On Aug. 27, the Wall Street Journal reported that a massive data breach against T-Mobile, in which a hacker stole some 50 million customer records, was carried out by a 21-year-old who penetrated the company’s defenses through an unprotected router. 報道によると、そのハッカーは、手に入れた大量のデータを持ち去るまで、1週間にわたって通信事業者のサーバーをくまなく調べ回っていたとのことです。
このハッキング事件のニュース――そしてその手口――は、あらゆる業界や政府機関のビジネス、IT、セキュリティの責任者たちを震撼させたに違いありません。 米国経済、インフラ、軍事防衛の基盤となっている広大なデジタルネットワークと、それらに接続された数百万ものエンドポイントがある中で、一体どうやってそのすべてを管理し、保護することができるのでしょうか？
「このような攻撃は増加傾向にあり、悪意のある攻撃者たちは日々、私たちのシステムを攻撃し、その脆弱性を悪用しようと画策しています」と、T-MobileのCEOであるマイク・シーヴァート氏は投稿の中で述べました。 彼は、この情報漏洩への対応は「謙虚な気持ちにさせられた」と記しました。 同氏は、「お客様のデータを安全に守ることについては、私たちが極めて真剣に受け止めている責任であり、このような事態の発生を防ぐことは、常に私たちの最優先事項です」と述べました。 に関するT-Mobileの声明は、こちら（）からお読みいただけます。
シーヴァート氏のようなCEOや、そのIT・セキュリティチームが、国家や犯罪組織による「絶え間なく続く」サイバー攻撃との戦いを続けている中、最近のサイバー侵害事件からは、誰もが心に留めておくべき教訓がいくつかあります。
以下に、最も重要な5つをご紹介します。
攻撃対象領域を縮小しましょう
攻撃対象領域を縮小するためには、組織がどのような資産を保有しており、それらがどこにあるのかを把握しておく必要があります。 最新の在庫リストがなければ、資産を保護するためのいかなる取り組みも不完全なものになってしまいます。 しかし、資産を特定する作業は複雑になることがあります。 企業は合併します。 彼らは他社を買収します。 それらの企業は、自社のインターネット回線を利用することができます。
「」攻撃は増加傾向にあり、悪意のある攻撃者は、私たちのシステムを攻撃し、悪用するための新たな手段を見つけるべく、日々奔走しています。」T-MobileのCEO、マイク・シーバート氏
これほど広範囲に及ぶ環境では、 で資産を常に検出し、 でそれらを分類するための常時稼働型の方法が必要となります。 自社の資産と、そのうちのどれが外部にあるかを把握できれば、攻撃対象領域の縮小に着手することができます。
ハッカーと同じ視点で、外部の境界を調査し、把握することが重要です。
ネットワーク内のすべての資産を把握したら、外部環境をハッカーにとって魅力のないものにしなければなりません。企業の公式ウェブサイトや、外部への接続に 100％必要不可欠なポート以外は、一切アクセスできないようにする必要があります。 一般の方々に提供する情報やサービスが多ければ多いほど、それらのサービスを攻撃者から保護し、守らなければなりません。
組織は、パブリックインターネットとプライベートネットワークの間に位置するネットワークであるデミリタライズドゾーン（DMZ）において、外部向けのサービス（ウェブサイトや、消費者およびパートナー向けのサービスなど）を提供しています。 これらのサブネットワークが 適切に設定されていない場合、ウェブサイトやサービスが外部にさらされ、悪用される恐れがあります。
[関連記事：アセットの発見とインベントリ：可視化とデバイス管理の基盤]
管理やアクセスを円滑にするため、Webサービスがインターネットに直接公開されることがあります。 しかし、企業は管理サービスをインターネットに公開すべきではありません。 インターネットは常に外部からの攻撃にさらされており、直接的あるいは間接的なアクセスであっても、ネットワークに問題を引き起こし、ひいては組織そのものとその回復力に悪影響を及ぼす恐れがあります。
外部境界からスキャンを行うことで、ハッカーと同じ視点で、公開されているサービスを素早く確認することができます。 システムを監視し、境界上のサービスが管理用サービスや許可されていないサービスと通信していないことを確認しておくことをお勧めします。 DMZ内で継続的に資産の検出を行うことは、オンボーディングプロセスを経ずにデバイスが追加されないようにするために極めて重要です。
設定を管理する
トニー・ロビンズが言うように、「複雑さは実行の敵です」。
彼はCISOとして輝かしいキャリアを築くことができたはずです。 彼の格言は、サイバーセキュリティの分野において大いに役立っています。 特に、ネットワークの複雑さが増している昨今においては、セキュリティの鍵は簡素化にあることが分かってきました。 組織はまず、すべての資産と のエンドポイントを特定し、一覧を作成する必要があります。 目に見えないものは管理できません。 ネットワーク内のすべてを把握して初めて、そのセキュリティを確保することができるのです。 そして、次に取るべき最善の対策は、設定の管理ですが、多くの人がこれをうまく行えていません。
実際、IDC が昨年実施した調査 において、 300 名のCISOを対象とした調査では、特権アクセスと設定管理がクラウドリスクにおける最大の脅威として挙げられました。これらのセキュリティ責任者の63％（その大半の組織が過去 18 ヶ月間に少なくとも1回のクラウド侵害を経験していました）が、機密データを保護する上でこれが極めて重要な課題であると回答しました。
それも無理はありません。 ITチームは、制御機能の設定において重大なミスを犯すことがよくあります。 あるいは、それぞれに異なる設定を適用することで、複雑さを増し、不必要な脆弱性を生み出してしまうこともあります。 すべての資産が同じ構成であり、同じ更新プログラムを受け取っている場合、それらすべてに同じ脆弱性が存在するということになります。 しかし、それは実は良いことかもしれません。
アセットの種類ごとに設定を1つ（または最小限）に抑えることで、1つの設定の強化とテストに時間とリソースを集中させることができます。 システムが計画された構成から逸脱している場合、その理由を問うべきです。 そのような事態を招いたのは、どのようなプロセスの不具合だったのでしょうか？
横方向の動きを阻止する
ハッカーが企業への足掛かりを得ると、次の動きとして、ITシステムへの侵入をさらに深めることがよくあります。 報道によると、T-Mobileを攻撃したハッカーは、1台のルーターに侵入した後、同社のサーバーに潜り込んだと述べているとのことです。 おそらく、彼は探していたデータが見つかるまで、ネットワーク内を横方向に移動してこれをやったのでしょう。 ハッカーは、あるエンドポイントから次のエンドポイントへと飛び移るように横方向に移動し、キーストロークロガーやその他の専用ツールを使ってユーザーのアクセス認証情報を盗み出します。
「適切な認証情報さえあれば、彼らは行きたい場所ならどこへでも行くことができます」と、広告・コンテンツ配信プロバイダーのTapadでシニア情報セキュリティマネージャーを務めるベン・ロスケ氏は、 Endpoint（）に語っています。 ロスキー氏によると、こうした認証情報があれば、ハッカーはネットワークやアプリケーション、さらには管理者が使用するクラウドコンソールにまでアクセスできてしまうとのことです。 そのため、あらゆる組織の防御において、ラテラル・ムーブメントの防止、検知、および遮断が不可欠となります。
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
幸いなことに、いくつかできることがあります。 まず、攻撃者が横方向に移動することを、可能な限り困難にします。 これを行うには、攻撃者にとっての成功コストを引き上げればよいのです。 を実践し、 に記載されている適切なサイバー衛生管理の基本を徹底することで、彼らの活動を困難にしましょう。 これには、前述の による資産管理（ ）やによる構成管理（）に加え、定期的な パッチ管理も含まれるべきです。
また、IDの管理も行う必要があります。 重要なアプリケーションやネットワークリソースにアクセスするための認証情報を誰が持っているかを把握することは、極めて重要です。 「最小権限の原則」により、内部の攻撃対象領域が縮小され、ユーザーには業務遂行に絶対に必要なリソースへのアクセス権のみが与えられます。
先を見越した脅威ハンターになりましょう
なぜですか？ なぜなら、それは「いつ」の問題ではなく、「どのように」の問題だからです。
企業はもはや、他社が攻撃を受けてから、自社のシステム内で同じマルウェアやハッカーを探し回るような事態を待つ余裕はありません。 彼らは、積極的に脅威を検知し、ネットワーク内の異常を特定し、それに対して適切な措置を講じる必要があります。
つまり、まず具体的な侵害の兆候（IOC）を特定し、その後、それらを定期的に確認するということです。 これらは、業界内の他者を標的として使用される、既知のハッカーによるプロセスやツールである可能性があります。 ハッカーの戦術、手法、手順（TTPs）の特定に焦点を当ててください。 例えば、ハッカーは、価値のある標的を特定し、ネットワーク内で横方向に移動するために、偵察を行う必要があります。
ハッカーが環境内を移動できる方法はごくわずかであるため、脅威ハンターがハッカーを見つけ出すには、そのTTPを特定することが最善の方法です。 確認すべき質問としては、次のようなものがあります。「基準からの逸脱をどのように見つければよいでしょうか？」 どのような基準を注視すべきでしょうか？ （重要なデータベースやサーバーからのネットワークトラフィックが、その一例として挙げられます。） 私は、襲いかかろうとする相手たちと同じくらい身軽なのでしょうか？ そうでなければ、どうしてそうあり得るでしょうか？
[関連記事：今日のITおよびサイバーセキュリティにおける最大の課題とは？]
もちろん、侵入者を見つけたら、その侵入者を排除する必要があります。 そこで、機転が利くことが重要になります。 ほんの数時間や数日の差が、大きな違いを生むことがあるからです。 情報を必要とする人々が迅速に情報を受け取り、確認できるよう、報告体制をどのように簡素化されましたか？
そして最後に、パスワードはしっかりと守ってください！
多くの組織にとって、パスワードは新しいネットワーク境界の重要な要素となっています。 何百万人ものリモートワーカーが、ノートパソコン、PC、タブレットなどのエンドポイント端末を通じて企業ネットワークやクラウドベースのアプリケーションにアクセスする中、それらのエンドポイント端末の一つひとつが、悪意のある攻撃の侵入経路となり得ます。
パスワードは、悪意のある人物の侵入を防ぐために設けられています。 しかし、人間は間違いを犯すものであり、必ずしもパスワードを適切に扱っているとは限りません。 「 Marlins1234 」という数字は、デジタルロックの鍵としては十分に強固なものだとお考えになるかもしれません。 しかし、あなたのソーシャルネットワークをひと目見るだけで、ハッカーはそれほど手間をかけずにそのパスワードを推測できてしまいます。 その証拠として、 がまとめた「最もよく使われるパスワード200 選」をご覧ください。
何百万人ものアメリカの労働者が、パスワードの管理が不十分です。 Keeper Securityによると、 の最近の調査（ ）において、回答者の半数以上（57％）が、仕事用のパスワードを付箋に書き留めていると回答しました。 それは不注意ですね。 そして、パンデミック以降、その傾向はさらに強まっています。 同じ調査によると、在宅勤務中は、労働者の 66％がパスワードを書き留める傾向が強まることがわかりました。
もちろん、現在の環境においては、 多要素認証（MFA） も必須です。 ウェブサイト、アプリケーション、および企業ネットワークでは、パスワードによるログインと、ユーザーがスマートフォンから利用できるサードパーティ製の認証アプリを組み合わせることで、MFAが採用されることがよくあります。 しかし、MFAは万能の解決策というわけではありません。特に、T-Mobileのような通信事業者が攻撃を受けているような場合はなおさらです。 組織が将来を見据える中、多くの組織が、従来のパスワード管理に加えてセキュリティをさらに強化するため、ゼロトラスト・ネットワーク・アクセスの導入を検討しています。
万が一、他の方法がすべてうまくいかない場合は、 に電話してください。この方です：。
