仕組みがなくても、ソリューションがなくてもいますぐできること

　実際のところ、インシデントレスポンスにおいて検知や封じ込めを行うには、それなりのセキュリティ知識（それもかなり深いデジタルフォレンジックと呼ばれる知識）が必要です。検知のための仕組みはあまたありますが、何か1つを入れたら完璧というものではなく、全方位でのセキュリティ対策が求められます。事前準備でしっかりと封じ込められればいいのですが、どうしても侵入を許し、その後の攻撃者の足取りを基に影響範囲を調べるためには、非常に高度な知識が求められます。これには日本国内の最先端の技術を持つセキュリティベンダーですら、数カ月かかるレベルの爪跡です。

　なぜそれだけ時間がかかるのでしょうか。それは攻撃者が狡猾にも「足取りを残さない」「足取りを消す」というテクニックに長けているからです。交通事故をイメージしていただくとよいのですが、音もなく去って行った犯人が残した証拠が何もなければ、犯人の足取りをつかむのは非常に困難です。そんな犯人を見つけるために必要なのは、例えば自衛としてのドライブレコーダーなどが挙げられるでしょう。ドライブレコーダーは事故を防ぐことはできなくても、起きた事故の記録がしっかり残ります。昨今ITの世界でキーワードとなっている「EDR」（Endpoint Detection and Response：エンドポイントの検知とレスポンス）はまさに、IT世界のドライブレコーダーといえるでしょう。

　じゃあEDRを入れよう！ と考えていただければよいのですが、EDRはそれなりに運用が大変です。いまのところ何も仕組みを用意できていないが、事故対応をスムーズに行いたいと思うのならば、いますぐできそうなことが1つあります。それは「ログを記録すること」です。

　おそらく、多くのシステムは個別にログを記録し続けているでしょう。これまではログは何らかの不具合があったとき、ヒントとして利用できる情報でした。そのため、ほとんどの場合は「異常系の情報を記録する」ことを念頭に置かれていたと思います。しかし、現在のサイバー攻撃下ではちょっとだけ考え方を変えてください。

　昨今のサイバー攻撃は実は「正規のツール」や「正規の通信」を大胆に利用します。そのため、異常系だけを記録していては、インシデントレスポンスの際に重要なログが記録されていないということになります。そのため、ログの出力情報を見直し、「正常系のログも記録する」ようにしてください。そして昨今のサイバー攻撃はとにかく気付きにくいもので、侵入後半年以上気が付いていないということも多くあります。そのため、ログの保存はかなり長めにしておくことが、インシデントレスポンスの準備として非常に有用になるのです。

　正常系のログも記録し、最低半年以上の保存期間とすると、ログの分量は膨大になるでしょう。しかし、もはやそれがスタート地点です。インシデントが発生した時、外部の専門家をインシデントレスポンス要員として呼んだ場合でも、これらのログが残っているかどうかをまず聞かれるでしょう。その時にログが残っていれば、封じ込めや根絶までにかかる期間が短く済むはず。ログを残すことは、いますぐできて有効な対策の1つなのです。

　そしてログ取得の仕組みに手を加えるときは「攻撃者がログを消去する」可能性も念頭に置くことをお忘れなく。それこそが、ログが「攻撃者にとって致命的になり得る情報」である証拠です。次に見直すべきポイントとして、ぜひチェックしておいてください。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！