内部からの脅威をコードの難読化で抑え込む（1/2 ページ）

セキュリティに万全はない。また、攻撃者は外部にいるとは限らない。内部にいる攻撃者に対処するには、物理的制約、ソフトウェアアクセス制御、ソフトウェア保護／難読化などからなる包括的かつ重層的なアプローチが必要である。

[Mark-Fagerholm，japan.linux.com]

　企業は、効果的なセキュリティ対策のためなら何十億ドルという出費もいとわない。だが、幾らセキュリティに万全を期したつもりでも、すぐに油断が生まれ、能率優先が幅をきかせだし、セキュリティ手順からの逸脱が起こる。社員も徐々にその逸脱に慣れていく。その結果、最も効果的とされるシステムにさえ、小さいながら大きな危険を潜伏させる穴があき、攻撃者に攻撃の糸口を与えてしまう。攻撃者は外部にいるとは限らない。内部にいることも多く、これに対処するには、物理的制約、ソフトウェアアクセス制御、ソフトウェア保護／難読化などからなる包括的かつ重層的なアプローチが必要である。

　内部からの攻撃は、どれほど深刻な脅威なのだろうか。Ernst & Young 2004 Security Surveyには、「回答者の一部はメディアの論調やベンダーの誇張話に惑わされ、ウイルスやワームばかりに目がいって、最大の脅威である部内者のことを忘れている」とある。

　善良な従業員が攻撃者に変身するのはどんなときだろうか。米国財務省秘密検察局とCERTが出したMay 2005 Insider Threat Studyには、あるデータベース管理者のケースが紹介されている。この管理者は女性で、在職中はとても信頼され、仕事面での評価も一貫して高かったが、あるとき、職場でセクハラが行われていると苦情を申し立てた。調査の結果は否定的で、この管理者はそのことに不満を募らせ、結局、他社へ転職した。だが、新会社で働きはじめてから、旧勤め先からの紹介状にかんばしくない勤務評定が添えられていたことを知り、復讐のため、旧職場のサーバから幾つかの重要ファイルを削除して、システムを大混乱に陥れた。

　金銭的誘惑や産業スパイも、残念ながら今日のビジネス社会の現実である。元従業員であれ現従業員であれ、およそ従業員であれば、セキュリティ手順について部内者しか知りえない情報を持っている。従業員が辞めていくとき、この社内セキュリティ情報が持ち出されないよう何らかの手を打っておかないと、金銭的誘惑に負け、あるいは復讐に燃える元従業員にとって、かつての勤め先は格好の標的になる。

部内者は伝統的セキュリティ手順をすり抜ける

　部内者は、セキュリティ手順を迂回して重要システムに入り込める。小さな職場では従業員同士の間に暗黙の信頼関係が存在し、パスワードを教え合ったり、頼まれれば重要システムへのアクセスを認めたりすることが日常茶飯事である。一方、大組織では、ハッカーに社会工学的な策をろうする余地があり、やはりセキュリティ手段の迂回が可能となる。例えば、下心のあるシステム管理者が経営幹部に電話をし、「データベースの切り替え」を口実にパスワードを聞き出す、といったたぐいである。「フィッシング」被害の続出を見ても分かるとおり、技術的理由を持ち出されると、分別のあるユーザーでさえ簡単に情報を与えてしまう。

　情報セキュリティの観点からすると、企業はセキュリティを満遍なく行き渡らせなければならず、その点で大きなハンデを負っている。というのは、攻撃する側は弱い個所を一つ見つけるだけで攻撃できるからである。部内者は社内のセキュリティ態勢をさまざまな状況で見ており、弱点を一つ見つけるくらい簡単にできるだろう。例えば、不平たらたらの従業員マロリー氏は、管理者が毎週金曜日に早引けすることを知り、クリスマスイブには職場の人手が足りなくなることを知っている。それに付け込み、標準セキュリティ手順に1度だけ目をつぶるよう同僚を説得するかもしれない。管理する立場の人間が不在なら、同僚もマロリー氏に自分のマシンを使わせてやるかもしれない。

次ページ：難読化されていないコードからソースレベル情報が漏洩する