「 」の3回シリーズ「」の第1回では、TaniumのCSOであるDavid Damato氏が、適切なセキュリティ対策がいかに重要であるかを解説し、IT組織を整備するための第一段階について詳しく説明しています。 ‘
セキュリティ対策が不十分になっていませんか？ もしそうなら、どうか気を強く持ってください。 あなたは一人ではありません。 ITおよびセキュリティチームは、10年以上前から、 、NISTサイバーセキュリティフレームワーク （新しいタブで開きます）、、 、あるいは 、CIS重要セキュリティ対策 （新しいタブで開きます）、、 （別名SANS Top 20）などで定義されているものを含め、基本的なセキュリティ対策を長らく軽視してきました。
100 件以上の企業情報漏洩への対応経験から、セキュリティインシデントの圧倒的多数は、広く「 」、「セキュリティ・ハイジーン」 （新しいタブで開きます）、「」と定義される実践における不備に起因していることがわかりました。
例えば、アセットマネジメント――所有するすべてのデバイスを追跡し、その現在の状況を把握するという基本的な作業です。 企業が財務資産を管理するように、ITおよびセキュリティチームも、デバイス、サーバー、オペレーティングシステム、アプリケーションなどの資産を管理しなければなりません。 知らないものは守ることができません。 しかし、私が主導してきたほぼすべての主要な情報漏洩事案の対応において、被害を受けた組織内の技術部門やセキュリティ部門の責任者は、デバイスの正確な台数リストを提示することができませんでした。 実際、ほとんどのシステムは、実際の集計結果に対して 10％～ 20％の精度に近づけることさえ困難でした。
もう一つの例は、脆弱性管理です。 昨年、多くの組織が、 、、Samsamランサムウェア、 （新しいタブで開きます）、、の影響を受けました。 Samsamは、1年以上前のJBossの脆弱性を悪用していました。 At the time the ransomware was released, researchers estimated more than 2.1 million vulnerable instances of JBoss existed on the internet. 多くの組織では、数千件もの未修正の脆弱性が存在し、重要なパッチの適用が不十分な状態にあるため、ランサムウェアやその他の単純な攻撃が蔓延しています。 「 2015 Verizonデータ侵害調査レポート （新しいタブで開きます） 」では、組織が脆弱性のパッチ適用においてどれほど遅れているかが浮き彫りにされています。 同報告書によると、悪用された脆弱性の 99％は、共通脆弱性情報（CVE）が公開されてから1年以上が経過した時点で、すでに悪用されていたとのことです。
攻撃者側の特に高度な手口というよりは、セキュリティ対策の不備がほとんどの情報漏洩の原因となっていることに気づいているのは、私だけではありません。 昨年、NSAの「テーラード・アクセス・オペレーションズ（TAO）」部門の責任者であるロブ・ジョイス氏――同部門はNSAにおいて高度なサイバー攻撃を仕掛ける役割を担っています―― は、 (新しいタブで開きます) において、次のように述べました。「私たちは時間を費やして……そのネットワークを、それを設計した人々やセキュリティ対策を行っている人々よりも深く理解できるようにしています。」 「ネットワーク上で実際に動作しているものと、本来そこにあるはずだと考えているものとの違いには、きっと驚かれることでしょう。」
英国サイバーセキュリティ・プログラムのディレクターであるイアン・レヴィ氏は、今年初め、セキュリティベンダー各社が「高度持続的脅威（APT）」を高度な攻撃の一形態として提示しようとしていることに対し、異議を唱えました。 彼はその代わりに、APTという頭文字は「adequate pernicious toe-rags (新しいタブで開きます)」の略であると提案しました。 レヴィ氏は、サイバーセキュリティをめぐる現在進行中の議論において、多くの攻撃が比較的単純なものであるという自身の見解が反映されることを望んでいます。 「これを『高度で持続的な脅威』と呼んでしまうと、結局は『あなたたちは馬鹿すぎてこれを理解できない。助けてあげられるのは私だけだ――私の魔法のお守りを買えば大丈夫だ』という主張になってしまうのです。」 「これは中世の魔術です。まさに中世の魔術そのものです。」
ほとんどの攻撃は高度なものではなく、高度な攻撃を行う攻撃者でさえ、手口をエスカレートさせる前に基本的な戦術から始めることを踏まえると、セキュリティ責任者にとっては、セキュリティの基礎管理が出発点となるべきです。 私が言うのは簡単ですね。 では、セキュリティの責任者として、どこから手をつければよいのでしょうか？
セキュリティ・ハイジーンについては、次の3つの段階に分けて取り組むことをお勧めします：
- 現在の環境を評価し、既存のソリューションが正常に機能していること、および十分に活用されていることを確認してください
- 業界をリードするフレームワークに基づいてセキュリティプログラムを整備し、ソリューションを合理化することで、目指す将来像を実現しましょう
- 定義された将来像を基準に進捗状況を測定し、必要に応じて継続的に能力を調整してください
以下に、セキュリティ・ハイジーンの取り組みにおける第1段階に取り組むためのガイドラインを詳しくご説明します。 今後の記事では、第2段階と第3段階について詳しく見ていきます。
セキュリティ・ハイジーンの第1段階：評価
セキュリティ衛生状態を改善するための第一歩は、ネットワーク内の重要なセキュリティ対策の現状を把握することです。 多くの組織は、資産データベースの管理や脆弱性へのパッチ適用を効果的に行えていると確信していますが、私の経験から言えば、その確信は往々にして見当違いであることがよくあります。 この第一段階の目的は、こうした課題を特定し、既存の投資が十分に活用されるようにすることです。
まずは、優先順位付けされたセキュリティ対策のセットを選択することから始めましょう。 フレームワーク全体ではなく、統制に焦点を当てることで（フレームワークについては次回の記事で取り上げます）、このステップを容易にし、一般的に重要であると認められている一連の統制に対処するのに役立ちます。 の「20 CIS Critical Security Controls」（ ）は、優先順位付けされた制御項目のリストの優れた例です。 このリストには、資産の棚卸しからユーザーの研修に至るまで、あらゆる業務に関する項目が記載されています。 実際、リストの一部を選択して、最も懸念される分野に焦点を当てることができます。 含まれているコントロールは、 、NISTサイバーセキュリティフレームワーク （新しいタブで開きます）、、 といった一般的なフレームワークのサブコンポーネントであり、これにより、今後この取り組みを拡大することが可能になるはずです。
次に、貴組織が優先順位付けされた情報セキュリティ対策にどの程度効果的に取り組んでいるかを判断してください。 この取り組みにあたっては、単なる面接ではなく、技術的なテストを重視してください。 たとえば、デバイスインベントリの有効性を判断するには、ネットワーク上のすべてのデバイスを特定し、そのリストをCMDBと照合してください。 オペレーティングシステムおよび主要なサードパーティ製アプリケーション（Java、Flashなど）のパッチ適用状況に関する情報を収集してください。 パッチ情報を、既存の脆弱性評価の結果と照らし合わせてご確認ください。 特定された不備により、それらの統制が有効か無効かが速やかに明らかになるはずです。
特定された課題については、既存の投資が最大限に活用されるようにしてください。 例えば、BitLocker、AppLocker、EMETなどの既存のWindowsユーティリティを活用することで、フルディスク暗号化（FDE）、アプリケーションのホワイトリスト化、およびエクスプロイト対策機能に対応するための専用ソリューションを購入することなく、セキュリティを強化することができます。 もしかすると、お使いのマルウェア対策ソフトは、お持ちのデバイスの 80％でしか最新の状態になっていない、あるいは正常に動作していない可能性があります。その場合は、修正してください。 この活動の最終的な成果として、即効性のある改善策に取り組み、残された課題を洗い出すことが求められます。これらの課題については、今後実施されるより広範なセキュリティ変革プロジェクトの中で対応されることになります。
Taniumでは、セキュリティ衛生管理における一般的な課題について、正確かつ分かりやすいレポートをお客様に提供するため、「衛生管理評価」を開発いたしました。 その結果は、実に目から鱗が落ちるようなものでした。
- ある大手金融機関の顧客には、文書化され承認済みの申請が約 5,500 件ありました。 Taniumにより、 10,000 件以上のインストール済みアプリケーションが特定されました。
- ある大手小売業の顧客は、パッチ管理がしっかりと行われていると考えていました。 Taniumは、1年以上更新されていないJavaのインスタンスを約 3,500 件特定しました。
- ある国際金融機関は、SCCMがすべてのデバイスについて正確に報告していると考えていました。 Tanium社は、サポート対象の全デバイスの約 15％においてSCCMが稼働していなかったことを明らかにしました。このことは、パッチレベルの報告や、マルウェア対策ソリューションなど他のソリューションのステータスに関する報告の正確性にも影響を及ぼしていました。
これらの基本的な管理手法を理解し、ご自身の環境内に存在するツールを活用できるようになれば、ISO 27001 やNISTサイバーセキュリティフレームワークなどのフレームワークを活用して、より大規模な変革プロジェクトに取り組む準備が整います。
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
