2020年12月において、米国サイバーセキュリティ・インフラセキュリティ庁（CISA） は、国土安全保障省、国務省、司法省を含む米国の各機関に対し、ハッカーがそれらのコンピュータシステムに侵入したとの警告 を発しました。 ハッカーがどれだけの政府データを盗み出したのかは不明ですが、この情報漏洩により、攻撃者は情報を盗み出し、ファイルを実行し、ITシステムを無効化することが可能になりました。
この攻撃が特に深刻だった理由は、その発端――サイバーセキュリティの専門家たちはロシアのハッカー集団のメンバーを指摘しています――というよりも、ITシステムにアクセスするために彼らが用いた手段にありました。 ハッカーたちは、セキュリティソフトウェアベンダーのSolarWindsが提供する「Orion」という人気のIT監視・管理ツールを乗っ取ることに成功しました。 彼らは、Orionのアップデートに悪意のあるコードを埋め込む方法を見つけ出し、そのアップデートはその後、SolarWindsの顧客に配布されました。
Orionのような「信頼できるエージェント」の利用は、連邦政府機関にとって重大な新たな脅威となっています。 新たな脅威に対処するためにサイバーセキュリティの対応マニュアルを書き直す必要があるだけでなく、多くの従来の脅威に対してより効果的な防御を行うためには、基本的なセキュリティ対策の実践を強化しなければなりません。
多くの組織は、早急に対応策を講じています。3月に発表されたDomainToolsの調査によると、政府機関を含む 20％の組織が、SolarWindsのセキュリティ侵害を受けてすでにサイバーセキュリティ予算を増額しており、その追加資金をフォレンジックツール、 、ゼロトラスト の取り組み、および脅威検知担当者の増員に充てていると回答しています。
パッチの隙間を埋めてください
SolarWinds事件を受けてサイバー防衛を強化するための第一歩は、組織のITシステムへの アクセス権限を付与されている「信頼されたエージェント」がもたらす潜在的なリスクをより的確に把握することです。 この脅威は極めて新しいものであるため、各機関では、平均的な機関がこうしたツールやシステムをいくつ保有しているかについて、正確な推計が得られていません。 セキュリティコンプライアンスベンダー「YouAttest」のCEO、ギャレット・グラジェック氏は、各組織は現在利用しているベンダーを評価し、そのベンダーが提供する価値がリスクに見合うかどうかを判断し、そうでないベンダーは廃止または統合すべきだと述べています。
「SolarWindsの事例が示すように、こうしたエージェントを導入するのは自己責任となります」と彼は述べています。
セキュリティの専門家によると、同様に重要なのは、各機関がセキュリティの基本にしっかりと注意を払う必要があるということです。
おそらく最も基本的な対策は、脆弱性が特定されたら、 を通じて の脆弱性に対処することでしょう。 SolarWinds社はすでに一連のソフトウェアパッチを公開し、 のセキュリティアドバイザリ（ ）を発行するとともに、暗号化技術を用いてソフトウェアの信頼性を確保する新しいデジタルコード署名証明書をユーザーに提供しています。 パッチをインストールし、更新しておくべきであることは、言うまでもありません。 しかし、組織はまた、インターネットに接続するすべてのデバイスに対して、 の包括的なパッチ管理プログラム を確実に導入しておく必要があります。
[関連記事：ソフトウェア管理の取り組みを見直す時期が来ているのでしょうか？]
もっと優秀な交通警察官になりましょう
システムのパッチ適用が完了したら、政府機関――特に「Orion」の侵害被害を受けた機関――は、マルウェア検出ツールを実行して、悪意のあるコードがないか確認すべきです。 敵対者エミュレーションシステムのベンダーであるScythe社のCEO、ブライソン・ボート氏は、各機関は自社のシステムをスキャンするだけでなく、インターネット全体を対象に自社のホスト名を検索すべきだと述べています。 これにより、同機関のウェブサイトを装っている偽のIPアドレスを特定することができます。
次のステップとして、システムの送信ネットワークトラフィックを調査し、標準的なトラフィックパターンに合致しない接続がないかを確認します。 SolarWinds攻撃に使用されたマルウェアは、ハッカーがデータを盗み出すために外部のインターネットへのアクセスを必要とするため、応答時間が長い接続は、ロシアへファイルを送信している可能性を示唆している、とボート氏は述べています。
一部の機関では、さらに基本的な業務に取り組まなければならない場合もあります。 CISAによると、一部のネットワークはハッカーがパスワードを推測したために侵害されたとのことです。このことから、より複雑なパスワードの設定や多要素認証の利用を義務付けるポリシーの必要性が示唆されています。 ハッカーは、従業員にパスワードを教えさせたり機密情報を共有させたりするために「ソーシャルエンジニアリング」の手法を頻繁に用いるため、サイバーセキュリティに関する意識向上研修への投資も不可欠です。
すべてのエンドポイントを網羅する
もう一つの重要なステップは、ITシステムが攻撃に対して脆弱なすべてのエンドポイントを再評価することです。 これには、ネットワークシステムへの管理者権限を持つすべてのユーザーに対する監査や、環境センサーや建物センサーなど、ネットワークに接続されているセンサーやその他のIoTデバイスに対するセキュリティ対策の評価が含まれます。 重要なシステムが設置されている部屋の物理的なセキュリティについても、確認する必要があります。
「連邦政府機関は、ITシステムが攻撃に対して脆弱なすべてのエンドポイントを再評価する必要があります。」
長期的には、各機関は、管理するデータ量がますます増加している中で、その収集、保存、分類の方法について再考する必要があります。 つまり、データをセグメント化することで、最も機密性の高いデータへのアクセスに対して、より厳格なセキュリティ対策を講じることができるということです。
サイバーセキュリティベンダー「グリム（Grimm）」のソフトウェアセキュリティ部門責任者であるアダム・ニコルズ氏によると、米国国立標準技術研究所（NIST）は、組織が最も重要なデータ資産を特定するのに役立つ「 サイバーセキュリティ・フレームワーク」（ ）を提供しているとのことです。 （A 2017 号大統領令により、連邦政府機関は、この枠組みを実施するための計画を策定することが義務付けられました。）
重要な資産を保護する
また、各機関は脅威モデリングツールを活用して、重要な資産や潜在的なリスクを特定し、「取り組みを最も重要な事項に優先的に注ぐことができるようにする」ことができると、ニコルズ氏は述べています。
クラウドデータセキュリティベンダーである Dasera（）のCEO、アニ・チャウドゥリ氏は、こうした資産を保護することは、パスワードやキーカード、指紋認証装置といったアクセス制御の層を単に追加するだけの単純な問題ではないと述べています。 同氏によると、問題は、機密データにアクセスできる従業員や契約業者が、（不注意であれ意図的であれ）その情報を悪用してしまう可能性があるという点だそうです。 その脅威に対抗するためには、各機関は、その情報がどのように利用されているかをリアルタイムで監視できる必要があります。
「多くの組織は、データを機密性のレベルごとに分類し、機密性の高いデータを、追加の保護措置が講じられた物理的または論理的な場所に配置すればよいと考えている」と彼は述べています。 「組織が機密データを真に保護する唯一の方法は、アクセス制御にとどまらない対策を講じることです。」
結局のところ、政府機関に求められる最大の変革は、その考え方を変えることかもしれません。 次の攻撃に対する最善の防御策は、それが必ず起こるという認識を持つことです。したがって、各機関のITシステムは、その前提に基づいて設計、テスト、運用される必要があります。 「組織や機関は必ず攻撃を受けると想定すべきです」と、Scythe社のボート氏は述べています。 「周辺は死んでいる。」
