情報セキュリティ インシデント発生時における情報共有のポイント
2024.4.3
情報セキュリティ対策の難しさ。単一企業によるインシデント対応の限界
サイバー攻撃の手法は高度化しており、攻撃を受けた企業・組織が単独で攻撃の全容を解明することは困難になっています。攻撃者は、取引先やサプライヤーも含めて攻撃対象として偵察活動を行い、脆弱性を発見した上で攻撃手法を確立すると言われています。サイバー攻撃被害を未然に防止または侵害を早期に検知し、被害を最小限に抑えるためには、攻撃に関する情報、特に「脅威情報」の入手が必要ですが、その範囲は自社に限らず取引先やサプライヤーまで拡がるため、単一企業で得られる情報には限界があります。
また、攻撃を受けた際の被害の影響の大小は、インシデント対応の巧拙、すなわち攻撃開始から検知（発覚）および検知（発覚）から復旧までに要する時間によるため、他の企業・組織で発生した同様の攻撃被害情報や技術的な情報がスムーズに共有・活用できることが望まれます。
しかし、被害が発生した組織は情報共有に消極的であり、共有されてもそのタイミングは調査後となるケースが多く、有益な情報共有ができていないのが実態です。現状の課題を解消するために、政府は「ASM（Attack Surface Management）導入ガイダンス～外部から把握出来る情報を用いて自組織のIT資産を発見し管理する～」と「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を公表しました。
ASM導入ガイダンスは2023年5月29日に経済産業省から公表されました。高度化するサイバー攻撃の脅威に対して、自社が保有するIT資産を適切に管理し、リスクを洗い出すことが求められますが、人手を介した管理の下では、システム管理部門の把握しきれないシステムが生じやすく、機器の実際の設定も見えづらいことなどから、自社の全てのIT資産を管理するのは必ずしも容易ではありません。
本ガイダンスでは、サイバー攻撃から自社のIT資産を守るための手法として注目されているASMについて、自社のセキュリティ戦略に組み込んで適切に活用してもらえるよう、ASMの基本的な考え方や特徴、留意点などの基本情報とともに取り組み事例などを紹介しています。
本ガイダンスではASMを「組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス」と定義しています。具体的には、外部（インターネット）に公開されているサーバやネットワーク機器、IoT機器の情報を収集・分析することにより、不正侵入経路となりうるポイントを把握します。
ASMツールの活用により情報セキュリティ対策を向上させる
ASMは、主に「（１）攻撃面の発見 」「（２）攻撃面の情報収集」「（３）攻撃面のリスク評価」の３つのプロセスで構成されます。
- 攻撃面の発見
はじめに、企業が保有または管理し、外部（インターネット）からアクセス可能なIT資産を発見する。具体的にはIPアドレス・ホスト名のリストが本プロセスのアウトプットとなります。一般的な手順は以下のようになります 。- 組織名をもとに、当該組織が管理者となっているドメイン名を特定します。これは、例えば社外に公開しているWebサイトやWHOIS IPアドレスやドメイン名の登録者等に関する情報を参照できるサービス）を利用して特定します。
- 上記で（１）特定したドメイン名に対して、DNS による検索や、ツールなどを活用してIPアドレス・ホスト名の一覧を取得します。
- 攻撃面の情報収集
上記（１）で発見したIT資産の情報を収集します。このプロセスで収集する情報には、攻撃面を構成する個々のIT資産におけるOS、ソフトウェア、ソフトウェアのバージョン、オープンなポート番号などがあります。一般的にこのプロセスは、調査対象に影響を及ぼさないよう、Webページの表示など通常のアクセスの範囲で行われます。 - 攻撃面のリスク評価
上記（２）で収集した情報をもとに攻撃面のリスクを評価します。一般的には、公開されている既知の脆弱性情報と、（２）で収集した情報を突合し、脆弱性が存在する可能性を識別します。
上記のプロセスを経て、そのリスクが顕在化した場合に想定される被害と修正にかかるコストを考慮して、パッチ適用（リスクの低減）や対策見送り（リスクの受容）など、脆弱性管理と同様のことを実施します 。
ASMはドメイン名が分かればリスク評価ができることから、自社のみならず子会社・関連会社・サプライヤーのセキュリティ対策状況の把握・管理が可能となります。サプライチェーンへのサイバー攻撃による ビジネス中断など、サプライチェーン全体のサイバーリスク対策が企業活動の喫緊の課題となっているなか、ASMツールを活用した企業間の対話とサプライチェーン全体の セキュリティ向上に活用されることが期待されています。
本記事は、2023年7月3日発行のMS&AD InterRisk Report・サイバーセキュリティニュース「サイバーリスク対策および攻撃被害発生時における「情報共有」のポイント」を再編集したものです。
