最終更新日:2018.08.08@IT筆者陣の「希望」|ITmedia無料メルマガ登録でプレゼント!書籍「セキュリティ対策の基礎知識」ITセキュリティセミナーレポートも第3回目!今回はセミナー特別講演として催された、パネルディスカッションのレポートをご紹介します。宮田氏DDoS攻撃の手法が、近年大きく変わってきています。国内で注目を集める「アノニマス」(オペレーションキリングベイ)を始め、海外では「リザードスクワット」や「ファントムスクワット」「ニューワークファッキング」などのティーンネイジャーを中心とした攻撃グループが摘発されています。これらのグループは、プレイステーションやX-BOXなどのゲーム関連企業への攻撃が多いことも特徴です。(日本でも、2013年オンラインゲームからDDoS攻撃を行ったとされる高校生が逮捕されています)これらの事件の背景には、“DDoS代行(負荷テスト代行)”と呼ばれるサービスが存在していることをご存知でしょうか?彼らは、少額の金銭をDDoS代行業者に支払い、軽い気持ちで攻撃を行わせているのです。DDoS攻撃への過剰な対策は意味がない現在の日本では、攻撃を受けてしまうこと自体を悪と捉える風潮がありますが、必ずしもそうとは限りません。オンラインゲームサービスのような、サイトの稼働時間そのものが収益に直結してしまう企業の場合は万全な対策を講じるべきですが、攻撃を受けた部分にある情報が、企業概要などすでに公になっている類のものであれば、ダウンしたことによる被害は皆無であり、コストをかけて対策を講じる必要はないと言えます。守るべき情報なのかどうかの見極めが肝心なのです。バックドアの脆弱性とは<株式会社インターネットイニシアティブの根岸氏>セキュリティ対策として導入したソリューションに、攻撃者を侵入させる為の「バックドア(裏口)」が実装されていたとしたら...考えただけで恐ろしいですよね。昨年末から、大手ベンダーの製品内にバックドアと呼べる隠しIDが存在したとのニュースが報じられました。ベンダーの発表内容では、バックドアが存在してしまった原因について深く触れてはおらず、なぜこの様な事が起こってしまったかについては、明らかにされていません。バックドアへの対策は「塞ぐこと」このような、バックドアの実装は、本来あってはならないことです。“セキュリティ製品を長年開発している大手企業だから安心”という、性善説の考えは企業を滅ぼしかねない危険な考えであるということを忘れてはいけません。高機能なソリューションの導入を行った場合でも、自社の管理運営を行うにあたり、必要最低限の構築に留めることも大切なのです。必要のない入り口は塞ぐ!これがバックドアという脆弱性に対する最善の対策といえます。洋氏>広告をクリックすることで、マルウェア感染を引き起こす、悪質な広告サービス「マルヴァタイジング」の被害が増え続けています。流入経路が不特定多数であり、攻撃者の特定が困難なマルヴァタイジングへのセキュリティ対策は、現在非常に難しいとされています。セキュリティ対策の進んでいる一部企業では、広告サービスを一切排除しているケースも見受けられますが、この流れは、広告に重きを置くインターネットビジネス業界を崩壊へと導く恐れがあるのです。ここで重要なのが、広告を出しているWebサイトはハッキングされたわけではなく、彼らもまたマルヴァタイジングの被害者であるという点です。攻撃者の出す広告を判別して止めるのか?途中で入り込む不審物を取り除くのか?千差万別に存在するマッチングの広告に対しての対策は?これらに対する早急な対策が必要とされています。システムが人質!?ランサムウェアの脅威についてマルウェアに感染させることでシステムへのアクセス制限を行い、この制限解除のために身代金を要求するという「ランサムウェア」が問題となっています。日本でも2015年末に感染事例が報告され、現在も進化を遂げたランサムウェアが多数発見されています。米カリフォルニア州のある病院では、院内システムがランサムウェアに感染したことにより、患者のカルテデータの閲覧や、搬入情報の取得等が不可能となりました。結果として、病院側は患者の命を優先し、攻撃者の要求である40ビットコイン(日本円で約200万円)を支払ったのです。ランサムウェアへの効果的な対策とはどのようなものなのでしょうか?ランサムウェアへの対策とはランサムウェア自体、マルウェアの一種ですので、感染を防ぐ方法としては通常のセキュリティ対策と変わりません。万全なセキュリティ対策を講じていても、感染を100%防ぐことは現実問題不可能です。感染後の被害を抑える方法はあるのでしょうか?ベンダーによっては、ランサムウェアの制限を解除する鍵を見つけることが可能です。日頃行っているバックアップのデータからシステムの再インストールを行う方法もあります。カリフォルニア州の病院の事例でもあるように、これらの方法を全て行ったとしてもシステムの制限解除に至らないケースも存在するのです。システムや情報を守るための最終手段として、金銭の支払いに応じるという方法を受け入れなければならない状況もあり得るということを覚えておきましょう。まとめ「ラクしてセキュリティをしたいなら、お金が必要。お金を出せないのなら知恵が必要。」ディスカッションの最後にあったこの言葉は非常に説得力がありました!過去の事例から学び、活かし、同じ失敗を繰り返さないよう、攻撃を受ける側の進化が求められているんですね...そして、セミナーのテーマでもある「攻撃者の視点を考える」ことも、セキュリティ分野においてはとても重要なんだと感じました。SNSでもご購読できます。株式会社セキュアオンライン運営事務局です。2014年からサイバーセキュリティ専門メディア「サイバーセキュリティ.com」を立ち上げ、国内最大級のサイバーセキュリティ専門メディアとして運営中。件分を同時に請求できます。資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。利用規約とご案内の連絡に同意の上まずは一括無料請求(点)閉じる件の製品が資料請求リストにあります。