入口で止めるだけでは足りない——侵入されている前提で考えるということ

セキュリティ対策の話は、たいてい「どうやって侵入を防ぐか」から始まります。ファイアウォールを置き、ウイルス対策ソフトを入れ、迷惑メールを遮断し、社員に教育をする。どれも必要なことで、やらない理由はありません。

しかし、これらはすべて「入口で止める」対策です。そして現在、企業の被害の多くは、入口を通り抜けられた後に起きています。城壁を高くすることは正しい。ただ、城壁の中に誰かが入ってきたときに何が起きるかを考えていない城は、壁の高さに関わらず落ちます。

この記事では、なぜ入口対策だけでは足りなくなったのか、そして「侵入されている前提」で考えるとはどういうことかを整理します。これは諦めの話ではありません。守る対象を変え、測る指標を変えるという、設計の話です。

なぜ入口対策だけでは足りなくなったのか

1. 守るべき「内と外」の境目が消えた

かつて、会社の情報資産はすべて社内にありました。だから社内と社外の境目に関所を置けば、そこを通る通信をすべて検査できました。この設計は理にかなっていました。

いまはどうでしょうか。業務のデータはクラウドにあり、社員は自宅から接続し、営業は外出先のスマートフォンで見て、取引先とはシステム同士がつながっている。「社内」と呼べる範囲が、もう存在しません。関所を置くべき場所がなくなったのですから、関所だけでは守れないのは当然です。

2. 正規の鍵で、正面から入られる

前回の記事で書いたとおり、いま最も多い侵入の形は「盗まれた ID とパスワードでのログイン」です。これは技術的には侵入ではなく、正規の利用です。壁を壊しているわけでも、扉をこじ開けているわけでもありません。鍵を持った人が、玄関から入ってきているのです。

この形の侵入は、入口の検査では止まりません。検査する側から見て、止める理由が存在しないからです。

3. 一度入られると、内側は平坦である

そして、多くの企業のネットワークは、外周だけが硬く、内側は一続きになっています。一台のパソコンに入られた時点で、社内の共有サーバーが見え、他の端末が見え、場合によっては基幹システムまで届く。外周の硬さは、内側の広さを何も制限しません。

攻撃者はこの構造を熟知しており、最初に入る場所にはこだわりません。どこでもいいから一台入り、そこから中を歩いて目的の場所へ向かいます。この「中を歩く」工程が、実は最も時間がかかり、最も痕跡が残る部分です。ここに気づく手段を持っているかどうかが、被害の大きさを決めます。

攻撃を5つの段階に分けて見る

侵入から被害までを分解すると、おおむね次の5段階になります。それぞれの段階で、既存の対策がどこまで効くのかを並べてみます。

この表で注目すべきは、3段階目と4段階目が丸ごと空白になっている会社が非常に多いという点です。1と2には投資が集中し、5は嫌でも分かる。その間の、数週間から数か月にわたる期間だけが、誰も見ていない。

逆に言えば、ここに手を打つと費用対効果が最も高いということでもあります。すでに投資している領域を厚くするより、空白を埋めるほうが、同じ金額で得られるものが大きい。

「侵入前提」とは、諦めることではない

「侵入される前提で考えましょう」と言うと、防ぐのを諦めたように聞こえるかもしれません。そうではありません。目標と指標を置き換えるという話です。

目標が変わる

これまでの目標は「侵入をゼロにする」でした。これは達成の可否を判定できません。何も起きていない状態が、防げているのか、まだ気づいていないだけなのか、区別できないからです。

侵入前提の目標は「侵入されてから、目的を達成されるまでの間に、気づいて止める」です。攻撃者が内部を探索している数週間は、こちらにとっては猶予期間です。この期間を活かせるかどうかが勝負になります。

指標が変わる

目標が変われば、測るものも変わります。侵入前提の設計で使われる指標は次の2つです。

• 気づくまでの時間——侵入が始まってから、異常だと認識するまでの時間
• 止めるまでの時間——認識してから、封じ込めるまでの時間

この2つは、実際に測ることができます。訓練という形で、意図的に異常を起こしてみればよいのです。「安全ですか」には答えられませんが、「何時間で気づけますか」には答えられます。経営として管理できる形になるのは、後者です。

侵入前提の設計、4つの柱

1. 分ける——被害の上限を先に決めておく

一台が乗っ取られたときに、そこから何に手が届くか。これを制限する作業です。ネットワークを業務ごとに分ける、経理のサーバーには特定の端末からしか届かないようにする、日常業務のアカウントに管理者権限を持たせない。

船の隔壁と同じ発想です。浸水を防ぐのではなく、浸水しても沈まないようにする。費用と手間はかかりますが、被害の上限を設計で決められる唯一の方法です。

2. 見る——記録を残し、実際に見る

3段階目と4段階目の痕跡は、多くの場合すでに記録に残っています。残っているのに、見ていない。まずは記録の保存期間を延ばし、次に「見る」仕組みを用意します。

ただし、正直に言えば、これは中小企業にとって最も難しい柱です。記録は膨大で、そのほとんどは正常な業務です。専門の担当者がいなければ、異常を拾い上げることは現実的ではありません。ここが、次の4番目の柱が必要になる理由です。

3. 戻せる——最悪の場合の底を作る

切り離されたバックアップと、実際に戻せることの確認。繰り返しになりますが、これが交渉の余地を作ります。戻せるなら、支払いを検討する必要そのものがありません。

4. 気づかせる——触られたら分かるものを置く

4つ目が、比較的新しい考え方です。攻撃者が必ず触るが、正規の業務では絶対に触られないものを社内に置いておく、という手法です。

おとりを置く——デセプションという考え方

攻撃者は、社内に入った後、何がどこにあるかを知りません。だから探します。共有フォルダを開き、サーバーの一覧を取得し、保存されている認証情報を拾い、他の端末に接続を試みる。この「探す」という行為は、攻撃者にとって省略できません。探さなければ、次にどこへ行けばよいか分からないからです。

ここに、本物に見える偽物を混ぜておきます。実在しないサーバー、使われていない管理者アカウント、価値がありそうな名前の付いた偽のファイル。これらは業務では一切使いません。誰も使わないはずのものに触れた——それだけで、そこに攻撃者がいることが分かります。

何を、どこに置くのか

具体的なイメージが湧きにくいと思うので、代表的なものを挙げます。いずれも「攻撃者が探索の過程で必ず通るところ」に置かれます。

• 存在しないサーバー。社内のネットワークに、実在するように見える機器を用意します。攻撃者が社内の機器一覧を取得すると、この偽物も一覧に載ります。接続を試みた時点で通知が飛びます。
• 使われていない管理者アカウント。いかにも権限が強そうな名前のアカウントを用意し、業務では一切使いません。攻撃者は権限の強いアカウントを優先的に狙うため、高い確率で試されます。
• 端末に置かれた偽の認証情報。攻撃者は、乗っ取った端末の中から保存済みのパスワードや接続情報を探します。そこに偽物を混ぜておき、それが使われた瞬間に検知します。
• 価値のありそうな名前の偽ファイル。共有フォルダに「役員報酬」「顧客名簿」といった名前のファイルを置きます。業務では誰も開く理由がありません。

重要なのは、置いた本人以外は存在を知らないことです。社員が知っていると、好奇心で開いてしまい、通知が意味を失います。運用としては、置き場所と内容を管理する担当を絞ることになります。

なぜ、この方法は誤検知が起きにくいのか

従来の検知の仕組みは、「正常な業務」と「攻撃」を見分けようとします。ところが両者は似ています。管理者が深夜に作業することもあれば、大量のファイルを移動する業務もある。だから、疑わしいものを拾おうとすると誤検知が増え、誤検知を減らそうとすると見逃しが増える。この綱引きが、検知という仕事の本質的な難しさです。

おとりを使う方法は、この綱引きから外れています。おとりに触れる正常な業務が、そもそも存在しないからです。業務で使わないものに接触があった、という事実だけで判定が済むため、「これは怪しいか」を判断する必要がありません。

この性質は、専任のセキュリティ担当者を置けない組織にとって特に重要です。大量の記録を読み解いて異常を見つける仕事は、人がいなければ回りません。一方、「触られてはいけないものが触られた」という通知であれば、判断に専門知識を必要としません。

万能ではない、という点も書いておきます

公平を期すために、この方法の限界も挙げます。

• 侵入そのものは防ぎません。入られたことを早く知るための仕組みであって、入口対策の代わりにはなりません。
• 探索しない攻撃には反応しません。すでに目的の場所を知っている内部の関係者による持ち出しなどは、別の対策の領域です。
• 置き方の設計が要ります。不自然な場所に不自然なものを置けば、攻撃者に気づかれます。業務環境に馴染む形で配置する必要があります。

つまり、既存の対策を置き換えるものではなく、空白だった段階を埋めるものという位置づけです。役割分担で整理すると、次のようになります。

デセプションについては、デセプション・セキュリティの解説ページで、仕組みと導入の流れをより詳しく説明しています。

「ゼロトラスト」という言葉の、扱い方

侵入前提の話をすると、必ず「ゼロトラスト」という言葉が出てきます。製品の売り文句として使われすぎて、いま何を指しているのか分かりにくくなっている言葉ですが、元の考え方は明快です。「社内だから信頼する」という前提をやめる、それだけです。

従来は、社内ネットワークにつながっていること自体が信頼の根拠でした。ゼロトラストは、その根拠を捨てます。誰が、どの端末から、何にアクセスしようとしているのかを、そのつど確認する。社内にいても、社外にいても、扱いは同じにする。

中小企業にとって、どこまでが現実的か

完全な形で実装しようとすると、大がかりな基盤の入れ替えになります。ここで多くの会社が「うちには無理だ」と判断してしまうのですが、全部やる必要はありません。考え方のうち、費用をかけずに取り入れられる部分があります。

• アクセスできる条件を絞る。会社が管理している端末からのみ許可する、といった設定です。多くのクラウドサービスに標準で備わっています。
• 権限を業務単位に区切る。「入社したら全員が全部の共有フォルダを見られる」をやめる。設定の見直しだけで進みます。
• 社内から社内へのアクセスにも認証を求める。すべては無理でも、重要なサーバーだけなら現実的です。

言葉に振り回されず、「社内だから安全という前提を、どこで一つ外せるか」という問いに翻訳して考えると、自社でできることが見えてきます。

よくある質問

「うちの規模で、そこまでやる必要がありますか」

4つの柱のうち、規模を選ぶのは「分ける」だけです。残りの3つ——戻せる、見る、気づかせる——は、規模に関わらず必要で、しかも規模が小さいほど短期間で完了します。むしろ大企業より速く整えられるのが、小規模組織の利点です。

「すでにウイルス対策ソフトを入れていますが、重複しませんか」

重複しません。役割分担の表で示したとおり、担当する段階が違います。ウイルス対策は、悪意あるプログラムが持ち込まれた場面を担当します。正規のアカウントで正規の操作をされる3〜4段階目には、そもそも検知すべき対象が存在しません。

「導入すると、業務が重くなりませんか」

おとりを置く方法については、業務の端末やサーバーに変更を加えないやり方が可能です。存在しない機器を用意する、共有フォルダにファイルを1つ置く、といった形であれば、業務側の動作には影響しません。ただし、実装の方式によって前提が変わるため、検討の際は「業務システムに何を入れる必要があるのか」を最初に確認してください。

「誤検知の通知が大量に来て、対応しきれないのでは」

前述のとおり、おとりに触れる正常な業務は存在しないため、通知の量そのものが少なくなります。日常的に鳴り続けるものではありません。逆に言えば、鳴ったときは本当に見に行く必要があるということでもあります。誰が受けるのか、受けたら何をするのかは、導入前に決めておくべき項目です。

中小企業が、現実的に始める順番

4つの柱を一度に整えるのは無理です。費用と効果の関係で並べると、この順番になります。

1. 戻せる状態を作る。切り離されたバックアップと、復旧の実地確認。費用が小さく、最悪の底を決める効果が最大です。
2. 権限を絞る。管理者権限の棚卸しと多要素認証。費用はほぼかからず、2段階目と4段階目の両方に効きます。
3. 記録を残す設定にする。常時見る仕組みは後回しでよく、まずは後から遡れる状態にします。
4. 気づく仕組みを置く。ここでおとりを使う方法が候補になります。人手をかけずに3〜4段階目を埋められるためです。
5. ネットワークを分ける。最も効果が大きい一方で、最も手間がかかります。優先度としては後ですが、いずれ必ず通る道です。

この順番の背景にある考え方は単純で、「人手を必要としないものから入れる」ということです。担当者が一人、あるいは兼務という体制では、運用に人の時間を要求する対策は、導入しても続きません。続かない対策は、無いのと同じです。

経営者が確認すべき、3つの問い

1. いま社内に誰かがいたとして、何時間で気づけますか。この問いに数字で答えられない場合、3〜4段階目が空白です。
2. 一台が乗っ取られたとき、そこから何に手が届きますか。「全部です」という答えなら、被害の上限が設定されていません。
3. 最後にバックアップから実際に戻したのは、いつですか。「取っています」ではなく「戻しました」の答えを求めてください。

いずれも技術の知識を必要としない問いです。そして、この3つに答えられる会社は、規模に関わらず、被害を小さく収められます。セキュリティの成熟度は、導入している製品の数ではなく、この種の問いに答えられるかどうかで測るのが実態に合っています。

参考になる公的資料

• 米国国立標準技術研究所（NIST）SP 800-207「Zero Trust Architecture」——「内側だから信頼する」をやめる設計の考え方が整理されています。
• 内閣サイバーセキュリティセンター（NISC）「サイバーセキュリティ戦略」および関連の指針——侵入を前提とした検知と対処の位置づけが示されています。
• 独立行政法人情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」——おとりでは扱えない領域の対策として、あわせて読む価値があります。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——「侵入されることを前提とした対策」は、経営者が指示すべき項目として明記されています。

ご自社の状態を確かめてみたい場合は、お問い合わせからご相談ください。ご相談とお見積りは無償です。構成によって内容が変わるため、範囲と費用は着手前に必ず書面でご提示します。