企業や公的機関などの情報システムをターゲットにしたサイバー攻撃による被害が社会的な問題になっています。高度化する攻撃に対抗するには、複数の対策を組み合わせた多層防御が必要です。多層防御は、事前対策、脅威検知、事後対策から構成されます。事前対策である脆弱性管理は、機器の構成情報の把握、脆弱性情報の把握、脆弱性の調査・リスク分析、対策の実施というステップで行います。これらのステップにおける問題を説明し、NECで利用しているソリューション「NEC Cyber Security Platform」を紹介します。

1. はじめに

昨今、企業や公的機関などの情報システムをターゲットとするサイバー攻撃が増加するとともに、従来は個人の愉快犯が中心であったものが、プロの犯罪者によるビジネスへと変化しています。社外に公開するサーバが不正アクセスを受け、数百万件の顧客情報が流出した事案や、海外の重要インフラ企業のワークステーション数万台がウイルスに感染し内部システムのネットワーク遮断が発生した事案など、サイバー攻撃による被害は後を絶ちません。

本稿では、サイバー攻撃に対するNECの考え方、対策について紹介します。

2. サイバー攻撃対策

高度化する攻撃に対抗するには複数の対策を組み合わせた多層防御による対策が必要です。多層防御では1つの対策が破られても次の対策で攻撃を防ぐという考えに基づいています。多層防御を構成する個々の技術的対策は大きく分けて「事前対策」「脅威検知」「事後対策」に分けられます。

3. 事前対策の効果とNECの脆弱性管理

オーストラリア電信電子局（Australian Signals Directorate:ASD）が提唱する“Strategies to Mitigate Cyber Security Incidents”^1）によると、事前対策である「アプリケーションの利用制限（ホワイトリスト化）」「アプリケーションを最新の状態に保持（セキュリティパッチ適用）」「管理者権限の最小化」を実施することで、85%のサイバー攻撃が防御可能と試算されています。

実例として、2017年5月に世界150カ国、30万台以上の機器に感染したランサムウェアWannaCry^2）は、2017年3月にパッチが公開されているCVE-2017-0145の脆弱性を悪用しています^3）。そのため、セキュリティパッチの適用ができていれば被害は発生しませんでした。

ASDが提唱する対策のうちセキュリティパッチ適用は、導入コストやメンテナンスコストが高いと評価されており、導入・運用は難しいと考えられています。一方で、NECではサイバー攻撃から社内の情報インフラ、情報資産を守るため2002年からサイバー攻撃防御システム（Cyber Attack Protection System:CAPS）を開発し、社内のパッチ適用を社内18万台に対して実践し、アプリケーションを最新の状態に保持してきました。CAPSでは「数えられるものが管理できる」という「数えるマネジメント」の考え方に従って、機器がどこに何台あるのか、そのうち対策が必要な機器が何台あるのかを数えることでリスクを可視化し、脆弱性を管理しています。これにより攻撃そのものは防げなくとも、攻撃により被害に遭うリスクの大幅な低減に成功しています。以降の章では脆弱性管理に絞って解説します。

4. 脆弱性管理の手順と問題

一般に脆弱性管理は以下の手順で行われます^4）。

各手順の考え方と実施プロセスでの問題を説明します。

5. ｢NEC Cyber Security Platform｣

先に述べたとおりNECでは脆弱性管理を行うためにCAPSを運用してきました。2016年度からはCAPSを更新する形でGCAPS（Global Cyber Attack Protection System）をNECグループ全社に対して展開しています。GCAPSのNEC社内での運用実績をもとに｢NEC Cyber Security Platform｣（以下、NCSP）を製品化しています。

5.1 NCSPの機能とシステム構成

NCSPは社内の機器の脆弱性対策状況の可視化から対策実行までを支援するソリューションであり、次のコンポーネントから構成されています。

システム構成を図1に示します。

5.2 NECセキュリティインテリジェンス

NECセキュリティインテリジェンス（以下、インテリジェンス）は脆弱性情報の把握を支援します。
インテリジェンスはNCSPが脆弱性を調査するための検索式や対策（パッチ、回避策など）の情報が含まれており、脆弱性情報が公開されるたびにNECが情報を収集し、内容を評価して配信します。このインテリジェンスを活用することで、高度なセキュリティスキルがなくてもNECと同様の脆弱性管理が可能となります。

5.3 NCSPエージェント

NCSPエージェントはNCSPマネージャーと連携し、構成情報の把握、脆弱性の調査、対策を実施します。人手を介すことがなくなるために、迅速かつコストをかけずに以下のプロセスを実行できます。

5.4 NCSPマネージャー

NCSPマネージャーはNCSPエージェントが集めた構成情報や調査結果を組織ごとに集計し、リスクを見える化します。図3にNCSPのダッシュボード画面を示します。

機器全体のリスク状況、脆弱性別・組織別・端末の種類別のリスクがある機器を数えることで、セキュリティ管理者の対策立案を支援します。セキュリティ管理者は脆弱性の内容や機器の種別などを考慮して、対策を指示・実行することができます。

6. おわりに

本稿では、サイバー攻撃とその対策における脆弱性管理の重要性、そのソリューションであるNCSPの紹介をしました。今後はCSIRTの運用を支援するインシデントレスポンス機能を強化していく予定です。

参考文献

執筆者プロフィール