宮田健の「セキュリティの道も一歩から」（91）

製造業への「侵入」は簡単であり難しい？（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。今回は、さまざまなセキュリティのテストを通じて自社の防御に穴はないかを確認するための「ペネトレーションテスト」について考察したいと思います。

公開 2023年11月24日 09時01分

[TechFactory]

印刷する連載新着通知を受け取る

　セキュリティの世界では「ペネトレーションテスト」というものがあります。ペネトレーションとは浸透や侵入を意味する単語ですが、このテストはハッカー級のスペシャリストが、実際に企業のシステムに疑似攻撃を仕掛け、サイバー犯罪者のゴールと同じく、情報を盗み出したり、システムを止めたりといったテストを通じ、自社の防御に穴はないかを確認するためのものとなります。

　多くの場合、こういったテストを実際に行う企業は、ある程度セキュリティが成熟し、それでも不安であるという場合に行われるため、日本国内でもペネトレーションテストを定期的にやっているという企業は少ないと思います。それでも、絶対にシステムが攻撃されてはならないエリアの企業は、自社内でこういったテスターを育て、かつ従業員、そして社長にすら一切知らせずに抜き打ちでのテスト「レッドチーム演習」を行うという企業まで出てきています。興味深いですね。

　さて、今回ピックアップしたいのは、そのペネトレーションテスターが、あなたの会社にどうやって「侵入」するか、という点にあります。皆さんは、テストにおいて、実際の攻撃者のテクニックを使って企業システムの内部に侵入するといったとき、どのような方法を思い浮かべるでしょうか？

どの企業でも侵入できる、その方法とは

　実際のサイバー攻撃においては、初手として「フィッシングURLを含むメールを送り、従業員にクリックさせ、IDとパスワードを盗む」ことや、「マルウェアが添付されたメールを送り、それを実行させ、内部へと侵入する」こと、もしくは最近であれば「VPN機器に残る脆弱性を使い、あらかじめ盗んでおいたID／パスワードを使い内部に入り込む」などが考えられるかと思います。どれも近年発生している情報漏えい事件や、ランサム事件で“あるある”となった導入部分です。

　では、疑似攻撃を仕掛けるペネトレーションテスターは、いったいどんな手法で入り込むのでしょうか。意外かもしれませんが、ペネトレーションテストにおいての侵入は「何らかの方法で侵入したことにして、内部に入って攻撃を仕掛ける」ことが多く使われているそうです。つまり「侵入された前提でテストする」のです。

　実際のペネトレーションテスターにお話を伺いましたが、このような形でテストを行う理由は非常にクリアで「どんな企業でも、時間さえかければ必ず侵入できるから」と述べていました。つまり、絶対に入れるから省略するのです。例えばIT的に鉄壁の防御が成されていたとしたならば、オフィスのドアを正面から突破し、社員のフリをしてネットワークに不正な機器を取り付けることまで、ペネトレーションテストでは行われます。こういったことを含めれば、内部に侵入するのは時間をかければ確かにできてしまうかもしれません。

侵入ぐらいは“かすり傷”――クラウド／SaaSへの侵入が簡単になった今、企業はどう“実害”を防げばいいのか：ITmedia Security Week 2023 秋 - ＠IT

　その事からも、ITの世界ではいま「境界防御」とよばれる、鉄壁の守りで中には絶対に誰も入れないという考え方はもはや時代遅れであるという認識が進んでいます。

　では、製造業ではどうなのでしょうか？

次ページへ境界防御に限界はあるが、それでもまだ有効な製造業では