暗号化・HTTPS通信の拡大で増えるトラフィックに求められるセキュリティパフォーマンス（ウォッチガード）

米 WatchGuard Technologies 社のコーポレートストラテジー＆マーケティング担当副社長 Dave R.Taylor 氏が、SecurityDaysにて最近の攻撃トレンドと多層防御の考え方に関する講演を行った。

研修・セミナー・カンファレンスセミナー・イベント

2015年3月16日（月） 12時54分

米 WatchGuard Technologies 社のコーポレートストラテジー＆マーケティング担当副社長 Dave R.Taylor 氏が、SecurityDays 2015 にて最近の攻撃トレンドと多層防御の考え方に関する講演を行った。

●昨年は大手小売りチェーンのインシデントが多発

Taylor氏は、まず昨年のグローバルでの大きなトピックとして、「2014年は、Target、eBay、HomeDepotといった小売店舗の大手において重大なセキュリティインシデントが多発した」ことを挙げた。このような大規模な小売店チェーンが狙われる背景にはいろいろな理由が考えられるが、氏は、攻撃者側の都合による「ROI」を考えると大量の顧客（情報）を抱えた大規模店舗への攻撃が効率がよいからではないかと分析する。

これらの攻撃で問題視されているのは標的型攻撃だ。標的型攻撃はやり取り型、水飲み場型攻撃といった新しく手の込んだ手法にシフトし、利用されるマルウェアも高度に開発されたものが増えている。水飲み場型攻撃では、多くのユーザーがアクセスするポータルサイトにマルウェアを仕込むが、そのマルウェアは標的とする企業のドメインやアカウントからのアクセス以外では攻撃を行わないようなものも確認されている。あるいはソーシャルエンジニアリングを利用するなど人的コストがかかる攻撃も確認されている（取引相手や元従業員を買収することもある）。

攻撃にコストがかかるようになると、必然的にかけたコストに見合う標的が狙われるようになり、それが2014年のサイバー攻撃のひとつトレンドとなった。

●暗号化は攻撃ハードルを上げるが防御コストも増える

もうひとつのトレンドは、暗号化にまつわるものだった。エドワード・スノーデン氏によるアメリカ政府の諜報活動暴露事件から、企業・個人はデータや通信の暗号化に目を向け始めた。FacebookやTwitterのようなサービスもHTTPS通信をデフォルトとするようになった。

暗号化は、盗み出したデータの解読を強いるので攻撃者のハードルが高くなる。情報を盗み出したとしても暗号化されていれば、そこで攻撃を断念させる可能性もある。しかし、暗号化トラフィック（HTTPS通信や暗号化メール）が増えることで、防御コストを押し上げる副作用もある。

近年のセキュリティソリューションのいくつかは、暗号化通信の中身を解読してその中にマルウェアや攻撃トラフィック、あるいはユーザーや企業の重要なデータが含まれていないかをチェックしている。Taylor氏によれば、スノーデン事件以来、暗号化の利用は2倍ほど増えたが、そのトラフィックは以前の4倍になっているという。なお、セキュリティソフトのSSL通信の解読は、本当に解読するのではなくユーザーの通信を、セキュリティソフトがプロキシとして通信を代行し、その過程で中身をチェックしている。

暗号化通信の増加は、ファイアウォールやIPS/IDSのようなシステムの負荷を押し上げているが、セキュリティチェックのオーバーヘッドを増やさないためには、アプライアンスやサーバーに高いスループット性能が要求される。

●多層防衛はサイバーキルチェーンに沿って考える

標的型攻撃が高度化・複雑化し、その防御策も複雑化してくると、当然なにかひとつのテクノロジーで100％万全ということはない。「残念ながら『銀の弾丸』は存在しない。」とTaylor氏は断言する。高度な攻撃に対処するためには、ファイアウォール、IPS/IDS、アンチウイルス、スパムフィルタ、URLフィルタ、など出入り口からエンドポイントまでの間で多層的な防御が必要となる。

多層防御は、攻撃の準備段階から侵入、目的達成までのフェーズごとに分けて行うのが効果的だ。攻撃手順とフェーズの考え方として、米国空軍が作成したAPT攻撃のプロセスをベースにした「サイバーキルチェーン」がある。ロッキード・マーチンが作ったもので攻撃達成まで7つのフェーズで構成されている。ウォッチガードでは、これをさらに最適化して一般的な情報セキュリティにおける標的型攻撃向けに改良したキルチェーン（サイバーキルチェーン3.0）を提唱している。

●ウォッチガードが考えるサイバーキルチェーンとその対策

ウォッチガードが説明するキルチェーンの最初の段階は「偵察」だ。偵察フェーズではポートスキャンなどが行われるが、これはファイアウォールによってその兆候を検知して、不審なpingをブロックしたり、応答にマスクをかけることで対応する。偵察の次は「デリバリ」「エクスプロイト」「インストール」とマルウェアを侵入させ裏口を作ったり、内部に橋頭保を作るフェーズだ。偵察は数日から数か月、1年と時間をかけることがあるが、このフェーズは数秒かそれ以下で行われる。これをリアルタイムで検知するのは難しいが、ウイルススキャン、ログ解析、モニタリング等で監視、ブロックを行う。

次は「C＆C（commando and Control）」というフェーズだ。ここでは、インストールされたエージェントプログラムがバックドアなどを利用して外部の指令サーバーと通信し、他のマルウェアを呼び込んだりボットを起動させる。ここでは、URLフィルタリングが有効だ。既知の攻撃サーバーや不審なサーバーのレピュテーション評価を行うことで、エージェントの外部通信をブロックできる。

C&Cが機能しだすと、感染PCやサーバーを増やしたり、内部システムの詳細を調べたりする「感染活動」に移る。これを防ぐにはセグメンテーションが重要だとTaylor氏はいう。エージェントが内部の他のシステムやネットワークにアクセスするとき、部署やシステムごとにセグメント化され、それぞれに防御ポリシーが設定できていれば、攻撃者は内部で感染を広げる際に、これまで述べてきた防御をすり抜ける必要があり、攻撃成功のハードルが一気に高くなる。

●組織をセグメント化しそれぞれに多層防御を実装したい

金融システムや財務データなど重要データに対してはセキュリティポリシーを変えて保護する企業は少なくないが、現在はセグメントをさらに細かく分割する必要がある。部署ごとに異なるセキュリティポリシーを適用でき、ネットワークセグメント（仮想・物理）を分離できれば理想的である。

以上のような多層防御を実現するには、さまざまなソリューションをシステム内部の各所に適用する必要がある。暗号化の処理を含めて、通常の内部アクセスでも多重の防壁を通過する必要があるため、セキュリティトラフィックのスループットも重要である。また、多数のソリューションを展開するため、その管理コストや効率のよい可視化も考えなければならないだろう。

Taylor氏は、「セキュリティシステムのアーキテクチャが、多層防御の実際のパフォーマンスや使い勝手に大きく影響する。」といい、ファイアウォールやIPS/IDSなどをばらばらに導入するのではなく、統合的に管理できるようなしくみとそれが可能なアーキテクチャを推奨する。

●どんなアーキテクチャが有効か

ウォッチガードのセキュリティアプライアンスが、マルチコアの汎用プロセッサをベースに仮想化ハイパーバイザ上に、ウイルス対策、URLフィルタ、アプリケーション制御、IPS/IDSなど各機能をコンポーネントとして実装しているのは、多層防御による複数ソリューションの統合管理をしやすくするためだ。プロセッサやVMは標準的なプラットフォームとして構成し、そのうえにセキュリティコンポーネント専用の独自OS（Fireware）を実装し、各コンポーネントを実装する。

このアーキテクチャは、多層防御に適したケーラブルなセキュリティアプライアンスを実現でき、プロセッサの並列化や専用OSにより全体的なスループットの確保もできる。ASICなど専用デバイスを利用した製品は、個別機能のパフォーマンスは最大化できるが、IPS/IDS、VPNなどを含んだ統合セキュリティ対策として全体をみたとき、遅い処理コンポーネントがネックとなり、全体のスループットがあまり上がらないことがある。

また、機能ごとにサーバーやアプライアンスを導入する形は、管理が煩雑になり統一的なセキュリティ基準を維持しにくい。複数のアプライアンスやセグメントごとの設定・トラフィックの可視化および統合管理（オーケストレーション）も一元化したい。Taylor氏は、多層防御では複数のポイントで複数の対策を広範に実現するので、オーケストレーション、可視化、自動化の機能にこだわるべきとして講演を終えた。

《中尾真二》

ソース・関連リンク

ウォッチガード・テクノロジー・ジャパン株式会社

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

暗号化・HTTPS通信の拡大で増えるトラフィックに求められるセキュリティパフォーマンス（ウォッチガード）

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

インターネットアーカイブが出版大手四社に破壊される可能性

今日もどこかで情報漏えい第9回「2023年2月の情報漏えい」メール誤送信で懲戒ほか

ランサムウェア感染を隠蔽したソフトウェア企業の末路

Adobe 社の PDF 閲覧ソフトウェアの JavaScript エンジンでの resetForm メソッドにおける Use-After-Free の脆弱性（Scan Tech Report）

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

インターネットアーカイブが出版大手四社に破壊される可能性

今日もどこかで情報漏えい 第9回「2023年2月の情報漏えい」メール誤送信で懲戒 ほか

ランサムウェア感染を隠蔽したソフトウェア企業の末路

Adobe 社の PDF 閲覧ソフトウェアの JavaScript エンジンでの resetForm メソッドにおける Use-After-Free の脆弱性（Scan Tech Report）

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Proofpoint Blog 第23回「返信しちゃだめ！ロシアの攻撃グループ「TA499」からのディープフェイクビデオ通話」

エレコム製法人向けアクセスポイント管理ツール WAB-MAT に登録される Windows サービスの実行ファイルパスが引用符で囲まれていない脆弱性

OpenSSLのX.509ポリシー制限の検証で過剰なリソース消費の問題

Apache Tomcatに保護されていない認証情報の送信の脆弱性

Outlook の特権昇格/認証バイパスの深刻な脆弱性「CVE-2023-23397」対処方法解説

Windows 11のスクリーンショット、黒塗りを復元できる可能性

インシデント・事故 記事一覧へ

デジタル庁が確定申告での郵送通知を複数発送

古河電池の今市事業所の社員パソコンがEmotet感染

会津大学でドッペルゲンガードメイン「gmai.com」に誤送信、他機関の事例を受け調査

放送映画製作所のサーバにランサムウェア攻撃、情報が外部流出した可能性を完全に否定できず

今日もどこかで情報漏えい 第9回「2023年2月の情報漏えい」メール誤送信で懲戒 ほか

「三京商会 公式ショップ」への不正アクセスで8,794名のカード情報が漏えい

調査・レポート・白書・ガイドライン 記事一覧へ

大企業ほど脱PPAPに遅れ

IPA、中小企業向け「ECサイト構築・運用セキュリティガイドライン」公開

警察庁 2022年サイバー空間をめぐる脅威公表、ランサムウェア被害右肩上がり

健診施設へのアンケート結果公表、年間セキュリティ予算500万円未満が4割弱 ～ 医療 ISAC 調査

情報漏えい「謝罪実態調査」～ 最も許せる お詫びの品が送られてくるタイミングは？

“判明した時点で第一報的公表を検討することが望ましい” ～「サイバー攻撃被害に係る情報の共有・公表ガイダンス」公表

研修・セミナー・カンファレンス 記事一覧へ

Azure AD おまえもか、クラウド オンプレ両参加のデバイスに潜む危険

NECソリューションイノベータが提供する「ゼロトラスト」のレシピと製法 ～ 3/23 オンラインセミナー開催

おろそかになるゲートウェイ「2022年の事件事故から考えるセキュリティ運用」ウェビナー開催

OSINT を安易に考えるな ～ 日本ハッカー協会 杉浦氏講演

大阪で「サイバーセキュリティ・プロレス」開催！ セキュリティ・ミニキャンプ in 大阪 2023

しんどいのは受信者だけじゃない？送信側が抱えるあんな悩み、こんな悩み ～ JPAAWG 5th General Meetingレポート-4

製品・サービス・業界動向 記事一覧へ

富山県 個人情報の適正管理を行政監査、複数の漏えい事案受け

AIは脆弱性診断士の夢を見るか？ 脆弱性検査ツール「AeyeScan」を編集長上野が使ってみた

GMOイエラエ金子孟司氏が所属するSECCON CTF運営チーム、「サイバーセキュリティに関する総務大臣奨励賞」受賞

NTT東西 高齢者のナンバー・ディスプレイ無償化へ 特殊詐欺防止

JPCERT/CC「EmoCheck v2.4.0」リリース、3月に再開したEmotetの戦術変化に対応

高校教師 研究者 弁護士 自衛官 社長 CISO アナリスト フィッシングハンターほか 12 職種 ～ LAC「サイバーセキュリティ仕事ファイル 2」

おしらせ 記事一覧へ

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

Scan PREMIUM 創刊24周年記念キャンペーン実施中

ScanNetSecurity 創刊24周年御礼の辞（上野宣）

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

今日もどこかで情報漏えい第9回「2023年2月の情報漏えい」メール誤送信で懲戒ほか

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

今日もどこかで情報漏えい第9回「2023年2月の情報漏えい」メール誤送信で懲戒ほか

「三京商会公式ショップ」への不正アクセスで8,794名のカード情報が漏えい

調査・レポート・白書・ガイドライン記事一覧へ

健診施設へのアンケート結果公表、年間セキュリティ予算500万円未満が4割弱～医療 ISAC 調査

情報漏えい「謝罪実態調査」～最も許せるお詫びの品が送られてくるタイミングは？

研修・セミナー・カンファレンス記事一覧へ

Azure AD おまえもか、クラウドオンプレ両参加のデバイスに潜む危険

NECソリューションイノベータが提供する「ゼロトラスト」のレシピと製法～ 3/23 オンラインセミナー開催

OSINT を安易に考えるな～日本ハッカー協会杉浦氏講演

大阪で「サイバーセキュリティ・プロレス」開催！セキュリティ・ミニキャンプ in 大阪 2023

しんどいのは受信者だけじゃない？送信側が抱えるあんな悩み、こんな悩み～ JPAAWG 5th General Meetingレポート-4

製品・サービス・業界動向記事一覧へ

富山県個人情報の適正管理を行政監査、複数の漏えい事案受け

AIは脆弱性診断士の夢を見るか？脆弱性検査ツール「AeyeScan」を編集長上野が使ってみた

NTT東西高齢者のナンバー・ディスプレイ無償化へ特殊詐欺防止

高校教師研究者弁護士自衛官社長 CISO アナリストフィッシングハンターほか 12 職種～ LAC「サイバーセキュリティ仕事ファイル 2」

おしらせ記事一覧へ

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ