サイバーセキュリティ
いずれも攻撃者やマルウェアを騙す事で攻撃者の行動を観察したりシステムを防御したりする技術である。ハニーポットは例えば囮サーバなど脆弱性なシステムに見せかけたものを用意して攻撃者を騙し、攻撃者の侵入方法、侵入語の行動を観察する技術である。ハニーポットの主な利用方法は攻撃者の行動の観察で、例えば囮サーバで攻撃者が何をしたのかから攻撃者の目的を知る、といった用途で用いる。
実際のソフトウェアを用いたハニーポットを高対話型ハニーポット、ソフトウェアを模擬するエミュレータを使った(ので一部の対話しか再現できない)ハニーポットを低対話型ハニーポットという。高対話型の方が現実環境に近いので低対話型よりも多く攻撃者の情報を集められるが、その分低対話型よりも負荷が高く、ハニーポットを攻撃者に乗っ取られた場合の危険も低対話型よりも大きい。またインターネット上に設置したハニーポットに攻撃者を誘い込んで受動的観測を行うタイプと囮のウェブクライアント(ハニークライアント)で悪性サイトにアクセスするなどして能動的観測を行うタイプがある。
PSIRT(Product Security Incident Response Team)は「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする。
PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する。
PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い、PSIRTはそのための支援やガイドラインの作成等を行う。
平成30年のサイバーセキュリティ基本法改正によりその創設が決定された。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」。NISCと専門機関を事務局とし、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする。構成員には秘密保持と協議会への情報提供の協力とが課せられる。
EDRは標的型攻撃やゼロデイ攻撃などによりマルウェア感染が防げないという現実に対応して登場したもので、エンドポイントにインストールするクライアントソフトと、それを一括管理するサーバないしアプライアンスからなる。感染の検知や対応が目的なので、エンドポイントを監視して攻撃の兆候を検知し、ログを取得して組織全体のログデータと突合し、必要に応じて攻撃遮断などの応急処置を取ったりする。EDRが攻撃検知に用いる情報の事をIOC(Indicator of Compromise、侵害痕跡)と呼び、具体的にはファイルの作成、レジストリーの変更、通信したIPアドレス、ファイルやプロセスのハッシュ値などがある。なおEDRはガートナーのアナリストが2013年に定義した用語である。
日本ネットワークセキュリティ協会(JNSA、Japan Network Security Association)は、ネットワークセキュリティに関する啓発、教育、調査研究及び情報提供に関する事業を行う、特定非営利活動法人。会員企業は227社(2019年1月1日現在)。
毎年年末にJNSA十大ニュースを発表している。
サイバーセキュリティ基本法第24条により内閣にサイバーセキュリティ戦略本部を置く事が定められており、内閣官房組織令第1条により内閣官房に内閣サイバーセキュリティセンター(NISC)を置く事が定められている。サイバーセキュリティ戦略本部の庶務はNISCが行うこととされている。それぞれの概要は下記のとおりである:
サイバー脅威情報統合センター(CTIIC、Cyber Threat Intelligence Integration Center)は脅威インテリジェンスの収集と分析を担うODNIの下部組織で、「既存の政府機関が収集した外国からのサイバー脅威に関する情報を集約し、脅威に対抗するために必要な情報と手段を米政府の関係機関に提供する」。
ペネトレーションテストの練習用として、意図的に脆弱に作られたツールが公開されている:
Metasploitable:意図的に脆弱性が残されたLinuxディストリビューションのバーチャルマシン。
OWASP BWA (Broken Web Applications):意図的に脆弱性が残されたウェブアプリケーションを詰め込んだバーチャルマシン OWASP Mutillidae:BWAに梱包されている脆弱なウェブアプリケーションの一つ
他にもBadstore、BodgeIt Store、amn Vulnerable Web Application (DVWA)、OWASP Bricks、WASP WebGoatb、WAPP、moth、Gruyere
Magical Code Injection Rainbow (MCIR)などがある。
総務省はイスラエルとのサイバーセキュリティ分野における協力に関する覚書に署名。イスラエル・国家サイバー総局と連携し、サイバーセキュリティ対策の取組を強化していく。
広く使われている製品に対して、脆弱性の周知と対策の呼び掛けを行っているサイト。国内ではJPCERT/CC、警察庁、IPA等が注意喚起を行っており、海外ではUS-CERTやICS-CERT(制御システムが対象)等がある。
情報の機密性、完全性、可用性を守るため、情報の管理、更新、消去といった情報ライフサイクル管理(ILM, Information Lifecycle Management)の方法がISO 15489やJIS X 0902に規定されるなど、セキュアな情報管理が求められる。このための技術として暗号化や署名といった暗号技術の他、USBポートのコントロールやe-メールの監視による情報の持ち出し制御、DLPなどがある。
サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である(第一条)。
またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める(第一条)。
またCSO (Chief Security Officer:最高セキュリティ責任者) は日本ではCISOと同義である事が多いが、海外ではCISOとは別で、全社的な保安対策を担当を統括する役職を指す。
「サイバーセキュリティ経営ガイドライン Ver 3.0」によると、経営者は、以下の重要10項目について、CISO 等への指示を通じて組織に適した形で確実に実施させる必要がある:
これらは、単に指示すればよいのではなく、組織のリスクマネジメントの責任を担う経営者が自らの役割として実施方針の検討、予算や人材の割当、実施状況の確認や問題の把握と対応等を通じてリーダーシップを発揮することが求められる。
経営者はCISOを任命し、CISOが策定したサイバーセキュリティ対応方針や実施計画を承認する。策定したセキュリティ対応方針は組織の内外に示す。上述の表にあるように、CISOは自身を中心としたサイバーセキュリティリスク管理体制を構築し、経営リスク委員会等他の体制と内部統制、災害対策等について整合を取る必要がある。また「★」がついている項目はCSIRTなどのセキュリティ対応部門に実務を担わせる。
日本情報経済社会推進協会は一般財団法人で、以下を行っている:
個人情報保護の推進 プライバシーマーク制度の運用 個人情報保護法に基づく認定業務の実施 APECプライバシーフレームワークへの適合性を審査・認証
インターネット上の情報の信頼性確保
情報利活用に向けた調査研究・提言
情報マネジメントシステムの普及と認定業務の推進
付属機関「情報マネジメントシステム認定センター」(ISMS-AC)で下記を行っている:
以下の運営 ISMS適合性評価制度 ITSMS適合性評価制度 BCMS適合性評価制度 CSMS適合性評価制度
情報マネジメントシステムの推進に関する調査研究
2017年度まではJIPDEC自身がISMS適合性評価制度における認証機関の認定機関であったが、この部門は独立し、上述のISMS-ACで行っている。
CASB(キャスビー。Cloud Access Security Broker、クラウド・アクセス・セキュリティ・ブローカー)は2012年にガートナーが提唱した概念で、ユーザにより勝手に使われているSaaSを可視化し、機密情報の持ち出しなどを防いだりする事を目的とする。ガートナーによればCASBは以下の4つ機能を持つ事を特徴とする。
社内ユーザーが用いているSaaSをシステム管理者が可視化する機能
アクセス権限違反やや機密情報の持ち出しをチェックしたりブロックしたりするデータセキュリティ機能
セキュリティ監査のためのコンプライアンス機能
セキュリティの脅威から防御する機能。
CASBの実装形態は3つある:
クラウドサービスへアクセスするためのゲートウェイを社内に設置し、全てのクラウドアクセスをそこに集約させる形態。
ユーザ端末にエージェントをインストールしてクラウドアクセスを監視する形態。第一のものと違い社外にでる事もあるモバイル端末のクラウドアクセスも監視できるという利点がある。
SaaSベンダ側が提供するAPIを利用する形態。APIを通じてユーザがSaaS上に置いた情報等を監視する事ができるという利点がある。
インシデントの全容解明と影響の特定のため、被害を受けたシステムの調査、漏えいしたデータの確認、攻撃に利用されたツールや手法の分析などを行う。
具体的には
ネットワークログ、PCAP、その他リアルタイム分析の対象ではないログを用いたネットワークフォレンジック
被害に遭ったマシンのメモリや記憶媒体を用いたデジタルフォレンジック
マルウェアの検体解析
等を行う事で攻撃の全容を解明し、犯罪捜査や法的措置を行う可能性がある場合は証拠を保全する。
文献ではディープアナリシスをSOCの業務としている。
w3af、Nessus、OWASP ZAP、OpenVASなどがある。
GSOC(Govrenment Security Operation Coordination team)はNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の9つ。
これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない。