「監視、分析、時々棚卸し」をモットーにせよ ホワイトハッカー流IT資産保護のススメ：ITmedia Security Week 2024春 イベントレポート（1/2 ページ）

「IT資産の保護は『監視、分析、時々棚卸し』をモットーにせよ」――ホワイトハッカーの守井浩司氏がエンドポイントセキュリティ保護のポイントと実践的な対策のステップを語った。

[吉田育代，ITmedia]

　「『信頼するな、監視しろ』を合言葉に、監視や分析、IT資産の棚卸しを強化するしかない」――2024年5月27日〜6月3日に開催されたアイティメディアの主催セミナー「ITmedia Security Week 2024 春」でレオンテクノロジーの守井浩司氏（代表取締役社長）が登壇した。

　守井氏は冒頭の言葉通り、イベントの監視・分析の強化と、万が一のことが起こってしまった後に備えた準備の重要性を訴えた。本稿はその様子をレポートしよう。

本稿は「ITmedia Security Week 2024 春」に登壇した守井浩司氏の講演を基に編集部が再構成した。

トレンドから浮かび上がる脅威の実態　合言葉は「信頼するな、監視しろ」

　守井氏ははじめに情報処理推進機構（IPA）の「情報セキュリティ10大脅威」を基にサイバー攻撃のトレンドを振り返った。

情報セキュリティ10大脅威で目を引くのは、ランサムウェアやサプライチェーン攻撃、ゼロデイ攻撃だ（出典：守井氏の講演資料）

　ランサムウェアの直近のトレンドとして守井氏が注目したのが「ノーウェアランサム」だ。従来のランサムウェアはデータを暗号化し、復号と引き換えに金銭を要求するのに対し、ノーウェアランサムとは暗号化を介さず、ランサムウェアによって窃取（せっしゅ）した情報をそのまま身代金支払いの交渉に利用する手口だ。

レオンテクノロジーの守井浩司氏（代表取締役社長）

　企業としては金銭で解決できるならこれを支払うかどうか迷うところだが、「ランサムウェアグループに金銭を絶対に支払ってはいけない」と守井氏は語気を強めた。「攻撃者に金銭を支払うくらいなら、その費用をペネトレーションテストに割いて、侵入の糸口や悪用可能な資産が存在するかどうかを確認した方がましだ」（守井氏）

　この他、サプライチェーン攻撃のトレンドとして守井氏はソフトウェアサプライチェーン攻撃を挙げた。ソフトウェアサプライチェーン攻撃の最近話題になった事例としては、ファイルの圧縮や解凍を実行するオープンソースソフトウェア（OSS）の「XZ Utils」にバックドアが仕込まれた問題がある。

　XZ Utilsは複数の「Linux」ディストリビューションなどで採用されており、多くのユーザーが影響を受けた他、今後も被害が拡大する恐れもある。

　守井氏は「このような事態に早期に対処するためにも必要になるのがSBOM（ソフトウェア部品表）の作成だ。有償で提供される製品やサービスの中にもOSSは当たり前に利用されている。手間とコストがかかるが、対策を講じずに万が一の事態が起こってしまえば、被害は金銭だけでなく企業のブランド価値にも及ぶ」と語った。

　なお、サプライチェーン攻撃にはソフトウェアサプラチェーン攻撃以外にも、ビジネスサプライチェーン攻撃やサービスサプライチェーン攻撃といった種類もある。前者は企業の子会社やベンダーなどを侵害してネットワークに侵入する手口で、後者は企業が利用するサービスを侵害し、ネットワークに侵入するというものだ。

　守井氏によると、これらの侵害に対抗するには、EDR（Endpoint Detection and Response）製品を導入することが有効だが、この際、ホワイトリストの許可や監視除外設定などを実施していると被害が発生する可能性もあるという。

　「EDR製品だけでは不十分なケースがあるので、NDR（Network Detection and Response）製品も併せて導入し、ネットワークレイヤーにおいても異常な動きや振る舞いを監視するのが重要だ」（守井氏）

　これらの対策を講じていてもまだ十分ではない。守井氏は「企業にとってゼロデイ攻撃は大きな脅威だ」と話す。直近ではIvantiのVPN製品において脆弱（ぜいじゃく）性が明らかになったにもかかわらず、ベンダーからのパッチの提供が遅れたことで、多くの企業で設定が改ざんされたり、ネットワークに侵入されたりという被害が生じた。

　ゼロデイ攻撃には複合的なセキュリティ対策を講じるしかないが、コストや対応レベルの難易度が高まる恐れもある。セキュリティエンジニアが自社にいればいいが、人手不足の昨今、実現は困難だ。

　守井氏はこれに対し「セキュリティ対策は技術や意識、知識を向上させても人が作るものである以上完璧にはならない。そのため対策は『信頼するな、監視しろ』を合言葉に『監視、分析、時々棚卸し』をモットーにしてほしい」語った。