無料セキュリティ対策に不安がある企業必見！「セキュリティ対策無料相談窓口」

ITセキュリティセミナーレポートも第3回目！
今回はセミナー特別講演として催された、パネルディスカッションのレポートをご紹介します。

• ソフトバンク・テクノロジー株式会社　辻　伸広氏
• 株式会社インターネットイニシアティブ　根岸　征史氏
• 株式会社ラック　川口　洋氏
• ＠IT編集部　宮田　健氏（モデレーター）

＠IT筆者陣の“今気になること”

世界的なDDoS攻撃増加について＜ソフトバンク・テクノロジー株式会社　辻伸広氏＞

＜写真右から＞ソフトバンク・テクノロジー株式会社　辻氏/株式会社インターネットイニシアティブ　根岸氏/株式会社ラック　川口氏/@IT編集部　宮田氏

DDoS攻撃の手法が、近年大きく変わってきています。国内で注目を集める「アノニマス」（オペレーションキリングベイ）を始め、海外では「リザードスクワット」や「ファントムスクワット」「ニューワークファッキング」などのティーンネイジャーを中心とした攻撃グループが摘発されています。

これらのグループは、プレイステーションやX-BOXなどのゲーム関連企業への攻撃が多いことも特徴です。（日本でも、2013年オンラインゲームからDDoS攻撃を行ったとされる高校生が逮捕されています）

これらの事件の背景には、“DDoS代行（負荷テスト代行）”と呼ばれるサービスが存在していることをご存知でしょうか？彼らは、少額の金銭をDDoS代行業者に支払い、軽い気持ちで攻撃を行わせているのです。

DDoS攻撃への過剰な対策は意味がない

現在の日本では、攻撃を受けてしまうこと自体を悪と捉える風潮がありますが、必ずしもそうとは限りません。

オンラインゲームサービスのような、サイトの稼働時間そのものが収益に直結してしまう企業の場合は万全な対策を講じるべきですが、攻撃を受けた部分にある情報が、企業概要などすでに公になっている類のものであれば、ダウンしたことによる被害は皆無であり、コストをかけて対策を講じる必要はないと言えます。守るべき情報なのかどうかの見極めが肝心なのです。

バックドアの脆弱性とは＜株式会社インターネットイニシアティブの根岸氏＞

セキュリティ対策として導入したソリューションに、攻撃者を侵入させる為の「バックドア（裏口）」が実装されていたとしたら…考えただけで恐ろしいですよね。

昨年末から、大手ベンダーの製品内にバックドアと呼べる隠しIDが存在したとのニュースが報じられました。ベンダーの発表内容では、バックドアが存在してしまった原因について深く触れてはおらず、なぜこの様な事が起こってしまったかについては、明らかにされていません。

バックドアへの対策は「塞ぐこと」

このような、バックドアの実装は、本来あってはならないことです。

しかし“セキュリティ製品を長年開発している大手企業だから安心”という、性善説の考えは企業を滅ぼしかねない危険な考えであるということを忘れてはいけません。高機能なソリューションの導入を行った場合でも、自社の管理運営を行うにあたり、必要最低限の構築に留めることも大切なのです。

必要のない入り口は塞ぐ！これがバックドアという脆弱性に対する最善の対策といえます。

マルヴァタイジングへの対策とは＜株式会社ラック　川口　洋氏＞

広告をクリックすることで、マルウェア感染を引き起こす、悪質な広告サービス「マルヴァタイジング」の被害が増え続けています。

流入経路が不特定多数であり、攻撃者の特定が困難なマルヴァタイジングへのセキュリティ対策は、現在非常に難しいとされています。セキュリティ対策の進んでいる一部企業では、広告サービスを一切排除しているケースも見受けられますが、この流れは、広告に重きを置くインターネットビジネス業界を崩壊へと導く恐れがあるのです。

ここで重要なのが、広告を出しているWebサイトはハッキングされたわけではなく、彼らもまたマルヴァタイジングの被害者であるという点です。

• 攻撃者の出す広告を判別して止めるのか？
• 途中で入り込む不審物を取り除くのか？
• 千差万別に存在するマッチングの広告に対しての対策は？

これらに対する早急な対策が必要とされています。

システムが人質！？ランサムウェアの脅威について

マルウェアに感染させることでシステムへのアクセス制限を行い、この制限解除のために身代金を要求するという「ランサムウェア」が問題となっています。日本でも2015年末に感染事例が報告され、現在も進化を遂げたランサムウェアが多数発見されています。

米カリフォルニア州のある病院では、院内システムがランサムウェアに感染したことにより、患者のカルテデータの閲覧や、搬入情報の取得等が不可能となりました。結果として、病院側は患者の命を優先し、攻撃者の要求である40ビットコイン（日本円で約200万円）を支払ったのです。

では、ランサムウェアへの効果的な対策とはどのようなものなのでしょうか？

ランサムウェアへの対策とは

ランサムウェア自体、マルウェアの一種ですので、感染を防ぐ方法としては通常のセキュリティ対策と変わりません。しかし、たとえ万全なセキュリティ対策を講じていても、感染を100％防ぐことは現実問題不可能です。

では、感染後の被害を抑える方法はあるのでしょうか？

ベンダーによっては、ランサムウェアの制限を解除する鍵を見つけることが可能です。また、日頃行っているバックアップのデータからシステムの再インストールを行う方法もあります。しかし、カリフォルニア州の病院の事例でもあるように、これらの方法を全て行ったとしてもシステムの制限解除に至らないケースも存在するのです。

システムや情報を守るための最終手段として、金銭の支払いに応じるという方法を受け入れなければならない状況もあり得るということを覚えておきましょう。

まとめ

「ラクしてセキュリティをしたいなら、お金が必要。お金を出せないのなら知恵が必要。」

ディスカッションの最後にあったこの言葉は非常に説得力がありました！過去の事例から学び、活かし、同じ失敗を繰り返さないよう、攻撃を受ける側の進化が求められているんですね…

そして、セミナーのテーマでもある「攻撃者の視点を考える」ことも、セキュリティ分野においてはとても重要なんだと感じました。セキュリティ業界の最新状況が学べ、意識の改められるセミナーでした！