SecurityReport

SQAT®

����年 春夏号

堅牢なセキュリティを考える

BBSecは内閣サイバーセキュリティセンターの「サイバーセキュリティ普及啓発」に賛同しています

便利で安全なネットワーク社会を創造するごあいさつ株式会社ブロードバンドセキュリティ

セキュリティサービス本部 本部長
齊藤 義人

����年は、ランサムウェアを中心にサイバー攻撃が激化の一途を辿りました。
攻撃者の手口はより巧妙になり、Log�Shellのような重大な脆弱性情報が周知されれば、直後にはそれを利用した攻撃が発生したという報道もありました。JNSAが毎年発表している「セキュリティ十大ニュース」においては、例年半数ほどランクインしていた法制度関連のニュースがすべてランク外となり、その代わりに攻撃関連のニュースで埋め尽くされました。法執行機関やセキュリティ関係者の努力もあって攻撃者の逮捕も報道されるようになりましたが、攻撃者は増え続けており、����年も事態は予断を許さない状況であるといえるでしょう。

本レポートは、株式会社ブロードバンドセキュリティ（以下、BBSec）の脆弱性診断サービス「SQAT®」における����年下半期（�月～��月）の診断結果からデータを抽出し、集約したものを当社のエンジニアらの感性も交えてアウトプットしたレポートです。
読者の皆様のセキュリティ対策における有益な情報としてご活用いただけることを願ってやみません。
それこそが「便利で安全なネットワーク社会を創造する」をモットーに掲げるBBSecの使命であると考えております。

CONTENTS＜巻頭企画＞

堅牢なセキュリティを考える ─── ��＜対談企画＞「サイバーセキュリティ最前線～ OT が IT で IT が OT で～」─── ��
診断の現場から ─── ��＜現状分析＞

診断結果にみるセキュリティの現状～ ���� 年下半期 診断結果分析～ ─── ��

カテゴリ別脆弱性検出状況 ─── ��

業界別診断結果レーダーチャート ─── ��※本レポートは、当社セキュリティサービス本部のホームページ「SQAT®.jp（URL：https://www.sqat.jp/）」https://www.sqat.jp/sqat-securityreport/からダウンロード可能です。
SQAT.jp

サービス名は各社の商標又は登録商標です。
なお、本文中では商標又は登録商標を表すマークを特に提示していない場合があります。
※ 本誌において記載されている会社名、商品名、この冊子は、クリエイティブ・コモンズ表示�.�ライセンスの下に提供しております。
二次利用にあたっては、出典明示（出典：株式会社ブロードバンドセキュリティ発行『SQAT® Security Report ����年 春夏号』
）をお願いします。
また、商用利用は許諾しておりません。

SQAT®はBBSecの登録商標です。
登録商標第�������号

堅牢なィテリュ
セキ を考える国内外問わずサイバー攻撃やセキュリティ対策に関する報道が飛び交っている。
報道をさらりと読むだけでわかることは少ない。最新情報を抑えたくても追い切れないのが現実である。本稿では、当社アナリストの見解も交えてセキュリティ脅威や対策などを考察。
堅牢なセキュリティについて探る。

SQAT® Security Report 編集部
BBSec SQAT Security Report ����年 春夏号

��なぜセキュリティ対策は必要なのか

セキュリティは日々状況が変わっていくため、リアルタイムでの情報収集が必須だが、そのためにセキュリティ動向を常に追いかけるのは一苦労である。
労力や時間を掛けても、セキュリティにおいては「何も起こらないこと」が成功であるがゆえに、何かを得られている感覚があまりないと感じる企業や組織も少なくはないだろう。
それでもセキュリティ対策は行うべきである。
その理由を図１にまとめた。

図１‫ٖ؞ج׊׵‬ٛ‫ؕؔط‬٤‫ظب‬٤‫ֿع‬颯‫׼גז׆‬٬哅ⳉ⢥塛٬㚞┕‫ס‬峎㵼٬䮇㲹韝⨑‫䶹סלם‬䣕ַ٬‫ٖ؞ج‬ٛ‫ؔط‬㵚瓀‫סعتؤ‬㘃㛻磵 冽٬䗯㕔‫ס‬碏㜊٬䷉玗٬庀孋٬‫ؓغؠشف‬؅☼䫇ׄ‫׾׿׼‬
٬域‫䷍ס‬䱡‫ס׫‬馐‫׾׿׈מ⺏ײ‬磬岷氳䮇㜊ㄨ㜊
‫ס‬◁ⱱ

琂

㘉‫ס‬㜊
榫
⟓

氳

٬겧鍐逇㲹
٬‫ه‬ٚ٤‫סة٭ْؕغ‬㜊㘉٬磝笝⫂‫ٓס‬ٜٚ‫┖⛥ס‬٬车䷓䧗㵵⩥錉‫Ⰼס‬㝥‫לם‬炘⚡◄哅禆禈‫⷇ס‬嚀

サイバー攻撃の紹介

企業の事業継続を揺るがすセキュリティの脅威。
その被害を受けないためにも、セキュリティ対策は企業にとって欠かすことのできないもの。対策の対象となるサイバー攻撃は多数存在しているが、その中でも近年のセキュリティを語る
うえで避けては通れない「ランサムウェア」について図２で紹介する。

図�ٚ٤‫ؘّؓؗئ‬骰♏ꄋ逇㲹縖��┘㴯‫ם‬ْ‫٭‬ٜ٬
8FC ‫عؕئ‬1$ٞ‫ذ٭ظ׷ؠش‬倊⺘⴫‫׽׻מ‬䳩⛼٬Ꞧ鈋┘⺎մ哅ⳉ⢥塛մ䗯㕔庀孋‫לם‬逇㲹䦡㛻‫⺎ס‬耆䓪

BBSec SQAT Security Report ����年 春夏号‫מכ׵‬䢙‫ף׿ׄ׊׮י׊‬骰♏ꄋ؅䣕ֻ

‫ذ٭ظ‬◅ꄆ耕鳠‫מ┕عؕئסهؘؗؠ٭ر‬河؆‫ذ٭ظד‬؅⪜ꝧ‫ב׾׌‬㫂‫׼ם‬骰♏ꄋ؅䣕ֻ䷍䱡縖丗ⶉ֐丗⧠⫃؅釐姲骰♏ꄋ؅䶹䣕‫׵יז‬յ‫מכ׵‬䢙‫עכ׾‬꡾‫ַם׼‬仼儖‫עך‬骰♏ꄋ‫䶹ס‬䣕ַ‫ע‬‫⟊٭فؕئ‬ꣅ‫ס‬遨⨑㛙セキュリティ対策の例「情報は第四の経営資源」と呼ばれるほど情報資産の価値が上がっている昨今において、あらゆるサイバー攻撃から情報資産を守るためにも、セキュリティの対策は必要不可欠である。
しかし、セキュリティ対策と一言でいっても、多様な対策が内包されており、網羅的に対策を行うのは至難の業。
それにも関わらず、どこか一つでも穴があるとリスクが高まってしまう。
図３に対策の例を挙げた。

図�䤗软氳㵚瓀‫❆ס‬擻杼氳㵚瓀‫❆ס‬ӫ┘塜➇⪌吾湳٬ꡔ塛ӫ8FC‫ؔن‬ٜ‫ذ‬ٛ٤‫ء‬*OUFSOFUӫ⪌鴙⭳畘杼ӫ‫ؘؓؗغ٭ـ‬畘杼ӫ⹿ַ鋗䞬㨥⛮‫ס‬鸵⮉‫⮆⭚ם‬մ‫לם‬%.;‫و‬ٞ‫ب؞‬☔氳㵚瓀‫❆ס‬‫ئ‬٤‫تؠشٍغ‬ӫ‫ؕؒن‬ٜⳂ⛼吾錞ӫُٜ‫ؘؓؗ‬㵚瓀ӫ耗䍏䓪㵚瓀ӫ‫٘ة٭ف‬٤畘杼ӫ‫ؚن‬ٝ٤‫ؠشة‬㵚瓀ӫ‫⯆تؕفظ‬䐒ӫ䷷罫ӫ‫ُ٭ٖك‬٤‫ؙ‬ٚ‫ס٭‬ꡔ塛ӫ炘⫂釨㲊璡ٜ‫٭‬ٜ瓀㲊մ‫לם‬‫ֿכ׆׾׷‬㛡ַ‫מס‬狌ֵֿ‫ַםַׄעיז‬ӫ‫وشؓؠشف‬ӫ嘤꡾畘杼ӫ‫סذ٭ظ‬倊⺘⴫ӫ炘⫂‫عشؾ‬٠‫ؠ٭‬吾橺ӫْ‫٭‬ٜ㵚瓀մմ‫לם‬

一組織でセキュリティを網羅する難しさここまで見てきたようにセキュリティ対策は非常に重要なものだが、それを網羅的に過不足なく行うには膨大な労力と時間が掛かる。自組織にあったセキュリティ対策を効率よく行うには、セキュリティに関する膨大でタイムリーな知識と、セキュリティに専念できる時間、そしてそれらを行うことのできる人材が必要だ。
しかし、セキュリティ人材の不足がこれまで啓蒙され続けていたとおり、それを一組織内で補うことが厳しいケースもあるだろう。
また、たとえ網羅的に対策を行ったつもりでも、脆弱性診断など第三者の目によって診断を行うと、一つの目線では見えなかった弱点が見つかることもある。
一組織として網羅的に、そして最新の動向にあったセキュリティ対策を行うことは難しい。だからこそセキュリティの専門家による脆弱性診断など、自組織の状況にあった専門的サービスを活用するべきである。
自組織の状況にあわせて賢く専門家を頼るのが、効率的な対策への大きな一歩となるだろう。
䅻‫מ‬䗯㕔⹜꥗؅车ֹ⛷遙ֿ‫ַם‬䗯 㕔٬湳 閁㵚瓀؅┉鵟‫׽‬车‫גז‬䏲‫מ‬յ舅磝笝‫⛰מ‬ֿ餉‫⮭־ַםַי׽‬了‫ַ׼ט׊‬䅻‫מ‬䗯㕔⹜꥗؅车ֹ‫ךכ׆‬յ僃二‫جס‬‫ٖ؞‬ٛ‫⺸Ⳃؔط‬؅䤧䭂邾丗‫ס‬걘㲘‫׼־‬㲔䗯‫מ‬媮‫גז‬䗯㕔؅䐂‫׾׿׼‬瑬└縖釱憠‫ך‬耗䍏䓪‫ٖ؞ج׷‬ٛ‫ؔط‬嚀耆‫┘ס‬餉؅氦釤‫׾׀ך‬‫ٖ؞ج‬ٛ‫☔ؔط‬免ֿ┘餉‫הֿ׊‬‫ٖ؞ج‬ٛ‫☔ؔط‬免ֿ꥗‫׾ַיזױ‬舅磝笝⫂‫ס‬䗯㕔‫⺱ךסםײס‬哅☽炘‫┩׷‬ꝴ┉芗‫כ‬奂鬳‫ַ׼ט׊‬☔ 免㵠ꝛ氳‫☔ם‬免؅罫䡗‫ֿعتؤס״ג׾׌‬澬⟊‫ַ׼ט׊‬㵠ꝛ氳‫ם‬湳閁؅䧏‫☔גז‬免‫ס‬罫䡗‫מ‬嫰ⱱ‫׾ַי׊‬‫ﻭ ﻻ‬ＥＪ＆‫ﻣ‬㵠 ꝛ ⚡ 炘磝笝⫂‫ﺲ‬鼧ꝛ図�哅 ⳉ 侇 ꝴ‫ٖ؞ج‬ٛ‫ؔط‬꞊鵽♓㛙‫ס‬哅ⳉ‫״ג׾ֵ׵‬յ‫ٖ؞ج‬ٛ‫׽־ףמؔط‬侇ꝴ؅Ⱏׄ‫ַם‬‫ٖ؞ج‬ٛ‫ؔط‬꞊鵽‫ס‬哅ⳉ‫ײסמ‬꥗╈‫׊‬‫׽⹦י‬磝؆‫׾ַך‬BBSec SQAT Security Report ����年 春夏号

��