セキュリティのデザイン：インターネットに繋げていなければ安全？オフラインやクローズド環境でのマルウェア対策
皆さん、こんにちは
SOMPO CYBER SECURITYでフェローを務める熱海（あつみ）です。
5月連休も終わり、新年度の業務が本格的にスタートしましたね。
新しい人間関係が始まるこの時期は、コミュニケーション力の差を痛感しています。
他人と心の距離を縮めるのが上手な人は、異動してきた人や新しく出会ったばかりの人が相手でも、親しげにコミュニケーションをとれています。一方、いつまでたってもあいさつ程度しか交わせず、心の距離が一向に縮まらないという人もいます。
これは会話のキャッチボールが上手くいっていないかもしれません。特に在宅勤務からスタートしてWeb会議オンリーだと辛いですが、焦らず無理をしないで時間をかけて良いと思います。
少しずつでいいので会話の数を増やしていきましょう。
サイバーセキュリティに関するお役立ち情報をご提供ホワイトペーパー一覧はこちら ＞
はじめに
この連載コラムのタイトルは「セキュリティのデザイン」としていますが、ここには日本的な意味である「意匠」などの審美的な意味合いに加えて、英語の「Disign」に含まれるような、設計や創意工夫といった意味合いも持たせています。
近年は企画・設計・開発・運用・廃棄などの、ITのライフサイクル全般に於いてセキュリティを考慮した設計が特に重要となっています。
これは先程の「Disign」に含まれるような設計や創意工夫といった観点を重視した物であり「セキュリティ・バイ・デザイン」として知られています。
今日のコラムですが、以前の職場（NHK）で行っていたクローズド環境でのセキュリティ対策のお話を通して「クローズド環境とはなにか」「どのようなリスクがあるか」など順を追ってご説明し、セキュリティ・バイ・デザインの重要性をお伝えできればと思いますので、ぜひご活用ください。
クローズド環境とは？
クローズド環境とは、インターネットおよびインターネットに接続されている機器には接続されておらず、外部から直接アクセスすることが不可能な通信ネットワークのことを指します。閉域網環境とも言います。
クローズド環境はインターネットから隔離されているので、Webやメールからのマルウェアの感染被害が出るものではありません。しかし、マルウェアによる攻撃を100％避けられるということではありません。
例えば、USBデバイスや、クローズド環境の機器をメンテナンスするための持ち込み保守端末の接続によりマルウェアに感染することがありますし、設備自体のファームウェアにマルウェアが忍び込んでいる場合もあります。
攻撃者目線から言えば、出口も入口もないクローズド環境内に侵入出来れば、脆弱な環境で感染は容易であるという事です。
最低限のリスクを受容し、実質的な被害を発生させない
クローズド環境を使用している例には、人の身体の安全や生命にかかわる病院、金融機関、通信障害が許されない放送会社、重要な個人情報を扱う行政機関などが挙げられます。
クローズド環境は、インターネットに接続されないので心配はないという事ですが、システム設備の保守は必要ですし、ソフト改修に当たってはバージョンアップ作業も必要になってきます。何らかの機器と接続しなければ実現していないという実情はあるのです。
クローズド環境でのセキュリティ対策では、万が一のことを考え攻撃経路を見出した上で、適切なセキュリティ対策を行っていました。そのためにも攻撃の仕組みを理解し、サイバー攻撃がパソコンに感染し影響を及ぼした時にどんな事が起きるかを理解することが必要でした。
ある意味、機器障害時に似ているからです。機械は必ず故障することを想定し、代替機能を用意していますが、実際に異常を認めてバックアップするまでの時間が勝負になります。さらに組織全般の動きを理解したり、仮に攻撃を受けるとしたら、どのようにしてクローズド環境に入り込むかを想定しておくことが必要かと思います。
システム異常が発生した場合、機器障害の可能性とサイバー攻撃のレベルを同等に考えることも必要です。対策としては被害が拡大しないことと、正常に動いていく箇所の見極めです。如何に障害になった個所を延焼させず食い止め、動作が継続できるかが問われているからです。
サイバーリスクの観点から、サイバー対策で防御に拘って対策をするのではなく、対処策と復旧策を最重要にすべきと考えていました。壊れた設備をどう復旧させ、運用が再開できるかを考えるという事です。最低限のリスクを受容し、実質的な被害を発生させないことで、結果的に有効な防衛策となっていました。
クローズド環境に対する攻撃の手口とは？
入口出口ではマルウェアと検知できない亜種・新種が多く、パターンを用いるような製品での対策は難しいと思います。
さらにOSのセキュリティパッチなどの適用が難しいためUSBデバイスにランサムウェアの仕組まれたソフトウェアが格納されていた場合、このソフトウェアをクローズド環境でコピーしようとすると、USBデバイスを接続した時点では何も実行されないので検知されませんし、インストールされた時点でも、正常終了すると思います。これは問題がないように見えるためです。
基本的な対策は物理的な方法ではUSBの運用を止めることしかないという事です。さらに通常のネットワークで使われている対策ツールが使う事が難しい場合、攻撃が開始するとランサムウェアが実行され自己拡散し、次々とほかのPCがランサムウェアに感染していくことになるという事です。
クローズド環境への攻撃に万全な対策が出来るか？
クローズド環境は、一見するとサイバー攻撃に強いように見えますが、ひとたび自己拡散型マルウェアが組織内ネットワークに侵入してしまうと、攻撃とその悪影響を容易に止めることができません。
そのうえ、クローズド環境には多くの機密情報や扱いに注意を要する情報があるため、被害が甚大になりがちです。
そこで、適切で有効な対策を行う必要があります。有効なセキュリティ対策のポイントは、攻撃の入口となるデバイスの監視と異常なデバイスの切り離しです。
入口の対策では、ガイドラインを制定し運用ルールを決めるなど、人の手も必要かと思います。全てベンダー任せはありえないと思いますが、持ち込み用のPCなどがセキュリティ対策されたものか、ウィルスが存在しないかなどの検閲は必要かと思います。
さらに持ち込んだPCのベンダー本社との通信回線にも注意が必要です。これは、ベンダーだけの問題だけではなく、イントラネットワーク上でも接続箇所があれば、同様の運用ルールが必要です。
常時接続状態にならないような監視体制管理が必要という事です。
設備を導入し、運用を開始した時点では、脆弱性は無くても後に発見されるケースがあります。なかなか難しいとは思いますが設備を製造する段階からサイバーセキュリティについて検討することを条件にすべきかと思います。
まとめ
クローズド環境でのネットワーク運用は、非常に繊細で攻撃に耐える力が弱いため、その部分の特有の対策が必要という事ですね。僕が情シス業務をしていた時に一番注意していたことは、使わなくなったシステムの後始末です。
どんなシステムでの「やり残し」があり、ここを見逃していることです。ポートが開きっぱなしもそうですし、使わないサーバーや、ルーターの電源が入りっぱなし等の問題も同様です。攻撃者の目線は、そういった「やり残し」を切っ掛けに攻撃をしてきます。
クローズド環境については、サイバーリスクを機器障害リスクと考え、壊れたシステムを迅速に復旧させ、運用が再開できるか前もって考えておくことをお勧めします。
冒頭でもご紹介させていただいた、企画・設計・開発・運用・廃棄などのライフサイクルを考慮した、セキュリティ・バイ・デザイン的手法が特に重要となりますので、みなさまが実施されるセキュリティ対策において、ぜひご活用ください。
クローズド環境に限らず「機器やアプリの不具合と思っていたがサイバー攻撃されてるのかも」「もしかしたら今の環境はクローズドではなく攻撃されているのでは」などお悩みの方、当社のサイバーセキュリティサービスをぜひご検討ください。
熱海 徹 セキュリティのデザイン過去記事一覧
熱海 徹 プロフィール
サービス推進部 上席フェロー
- 1978年4月 日本放送協会入局 システム開発、スタジオ整備、スポーツ番組に従事
- 2013年6月 本部・情報システム局にてサイバーセキュリティ対策グループ統括
- 2016年6月 内閣府 SIP推進委員、セキュリティ人材育成WS委員
- 2016年7月 一般社団法人ICT-ISAC-JAPAN事務局次長
- 世界的スポーツイベントに向けて放送業界セキュリティ対策に従事
- サイバーセキュリティ対策推進や経営層に向けたセキュリティ対応策について数多くのセミナー・イベントに登壇
- 2018年9月 ＳＯＭＰＯリスクマネジメント株式会社に入社
- サイバーセキュリティ事業のサービスに関する研究開発、技術評価、サービス企画開発等の統括、セミナー・イベントに登壇
- 2019年7月 経済産業省 産業サイバーセキュリティ研究会 有識者委員
