティチームにとっては、気が遠くなるような課題に思えるかもしれません。 何しろ、攻撃者には「不意を突く」という利点があり、狙いを定めるべき攻撃対象範囲が広く、ダークウェブ上の豊富なリソースも活用できるからです。 とはいえ、効果的なサイバーリスク管理は、必ずしも大変なことではありません。 まず、ほとんどのサイバー攻撃に見られる3つの主な段階について考えてみましょう。
への初期アクセスは、有効なフィッシングで入手した認証情報を使用するか、既知の脆弱性を悪用することで行われるケースが最も一般的です。 多くのセキュリティ責任者がゼロデイ攻撃を懸念しているかもしれませんが、実のところ、最大のリスクをもたらしているのは、すでに公表されている脆弱性であると言えるでしょう。 のLog4j 件の脆弱性が示すように、パッチの適用が比較的容易なものもあれば、そうでないものもあります。 （新しいタブで開きます）。
次に、横方向の移動（ ）が発生しますが、これは多くの場合、不適切な権限管理によって引き起こされます。 組織内のさまざまな部署で職務を担当してきた従業員がいるにもかかわらず、その権限が現在の役職に合わせて更新されていないというケースを、あまりにも頻繁に見かけます。 まさにそれが、悪意のある攻撃者にとって必要なものなのです――同じ認証情報を使って組織内のあらゆる場所へ移動できる能力です。
データの持ち出し（ ）は、ランサムウェアのペイロードの展開と併せて、攻撃の最終目的となるケースが非常に多く見られます。 顧客データ、営業秘密、あるいは知的財産権などが考えられます。 企業は、手遅れになるまで、自社が保有している機密データの全容に気づかないことさえあります。 もしその秘伝のレシピや独自の製品デザインが、サイバー犯罪の闇市場に流出してしまうと、一部の企業にとっては終焉の始まりとなる可能性があります。
「サイバー・ハイジーン」とは何か
脅威アクターの活動手法を理解できれば、彼らを阻止するための対策を講じることができます。 これを3つの重要な分野に分けて考えてみましょう：
可視性と管理
よく言われるように、「見えないものは守れない」のです。 可視性を確保するには、まず資産管理が必要です。つまり、組織内にどのようなエンドポイントが存在するかを知るだけでなく、それらのエンドポイント上で何が実行されているかを知ることも必要となります。 可視性は、圧縮ファイルの中に潜んでいる可能性のある個々のオープンソース依存関係にまで及ぶべきです。「 Log4j 」では、あらゆる可能性を徹底的に検討しなければならないことを学びました。 このような知見は、組織がリスクの観点から資産の優先順位を決定するのに役立ち、ひいては予算の最適化につながります。 そして、可視化には制御が伴わなければなりません。つまり、発見された問題を是正するために、それらのエンドポイントに対して適切な措置を講じることができる能力が必要です。
可視化と管理を実現するためには、組織は構成管理データベース（CMDB）に、可能な限り正確かつ最新のデータを継続的に取り込む必要があります。 これと併せて、適切なユーザーが適切なアプリケーションにのみアクセスできるよう、IDおよびアクセス制御についても検討する必要があります。 さらに、包括的な脆弱性評価および管理プログラムを実施すべきです。
継続的な安全確保
次は、これらのプログラムの測定と追跡についてです。 重要なのは、設定してそのまま放置しないことです。 組織は、ウォーゲーム、机上演習、レッドチーム・ブルーチーム演習などを通じて、インシデントに常に備え、対応できる態勢を整えておく必要があります。 また、自動化されたパッチ管理は、組織が必要とする継続的なリスク管理を実現するのにも役立ちます。 そして、次のような重要な質問への答えを常に模索するようにしましょう：
- 当社のセキュリティ対策にはどのようなものがありますか？ それらを試験しているのでしょうか。また、それらは効果があるのでしょうか。
- 当社のデータはどこから得られているのでしょうか？ それはどこに保管されているのでしょうか。また、どのように保護すればよいのでしょうか。
- 当社のスタッフはセキュリティ意識について適切な研修を受けていますか。また、組織内の全員がサイバーリスク管理の極めて重要な意義を理解していますか。
検知と対策
組織が自らが管理する資産を把握し、あらゆる問題を是正するために大規模かつ迅速に管理体制を確立し、許可されたユーザーのみがアプリケーションやエンドポイントにアクセスできるようにすれば、攻撃の 80％を未然に防ぐことができるでしょう。 さて、次は、防御網をすり抜けてしまった可能性のある残りの 20％を検知し、対応することです。
の推定によると、現在、データ漏洩を特定し、封じ込めるまでに 277 日かかるとされています。 （新しいタブで開きます） それは長すぎます。 しかし、エンドポイントの可視性と制御が強化されれば、組織が適切なプロセスを自動化できれば、検知と対応をより迅速に行うことが可能になります。 まずは、インシデント対応計画を策定し、定期的にテストを行うことから始めます。これにより、各個人が自身の役割を確実に理解し、適切なチーム同士が円滑に連携できるようになります。
弱点が特定された場合は、プロセスを改善すべきです。 また、組織内でどれだけのセキュリティツールが使用されているかを批判的に検証し、ベンダー数を絞り込むことも重要でしょう。つまり、ポイントソリューションを最小限に抑え、プラットフォームベースのアプローチを優先するということです。 これにより、複数のチームがすべて、単一の信頼できる情報源に基づいて作業できるようになります。
完全なセキュリティは実現不可能であるということを、心に留めておく価値があります。 重要なのは、機会をねらった攻撃の大部分を未然に防ぐだけの十分な対策を講じること、そして、それ以上に巧妙な攻撃に対しては、迅速に対応し、封じ込めるための体制を整えておくことです。
サイバー攻撃の仕組みや、その対策について詳しく知りたい方は、TaniumのEMEA地域チーフ・セキュリティ・アドバイザーであるザック・ウォーレン氏をゲストに迎えた、当社の最新ウェビナーをご覧ください。 今すぐご覧ください。 （新しいタブで開きます）
