Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。市場を勝ち抜く企業はどこにEnterpriseZine編集部が最旬ITトピックの深層に迫る。ここでしか読めない、エンタープライズITの最新トピックをお届けします。通知インシデントレスポンスというと、たとえば、情報漏えいやマルウェアの感染があってから、分析や対処を行うことを思い浮かべるだろう。その中心になるのがCSIRTであると言われているが、前回書いたようにCSIRTは「インシデントが起きてから活躍するチーム、ではない」であると私は考えている。1インシデントレスポンスのライフサイクル標的型攻撃のインシデントはどのようにして気づくのか?インシデントレスポンスのライフサイクルさて、インシデントが起きたとき、例えば、内部関係者による情報漏えいのような事態を想定してみよう。内部関係者によって情報が持ち出され、それが名簿業者によって拡散し、それが利用されてしまってから対象の顧客から問い合わせが相次いで発覚した、ということから始まる。この事態の場合、最初から重大な事態であることが容易に想定できる。顧客情報漏えいは経営を揺るがす事態に発展することは経営者であればわかることだ。このような場合、インシデントである、ということから始まることになり、しかも、漏れてしまった情報は取り返しがつかないので、事態の把握が最初に行わなければならないことになる。どれだけ漏れたのかという漏えい規模、漏えいの経路が正確に調査されなければならないが、多くの場合、それがすぐにわかることはあまりない。ここで重要なことは「出来るだけ早く」「想定される最悪の事態をもとに行動する」ということになる。最悪の事態を想定したくないので、その時点でわかっている範囲だけを報道発表する、というやり方では大抵の場合うまくいかない。連日のように修正発表をすることになり、その度に被害の範囲が広がり、結果的に顧客の不信感をあおり、かつ、マスコミに対するネタを提供し続けることになる。報道発表などを行いつつ、顧客に対する謝罪などを行い、犯人の特定は法的な対処を行い、事態が沈静化していき、通常の状態にもどっていく。再発防止策を検討し実施していく。標的型攻撃のインシデントはどのようにして気づくのか?このようにインシデントレスポンスは、その発生から平常時に戻るまでのライフサイクルを持っている。標的型攻撃によるマルウェア感染の場合を考えてみよう。そもそも標的型攻撃によるマルウェア感染に気づくことが難しいことは前回も書いた。既存のウイルスワクチンでは検知できないからだ。どのようにして標的型攻撃のインシデントに気づくのだろうか?標的型攻撃によるマルウェア感染に気づくには、様々なケースがある。Directoryで不正ログインが多数記録されるこれらの事象は、「おや?」というものであり、インシデントとして取り扱われないものである。これらの「予兆」を見逃してはならない。これらが起きているときには、ひょっとするとマルウェアに感染して、活動している可能性があるからだ。従来のインシデントレスポンスの考え方だと、インシデントであることが容易に推測できることが前提であった。情報漏えいやホームページの改ざんなどである。マルウェアに関しては容易にインシデントであるかどうかはわかりにくい。個人情報漏えいでない場合、会社としての対応が鈍いことが少なくない。日本の場合、個人情報漏えいには敏感であるが、マルウェア感染による情報流出などには経営者は鈍感である。マルウェア感染の予兆に類するものである場合、速やかに、「インシデントかどうかの判定」をしなければならない。言い方を変えれば「最悪の事態を想像して、その可能性がないかを速やかに分析する」ということだ。この想像力が欠如していることがとても多く、被害を大きく長期化させてしまう。あらゆる最悪の事態を想定して、その可能性をひとつひとつつぶしていく、という作業を毎日のように行うのが「今のCSIRT」の役割である。不幸にしてマルウェア感染であって、外部に不正な通信を行っていたとしよう。プロキシやファイアウォールのログが残っていて、検索・分析ができることが前提ある。インシデントである、という判定がなされた場合、エスカレーションが行われなければならない。専門チームの登場である。当然ながら、この専門チームはプロでなければならない。マルウェア分析研修を受けたばかりの素人ではあってはならない。そのようなプロの専門家を雇っていることは、日本の場合ほとんどない。従って、外部のセキュリティ企業との連携が必要になる。プロの専門チームによって、分析が行われ、感染の範囲の特定、流出した情報の推測、感染経路などが次々に明らかになる。感染が疑われるPCの回収が行われ、業務が正常化していく。これには数日から数ヶ月かかることになる。マルウェア感染による情報漏えいは、個人情報漏えいではないから報道発表しない、というケースがほとんどである。誰に漏れたかもわからないし、そもそも漏れたことが確定ではないし、悪用されてDMや勧誘の電話が届くこともないからである。稀にリスト型攻撃やアカウント乗っ取りなどに使われるが、原因が特定されることはほとんどない。機密情報が漏えいしたからと言って、それを報道発表する義務はないケースがほとんどである。稀に、マルウェア感染の事実が漏えいしてしまい、報道されてから大騒ぎになることがある。その場合には、経営者自身がその事実を知らされていないことも多く、社内は大変混乱することになる。そのような事態も想定して、マルウェア感染があった場合、特に外部への不正な通信があった場合には、速やかに経営者に報告するべきであろう。場合によっては、取引先に関する情報が漏えいした場合には、報道発表ではなく、会社としての対応が必要になることもあるからだ。このように、マルウェア感染においては、インシデントレスポンスが曖昧な段階から始まり、その後も複雑な処理になる。再発防止策の策定などを行いながら平常時に戻っていく。個人情報漏えいやマルウェア感染といった、どこにでも起こりうるインシデントレスポンスのライフサイクルにおいて、重要なことは「初動」である。個人情報漏えいであれば、範囲の特定や漏えい経路がいかに早く正確に把握できるかが、その後の経営的な影響を左右する。マルウェア感染であれば、予兆の見逃しによって感染台数の増大や長期化につながる。最悪の場合には「取引先に指摘されて発覚」することになってしまい、経営的な影響は計り知れなくなる。インシデントレスポンスは、短期的な対応のことばかりに注目が集まるが、初動や再発防止などのライフサイクル全般に関わるものであることを意識し、それぞれのフェーズについて、事前に検討を行い訓練の実施などを行うことが、いざというときの被害の最小化に役立つ。ノブオ)日本の情報セキュリティビジネスの先駆けとして事業を開始し、以降情報セキュリティ業界をリードしてきた。ITセキュリティだけでなく物理セキュリティについても知見があり、技術者から経営者目線まで広い視野を持つ。2009年から総務省CIO補佐官を務める。Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。NEW新着記事一覧を見るイベントイベントカレンダーを見る講座イベントカレンダーを見る「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。データテクノロジー/情報セキュリティ/システム運用の最新動向を中心に、企業ITに関する多様な情報をお届けしています。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。