EDRは本当に活⽤されているか

1
INTERNAL©2022 W/Secure KKEDRの導⼊後の現実 – 導⼊したが。。。
nEDRが会社上層部が聞きつけて、EDRベンダーのハイタッチ営業で導⼊したが。。。

• 既存の情報システム部に丸投げされることが多いので、EDR導⼊後なにをすればいいのかわからない• 情報システム部がEDRのアラートの内容がよくわからない、対応をどうするかわからない• 社内にSoCやCISRTがないのでEDRのアラートの内容がわからない、対応もどうすればわからない• 誤検知対応もベンダーの推奨どおりしているが誤検知が減らない• EPPを導⼊していればEDRは要らないというところも多いので導⼊しても放置していることも• MSSPのレベルが低いので死活監視程度のことしかできない• 上のようなことがあるので毎年、EDRの⼊れ替えをしている

2

INTERNALEDRの導⼊後の現実 – 導⼊したが。。。
n既存の情報システム部に丸投げされることが多いので、EDR導⼊後なにをすればいいのかわからない• EDR導⼊後、アラートをみないのでEDRは放置されることが多い• EDRは導⼊しただけでは意味がなくて導⼊後の運⽤がもっとも⼤切• MSSPにおいては現在のところ安かろう悪かろうというのが現状• MSSPが提供しているSOWの内容のよく確認して⾃社に適した内容なのかを要確認• インシデントレスポンスやフォレンジックが必要な時があるので、それらサービスを提供できる会社を事前に決めておく• Machine Learningを使うEDRは検知においてFalse Positiveがあるので、FPを減らす
ために、EDR製品やEDRベンダーにFP発⽣時のアラートの情報をもとにホワイトリ
ストを作成できるかを要確認• EDRの検知Alertに関して、EDRベンダーやMSSPにAlertの詳細内容を確認できるか

3

INTERNALEDRの導⼊後の現実 – 導⼊したが。。。
nEDRを活⽤にするには
EDRベンダーのフルマネジドサービスの導⼊費⽤がかなり⾼いMSSPを正しく選定すること
費⽤が⾼い、SOWなどを明確にするには発注側にある程度知識などが必要

⾃社管理ができるように⼈材を育てるか外部から雇いいれること
費⽤は上記より安いが育成時間や育成されるまでの対応⽅法が必要

MSSPや⾃社管理するにしても、EDRに付随している分析サービスなどを活⽤することでコストを下げて精度をあげることが可能

4

INTERNAL

WithSecure Co-Monitoring service 概要
WithSecureによる重大リスク検出の監視サービス（24時間365日または平日)
監視サービスにて脅威アナリストが深刻リスク検出、検証、調査を提供確認された攻撃を、WithSecureからお客様へご連絡
WithSecure脅威アナリストが迅速かつ効果的な修復のためのアドバイスを提供

Co-Monitoring
導入によるお客様のメリット
サイバー攻撃への迅速な対応
24時間365日/平日 英語
によるEDR マネージドサービス
Customer trust

WithSecure による EDR 監視サービスのご提供( 2023年10月現在 英語サポートのみの提供 )INTERNAL

WithSecure EDR / Co-Monitoring サービス比較
FeatureWithSecure EDR

WithSecure EDR + CoMonitoring

Detection

YES

YES

攻撃検出時のお客様報告

NO

YES

深刻なリスクの検証

NO

YES

攻撃への対応、修復ガイダンスの提供

NO

YES

Response action

INTERNALNONO

EDRネットワーク切断手動対応など
EDR の手動対応は提供外

EDRネットワーク切断手動対応など
EDR の手動対応は提供外

DeliveryN/A

9:30-17:30 office hour or
24/365

Offering

Software only

Software + service

Co-Monitoring お客様連絡フロー24/7 or平日営業時間監視

EDR手動対応
実施はお客様

外部からの攻撃
検出

WithSecure
Customer / Partner

INTERNAL

攻撃リスク検出の検証と調査攻撃確認後
電話, Email連絡

外部からの攻撃への対応案の提示Detection not atrue positive

No answer
to calls

Remediation
guidance provided

今後予想される脅威

8
INTERNAL©2022 W/Secure KK

今後、予想される脅威
n2014年に、クリミア危機が勃発
https://ja.wikipedia.org/wiki/ 2014年クリミア危機

nロシアで猛威のPetyaで分かった、セキュリティ会社の不確かさ
https://xtech.nikkei.com/it/atcl/column/14/346926/062901039/

ウクライナやベルギーのCERTなどは当初、初期の感染原因はメール添付だったと指摘。サイランスやシマンテックなどのセキュリティ製品ベンダーも、新型Petyaのメール添付による感染を指摘した
シマンテックは当初、新型Petyaは主にメールで感染するとしていたが、6⽉29⽇にブログを更新し、ウクライナの税務・会計ソフト「MEDoc」が最初の感染の⾜掛かりであり、ウクライナを狙った標的型攻撃だったとした。「2016年に⾒つかった初期のPetyaはメール添付で広まったので、当初感染源をメールとした」（同社広報）と説明している

nサプライチェーン攻撃
会計ソフトの更新というAttack Surface
導⼊している⽇本製のソフトは⼤丈夫か？もちろん海外のソフトも⼤丈夫か？
メールやWebだけがAttack Surfaceだけではない
9 今ある技術ではEDRが最後の砦、しかし、EDRはDetectionするがResponseに⼈やINTERNAL 組織がついてこれない現状。。。

今後、予想される脅威
n⽇本の同盟国または友好関係が深い国において有事発⽣前後で社会インフラを担うシステムが攻撃を受ける可能性がある
nその攻撃は、PetayaのようにメールやWebのアクセスによる感染ではなく、ソフトウェアの更新などによる感染かSaaSサービス経由の感染が想定される
Petayaのようなマルウェアが感染が開始されると、亜種がメールやWebアクセスにより拡散することが予想される
n有事の際には社会インフラ担うシステムへの攻撃は、主ではなくあくまで後⽅攪乱や⾝代⾦⽬的が考えられる
n上記のサイバー攻撃があれば徹底して感染したPCのクリーニングとバックドアや時限式のマルウェアが仕込まれていないかを常時監視する必要がある
何かのきっかけで再悪⽤される可能性がある
n感染経路すなわちAttack Surfaceが2015年当時と⽐べて増えているので、考えられるAttack Surfaceに対して事前に感染しない対策を実施し、さらに端末においてEPPだけでなくEDRの導⼊を推奨
n上記はクリミア危機の事例などから予測したものです10

INTERNAL

弊社のEDRとコンサルティングサービスのご紹介

11INTERNAL

Copyright © 2023 WithSecure Corporation

WithSecure
Elements EDRの概要（弊社宣伝)

12
INTERNAL©2022 W/Secure KKEPPとEDRの違い
EPP
対応製品

NGEPP

WithSecure Elements Endpoint Protection (EPP)

EDR
WithSecure Endpoint Detection andResponse (EDR)

⽬的

既知のマルウェア対策

既知・未知のマルウェア対策

PCの操作を監視し、EPP/NGEPPをすり抜けるサ
イバー攻撃を検出・迅速に対処

特徴

既知のマルウェアを検知

マルウェアの振る舞いや特徴から既知・未知マルウェアを検知

・サイバー攻撃の全体像を可視化し、原因特定・影響範囲を調査
・影響を最⼩化するためにPC隔離・マルウェア以外の脅威を検知

検知⽅法

パターンマッチング

・パターンマッチング
・静的な機械学習
・振る舞い検知・レピュテーション
・動的解析(サンドボックス、機械学
習)
・などなど

・プロセス起動・ネットワークアクセス
・特権昇格
・スクリプト系
・標準ツールの悪⽤・TTP (Tactics, Techniques, Procedures)
・などなど

13

INTERNAL©2020 W/Secure KK

脅威モデリングの動作
3）リアルタイム分析に導⼊されたソリューションにより新たな攻撃タイプを検出します。

BROAD
CONTEXTBUILDER

データ収集
センサ

リアルタイム分析

ビッグデータ
ストレージ2）脅威モデルは、誤検知と⾒逃しの両⽅を最⼩限に抑え、類似の悪意ある振舞いを⾼精度で検出するために、当社のソリューション
で⻑期間収集されたビッグデータでトレーニン
グされたものを使⽤しています。
INTERNAL

サイバーセキュリティ
専⾨家

脅威モデルと変則的なモデル©2022 W/SECURE KK

§
§
§

検出
可視化
ガイダンス

1）フォレンジック研究プロジェクトにより、弊社のスペシャリストがOfficeマクロとPowerShellスクリプトを使⽤した新しい攻撃⼿法を特定しました。この脅威パター
ンはトレーニングデータを提供する専⾨家のサポートと弊社の機械学習によりモデル化されました。
14WithSecure EDRの機能©2022 W/SECURE KK

INTERNAL

15

機能の概要検出

イベント

W/Secure
パートナー

センサー

アプリケーション情報と⾏動イベントü 持続性の確保
ü 管理者権限への昇格
ü 防御技術の回避ü 資格情報への接続
ü 機密情報の検出・窃取ü 侵⼊の拡⼤ü マルウェアの実⾏
ü 情報の収集ü C&C

組織対応のガイダンス
INTERNAL©2022 W/SECURE KK

⾃動化されたアクション
16

機能の概要検出イベント• 軽量なセンサーでエンドポ
イントを監視し、イベント
データをリアルタイムでク
ラウド上にアップロード• リアルタイム⾏動分析とBroad Context Detection™
で悪意ある⾏動パターンを判別し攻撃かを判断

WithSecure
パートナー

センサー

• 警告の調査が困難な場合は弊社にエスカレートするオ
プションを利⽤可能• 脅威を封じ込め修復するための⼿順を推奨アクション
として提⽰

組織
対応のガイダンス
INTERNAL©2022 W/SECURE KK

⾃動化されたアクション
17

機能⼀覧

INTERNAL©2022 W/SECURE KK

振舞い分析

BROAD
CONTEXT
DETECTION

WINDOWSセンサー

アプリケーション
インベントリ

インシデントマネジメント

集中管理

専⾨家の
ガイダンス

MAC
センサー

スレット
インテリジェンス

ホスト隔離

⾃動対応

管理統合

18

Broad Context Detection (BCD) により
標的型攻撃の範囲を容易に把握

BROAD
CONTEXT
DETECTION

機械学習によるリアルタイムの振舞いとその評価、およびデータの分析

リスクレベル、影響を受けるホストの重⼤度、および
蔓延する脅威の状況を組み合わせて、インシデントの包括的な洞察と重⼤度を提供

リスクベースの多⾯的な対応を可視化し、関連する検出だけを提⽰19

INTERNAL©2022 W/SECURE KK

• EDRは、不審な⾏動を管理者に警告することにより、以下の発⽣し得る侵害の兆候を検出します。
• 標準プログラムの異常動作• ⾮標準の実⾏可能ファイルから
実⾏中のプロセスへの呼び出し• 予期しないスクリプトの実⾏• 標準プロセスから予期しないシ
ステムツールの実⾏

検出する項⽬• 検出：単⼀のインスタンスではインシデントにならなくとも、それが短時間で複数検出された場合、警告の重⼤度が⾼くなるため、インシデン
トの可能性が警告されます。

20

INTERNAL©2022 W/SECURE KK• ファイルへのアクセス• プロセスの作成• ネットワーク接続• レジストリの書き込み• セキュリティ侵害の検出に関連するシステムログエントリ• プログラム実⾏時に派⽣したス
クリプト抽出センサーが収集するデータ

21

INTERNAL©2022 W/SECURE KK

EDR（エンドポイントの検知/対応）とは
標的型攻撃などのサイバー攻撃により侵害を受けた後に、

１．攻撃者の挙動を検知してアラートを上げる（検知）２．被害が拡⼤しないよう操作して収束させる（対応）ためのソリューションです。

22

INTERNAL©2020 W/Secure KK

サイバー攻撃を迅速に検知・対応が重要
感染前

ウイルス対策

感染後

EDR (Endpoint Detection& Response)

サイバー攻撃を完全に防ぐことは、もはや困難な時代です。これのセキュリティ対策は、侵害されることを前提に確⽴していく必要があります。ここで重要なのが、侵害されてから対処に⾄るまでの時間の短縮です。たとえマルウェアが感染したとしても、感染した端末をいち早く識別してネットワークから遮断し、他の端末への感染拡⼤を防ぐことができれば、被害を最⼩化できます。サイバー攻撃を受けたとしても、被害を最⼩化して「ビジネ23

INTERNAL

スを⽌めない」システム運⽤が企業価値を決めます。
©2020 W/Secure KK

EDR（エンドポイントの検知/対応）とはエンドポイントにセンサーを
インストール

イベント

センサー
24

INTERNAL

クラウド上の管理ツールから
挙動を監視

アラート

修復機能で
問題を解決
©2020 W/Secure KK

攻撃を受けたらアラートを受領EDRの導⼊におけるお客様課題
EDRはアラートの分析が必要なソリューションです。
深刻な問題

イベント

！緊急！ アラート︕︕︕︕︕︕

！緊急！

重要︕

警告

今すぐ対応

警告
センサー
25

INTERNAL！緊急！
©2020 W/Secure KK

感染を確認
しました︕

重要︕

警告

マネージドセキュリティサービス
EDR購⼊時にマネージドセキュリティサービス（MSS）の利⽤するケースが増えている
イベント

アラート

レポート

センサー
マネージドセキュリティサービス
（MSS）
26

INTERNAL

セキュリティ機器のログを外部対応組織に転送し、イベントを監視・分析してもらう。

©2020 W/Secure KK

MSSの導⼊におけるお客様の期待
⼀次切り分けをする
重⼤なアラートを報告する
対応のアドバイスをする

イベント

アラート
！緊急！

レポート

！緊急！
アラート
重要︕

今すぐ対応

重要︕
感染を確認
しました︕

センサー
判断・対応実施はしない「危険だと思います」「検知内容を送るので判断をお願いします」「あとはよろしく」
27

INTERNAL©2020 W/Secure KKEDRを使った「レスポンス」フロー
対応プロセスが整備され、常にメンテナンスされている

プロセスフローの⼀部（例）インシデント検知「⾼」以上︖

インデント︖
NO

YES

インシデントではない
28

INTERNAL

NO
ステータスを「監視」

YES

ホストを隔離ステータスを「進⾏中」
ホストを調査解決︖
NO©2022 W/SECURE KK

まずは想定した攻撃に応じた
プロセス⼀覧を作成してみる

検出結果や⽉次レポート等を確認し、追記・修正していく

初回の作成時は攻撃経路を中⼼に検討し、プロセス作成に時間をかけすぎないインシデントの解決に⽀援が必要な場合
インシデントを WithSecure にエスカレーションすることができます。
分析後にインシデントを解決できない場合、インシデントを WithSecure にエスカレーションし、Broad Context
Detection を解決するためのサポートと対応⽅法を受け取ることができます。
インシデントをエスカレーションすると、システムが WithSecure のアナリスト (専⾨家) に通知を送信します。アナリスト
は、問題を解決するためにインシデントのデータにアクセスします。

INTERNAL©2022 W/SECURE KK

29

Threat validation
Threat investigation
WithSecure Elevate (ウィズセキュアに報告)
当社の専⾨家は、困難な状況に対応し、攻撃の封じ込めと修復に関する実⽤的なアドバイスを提供することにより、常にお客様をバックアップします。

30

INTERNAL

THREAT
VALIDATIONTHREATINVESTIGATION

過去7⽇間に検出されたBroad Context
Detection™に関する追加情報を提供します。
これには、検出の専⾨家が作成した概要と説明、および応答アクションが必要かどうかを判断するのに役⽴つその他の関連データが含まれます。

特定のBroad Context Detection™について⾮常に詳細な調査を実施し、すべての直近および過去のデータを活⽤します。 このオプションには、検出された攻撃タイプの包括的なレポートとともに、
サイバーセキュリティの専⾨家による実⽤的なインシデント対応ガイダンスも含まれています。

©2022 W/SECURE KK

WithSecure Elavate TOKENS

脅威の検証や調査を⾏う際には、そのための Token が必要です。ValidationやInvestigationには、それぞれ1つのTokenが必要です。

ウィズセキュアのパートナーは、パートナーポータルからトークンを購⼊することができますが、ウィズセキュアの営業からも購⼊することができます。Tokensの詳細については、ウィズセキュアの営業担当者にお問い合わせください。

31

INTERNAL©2022 W/SECURE KK

参考︓インシデント対応SLAマトリクス
事件処理の優先順位付けは、事件処理プロセス中で、おそらくもっとも重要な判断ポイントです。リソースに制限があるという理由で、起きた順に事件を処理してはいけません。代わりに、2つの要因に基づいて、処理に優先順位を付けます。
事件により影響を受けている、または将来影響を受ける可能性が⾼いリソースの重要度
現在の影響または
将来予想される影響

⾼中低(インターネット接続、公開(システム管理者のワークス (ユーザのワークステーション)
ウェブサーバ、ファイアウォール、 テーション、ファイルサーバ、プ
顧客データなど)
リントサーバ、アプリケーション
データ)

ルートレベルアクセス

15分

30分

1時間

データの不正な変更

15分

30分

2時間

機密データへの不正アクセス

15分

1時間

1時間

不正なユーザレベルアクセス

30分

2時間

4時間

サービス利⽤不可

30分

2時間

4時間

嫌がらせ※

30分

ローカルITスタッフ

ローカルITスタッフ
NIST SP 800-61 「コンピュータセキュリティ インシデント対応ガイド」※この分類は、ユーザにいやがらせをする以外の悪影響がない事件を指す。例としては、ユーザの画⾯に⼀時間に⼀度メッセ ージを表⽰するだけの悪意のコードへの感染などがある。
32

INTERNAL©2022 W/SECURE KK

クラウド環境を安全に活用するために
WITHSECUREクラウドセキュリティ診断サービス(弊社宣伝)(弊社の宣伝)33

INTERNAL

Copyright © 2023 WithSecure Corporation

クラウド環境診断の重要性• クラウド環境を対象としたサイバー攻撃の約65%はユーザー側（利用者側）の設定ミスに起因している

クラウド環境 責任共有モデル( WithSecure 2022 )• クラウド環境は設定箇所が多いためミスも頻発している• 一方でユーザーがクラウド環境のセキュリティ機能
やセキュリティ対策を確認するには限界がある• 多くの企業でツールを用いたネットワークスキャンを実施しているが、それだけでは以下の理由で不十
分
•

•
•

INTERNAL

個別のビジネスロジックに依存する問題点、たとえば一般ユーザーに管理者権限を割り当てているなどの確認はできない
実際に攻撃された時にどのくらい影響があるかな
ど、リスクの軽重を判断することはできない
診断対象の見落とし、診断のエラーや誤検出がな
いかを専門的な観点から確認する必要がある

お客様の
責任

クラウド
事業者の
責任

出典 https://aws.amazon.com/jp/compliance/shared-responsibility-model/サイバー攻撃事例
時期

被害組織

内容

2022年12月

国内サービス業ユー
ザクラウド環境の誤設定で約1万人分の顧客データが公開された状態に2023年5月

国内製造業ユーザ

クラウド環境の誤設定で約215万人分の顧客データが公開された状態に

2023年6月

国内報道機関クラウド環境誤設定により約3,300人分の顧客データ (住所、生年月日、年収、金融資産額含む)が公開された状態に2023年9月

Microsoft

GitHub上でオープンソースのAI学習モデルへAzureのSAS（Shared
Access Signature）トークンを公開していたが、このトークンの設定ミスで、意図した情報以外へのアクセスが可能に。
※38TBの内部機密情報を含む

クラウド環境の誤設定が大きな問題につながっている

INTERNAL

WithSecure クラウド環境向けサービスの特長
多数のクラウド環境への診断実績•••

国内クラウド環境稼働基幹システムに対する、多数の提供実績
実施に際しては短期間でビジネスに影響があるかどうかを論理的、探究的に調査
多くの脆弱性・リスクを検出したことで高い評価を受領

コンサルタントの豊富な経験••

十分な網羅性と徹底性••

診断対象全てに対し豊富な経験
テスト範囲と粒度を十分に理解した上でのテスト実施

充実したフォローアップ•••

INTERNAL

弊社チームはレッドチーム演習の経験が豊富にあり、攻撃者が持つ最新の多様な観点を熟知ブルーチームの経験も同じく豊富で、実際にどのような攻撃があるかを理解し、現実的な対応方法をご提供

診断はレポート提出で終わりではありません
フォローアップセッションにて、具体的で現実的な修正が可能かについて、十分な質疑応
答を実施
対策の事例や再テストの必要性についても協議しますクラウド環境 (AWS) 診断
クラウド環境(AWS) 診断• クラウド環境 (例:AWS) 環境に適切な設定ができているかについて、現実的かつ有効な方法を確認します。
• 設計上の問題や、設計の意図通りに AWS が設定されているかについても構成図や設計を基に確認いたします。
• 診断対象（例）37

INTERNAL

•
•
•
•
•
•
•
•
•

AWS アカウント
IAMアクセス
Amazon CloudFront
Amazon CloudWatch
Amazon Elastic Load Balancing
Amazon ElasticCache
Amazon RDSAWS Cloud TrailAWS Config etc….
Copyright © 2023 WithSecure Corporation

アプリケーション診断• 対象になるアプリケーションの全体的な診断を⾏います。
• 診断⽅針は、対象システムと技術に詳しい診断者のよる⼿動での診断です。⾃動的な確認が有効な場合は、⾃動化のツールも使⽤しますが、最終的な判断と確認は⼿動となります。
• 技術的な脆弱性だけではなく、ビジネスロジックでの弱点や、アクセス制限の突破や、プライバシー関連の問題点や、複雑な攻撃⽅法まで診断します• WithSecureの診断⽅法の推奨は、攻撃者観点からの⼿動診断とセキュリティ的に重要なソースコードと設定の部分のホワイトボックス診断です。こちらによって、診断は効率的に深くまででき、対策案もピンポイントで提供可能です。

38

INTERNAL

Copyright © 2023 WithSecure Corporation

Category

Actions

Attack Surface

Exercise the target using all user roles and available functionality. Examine thetarget to identify any artefacts. Observe the network behaviour of the target
and identify protocols in use.

Business Logic

Examine target workflows, deployment, use-cases and design.

Communication Security Examine the use of encryption in communications. Make use of appropriate
network proxies to intercept, modify and replay messages.
Authentication

Examine the authentication mechanism and attempt to bypass it.
Examine the password policies in place.

Authorisation

Examine the access control matrix, attempt to perform actions that are notpermitted and gain access to unauthorised data.

Input Validation

Ensure that input validation is appropriate and sufficient. This includes
attempting to perform attacks including but not limited to SQL injection, CSV
injection and XML entity attacks.

Data Storage

Verify that sensitive information at rest is appropriately protected.

Attack Path 概要• お客様ご希望“Target Data”に対して
・ お客様からご提供頂いた侵入開始箇所から、PC, Server, Network装置など社
内システムへの攻撃侵入テストを実施
・攻撃シナリオ、ツール、エクスプロ
イトなどにより社内システムへの侵入
実施
・ 侵入成功箇所 (右図実線) から Target
Data に対する侵入テストを継続
・ 侵入成功箇所に対する攻撃方法、利用した脆弱性および推奨変更箇所を成果物として提出致します

侵入
開始箇所

39

INTERNAL

Copyright © 2023 WithSecure Corporation

Red Teaming：電⼦鍵の診断や物理侵⼊を含む総合診断§ 情報システムおよび個⼈情報、社内機密情報の総合診断を実施§ 電⼦鍵、物理侵⼊診断はテレビ局、発電所、インフラ系で多数の実績

https://www.youtube.com/watch?v=75gIDbhYRkA&t=
40

INTERNAL

Copyright © 2023 WithSecure Corporation

クラウド環境向けセキュリティ診断 お客様事例

41

INTERNAL

クラウド環境向けセキュリティ診断 お客様事例

クラウド環境における Serverless 環境 へのセキュリティ診断実施例
42

INTERNAL

Copyright © 2023 WithSecure Corporation

Salesforce環境におけるセキュリティリスクと対策

43

INTERNAL

Copyright © 2023 WithSecure Corporation

Salesforceの設定ミスに起因する
リスク 1
情報流出

44

INTERNAL

Copyright © 2022 WithSecure Corporation

Salesforceの設定ミスに起因する
リスク 1
情報流出
年

月

事例

2020年12月

金融庁の注意喚起で金融機関が対応急ぐ、セールスフォース製品への不正アクセスで| 日経クロステック（xTECH）
https://xtech.nikkei.com/atcl/nxt/news/18/09416/

2021年1月

イオンでも不正アクセス、セールスフォース製品の設定不備で | 日経クロステック（xTECH）
https://xtech.nikkei.com/atcl/nxt/news/18/09526/

2021年2月

クラウド型システムへの第三者からのアクセスについて | 両備システムズ
https://www.ryobi.co.jp/news/notification20210210

2021年3月

クラウド型口座開設システムへの第三者のアクセスについて - 株式会社SMBC信託銀行
https://www.smbctb.co.jp/contents/aboutus/news/pdf/j_pr_210308_01.pdf

Salesforce からの情報流出リスクへの対策● Salesforceの推奨設定に合わせた対応の実施● Salesforceリリースノートを確認し、ビジネスや業界の要件に沿った設定を実施● 第三者による診断サービスの利用
INTERNAL

Salesforce 環境 セキュリティ ご相談例
国内金融機関様Salesforce 環境 サイバーセキュリティ診断
既に複数年にわたり Salesforce 環境を利用しており、顧客情報および社内
情報が Salesforce環境に保存されているため下記の対策を講じたい。
1) Salesforce環境の設定ミスによる外部情報流出対策
2) Salesforce環境に保存ファイルのマルウェア、ランサムウェア対策

46

INTERNAL

Copyright © 2023 WithSecure Corporation

WithSecure™ Salesforce環境診断の特長
10年以上にわたる Salesforce 環境に対する設定診断の実績および、過去のサイバー攻撃対策事例を元に、Salesforce 環境に対する:• お客様 Salesforce Sandbox 環境に対する、Whitebox 形式による網羅的セキュリティ診断(初回診断)47

INTERNAL• 1年間 4回の継続的 Security Alert
Review をご提供します
Copyright © 2023 WithSecure Corporation

ご提案の概要 1/2
1. Salesforce 環境 セキュリティ設定, ハードニング ( 初回実施 )• WithSecure™ セキュリティコンサルティング 提供実績あり• 特定の Salesforce 環境 Org IDを対象に実施• Authentication, Access control, Network/boundary security controls,
Data security and encryption, Secrets management, Detective
controls などの設定確認、ハードニングレビューを実施致します• 指摘点に関するサンプルレポートを打ち合わせにてご説明させていた
だきます。
48

INTERNAL

Copyright © 2023 WithSecure Corporation

ご提案の概要 2/2
2. お客様 Salesforce 環境の定期的なアップデート, セキュリティア
ラートレビュー
• 毎月/四半期ごとの実施• お客様環境セキュリティアラート/ベースラインステータス/アップデートのレビュー• セキュリティ上の対策が必要かの分析と提案
ご提案(1) にてハードニングを実施した環境を対象に、Health Check , Critical
Updates内容等を確認の上、WithSecureから セキュリティ対策を分析、ご提案 いたします49

INTERNAL

Copyright © 2023 WithSecure Corporation

リスク 2

Salesforce 環境に対する マルウェア、
悪意あるURLの送付による攻撃

50

INTERNAL

Copyright © 2023 WithSecure Corporation

投影のみ

Cloud Protection for Salesforce Q2/2023
スキャンされたファイルのスキャンされたURLの数

平均スキャン時間

平均ファイルサイズ

20,950,361

2,387,733

0.784s423 kB

数+7% QTQ+4% QTQ

Top 10 スキャンしたファイルタイプ
1. PDF

11,690,117

Top 10 マルウェア
1. HTML/Phish.SBH

2. Jpeg

1,935,055

2. TR/Inject.Gen

3. PNG

1,645,974

3. JS/Phish.G7

4. Word1,158,135

4. HTML/Phish.PATB

5. html

1,093,367

5. HTML/Infected.WebPage.Gen2

6. Json615,348

6. Trojan:HTML/Phishing.C

7. CDFV2

573,617

7. HTML/Phish.SBG

8. Excel

530,905

8. JS/Phish.G10

9. Text

441,452

9. Trojan:W32/Generic.relch!fsmin

10.Zip220,666

10. HTML/Phish.kjh

データは1000以上の保護されたSalesforce組織から収集される
INTERNAL

検知率+ 107%

Q1/2023

Q2/2023見つかった悪意のあるファイル/URL
98%

悪意のあるURL
悪意のあるファイル2%

Salesforce 環境へのマルウェア対策
国内ユーザ様 採用事例

INTERNAL

Copyright © 2023 WithSecure Corporation

クラウドプラットフォーム上にセキュリティを導入する理由

Salesforce!
!

クラウド上 コンテンツの安全性確保はユーザ側の責任です企業の社内端末は、エンドポイントセキュリティにより保護されますが、 Salesforceはパートナーやエンドユーザとコンテンツを共有する場としても使用されます!

このような場所を通じてマルウェアが拡散されてしまうと、企業のイメージダウンにもつながります!

クラウドプラットフォーム上にセキュリティ機能を導入することで、組織の内外に関わらず、安全性を確保することが可能になります53
INTERNAL

Copyright © 2023 WithSecure Corporation

Salesforce 社 のコメント

Salesforce

Salesforce サービスではデータプライバシー保護の観点から、
ウイルススキャンまたは検疫はお客様データをファイルデー
タとして取り扱うため実施しません。システムはお客様より受領したデータをデータベースにエンコードされた形式のまま格納しており、そのデータを解釈し実行することはありません。
したがってウイルスに感染したファイルを格納しても他のファイルやシステムに感染することはありません。マルウェ
アに関する脅威を低減するための施策として、お客様側で最新のウイルス対策またはマルウェア対策ソリューションを実行いただくことを推奨しています。

54

INTERNAL

Copyright © 2023 WithSecure Corporation

Salesforceご利⽤ユーザ様が(⾃社で)必要なセキュリティ対策
お客様 ご相談例• 外部Community Userによるファイルアップロード• Mail to Case, Chat botなど
によるメール内でのURL送付• Salesforce と外部システム
連携に伴うファイル受信

Salesforce へアップロードするファイルの安全性はエンドユーザ様の側でチェックする必要があります
INTERNAL

Salesforceご利⽤ユーザ様が(⾃社で)必要なセキュリティ対策
お客様 ご相談例
・外部Community Userによるファイルアップロード
・Mail to Case, Chat botなどによるメール内でのURL送付
・Salesforce と外部システム
連携に伴うファイル受信外部 Community User アップロードコンテンツへのセキュリティ対策 ご希望案件が、急速に増加しています
INTERNAL

Cloud Protection for Salesforce 動作概要
分析
セキュリティクラウドに送られたファイルは、リスク
プロファイルに基づき、複数のステージで分析が⾏わる。

WithSecure
SECURITY
CLOUD

脅威知⾒
マルチエンジンAV
クラウドサンドボックス

システム管理者、
ファイルアップロード
ユーザに通知CLOUDtoCLOUD
アーキテクチャ

Salesforce
お客様ファイル
Salesforce社と共同で、Salesforceプ
ラットフォームのネイティブなセキュリティ機能を補完するために開発されました。Salesforce 環境にアップロードされたすべてのファ
イルやURLを介したランサムウェアなどの高度なマルウェアからリア
ルタイムに保護します。

INTERNAL

Salesforce 環境
ユーザがアップロード/
ダウンロードするコンテンツやURLを、セキュリティ検査を実施
クラウドツークラウドの技術により、ミドルウエアや追加の設備は不要。

検出
危険なコンテンツが検知された場
合、ユーザに検知画面を表示。
何故ブロックされたのかを明示することで、次のアクションを容易に。

対応
危険なコンテンツが検知されると、管理者に自動的に警告を送信。
豊富なレポートとセキュリティ
分析、追跡情報により管理者はインシデントに効果的に対応。

CLOUD to CLOUD

アーキテクチャ

数分間でインストール完了」

ミドルウェアのインストールやAppExchange

新規サーバの導入は不要「今すぐ入手」で導入は完了※ Salesforce AppExchange からの導入するため
お客様PC環境へのソフトウェアインストールやネットワークの設定変更は必要ありません※エンドユーザ様向け
30日間 無償評価ライセンスを使用したテストも実施可能です58

INTERNAL

Copyright © 2023 WithSecure Corporation

国内の主な採用事例
金融機関様

銀行口座開設ポータル

個人ユーザ 申込書類 アップロード

金融機関様

法人融資申込・受付ポータ
ル

法人ユーザ 申込書類 アップロード

金融機関様

保険商品申込ポータル

法人ユーザ 申込書類 アップロード

金融機関様

保険金 申請Webサイト

個人ユーザ 保険金申請書類・関連書類ファイル アップロード

官公庁様

給付金電子申請Webサイト

個人ユーザ 申請書類・個人情報書類ファイルアップロード

官公庁様検査実施登録Webサイト

個人ユーザ 申請書類・個人情報書類ファイルアップロード

地方自治体様

検査申込・申請Webサイト

個人ユーザ 申請書類・個人情報書類ファイルアップロード

地方自治体様検査実施登録Webサイト

個人ユーザ 申請書類・個人情報書類ファイルアップロード

製造業様

B2B 購買システム

法人ユーザ 注文書・納品書・請求 ファイルアップロード

製造業様

コールセンターシステム

個人ユーザ お問合せ受付・画像ファイルアップロード

流通ユーザ様転職・就職情報Webシステム 個人ユーザ 申込書類・個人情報書類ファイルアップロード
国内金融機関様、官公庁様、Fintech事業者様、SaaS事業者様へのサービス提供実績多数
INTERNAL

ヤフー株式会社様 CPSF ご採用事例

60

INTERNAL

Copyright © 2023 WithSecure Corporation

ヤフー株式会社様 CPSF ご採用事例

61

INTERNAL

Copyright © 2023 WithSecure Corporation

大阪府様 CPSF ご採用事例

62

INTERNAL

大阪府様 CPSF ご採用事例

63

INTERNALCPSF ケーススタディ: 国内銀行ユーザ様
用途• 銀⾏の⼝座開設・融資申込の電⼦申請システム

解決したい課題• 銀行と顧客間でやり取りされる口座開設に伴う本人確認書類や融資申込書類
は、顧客の個人的な財務に関する機密情報を含むデータを扱うため、このデータを保護し、同時に悪意のあるコードからデータの安全性を保つこと

導入の結果• １カ月にアップロードされる顧客からの口座開設時の本人確認書類や融資申込書の安全性確認を実視

導入スケジュール

64

INTERNAL• 導入検討～ 本番稼働 6ヶ月

CPSF ケーススタディ: 国内保険会社様
用途• 保険申込/申請のための電⼦申請システム

解決したい課題• 保険会社と顧客間でやり取りされる口座開設時の本人確認書類や融資申込書
類は、顧客の個人的な財務に関する機密情報を含むデータを扱うため、このデータを保護し、同時に悪意のあるコードからデータの安全性を保つこと。

導入の結果• １カ月にアップロードされる顧客からの口座開設時の本人確認書類や融資申込書の安全性確認を実視

導入スケジュール

65

INTERNAL• 導⼊検討〜 本番稼働 2ヶ⽉

INTERNAL