入口で止めるだけでは足りない——侵入されている前提で考えるということ

セキュリティ対策の話は、たいてい「どうやって侵入を防ぐか」から始まります。ファイアウォールを置き、ウイルス対策ソフトを入れ、迷惑メールを遮断し、社員に教育をする。どれも必要なことで、やらない理由はありません。

ただ、これらはすべて「入口で止める」対策です。そして現在、企業の被害の多くは、入口を通り抜けられた後に起きています。城壁を高くするのは正しい。しかし、城壁の中に誰かが入ってきたときに何が起きるかを考えていない城は、壁の高さに関わらず落ちます。

この記事で扱うのは、入口対策をやめる話ではありません。守る対象を変え、測る指標を変えるという、設計の話です。

なぜ入口対策だけでは足りなくなったのか

1. 守るべき「内と外」の境目が消えた

かつて、会社の情報資産はすべて社内にありました。だから社内と社外の境目に関所を置けば、そこを通る通信をすべて検査できた。理にかなった設計です。

いまはどうでしょうか。業務のデータはクラウドにあり、社員は自宅から接続し、営業は外出先の端末で見て、取引先とはシステム同士がつながっている。「社内」と呼べる範囲が、もう存在しません。関所を置くべき場所が消えたのですから、関所だけでは守れないのは当然です。

2. 正規の鍵で、正面から入られる

前回の記事で書いたとおり、いま最も多い侵入の形は「盗まれた ID とパスワードでのログイン」です。これは技術的には侵入ではなく、正規の利用にあたります。壁を壊してもいないし、扉をこじ開けてもいない。鍵を持った人が、玄関から入ってきているだけです。この形が入口の検査で止まらないのは、検査する側から見て、止める理由が存在しないからです。

3. 一度入られると、内側は平坦である

そして、多くの企業のネットワークは、外周だけが硬く、内側は一続きになっています。一台のパソコンに入られた時点で、社内の共有サーバーが見え、他の端末が見え、場合によっては基幹システムまで届く。外周の硬さは、内側の広さを何も制限しません。

攻撃者はこの構造を熟知しているので、最初に入る場所にはこだわりません。どこでもいいから一台入り、そこから中を歩いて目的の場所へ向かう。この「中を歩く」工程が、実は最も時間がかかり、最も痕跡が残る部分です。ここに気づく手段を持っているかどうかが、被害の大きさを決めます。

攻撃を5つの段階に分けて見る

侵入から被害までを分解すると、おおむね次の5段階になります。それぞれの段階で、既存の対策がどこまで効くのかを並べてみます。

この表で目を引くのは、3段階目と4段階目が丸ごと空白になっている会社が非常に多いことです。1と2には投資が集中し、5は嫌でも分かる。その間の、数週間から数か月にわたる期間だけが、誰も見ていない。

裏を返せば、空白を埋めるほうが割がいい、ということでもあります。すでに厚くしている場所をさらに厚くしても、得られるものは先細りします。

「侵入前提」とは、諦めることではない

「侵入される前提で考えましょう」と言うと、防ぐのを諦めたように聞こえます。

消防の考え方に置き換えると、腹に落ちやすいはずです。建物の防火は、出火をゼロにする計画ではありません。出火は起きるものとして、防火区画で燃え広がる範囲を区切り、感知器で早く気づき、避難経路で人を逃がす。出火率の目標を掲げている消防署はありませんが、だからといって火事を容認しているわけでもない。ゼロにできないものを、被害の大きさのほうで管理するという切り替えです。

目標が変わる

これまでの目標は「侵入をゼロにする」でした。この目標には、達成したかどうかを判定する方法がありません。何も起きていない状態が、防げているのか、まだ気づいていないだけなのか、区別できないからです。

侵入前提の目標は「侵入されてから、目的を達成されるまでの間に、気づいて止める」。攻撃者が内部を探索している数週間は、こちらにとっては猶予期間です。

指標が変わる

目標が変われば、測るものも変わります。侵入前提の設計で使われる指標は次の2つです。

• 気づくまでの時間——侵入が始まってから、異常だと認識するまでの時間
• 止めるまでの時間——認識してから、封じ込めるまでの時間

この2つは、実際に測ることができます。訓練という形で、意図的に異常を起こしてみればいい。「安全ですか」には答えられませんが、「何時間で気づけますか」には答えられます。経営として管理できる形になるのは、後者のほうです。

侵入前提の設計、4つの柱

1. 分ける——被害の上限を先に決めておく

一台が乗っ取られたときに、そこから何に手が届くか。これを制限する作業です。ネットワークを業務ごとに分ける、経理のサーバーには特定の端末からしか届かないようにする、日常業務のアカウントに管理者権限を持たせない。

船の隔壁と同じ発想で、浸水を防ぐのではなく、浸水しても沈まないようにする。手間はかかりますが、被害の上限を設計の側で決められる方法は、これ以外にありません。

2. 見る——記録を残し、実際に見る

3段階目と4段階目の痕跡は、多くの場合すでに記録に残っています。残っているのに、見ていない。まずは記録の保存期間を延ばし、次に「見る」仕組みを用意します。

ただし正直に言えば、これは中小企業にとって最も難しい柱です。記録は膨大で、そのほとんどは正常な業務です。専門の担当者がいなければ、そこから異常を拾い上げる作業は現実的ではありません。4番目の柱が要るのは、この事情からです。

3. 戻せる——最悪の場合の底を作る

切り離されたバックアップと、実際に戻せることの確認。この2つがそろって初めて、交渉の余地が生まれます。戻せるのなら、支払いを検討する必要がそもそもありません。

4. 気づかせる——触られたら分かるものを置く

4つ目が、比較的新しい考え方です。攻撃者が必ず触るが、正規の業務では絶対に触られないものを社内に置いておく、という手法です。

おとりを置く——デセプションという考え方

攻撃者は、社内に入った後、何がどこにあるかを知りません。だから探します。共有フォルダを開き、サーバーの一覧を取得し、保存されている認証情報を拾い、他の端末に接続を試みる。この「探す」という行為は、攻撃者にとって省略できません。探さなければ、次にどこへ行けばよいか分からないからです。

ここに、本物に見える偽物を混ぜておきます。実在しないサーバー、使われていない管理者アカウント、価値がありそうな名前の付いた偽のファイル。これらは業務では一切使いません。誰も使わないはずのものに触れた——それだけで、そこに攻撃者がいることが分かります。

何を、どこに置くのか

具体的なイメージが湧きにくいと思うので、代表的なものを挙げます。いずれも「攻撃者が探索の過程で必ず通るところ」に置かれます。

• 存在しないサーバー。社内のネットワークに、実在するように見える機器を用意します。攻撃者が社内の機器一覧を取得すると、この偽物も一覧に載ります。接続を試みた時点で通知が飛びます。
• 使われていない管理者アカウント。いかにも権限が強そうな名前のアカウントを用意し、業務では一切使いません。攻撃者は権限の強いアカウントを優先的に狙うため、高い確率で試されます。
• 端末に置かれた偽の認証情報。攻撃者は、乗っ取った端末の中から保存済みのパスワードや接続情報を探します。そこに偽物を混ぜておき、それが使われた瞬間に検知します。
• 価値のありそうな名前の偽ファイル。共有フォルダに「役員報酬」「顧客名簿」といった名前のファイルを置きます。業務では誰も開く理由がありません。

置いた本人以外は存在を知らない、という運用が前提になります。社員が知っていると、好奇心で開いてしまい、通知が意味を失うからです。置き場所と内容を管理する担当は、絞ることになります。

なぜ、この方法は誤検知が起きにくいのか

従来の検知の仕組みは、「正常な業務」と「攻撃」を見分けようとします。ところが両者は似ています。管理者が深夜に作業することもあれば、大量のファイルを移動する業務もある。疑わしいものを拾おうとすれば誤検知が増え、誤検知を減らそうとすれば見逃しが増える。この綱引きが、検知という仕事の本質的な難しさです。

おとりを使う方法は、この綱引きの外にあります。おとりに触れる正常な業務が、そもそも存在しないからです。業務で使わないものに接触があった、という事実だけで判定が済むため、「これは怪しいか」を判断する工程が要りません。

この性質は、専任のセキュリティ担当者を置けない組織にとって効きます。大量の記録を読み解いて異常を見つける仕事は、人がいなければ回りません。「触られてはいけないものが触られた」という通知であれば、受け取る側に専門知識を求めません。

万能ではない、という点も書いておきます

公平を期すために、この方法の限界も書きます。まず、侵入そのものは防ぎません。入られたことを早く知るための仕組みであって、入口対策の代わりにはならない。次に、探索しない攻撃には反応しません。すでに目的の場所を知っている内部の関係者による持ち出しなどは、別の対策の領域です。そして、置き方の設計が要ります。不自然な場所に不自然なものを置けば、攻撃者のほうが先に気づく。業務環境に馴染む形で配置できるかどうかが、この手法の成否を分けます。

位置づけとしては、既存の対策を置き換えるものではなく、空白だった段階を埋めるものです。役割分担で整理すると、次のようになります。

デセプションについては、デセプション・セキュリティの解説ページで、仕組みと導入の流れをより詳しく説明しています。

「ゼロトラスト」という言葉の、扱い方

侵入前提の話をすると、必ず「ゼロトラスト」という言葉が出てきます。売り文句として使われすぎて、いま何を指しているのか分かりにくくなった言葉ですが、元の考え方は明快です。「社内だから信頼する」という前提をやめる、それだけです。

従来は、社内ネットワークにつながっていること自体が信頼の根拠でした。ゼロトラストは、その根拠を捨てます。誰が、どの端末から、何にアクセスしようとしているのかを、そのつど確認する。社内にいても、社外にいても、扱いは同じにする。

中小企業にとって、どこまでが現実的か

完全な形で実装しようとすると、大がかりな基盤の入れ替えになります。ここで多くの会社が「うちには無理だ」と判断してしまうのですが、全部やる必要はありません。

たとえば、アクセスできる条件を絞る。会社が管理している端末からのみ許可する、という設定は、多くのクラウドサービスに標準で備わっています。権限を業務単位に区切るのも同じ系統で、「入社したら全員が全部の共有フォルダを見られる」をやめるだけなら、設定の見直しで進みます。社内から社内へのアクセスにも認証を求める、という項目は重いのですが、すべては無理でも重要なサーバーだけ、と決めれば現実的な範囲に収まります。

言葉に振り回されず、「社内だから安全という前提を、どこで一つ外せるか」という問いに翻訳する。そこから自社でできることが見えてきます。

よくある質問

「うちの規模で、そこまでやる必要がありますか」

4つの柱のうち、規模を選ぶのは「分ける」だけです。残りの3つ——戻せる、見る、気づかせる——は、規模に関わらず必要で、しかも規模が小さいほど短期間で完了します。むしろ大企業より速く整えられるのが、小規模組織の利点です。

「すでにウイルス対策ソフトを入れていますが、重複しませんか」

重複しません。役割分担の表で示したとおり、担当する段階が違います。ウイルス対策は、悪意あるプログラムが持ち込まれた場面を担当します。正規のアカウントで正規の操作をされる3〜4段階目には、そもそも検知すべき対象が存在しません。

「導入すると、業務が重くなりませんか」

おとりを置く方法については、業務の端末やサーバーに変更を加えないやり方が可能です。存在しない機器を用意する、共有フォルダにファイルを1つ置く、といった形であれば、業務側の動作には影響しません。ただし、実装の方式によって前提が変わるため、検討の際は「業務システムに何を入れる必要があるのか」を最初に確認してください。

「誤検知の通知が大量に来て、対応しきれないのでは」

おとりに触れる正常な業務は存在しないため、通知の量そのものが少なくなります。日常的に鳴り続けるものではありません。裏を返せば、鳴ったときは本当に見に行く必要があるということでもあります。誰が受けるのか、受けたら何をするのかは、導入前に決めておくべき項目です。

中小企業が、現実的に始める順番

4つの柱を一度に整えるのは無理です。負担と効果の関係で並べると、この順番になります。

1. 戻せる状態を作る。切り離されたバックアップと、復旧の実地確認。負担が小さく、最悪の底を決める効果が最大です。
2. 権限を絞る。管理者権限の棚卸しと多要素認証。設定の見直しが中心で、2段階目と4段階目の両方に効きます。
3. 記録を残す設定にする。常時見る仕組みは後回しでよく、まずは後から遡れる状態にします。
4. 気づく仕組みを置く。ここでおとりを使う方法が候補になります。人手をかけずに3〜4段階目を埋められるためです。
5. ネットワークを分ける。最も効果が大きい一方で、最も手間がかかります。優先度としては後ですが、いずれ必ず通る道です。

この順番の背景にあるのは「人手を必要としないものから入れる」という一点です。担当者が一人、あるいは兼務という体制では、運用に人の時間を要求する対策は、導入しても続きません。続かない対策は、無いのと同じです。

経営者が確認すべき、3つの問い

1. いま社内に誰かがいたとして、何時間で気づけますか。この問いに数字で答えられない場合、3〜4段階目が空白です。
2. 一台が乗っ取られたとき、そこから何に手が届きますか。「全部です」という答えなら、被害の上限が設定されていません。
3. 最後にバックアップから実際に戻したのは、いつですか。「取っています」ではなく「戻しました」の答えを求めてください。

いずれも技術の知識を必要としない問いです。そして、この3つに答えられる会社は、規模に関わらず、被害を小さく収められます。セキュリティの成熟度は、導入している製品の数ではなく、この種の問いに答えられるかどうかで測るのが実態に合っています。

参考になる公的資料

• 米国国立標準技術研究所（NIST）SP 800-207「Zero Trust Architecture」——「内側だから信頼する」をやめる設計の考え方が整理されています。
• 内閣サイバーセキュリティセンター（NISC）「サイバーセキュリティ戦略」および関連の指針——侵入を前提とした検知と対処の位置づけが示されています。
• 独立行政法人情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」——おとりでは扱えない領域の対策として、あわせて読む価値があります。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——「侵入されることを前提とした対策」は、経営者が指示すべき項目として明記されています。

ご自社の状態を確かめてみたい場合は、お問い合わせからご相談ください。ご相談とお見積りは無償です。構成によって内容が変わるため、範囲と費用は着手前に必ず書面でご提示します。