攻撃手法は大きく変わっていないのに？

　実際のところ、セキュリティの世界において攻撃手法が大きく変わることはないと考えて良いと思います。いわゆる「サイバーキルチェーン」という考え方では、サイバー攻撃者は攻撃対象を調査する「偵察」から始まり、マルウェアを用意する「武器化」、メールやWebを通じ対象の組織にマルウェアを送り込む「配送」、そのマルウェアを実行することで実現する「攻撃」と「インストール」、マルウェアを通じ組織内の端末を乗っ取る「遠隔操作」を通じ、最終的に金銭に換えるために情報を奪い脅迫などを行う「目的実行」のフェーズに分かれています。この各フェーズではアプリケーションやOSの「脆弱性」が使われます。トレンドマイクロによると、攻撃グループの一つ「Conti」はその攻撃のなかで、わずか「4ベンダー」の、「17製品」の脆弱性を使っていたと報告しています。皆さんはこの数字、多いと感じましたか？

図3　攻撃グループが悪用した脆弱性はわずか4ベンダー、17製品のみだった（出所：トレンドマイクロ）

　これはつまり、攻撃で使われるテクニックはそれほど幅広くなく、使う脆弱性は異なったとしても、似たような手法が使われることを意味しています。例えば侵入後、「遠隔操作」における活動は、不正に管理者権限を奪う「権限昇格の脆弱性」が使われることが多いです。これらの行動は、パターンに沿ったものになっていることが多いのです。

　実は既に、これら攻撃者における戦術とテクニックはまとめられており、「MITRE ATT&CK」として一般に公開されています。この内容に関してはここでは触れませんが、攻撃者の手口はそれなりに一般化されているということだけ把握していただければと思います。

　このことを考えると、攻撃者たちはこれまでと同じような攻撃手法のまま、いまも有効に活動が行えてしまっているという状況であるため、「情報セキュリティ10大脅威」では内容が代わり映えしない状況にあると考えられます。そして、その攻撃手法が洗練され、多くの組織で被害が発生していることこそが、「JNSA 2022セキュリティ十大ニュース」にある被害事例が非常にインパクトが大きなものになっている、と言えるでしょう。私たちはどこかで、これを食い止めねばならないと思っています。

高度化した攻撃がばらまかれてしまっているいま、どう対策するか

　特に製造業においては、サプライチェーンという言葉の重みを理解する方が多いと思います。いま、ITセキュリティにおいても、このサプライチェーンがキーワードになっています。ただ、ITにおけるサプライチェーンは部品の供給という観点ではなく、企業と企業、組織と組織、PCとサーバ、クラウドなどの“つながり”を指しています。このつながりはまさに“鎖”に例えることができ、いくら自社組織内の鎖を太く、強くしたとしても、つながっている子会社や取引先の鎖がプラスチックでできていたら、ちょっと引っ張っただけで鎖としての役割を果たせなくなります。

　そして、その鎖を引っ張る行為であるサイバー攻撃は、手法は変わらなくても非常に強い攻撃が、ばらまき型のように無差別にやってくるという状況です。もうそろそろ「ウチは小さいから攻撃しても意味がないよ」と考える経営者もいなくなっているとは思いますが、攻撃者は攻撃対象がどんな組織か把握するまえに、「そこにサーバがあるから」くらいの考え方で攻撃を行ってきます。攻撃手法が変わらないのに被害が神代になっている背景には、これまでたまたま攻撃を受けていなかった、セキュリティ対策が成されていない組織にとうとう攻撃が来ているからとも考えられるでしょう。

　この対策は一筋縄ではいきません。もはや「高いお金をかけてでも対策ソリューションを入れる」ことで安全にはならない時代です。むしろお金をかけるよりも、設定を見直す、標準機能でできることをきっちりと行う方が効果があるかもしれません。

　そして、私がいま最も力を入れるべきだと思っているのは、セキュリティ担当者でも経営社でもない「普通の人」ができることをするという点です。パスワードを強くすることや、偽メール、偽SMS、偽電話を使う手口を知ること、アップデートをしっかりすることといったことです。自分たちが少しずつ歩み寄ることで、サイバー空間はきっと安全になると信じています。

　サイバーセキュリティ月間では「サイバーセキュリティ対策9か条」も公開されています。これらのことは面倒くさいことかもしれませんが、個人としてもスマートフォンやPCを守れて、ひいては自分の資産も守れる、重要なことばかりです。これらのことがうまく回れば、来年の10大脅威はランサムウェア対策が有効になってトップから陥落するはずです。そんな結果が出ることを期待しつつ……。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！