Webサイトの安全確認を3ステップで

現場の技術者から見たセキュリティー犯罪に対する今後の戦略

はじめに

近年、サイバー攻撃やマルウェアなどセキュリティー上の脅威が急激に増しています。特定の企業や個人をターゲットとした標的型攻撃や、先日世界中でニュースになったランサムウェア（身代金要求型ウィルス）のようなピンポイントで大きな被害をもたらすものが多くなっています。

こういった脅威に対して、被害を防ぐためにはどういったことを対策として行なっていくべきなのでしょうか。また、今後のセキュリティー対策はどこへ向かうのでしょうか。

2016年から2017年上半期にかけた新たなサイバー攻撃の特長（現場技術者の視点で）

独立行政法人情報処理推進機構（IPA）のレポートによると、2017年のサイバー攻撃・セキュリティー犯罪の脅威として考えられているものは以下のようなものです。

標的型攻撃による情報流出
ランサムウェアによる被害
ウェブサービスからの個人情報の窃取
サービス妨害攻撃によるサービスの停止
内部不正による情報漏えいとそれに伴う業務停止

また、大手セキュリティベンダーであるトレンドマイクロが発表した「2016年国内サイバー犯罪動向」では、以下の内容が取り上げられています。

1)ランサムウェア

2016年の1月〜12月までのランサムウェアの国内被害件数は、前年比で約3.4倍の2690件となっています。ランサムウェア感染を誘導するマルウェアスパムなども非常に増えており、日本語のものも見られるようになっています。

2)オンライン銀行詐欺ツール

ネットバンキングの利用者は、今やある統計では62%と半数を超える結果も出ているほど活用が進んでいます。こういった中、オンライン銀行詐欺ツールの被害も昨年の被害は一昨年の約3.4倍の98000台と非常に増えています。被害額も昨年上半期だけで８億9800万円と大きなものになっています。

こういった内容が直近のセキュリティー犯罪の脅威としてよく取り上げられています。

実際の被害事例にはどんなものがある？

直近１年間のサイバー攻撃の特徴にはどういったものがあるのか見てきました。改めて簡単にまとめると以下のようなものとなります。

身代金を要求するランサムウェアの拡大
オンライン詐欺ツールの悪用

では、こういった特徴を持ったサイバー攻撃について、実際にどういった被害事例があるのかここで紹介します。以前とは違う高度な技術や手法が用いられていることにも気をつけてみてください。

＜事例1：ランサムウェアWannaCryptによる被害＞

今年の5月に世界を震撼させたWanna Cryptは、感染するとパソコンのデータを暗号化してしまい、身代金（ランサム）を支払わないと回復できないというものです。

これは、Windowsの「MS17-010」（CVE-2017-0144）と呼ばれるSMBサーバー上のファイルを遠隔で実行できてしまうという脆弱性を悪用したもので、ここまで被害が広がってしまったのは対策済みの更新プログラムがリリースされていたにも関わらず適用されていないケースが多かったことにあります。

＜事例2：バングラデシュ中央銀行に対する攻撃事例＞

2016年2月に発生した事例で、バングラデシュ中央銀行がハッカーによる不正アクセスを受けて、外部に不正送金を行ってしまったものです。原因はマルウェアによるもので、銀行システム側もファイヤーウォールが設置されていなかったなどの問題がありました。当然のことですが、ファイヤーウォールが設置されていないとネットワークには自由に侵入出来ますし、IDS(侵入検知システム)・IDS(侵入防止システム)のような仕組みがないので、侵入されたことを即座に知ることも出来ませんでした。

＜事例3：オンライン銀行詐欺ツールによる被害拡大＞

事例2のバングラデシュ中央銀行とも重なりますが、オンライン銀行詐欺ツールの被害件数が急速に拡大したのも昨年からの特徴です。

昨年の国内でのオンライン詐欺ツールの昨年の被害は過去最大の98000台と昨年比3.4倍に増えています。昨年、特に検出が多かったのは「BEBLOH（べブロー）」と呼ばれるものです。「BEBLOH（べブロー）」は、実行ファイルを暗号化するためにパッカーと呼ばれる仕組みを使っていますが、これが頻繁に更新されるため、セキュリティー対策ソフトウェアの対応が追いつかないのです。「BEBLOH（べブロー）」は感染すると、特定のURLに接続して不正プログラムをダウンロードして実行しようとします。そのため、この接続をブロックすることが有効な対策になります。

いずれにも言えることですが、金銭を要求する非常に悪質なものであることがわかります。加えて暗号化などの高度な技術を利用したり、セキュリティー対策ソフトウェアの対策が行われる前に攻撃（ゼロデイ攻撃）したりといったスピード感が特徴となっています。

新たな脅威に対して、新たに必要な対策と変わらずに必要な対策

インターネット上のセキュリティー上の脅威が以前とは比べものにならないくらい高度で精緻な技術をベースにしていることがお分かりいただけたのではないでしょうか。

先ほど掲げた直近で多くみられる攻撃における技術的な特徴をおさらいすると以下のようになります。

既存の脆弱性を悪用する
十分な対策がなされていない組織をピンポイントで攻撃する
セキュリティー対策ソフトウェアの対策が間に合わない

従来、セキュリティー上の脅威については以下のような対策が有効だったことはすでにみなさんご存知のことだと思います。

セキュリティー対策ソフトウェアの導入と定義ファイルの最新化
ソフトウェア更新プログラムの適用
不審なメールの取り扱いの徹底
不審なWebサイトは開かない

これに加えて、新たな脅威に効果的に対抗していくために以下のような対策が必要になります。

マルウェア駆除、改ざん防止などWebサイトに対する防御
Webサイトの脆弱性診断と適切な対策

これら新たな対策は従来とは異なり、非常に高度な知識・技術が必要になります。特に脆弱性診断といったものは自社ではなかなか出来なくて専門の業者に委託するケースが多いと思います。すでにそういった人材がいる企業であれば問題ないのですが、多くの場合はそういったことはありませんし、既存の人材を育てるのも長い時間と多くのコストがかかります。

では、どうすれば良いのでしょうか。これを解決してくれるのが、今回紹介する「SiteLock」です。「SiteLock」はクラウドベースのオールインワン型のセキュリティー対策サービスで、以下のような特徴があります。

マルウェアや不正なコードの検知と駆除ができる
Webサイトの改ざんチェックができる

今やITエンジニアでも分業が進んでいるため、既存のエンジニアにセキュリティー関連の高度な知識がないケースも多いと思います。そういった場合に人材を育成するのはとても大変です。しかし、この「SiteLock」を使うと、「Webサイトの脆弱性を可視化」して分かりやすくチェックすることが出来たり、マルウェアなどの脅威を簡単に駆除したりということが出来るので、専門のエンジニアでなくても適切なセキュリティー対策を行うことが出来ます。

セキュリティー犯罪に対する今後の戦略

今後、セキュリティー犯罪はさらに高度な技術をもって悪質化することが容易に想豫されます。そういった中、重要なことは企業全体としてセキュリティー対策に取り組むことは言うまでもありません。

もちろん、経営層の情報セキュリティーの重要性についての認識を高めることは重要ですが、実際にセキュリティー対策を立案し、それを実施していくのは技術者の役割です。現場の技術者は常に情報収集と知識・技術の向上をはかり、自らの対応力を上げていく必要があります。加えて、経営層に対して専門家としての視点からの提言と提案を行っていく必要があります。

まとめると、技術者の視点から今後のサイバー犯罪への取り組み方は以下のようになります。