ランサムウェアと株価

最近、ランサムウェア攻撃による被害の報道をよく目にします。ランサムウェアの被害にあうと多くの対応費用が掛かります。復旧のための費用や、セキュリティ対策強化費用、被害にあったシステムが事業に直結している場合は遺失利益も発生します。2021年初めに30か国5,400人のITマネージャー（製造、生産部門のIT担当含む）を対象としたSophosの調査によると、このような費用は平均約185万ドルであったとのことです。ちなみに、身代金を支払った場合は平均約144万ドルだそうです。 

また、2020年のレポートでは国毎の費用も分類されており、日本は平均約219万ドルの費用が掛かっているそうです。他の国々と比べて、日本とスウェーデンが倍以上の費用を要しています。本レポートでは従業員数別など様々な切り口で分析していますので、詳細はSophosのレポートをご覧ください。 

さて、本題ですが、このようにランサムウェア被害にあうと多くの費用が発生します。では、ランサムウェア被害を公表した企業の株価はどのように推移するのでしょうか？セキュリティ担当部門としては、株価に影響があるから対策をしたい。と言いたいところですが、残念ながらさほど影響はないようです。 

Comparitechの研究者がニューヨーク証券取引所上場企業を対象に分析したところによると、以下の通りだそうです。 

 

本レポートはニューヨーク証券取引所上場企業が対象ですので、日本の企業はどうでしょうか？ランサムウェアと思われるサイバー攻撃被害を公表した東証一部上場企業10社の株価を簡単に調査してみました。 

調査方法は以下の通りです。 

・自社HP上でランサムウェアと思われるサイバー攻撃被害を公表している企業を抽出 

・公表日の株価、翌日、7日後、30日後の株価を調査 

・公表日が休日の場合は前日の株価を選定 

・翌日以降の日付が休日の場合は翌営業日の株価を選定 

ニューヨーク証券取引所上場企業の調査結果と比べて、日本の場合はランサムウェア被害の公表が、公表直後の株価にも影響を及ぼしていないことが分かりました。その後の経過もランサムウェア被害の株価への影響は見られません。日本の企業に投資をしている方々はアメリカよりもさらにランサムウェア被害に対して興味を持っていないようです。

セキュリティ担当部門にとっては、少し衝撃的な結果ではありますが、ランサムウェア被害に遭うことによる業務への影響と株価の動向に相関がなさそうであったとしても、これをもってしてリスクがないというわけではないですしセキュリティ対策をしなくてよいということにはなりません。別の調査では、半数がランサムウェア攻撃による収益の損失と評判の低下を経験し、42%は顧客を失ったとの調査結果もあります。

サイバーセキュリティは経営課題であることは再三言われていることですので、株価の動向に関わらず経営層も含めて適切なセキュリティ対策を行う必要があります。 

◆参考文献

The state of ransomware 2020：

https://secure2.sophos.com/en-us/medialibrary/Gated-Assets/white-papers/sophos-the-state-of-ransomware-2020-wp.pdf

The State of Ransomware in Manufacturing and Production 2021：

https://www.sophos.com/en-us/medialibrary/pdfs/whitepaper/sophos-state-of-ransomware-manufacturing-production-2021-wp.pdf

How ransomware affects stock market share prices: report：

https://www.comparitech.com/blog/information-security/ransomware-share-price-analysis/

83% of ransomware victims paid ransom: Survey 

https://www.zdnet.com/article/83-of-ransomware-victims-paid-ransom-survey/#ftag=RSSbaffb68 

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

国家が関与するサイバー攻撃と脅威インテリジェンス

将来サイバーセキュリティの歴史を振り返るとき、今年は大きな分水嶺となりそうです。
サイバー攻撃の背後には国家の支援があることは2013年のAPT1レポート以降、公に語られるようになりました。しかし、これまで日本ではサイバー攻撃の背後に国家の支援があることを明示的に言及されてきませんでした。それが今年に入って、名指しで明確に指摘するケースが相次いでいます。

■ 2021年4月22日　警察庁長官

 

■ 2021年7月19日　外務報道官談話

 

このように、日本においても、国家が背後にいるサイバー攻撃が存在し、そして民間企業を含め被害にあっていることを公表し始めました。ちなみに、このような行為を「パブリック・アトリビューション」と呼ぶそうです。パブリック・アトリビューションについては、NIDSコメンタリーの論評が大変参考になりますので、先月まで本ブログで紹介していたCyber Capabilities and National Powerと合わせてお読みください。

さて、このような国家が関与しているサイバー攻撃が存在することがわかったとして、守る側ができることはあるのでしょうか。攻撃者の名前を報道で知ったとしてもどうすることもできません。ここで必要となってくるのが脅威インテリジェンスです。脅威インテリジェンスの構成要素のひとつである「敵を知る」ことに長けている脅威インテリジェンス提供会社であれば、国家が関与している攻撃者の情報を収集、分析しています。彼らの能力、攻撃の対象、攻撃に使われるインフラ、彼らの目的や動機、TTPと呼ばれる戦術・テクニック・手段などの攻撃者に関する情報を手に入れることができます。攻撃者の名前だけではなく攻撃者に関するあらゆる情報がテーブルに載ってくると自組織での活用イメージも湧いてくるでしょう。
ただ、その攻撃者の情報について、自分の組織内に収集・分析能力があればよいですが、なかなかそうもいきません。もし、そのようなことができる高度な分析能力を保有している組織であれば、国家が関与している攻撃者の情報を入手し、自分たちで、自分たちに関係のある情報を取捨選択して利用することもできます。もし、そこまでの能力を保有していない組織であれば、自分たちに関係のある情報に取捨選択してあるものを提供してもらう方がよいでしょう。

脅威インテリジェンス提供会社はたくさんありますので、自分たちが活用できる範囲を見極めたうえで選択することをお薦めします。

 

◆参考文献

国家公安委員会委員長記者会見要旨：

https://www.npsc.go.jp/pressconf_2021/04_22.htm

中国政府を背景に持つAPT40といわれるサイバー攻撃グループによるサイバー攻撃等について（外務報道官談話）：

https://www.mofa.go.jp/mofaj/press/danwa/page6_000583.html

サイバーセキュリティ戦略：

https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2021.pdf

国家のサイバー攻撃とパブリック・アトリビューション（NIDSコメンタリー：防衛研究所）：

http://www.nids.mod.go.jp/publication/commentary/pdf/commentary179.pdf

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

アタックサーフェス（攻撃対象領域）管理の重要性

今回は、アタックサーフェス（Attack Surface）、日本語訳では「攻撃対象領域」と訳されるサイバー攻撃を受ける可能性のある領域の管理について考えてみます。

アタックサーフェスという言葉は便利な言葉で実に多様な領域をカバーしています。「サイバー攻撃を受ける可能性のある領域」という言葉を考えてみると受け手の属性によってさまざまな解釈が可能です。
例えばアプリケーションセキュリティの世界ではアタックサーフェスというと以下のように定義されています。

• ・アプリケーションにデータやコマンドが出入りする経路のすべて
• ・それらの経路を保護するコード (リソース接続と認証、認可、アクティビティロギング、データの検証とエンコーディングを含む)
• ・アプリケーションで使用する重要データのすべて (シークレットとキー、知的財産、クリティカルなビジネスデータ、個人データと PII を含む)
• ・重要データを保護するコード (暗号とチェックサム、アクセス監査、データ完全性、運用上のセキュリティ制御を含む)

「サイバー攻撃を受ける可能性のある領域」は他にはどのようなものがあるでしょうか。もちろんシステムは外せません。モバイル端末もサイバー攻撃を受ける可能性があります。ソーシャルエンジニアリングやメールを受け取る人も対象と言えるかもしれません。
これらすべてにおいて同じ考え方で対応していくことは難しいので、今回は、「外部攻撃対象領域（External Attack Surface）」の管理について考えます。

マルウェア感染について、最近侵入経路が変わってきていることにお気づきでしょうか。マルウェアはメールやWebアクセス、USBの3か所が侵入経路であるから、ここを徹底的に守るべき、という風に言われていた時代がありました。しかし、昨今、VPNシステムやリモートデスクトップ経由、ネットワーク機器やクラウドサービスなど別の侵入経路による被害が増えています。これらに共通する状況は「外部に公開しているシステム」であるというところです。
世界を取り巻く情勢によりリモートワークを推進するためのネットワーク環境やシステムが増えています。その結果、外部に公開されているシステムも増加しています。令和2年に発行された「情報通信白書」（総務省）によると、クラウドサービスを一部でも利用している企業の割合は64.7％だそうです。利用しているクラウドサービスの内訳では、「ファイル保管・データ共有」が56.0%、「電子メール」が48.0%、「社内情報共有・ポータル」が43.0%とのことです。
日々のビジネスを円滑に進めるうえで基礎的でありながら重要なシステムがクラウドシフトしていることがわかります。
攻撃する側からしても外部に公開されているシステムは容易に探索が可能です。管理が甘いシステムをひとつでも見つければ、そこを侵入口として本来の目的を達成するきっかけとすることができます。何重かのセキュリティシステムを突破してメールでマルウェアに感染させるよりも少ない労力で済みます。

このように攻撃者の視点で見ると、外部に公開されているシステムというのは大変おいしい存在です。社内システムへ安全にアクセスするために導入したVPN装置やどこからでもアクセスできるように利用したクラウドサービス、クライアントPCが社外にあることが多くなったため導入したSaaS型のIT管理システムなど、攻撃者にとっては一度でも侵害できれば十分価値のあるものが増えています。

守る側である組織は、この点を意識する必要があります。攻撃者の視点に立てば、外部に公開しているシステムは野放しにしていいものではないことが分かると思います。ではどうすればいいのかを考える上で役に立つ考え方が外部攻撃対象領域管理（External Attack Surface Management）です。字面は難しそうに見えますが、実施内容は非常に単純です。

1. 外部に公開されているIT資産やシステムを把握する
2. それらに存在する脆弱性を管理する

いかがでしょう。大変単純な内容ですが、よくよく考えると「1.外部に公開されているＩＴ資産やシステムを把握する」ことが意外と難しいものです。本社分は把握していても支社支店や海外現法、子会社など把握できていないシステムが多数あると思います。もちろん、攻撃者にとっては、目的を達成するための侵入口に過ぎませんので、そのシステムが本社管理かどうかは関係ありません。また、先のデータにあるとおり、多くの組織においてクラウドシフトが推進されつつあり、必ずしもIT部門が把握していないシステムも出てきています。オンプレ時代は台帳管理できていてもクラウドシフトの現状ではすべて管理できていないのが実情ではないでしょうか。

このように自組織では中々把握しきることのできない外部に公開されているシステムを発見するサービスが出てきています。弊社でも「攻撃者の視点」で「敵から見える自分を知る」ことのできるアタックサーフェス管理を支援するサービスを提供していますので、ご興味のある方は、どうぞお気軽にお問い合わせください。

◆参考文献

情報通信白書（総務省）：

https://www.soumu.go.jp/johotsusintokei/whitepaper/r02.html

Attack Surface Analysis Cheat Sheet（OWASP）：

https://cheatsheetseries.owasp.org/cheatsheets/Attack_Surface_Analysis_Cheat_Sheet.html

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

Cyber Capabilities and National Power -4-

「Cyber Capabilities and National Power」を読んでみるシリーズ第四弾です。

# ちなみに、弊社内の一部では本レポートを「いぎりすのやつ」と呼称しており、原題を忘れがちです。。。 

今回は、以下のカテゴリを見ていきます。

◆Cyber security and resilience ＜サイバーセキュリティとレジリエンス＞

◆Global leadership in cyberspace affairs ＜サイバー空間における問題に対するグローバルリーダーシップ＞

◆Offensive cyber capability ＜攻撃的なサイバー機能＞

 

◆Cyber security and resilience ＜サイバーセキュリティとレジリエンス＞

この章では主にサイバーレジリエンスについてレポートされており、特に民間企業や民間企業向けの国の取り組みについて言及されています。

抄訳「民間セクターでは、サイバーレジリエンスを改善する上での主な障害は、サイバーインシデントに関する情報を共有する企業間の意欲の欠如です。これは部分的に文化的および構造的要因の結果です。これらには、経営層の間でのサイバーセキュリティ問題に関する一般的な知識の欠如、サイバーセキュリティ要件を確立するための政府規制当局への過度の依存、および企業間のコラボレーションを妨げる伝統的な日本のビジネス慣行が含まれます。政府の統計によると、日本企業はサイバーセキュリティをコーポレートガバナンス、特にリスク計画に統合するのに時間がかかっています。 」

手厳しいですね。自助、公助、共助の考え方において、日本の民間企業は、共助の意識の欠如および公助への過度の依存体質があると指摘しています。また経営層にサイバーセキュリティに関する知識の欠如も指摘されています。この点については2015年に経産省が「サイバーセキュリティ経営ガイドライン」を発行し、サイバーセキュリティは経営問題であり、セキュリティ対策はコストではなく投資と捉え、セキュリティ投資は必要不可欠かつ経営者としての責務と明記していますが、中々浸透していないのが実感です。

そのサイバーセキュリティ経営ガイドラインについては、以下のような記述がありました。

抄訳「これらのガイドラインがNIST（米国国立標準技術研究所）のサイバーセキュリティフレームワークに基づいているという事実は、サイバーセキュリティに関する米国の見解を採用する傾向と、この問題に関する重要な国内イノベーションの欠如の両方を示しています。 」

ここでも米国への依存度について言及されています。確かに米国やEUなど独自で基準策定をしていますが、確かに日本のセキュリティ関連のドキュメントの多くはNISTやENISAやその他海外団体のドキュメントを下地としたものが多いのは事実でしょう。その背景にはビジネスがグローバルで展開されている以上、何も参考にせず独自のドキュメントを作成するよりも片方参照とはいえ海外でも通じるドキュメントとする上では悪い選択ではないとも考えられます。

◆Global leadership in cyberspace affairs ＜サイバー空間における問題に対するグローバルリーダーシップ＞

この章では日本のサイバー外交について述べられております。サイバー外交では、サイバー空間における法の支配の促進、信頼醸成措置の推進、能力開発に関する国際協力の強化という3つの柱がある旨と、様々な国や組織とサイバー外交を推進している旨が報告されています。

◆Offensive cyber capability ＜攻撃的なサイバー機能＞

この章は題名の通りですね。皆様ご存じの通り、日本では難しい問題ですが、レポートでもこのように記載されています。

抄訳「攻撃的な軍事力の発展は、日本の軍事史と第二次世界大戦後の平和主義憲法に関する現在の見解によって制約されています。憲法第9条は、国があらゆる種類の軍事力を行使する権利を否定しています。」

抄訳:「2015年以降、政府は、特定の状況下で、日本自体が攻撃を受けていなくても同盟国の支援を受けることができるように、追加の再解釈を行っています。この変化は、サイバースペースでの集団的自己防衛と積極的な防衛を可能にするものとしても見られています。」

所謂、集団的自衛権ですね。レポートではサイバー空間でも適用されるのではないかと分析しています。この章でもうひとつ、日米のサイバー空間における協力について言及されている箇所がありました。

抄訳:「近い将来、日本はサイバー脅威へのあらゆる種類の攻撃的対応について米国との同盟に依存し続けるであろうという事実は残っています。日米防衛協力に関する2015年のガイドラインには、サイバースペースに特化したセクション全体が含まれており、米国が日本の防衛においてサイバー支援を提供できる状況が示されていることは注目に値します。テキストの最も狭い解釈は、日本で米軍が使用する日本の重要な情報インフラストラクチャの保護に対する米国の支援を制限しますが、しかし、最も広い解釈では、テキストはNATOの第5条に類似しており、日本に対する深刻なサイバー攻撃は米国に対する攻撃のように扱われます。 」

2015年から日米間ではサイバー空間における協力について言及されていると記載されています。最近の話ではなく前からしっかりと考えられていたことがわかります。では、言及されているドキュメントではどのように記載されているか見てみましょう。

確かに、サイバー事案が発生した場合は米国が日本に適切な支援を提供できる旨が記載されています。

サイバーセキュリティとレジリエンスの章でレポートされている内容は日本のセキュリティ業界にとって長年の課題が未だ解決に至っていないことを思い知らされます。また、これまで見てきた通り、国としての取り組みはともすると外から見ると遅い歩みに見えるかもしれませんが、米国追従と揶揄されつつも着実に進んでいるように見受けられます。翻って、日本企業はこのような国の取り組みに頼る、監督官庁に言われた以上のことはしない、業界横並びの意識ではなく、自助、共助について改めて考えて、能動的なセキュリティ対策へ行動変革することが自組織を守る近道となるのではないでしょうか。

本ブログでは一部を切り取ってのご紹介に留まっていますので、ご興味のある方は原文を一読ください。

◆参考文献

Cyber Capabilities and National Power（IISS）：

https://www.iiss.org/blogs/research-paper/2021/06/cyber-capabilities-national-power

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

Cyber Capabilities and National Power -3-

「Cyber Capabilities and National Power」を読んでみるシリーズ第三弾です。

# ちなみに、弊社内の一部では本レポートを「いぎりすのやつ」と呼称しており、原題を忘れがちです。。。 

 

今回は、以下のカテゴリを見ていきます。

◆Governance, command and control ＜ガバナンス、指揮統制＞

◆Core cyber-intelligence capability ＜コアサイバーインテリジェンス機能＞

◆Cyber empowerment and dependence ＜サイバー活用と依存＞

 

◆Governance, command and control ＜ガバナンス、指揮統制＞

この章では、ガバナンスと指揮統制に関わる文書と組織について述べられています。

2015年にサイバーセキュリティ基本法が施行されたこと、それに伴ってサイバーセキュリティ戦略本部やNISC（内閣サイバーセキュリティセンター）が発足したこと、また、2018年の改正に伴って、政府、民間部門、学会全体でサイバーセキュリティ関連の情報を交換、協力するためのサイバーセキュリティ協議会が設立されたことに言及されています。

そのほか、2014年に設立された自衛隊におけるサイバー防衛隊が、時を経て人員を拡大している点にも言及されています。

国の施策として、前の章の＜戦略と基本原則＞で言及されていた文書に基づいて、法整備、組織体制についても着々と整備、拡充されていることが伺えます。

◆Core cyber-intelligence capability ＜コアサイバーインテリジェンス機能＞

この章では、日本固有とも言える問題について言及されています。

抄訳「第二次世界大戦後に施行された憲法上の取り決めを含むさまざまな政治的理由により、日本の諜報機関は他の同様の規模の国に比べて小規模で資金が不足しています。たとえば、日本国憲法第21条 は、政府がsignals intelligenceを収集し、その結果サイバー偵察を実施できる範囲を厳しく制限しています。」

所謂、通信の秘密問題ですね。

「日本国憲法第21条②　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。」

抄訳:「全体として、日本の固有のサイバーインテリジェンス機能は初期段階にあり、サイバー情勢認識とインテリジェンス機能の開発については、主要な国際的パートナー、特に米国に大きく依存しています。」

国としての様々な理由によりサイバーインテリジェンス能力は低く、米国への依存度が高い。という結論です。サイバーセキュリティ関連の文書、組織整備はできるところから地道に実行していますが、やはり最後の部分ではアメリカに頼らざるを得ないのが現状というところでしょうか。

◆Cyber empowerment and dependence ＜サイバー活用と依存＞

続いて、サイバーといいますかITの活用状況という方が近いかもしれませんが、民間を含めたサイバー活用状況について言及されている章です。

この章では、まず、国際通貨基金の2019年の調査結果として国のデジタル経済がGDPの49％を占めている点（アメリカ60%、中国30%）と、2020年のFortune「グローバル500」に上がっている通信またはテクノロジー企業51社のうち、アメリカの企業が16社で、日本の企業が10社で2位を占めている点が報告されています。続いて、産業用ロボットや半導体の優位性、インターネット環境が国産企業によって保たれている点などが言及されています。

良い点ばかりのようですが、残念ながらこの後は皮肉交じりの言及が続きます。

抄訳:「日本は現在、経済協力開発機構（OECD）の他の多くのメンバーに技術的生産性の点で遅れをとっており、OECDの調査によると、日本はスキルとデジタル能力のギャップを埋めるために（特に中高年の労働者のために）より大きな投資が必要であることが示唆されています。」

抄訳:「若い世代と古い世代の間のデジタルデバイドについては幅広い懸念があります。サイバーセキュリティを担当する大臣がコンピューターを使用したことがないことを認めざるを得なかった2018年、政府にとって特に恥ずかしい状況が示されました。」

抄訳:「AIの分野では、日本は競争力があります。たとえば、2020年に最も権威のある2つのAI会議への貢献度に基づいて上位50か国をランク付けした調査では9位になりました。日本企業はAI研究に非常に積極的であり、そのうち9社が世界をリードする100社のリストに掲載されていますが、韓国は6社、インドは1社もありません。それにもかかわらず、日本の産業部門がAI研究に与える総貢献は、依然として韓国の貢献に遅れをとっています。」

中高年のデジタルスキルの問題は、ことIT業界内で言えば、黎明期から業界を支えている中高年の方がスキルが高く、若年層の方がむしろスキルが低い。という意見もありますが、やはり広く一般社会を見ると、指摘はもっともかなと思えます。
2018年の件は敢えて触れたくないことですので割愛し、AIの分野での産業部門での貢献の低さについては、AIに関わらずどの分野でも新しい領域では日本でよく起こる事象のように思えます。

いかがでしょう。国の文書や組織整備についてはスピード感は別として着々と進んでいると読み取れます。しかし、民間企業やIT活用についての言及は耳が痛い指摘ではないでしょうか。収集、分析した情報に対して若干のスパイスをいれて報告しているIISSというイギリスの調査機関の調査能力とともに、レポートが読み手を意識して記載されていることも伝わってきます。本ブログでは一部を切り取ってのご紹介に留まっていますので、ご興味のある方は原文を一読ください。

長くなりましたので、今回はここまで。
次回、本シリーズの完結編として以下の章について詳細に見ていきます。お楽しみに！

◆Cyber security and resilience ＜サイバーセキュリティとレジリエンス＞

◆Global leadership in cyberspace affairs ＜サイバー空間における問題に対するグローバルリーダーシップ＞

◆Offensive cyber capability ＜攻撃的なサイバー機能＞

 

◆参考文献

Cyber Capabilities and National Power（IISS）：

https://www.iiss.org/blogs/research-paper/2021/06/cyber-capabilities-national-power

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込　（メルマガお申込ページが新しくなりました）

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込　（ウェビナー詳細＆お申込ページが新しくなりました）

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

Cyber Capabilities and National Power -2-

2021年6月28日にイギリスの民間国際的戦略研究機関であるIISS（THE INTERNATIONAL INSTITUTE FOR STRATEGIC STUDIES）から「Cyber Capabilities and National Power」という各国のサイバー空間における能力と国力の評価レポートが公表されました。

# ちなみに、弊社内の一部では本レポートを「いぎりすのやつ」と呼称しており、原題を忘れがちです。。。 

 

今回は日本の評価について7つのカテゴリごとに見ていきます。このような外部機関が発行するレポートは外部情勢を把握するうえで大事ですし、自国がどのように見えているか、自国がどのような状態にあるのかを知るうえでも大いに役立ちます。

◆Strategy and doctrine ＜戦略と基本原則＞

抄訳「2006年の日本の「第1次情報セキュリティ基本計画」 はタイトルが示すようにこの種の最初のドキュメントでした。」

抄訳:「2013年に発表された戦略は、「サイバーセキュリティ戦略」 というタイトルで最初に発表されたもので、前年に実施された組織的措置を反映した分水界イベントでした。」

このドキュメントが大きな転換期となりました。特徴的な記載として、「外国政府等が関与するサイバー攻撃等から我が国に係るサイバー空間を守る「サイバー空間の防衛」との記載があり、他国からのサイバー攻撃への防御を求めた最初のドキュメントとなりました。また、サイバースペースを新たな戦争領域と位置づけ、自衛隊内でのサイバー防衛部隊の創設を求めたことも、このドキュメントの大きな特徴と言えます。

2015年には上記の「サイバーセキュリティ戦略」が改訂され、パンフレットでは「サイバー攻撃は年々増加し、国家の関与が疑われるような組織的で高度な攻撃手法なども登場しており、今後、国民生活への脅威が更に深刻化することが予想されます。」と国家関与のサイバー攻撃への言及がされています。2016年には「安全なIoTシステムのためのセキュリティに関する一般的枠組み」が発表されました。そして、次の大きな転換となるドキュメントが2018年に発表されます。

抄訳:「2018年7月に発表されたサイバーセキュリティ戦略（オリンピックとパラリンピックに特に重点を置いた2018年から21年の期間をカバー）は、日本の政策のさらなる進化を表しています。」

サイバーセキュリティ戦略には、国民・社会を守るための取組として「積極的サイバー防御」という言葉が使われ、脅威情報の共有・活用の促進、脆弱性情報の提供等を行う、従来の受動的な対策から積極的な対策を行う必要性について言及されました。

抄訳:「2018年のサイバーセキュリティ戦略は、サイバースペースにおける日本の抑止力に言及した最初のそのような文書であるという点でも画期的なものでした。」

サイバーセキュリティ戦略には、サイバー空間における安全保障を取り巻く環境は厳しさを増しており、国家の関与が疑われる事案を含め様々な業界への攻撃や民主主義の根幹を揺るがしかねない事例が発生している旨に言及し、サイバー攻撃に対する対応として「サイバー攻撃から我が国の安全保障上の利益を守るため、サイバー攻撃に対する国家の強靱性を確保し、国家を防御する力（防御力）、サイバー攻撃を抑止する力（抑止力）、サイバー空間の状況を把握する力（状況把握力）のそれぞれを高めることが重要である。」と記載しています。

また、「悪意のある主体によるサイバー空間の利用を妨げる能力の保有の可能性」について言及したことも大きな一歩であると言えます。

抄訳:「基本原則的なアプローチを推測できる最も関連性の高い文書は、2019年の防衛計画の大綱です。」

続いて言及されたドキュメントは「平成 31 年度以降に係る防衛計画の大綱」です。この中にもより踏み込んだ表現が盛り込まれています。冒頭で「宇宙・サイバー・電磁波といった新たな領域については、我が国としての優位性を獲得することが死活的に重要となっており、陸・海・空という従来の区分に依拠した発想から完全に脱却し、全ての領域を横断的に連携させた新たな防衛力の構築に向け、従来とは抜本的に異なる速度で変革を図っていく必要がある。」と記載し、サイバー空間への取り組みを加速させる旨が盛り込まれています。また、各国の動向として「北朝鮮は、非対称的な軍事能力として、サイバー領域について、 大規模な部隊を保持するとともに、軍事機密情報の窃取や他国の重要インフラへの攻撃能力の開発を行っているとみられる。これらに加え、大規模な特殊部隊を保持している。」と明記しています。さらに、以下のようにレポートでは言及されています。

抄訳:「サイバースペースでの軍事作戦については、自衛隊の全体的な部隊姿勢に沿った防衛に重点を置いているが、サイバー領域で「優位性」を達成することの重要性を指摘し、敵のサイバー攻撃を「妨害」するための防御作戦の一環として攻撃的なサイバー能力の必要性をさらに示唆した。」

この部分は防衛計画大領では「防衛力強化に当たっての優先事項」の章の「サイバー領域における能力」の項で「また、有事において、我が国への攻撃に際して当該攻撃に用いられる相手方によるサイバー空間の利用を妨げる能力等、サイバー防衛能力の抜本的強化を図る。」と記載されました。

 

日本は遅れていると言われがちですが、こうして時系列で並べてみると2013年の時点から「外国政府等が関与するサイバー攻撃」という記載もあり、国家支援型ハッカーグループについても古くから意識していたことが伺え、サイバーセキュリティに関する法整備や防衛について、年々、一歩ずつ前進した表現を盛り込んでいることが分かります。また、2018年からはより踏み込んだ形での表現が増えてきており、サイバー空間をめぐる脅威情勢の深刻度が増していることが伺えます。

2018年のサイバーセキュリティ戦略で出てきた「積極的サイバー防御」という言葉は民間企業でも当てはまる言葉だと思います。脅威情勢が変化する中、従来の受動的な対策から積極的な対策への転換が求められています。国に対するサイバー攻撃は、ターゲットは国の組織だけではありません。その国に属する民間企業もターゲットとなります。民間企業においても脅威情勢を把握することが自組織を守る第一歩になります。

長くなりましたので、今回はここまで。

次回以降、以下の章について詳細に見ていきます。お楽しみに！

• ◆Governance, command and control ＜ガバナンス、指揮統制＞
• ◆Core cyber-intelligence capability ＜コアサイバーインテリジェンス機能＞
• ◆Cyber empowerment and dependence ＜サイバー活用と依存＞
• ◆Cyber security and resilience ＜サイバーセキュリティとレジリエンス＞
• ◆Global leadership in cyberspace affairs ＜サイバー空間における問題に対するグローバルリーダーシップ＞
• ◆Offensive cyber capability ＜攻撃的なサイバー機能＞

 

◆参考文献

• ・Cyber Capabilities and National Power（IISS）：https://www.iiss.org/blogs/research-paper/2021/06/cyber-capabilities-national-power
• ・第1次情報セキュリティ基本計画：https://www.nisc.go.jp/active/kihon/pdf/bpc01_ts.pdf
• ・サイバーセキュリティ戦略（2013年）：https://www.nisc.go.jp/active/kihon/pdf/cyber-security-senryaku-set.pdf
• ・サイバーセキュリティ戦略（2015年）：https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku.pdf
• ・サイバーセキュリティ戦略パンフレット（2015年）：https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku-c.pdf
• ・安全なIoTシステムのためのセキュリティに関する一般的枠組み：https://www.nisc.go.jp/active/kihon/pdf/iot_framework2016.pdf
• ・サイバーセキュリティ戦略パンフレット（2018年）：https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2018-c.pdf
• ・平成 31 年度以降に係る防衛計画の大綱： https://www.mod.go.jp/j/approach/agenda/guideline/pdf/20181218.pdf
• ・中期防衛力整備計画（平成 31 年度～平成 35 年度）： https://www.mod.go.jp/j/approach/agenda/guideline/pdf/chuki_seibi31-35.pdf

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

 

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込　（メルマガお申込ページが新しくなりました）

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込　（ウェビナー詳細＆お申込ページが新しくなりました）

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

EASMとは

最近、「EASM」という言葉をちらほら耳にする機会があります。EASMはExternal Attack Surface Managementの略語で、日本語でいうと「外部攻撃対象領域管理」になります。

EASM、外部攻撃対象領域管理とはどのようなものなのでしょうか。簡単に言うと、「外部（インターネット）に公開されているIT資産やシステムの把握と、それらに存在する脆弱性を管理する。」ということになります。

近年、日本でも（やっと）クラウドサービスの利用が促進されつつあり、今まで（かたくなに）企業ネットワークの内側に置いていたシステムが外側に出てくることによって、外部に公開されている資産やシステムが増加しています。また、簡単にクラウドサービスを利用することができるようになったことにより、IT部門で把握していない、管理していないシステムが増えてきています。今まではIT部門の許可なくシステムを構築し、外部に公開することは比較的難しかったので台帳管理ができていたかもしれませんが、クラウドシフトの現状ではそうもいきません。このような状況を是正するために、自組織に関連する外部に公開されているIT資産を把握すること。これがEASMの第一歩になります。

続いて脆弱性の管理です。外部に公開されている資産を把握したところで、そこに脆弱性があったら元も子もありません。この脆弱性ですが、注意すべき点があります。一言で脆弱性と言っても、パッチを適用すれば解決するようなものだけではありません。不要なポートの開放、不要なサービスの起動、設定の不備などシステムの堅牢性に関わるものが含まれます。

いかがでしょうか？新しい言葉ではありますが、特段新しい内容でもありませんね。「資産管理しましょう」「脆弱性管理しましょう」これらはもう遥か昔からIT運用で言われていることです。ただ、それでもできていない現状とITを取り巻く環境が変わったことによりEASMという言葉が生まれたのではないでしょうか。

さて、ではなぜ、セキュリティの観点でEASMという言葉が必要となるのでしょうか。

EASMの日本語訳は「外部攻撃対象領域管理」です。そうです。攻撃を受ける可能性があるからこそ、外部に公開されているIT資産はよりしっかり管理しなければなりません。

攻撃者たちもできるだけ少ない労力で目的を達成したいので、ターゲットとする企業の外部に公開されている資産を狙ってきます。それはウェブサーバーやメールサービスとは限りません。IT部門が社員のために構築したVPNシステムかもしれませんし、事業部が利用しているクラウドサービスかもしれません。

どこかひとつでも突破することができれば、そこから侵入することも、そこで得たアカウント情報などを元に他のシステムへの侵入することもあります。

また、残念なことに企業ネットワーク内にほぼすべてのシステムがあった時代と違い、大半が外部に公開されているシステムの脆弱性は常に変化します。今までのように境界防御で脆弱性対応を後回しにすることはできません。外部に公開されている資産の状況を常に把握し、迅速に脆弱性を潰していく必要があり、そうすることによって攻撃者からの攻撃を受ける可能性を軽減することができます。

IT環境の変化、攻撃者の存在により、防御をセキュリティ製品に任せる時代は終わりを迎えつつあります。残念ながら自組織を守るためには、自ら動く、能動的に対応することが求められてきています。

CYFIRMAの提供するサービスでは組織のEASMを支援する機能も標準で提供しています。
ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込　（メルマガお申込ページが新しくなりました）

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込　（ウェビナー詳細＆お申込ページが新しくなりました）

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

Cyber Capabilities and National Power -1-

2021年6月28日にイギリスの民間国際的戦略研究機関であるIISS（THE INTERNATIONAL INSTITUTE FOR STRATEGIC STUDIES）から「Cyber Capabilities and National Power」という各国のサイバー空間における能力と国力の評価レポートが公表されました。

# ちなみに、弊社内の一部では本レポートを「いぎりすのやつ」と呼称しており、原題を忘れがちです。。。 

 

今回から2回に渡って、このレポートについて見ていきます。このような外部機関が発行するレポートは外部情勢を把握する際に重要なうえ、自国がどのように見えているか、自国がどのような状態にあるのかを知るうえでも大いに役立ちます。

レポートの対象国は、アメリカ、イギリス、カナダ、オーストラリア（以上、ファイブアイズのメンバー）、フランス、イスラエル、日本（以上、ファイブアイズとサイバー対応における同盟国）、中国、ロシア、イラン、北朝鮮（以上、ファイブアイズとその同盟国がサイバー脅威とみなしている国）、インド、インドネシア、マレーシア、ベトナム（サイバー空間における能力が初期段階にある国）の15か国で、それぞれに国について以下の7つのカテゴリで評価を行っています。
※かっこ書き内の表記はエグゼクティブサマリーに準じています。

・Strategy and doctrine ＜戦略と基本原則＞

・Governance, command and control ＜ガバナンス、指揮統制＞

・Core cyber-intelligence capability ＜コアサイバーインテリジェンス機能＞

・Cyber empowerment and dependence ＜サイバー活用と依存＞

・Cyber security and resilience ＜サイバーセキュリティとレジリエンス＞

・Global leadership in cyberspace affairs ＜サイバー空間における問題に対するグローバルリーダーシップ＞

・Offensive cyber capability ＜攻撃的なサイバー機能＞

この評価軸をもとに15か国を3段階に分類しており、その結果は以下の通りです。

日本がサイバー空間における能力が初期段階にあるとされる国々と同じ最下層に属していることに対して、皆様はどのような感想を頂くでしょうか？
ちなみに、レポートでは、この段階分けについて以下の言及があります。

日本に言及した部分を意訳すると以下のような感じでしょうか。
「上の段階に上がるための要素は様々ではあるが、最も決定的な要因はコアICT産業の強さで、日本は多くの弱点があるにも関わらずコアICT産業の強さからTier 2に最も近い国である。」

誉めてるのか貶してるのかよくわかりませんね。。。

アメリカ

抄訳:「サイバー空間における優位性は、1990年代半ばから米国の戦略的目標でした。サイバー空間の民間および軍事利用の両方で世界規模の大きな存在感を持つ唯一の国ですが、現在、その領域で中国とロシアによって深刻な脅威にさらされていると認識しています。」

イギリス

抄訳:「英国は非常に有能なサイバー国家であり、政治レベルでの明確な戦略的監査があります。国家サイバーセキュリティセンターを中心としたサイバーセキュリティエコシステムと、政府通信本部を中心とした関連するサイバーインテリジェンス機能において、世界クラスの強みを持っています。」

抄訳:「英国は、少なくとも2000年代初頭から攻撃的なサイバー機能を開発および使用しており、その拡大にさらに投資しています。」

カナダ

抄訳:「カナダは高度にデジタル化されたミドルパワーであり、先進国です。それは、政府と外交政策のシステムと快適に調和するサイバーセキュリティへの社会全体のアプローチを追求しています。」

オーストラリア

抄訳:「ファイブアイズインテリジェンスアライアンスの70年間のメンバーシップのおかげもあり、オーストラリアは、その控えめな防衛とインテリジェンス予算が示唆するよりも成熟したサイバー機能を持っています。サイバー規範とサイバーキャパシティ構築のためのグローバル外交に積極的に取り組んでいます。2016年に、攻撃的なサイバー機能を備えていることを初めて認めました。」

フランス

抄訳:「フランス政府は、成熟した機関と定期的な予算の投入に支えられて、サイバースペースのセキュリティに関する強力な戦略を持っています。フランスはサイバーインテリジェンスのカバー範囲が広いですが、サイバーセキュリティ機能をインテリジェンスコミュニティから組織的に分離しています。」

イスラエル

抄訳:「イスラエルは、サイバー空間を国家安全保障に対する潜在的な脅威として特定した最初の国の1つであり、20年以上前にこの問題に取り組み始めました。当初、主な脅威はその重要な国家インフラストラクチャに対するサイバー攻撃であると認識されていましたが、その認識は、他の国家的に重要なターゲットに対する攻撃を含むように進化しました。」

中国

抄訳:「この国は世界で最も広範なサイバー対応の国内監視および検閲システムを確立しており、これはリーダーシップによって厳しく管理されています。」

抄訳:「中国は2000年代初頭以来、知的財産の取得、政治的影響力の獲得、国家間のスパイ活動の実施、将来の紛争の際の破壊的影響に対する地位の確立を目指して、海外で大規模なサイバー活動を行ってきました。」

ロシア

抄訳:「20年間、ロシアは、いくつかの成功を収めて、西側、特に米国によるサイバースペースの支配と見なされているものを削減するための外交努力を主導してきました。ロシアは信頼できる攻撃的なサイバー機能を持っており、認識された敵、特に米国の政策と政治を混乱させることを目的としたより広範な戦略の一部として攻撃的なサイバー機能を広く使用しています。広範なサイバーインテリジェンスオペレーションを実行しており、その一部は技術の高度化を示しています。」

イラン

抄訳:「この国は世界で最も広範なサイバー対応の国内監視および検閲システムを確立しており、これはリーダーシップによって厳しく管理されています。」

抄訳:「高度な攻撃的サイバー機能を開発および展開するために必要なリソース、人材、および技術インフラストラクチャが不足していますが、低レベルの攻撃的サイバー技術を広く使用しており、ある程度の成功を収めています。」

北朝鮮

抄訳:「北朝鮮には高度なサイバーインテリジェンス機能がありません。基本的なデジタルエコシステムがあり、政府のイントラネットなどを介して、300万から500万台のデバイスが内部モバイルネットワークに接続されています。グローバルインターネットへのアクセスは政府によって厳しく管理されており、中国とロシアのサービスプロバイダーが提供する非常に少数のゲートウェイに依存しています。」

インド

抄訳:「インドは地域のサイバーインテリジェンスの範囲は広いですが、より広範な洞察を得るために米国を含むパートナーに依存しています。」

抄訳:「民間部門は、国家のサイバーセキュリティの促進において政府よりも迅速に動いています。」

インドネシア

抄訳:「インドネシアのサイバーインテリジェンス機能は限られていますが、国内のセキュリティのためのサイバー監視に投資しています。ほとんどの発展途上国よりもサイバーセキュリティとデジタルテクノロジーの採用に取り組んでいます。」

抄訳:「インドネシアにはいくつかのサイバー監視機能とサイバースパイ機能がありますが、攻撃的なサイバー操作を計画している、または実施したという証拠はほとんどありません。」

マレーシア

抄訳:「コアサイバーインテリジェンス機能や攻撃的なサイバーの開発に関する情報はほとんどなく、2020年に発行されたポリシーステートメントはサイバー空間での積極的な防御に重点を置いています。」

ベトナム

抄訳:「全体的な攻撃的なサイバー機能は初期段階または脆弱である可能性がありますが、政府との関連性が疑われているハッカーグループAPT32は、おそらく比較的高度なサイバー攻撃を仕掛ける可能性があります。」

いかがでしょうか？サイバーセキュリティの世界ではセキュリティ体制の強化もサイバー攻撃も20年以上前から様々な活動が行われていることがわかります。もちろん脅威インテリジェンスもここ数年の話ではなく昔からあるものです。このような各国の状況を頭に入れておくと、地政学的脅威情勢の理解をより深められるのではないでしょうか。

次回は、本レポートの日本部分について詳細に見ていきます。お楽しみに！

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込　（メルマガお申込ページが新しくなりました）

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込　（ウェビナー詳細＆お申込ページが新しくなりました）

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

脅威インテリジェンス活用の考え方 -3-

前回のブログでは、脅威インテリジェンスを活用するために以下の流れがあると紹介しました。

0. 自組織の脆弱性を認識する

1. 脅威を認識する

2. 脅威を理解する

3. 脅威の影響、リスクを考える

4.脅威の特定、影響度と優先度の決定、対策の検討

5. 活用・提供

今回はフェーズ2以降の詳細を見ていきます。

 

2.脅威を理解する

脅威を認識したら、脅威を理解しましょう。得た脅威情報について追加の情報を収集し理解を深めていきます。この際、注意すべき点がいくつかあります。

・単一の情報で判断しない

情報源は複数利用すべきです。セキュリティ機器から得られたIOCなど、それそのもので判断ができる様な情報であればよいですが、脅威は多角的視点で理解する必要があります。あらゆる情報を集め、状況証拠を積み上げ、推論を重ねて評価する必要があります。

・断定しない

脅威とは既に見えている、顕在化したものだけではありません。今後起こり得る脅威を捕捉するためには、「自社には関係ない」「エビデンスがない」など否定的な断定は推奨しません。「脅威を認識する」フェーズでも述べましたが、ひとりで行うと往々にして断定しがちです。主観的意見を極力排除し、得る情報に対して濃淡をつけていく形で理解を深めることが肝要です。

このフェーズは、高い情報収集能力と分析能力を求められますし、地道な作業の積み重ねになります。本来であれば各社で専門家を育成していくことが望ましい状態でありますが、それまでの間は外部の専門ベンダーに頼って適切な情報提供・アドバイザリーを受け、自社の体制・スキルの強化を図ることが現実的なアプローチでしょう。

 

3.脅威の影響、リスクを考える

続いて、脅威を自組織の脆弱性と組み合わせて、リスクを検証します。脅威が自組織にどのような影響があるのか？顕在化する可能性はあるのか？などの検証を行っていきます。とはいっても定型化された物差しがないと正確に判断することができませんので、ここではふたつのフレームワークを紹介します。

・STRIDE

マイクロソフトが提唱する脅威分類手法です。このフレームワークを利用すると脅威の特性別に6つのパターンに分類することができます。

表：STRIDE

このようにさまざまな脅威を分類することで、自組織にとって望ましくない結果を与える脅威について同じ物差しで会話することができセキュリティ対策検討のスピードを速くすることに寄与します。

・DREAD

こちらもマイクロソフトが利用している（していた）脅威の影響を評価する手法です。以下の項目について、1-10のスコアをつけて脅威の影響度を計ります。

・Damage potential（潜在的な損害）

・Reproductivity（再現可能性）

・Exploitability（攻撃利用可能性）

・Affected users（影響を受けるユーザー）

・Discoverability（発見可能性）

こちらの手法は少々古く、また曖昧さがあるため、あまり使われていないようですが、考え方は頭に入れておくとよいでしょう。

また前のフェーズ同様にここでも要不要の判断や影響度が低いから排除などの絞り込みは行ってはいけません。収集分析段階では極力主観の入るような作業は行わず、すべてが出揃った段階で取捨選択を行うべきです。この段階で落とした脅威が後で発現してしまうと今までの作業が無駄になってしまいます。

 

4.脅威の特定、影響度と優先度の決定、対策の検討

ここでやっと、数多く集め、評価した脅威の優先順位や対策を検討します。

前のフェーズで行った脅威の分類や個々の脅威の評価に加えて、個々のシステム、自社のビジネスへの影響度はもちろんのこと、サプライチェーンやレピュテーションリスクなどの対外的な影響度も客観的に評価します。自社内への影響度は比較的想定しやすいものですが、対外的な影響度はなかなか評価しにくいものです。これを評価する一つの指標としてつかえるのが、過去の同一業界における類似インシデント情報です。過去同じ同業界において、同じようなインシデントが発生した場合にどれだけの金銭的な被害があったかということだけではなく、どれだけニュースやメディアに取りあげられたのか、その結果、企業／業界のイメージや信頼性が受けたダメージはどの程度か、といった事例が非常に役に立ちます。情報収集する際は、企業規模にもよりますが、海外での報道や状況、海外同業者のインシデントなども含めて収集することが望ましいでしょう。また、対外的なレピュテーションリスクについては、時勢によって影響度が変化することも加味する必要があります。

 

5.活用・提供

いよいよ最後のフェーズです。せっかく手間をかけて特定した脅威情報です。対策案も含めて適切に共有する必要があります。この段階もできあがったアウトプットをただ展開すればよい。というわけにはいきません。

「IT担当者と経営層が欲しい情報は違う」

ここまでのフェーズを実行してきた方々はITに明るく、どうしても技術的視点で突き詰めた形でアウトプットを作成しがちです。システム管理者に展開する分には比較的通じやすいかもしれませんが、脅威情報は現場レベルのみで利活用できるものではありません。ビジネスへ影響のある脅威もあるでしょうし、対策するには予算を計上する必要があります。そのためには、経営層に対して経営判断に資する情報、ビジネスインパクト、対策費用の妥当性などの情報を提供する必要があります。

脅威を特定するにはITに明るい方々の力が必須です。脅威情報を収集分析する目的は自組織を守るためです。自組織＝ビジネスを守るためには経営層の理解もまた必須になります。

脅威を分析する方々が脅威を理解するだけではなく、管理者、経営層まで自組織の脅威情勢認識が浸透してこそ適切なセキュリティ戦略・セキュリティ対策を行うことができます。

自組織に対する脅威を正確に理解してもらうため、提供する相手が欲する情報に合わせて提供するアウトプットを作成する必要があります。

私たちは、実務者、管理者、経営層それぞれ同じ言葉で会話のできることが組織を守る一番の近道と考えており、私たちの脅威インテリジェンスはその点を意識して提供されています。

 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込　（メルマガお申込ページが新しくなりました）

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込　（ウェビナー詳細＆お申込ページが新しくなりました）

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

脅威インテリジェンス活用の考え方 -2-

前回のブログでは、脅威インテリジェンスを活用するために以下の流れがあると紹介しました。

0. 自組織の脆弱性を認識する

1. 脅威を認識する

2. 脅威を理解する

3. 脅威の影響、リスクを考える

4.脅威の特定、影響度と優先度の決定、対策の検討

5. 活用・提供

今回はフェーズ0とフェーズ1の詳細を見ていきます。

0. 自組織の脆弱性を認識する

脆弱性というとパッチを適用するようなシステムに関するものが想起されますが、ここでいう脆弱性はもう少し幅広い意味を持っています。組織にとって脆弱性となり得るものはシステムのみならず社会環境、属する業界、人、組織、プロセスなどが含まれます。

例えば、日本の企業というだけで、地政学的に日本に関心を持つ国家支援型ハッカーグループの標的とされます。重要インフラ事業者はもちろんのこと、業界において画期的な技術を持っている企業や発言にニュースバリューのある経営者などは攻撃者の注目を集めやすい存在です。また、攻撃者はターゲット企業を直接狙うだけではなく、ターゲット企業のサプライチェーンの中でシステム管理の弱いところや技術開発においてITリテラシーの低い管理者がいる場合、そこが脆弱性となり得ます。

企業において、サプライチェーン全体や開発委託先まですべての脆弱性を管理・監督することは困難ですが、以下の観点から脆弱性認識を取り組んでいただくことを推奨します。

・まずは自組織において、どんな点が脆弱性となりそうかを書き出してください。その際には、システム的な側面のみならず、自社を取り巻く環境から人やプロセスなど幅広い観点で捉えていくことが重要です。

・この活動は、危機管理室やリスク管理部門などの活動と重なる部分もありますので、そのような部門と連携することでより網羅的な情報になります。

・組織内の情報だけではなく、外部からの視点も重要です。外部から見た場合に、自組織が属する国や業界がどう見えているのか客観的視点で把握するためにニュースや業界分析レポートに目を通してみてください。攻撃者もそういった情報を定期的に確認することでターゲットとする国・業界・企業を選定しています。また国内のみならず、海外のニュースやメディアで自国や業界のトピックがどう取りあげられているかを確認することが、より攻撃者視点で役に立つ可能性があります。

1. 脅威を認識する

脅威を認識する方法は以下の4つの方法があります。

①自社で発生したインシデントを調査する

②外部ソース（主に一般的な公開情報）から目立った脅威を認識する

➂国内や同業他社のインシデントを認識する

④外部機関からの情報提供をうける

①自社で発生したインシデントを調査する

セキュリティ機器からアラート上がるなどセキュリティインシデントが発生した場合、そこにはもちろん脅威が存在します。ここで詳細なインシデントレスポンスを行うことで脅威を特定することができる場合がありますが、ひとつの痕跡からでは脅威の特定に至らないことの方が多いのが現実です。

例えば、社内からしC2サーバーへの通信を検知したアラートが上がった際に、C2サーバーのIPアドレスは特定できたとしても、そのIPアドレスを利用したハッカーグループを特定することは難しい場合もあり、また、ハッカーグループがどのような意図を持って攻撃を実行したのか把握することができません。ただし、直近上がったアラートだけではなく、過去数か月からの情報や他のセキュリティ機器のログを含めてインシデントレスポンスを行うことで脅威がある程度特定できることがあります。

自社で発生したインシデントから脅威を認識するためには、ひとつのアラートに対処するだけではなく、多面的に状況を分析することが大切です。

②外部ソース（主に一般的な公開情報）から目立った脅威を認識する

世の中には脅威情報を提供するOSINT（Open Source Intelligence）ツールが存在します。それらを利用して収集した情報を分析し脅威を認識することも可能です。

ただ、OSINTで得られる情報はすべて正しいわけでもなく、情報提供者の主観に基づく結論であったり、時間軸が間違っていたりとノイズが発生します。OSINTで情報を得る際には、分析する人の能力に大きく依存します。また一人の分析によって導かれる結論は往々にして的外れなものになることがありますので、複数人での対応が望ましいです。

③ 国内や同業他社のインシデントを認識する

これは日々情報を収集することで比較的容易に実行できます。ニュースサイトによっては他のニュースサイトの記事を転載している場合もあります。その場合、転載元に関する情報も記載されていますので、記事を辿って大本のニュースサイトや情報サイトなど複数の情報源を設定して1日1回確認するなどの活動をすることで徐々に鮮度の高い情報を得ることができるようになります。

④外部機関からの情報提供をうける

我々のような脅威インテリジェンスベンダーから脅威情勢について定期的に情報提供を受けることで脅威を認識するハードルを下げることができます。①~③、特に②③を自組織内の人員だけで実施するにはそれ相応の人数、スキル、工数が必要となります。脅威インテリジェンスベンダーはこの部分も含めて日夜活動していますので、専門家に任せるのも一考でしょう。

次回は、「2.脅威を理解する」以降のフェーズについて詳細にご説明していきたいと思います。

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。 

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

脅威インテリジェンス活用の考え方 -1-

脅威インテリジェンスはセキュリティ製品とは違い、”導入して完了”というものではありません。

セキュリティ製品であれば、自動で脅威をブロックしたりアラートを上げてくれますが、脅威インテリジェンスはメールやレポートを受け取るだけでは価値を有効活用することはできません。もちろん、収集・分析までは脅威インテリジェンスベンダー側で実施していますが、活用するためには利用する側でも手を動かす必要があります。以前ご紹介したCTIフレームワークでも活用/提供までのステップが明記されています。

図：IJIRTSによるCTI Frameworkを基に弊社編集

 

今回は、利用する側は、どのような考え方で脅威インテリジェンスの活用/提供を進めていけばよいのか見ていきます。が、その前に、「脅威」というものを取り扱うにあたって以下の方程式について簡単に説明します。 

脅威×脆弱性＝リスク 

この方程式はセキュリティリスクを考える上でよく見る方程式です。自組織の「リスク」を把握するうえで必要な要素が「脅威」と「脆弱性」になります。一言に脅威と言っても外部脅威には様々な要素があります。目に見える状態の脅威であれば比較的容易に対応可能ですが、地政学的な脅威や業界を取り巻く脅威、攻撃者の存在や攻撃手法など、残念ながら大きな被害をもたらす脅威は潜在的に存在しています。そして脆弱性ですが、脆弱性というとパッチ適用で解決する脆弱性を思い浮かべますが、ここでいう脆弱性はそれだけではありません。人もそうですし組織やプロセス、システムにおける侵害可能な欠陥なども含まれます。 

このように、脅威インテジェンスベンダーから提供される脅威情報と自組織の脆弱性を正しく認識することで、自組織のセキュリティリスクを把握することに繋がるということを念頭に置いておく必要があります。 

以上を踏まえたうえで、脅威インテリジェンスを活用するための流れを見てみましょう。 

0.自組織の脆弱性を認識する 

1. 脅威を認識する 

2.脅威を理解する 

3.脅威の影響、リスクを考える 

4.脅威の特定、影響度と優先度の決定、対策の検討 

5.活用・提供 

フェーズ0は、脅威インテリジェンスベンダーから情報提供できるものもありますが、脆弱性はシステムに関するもののみならず、人・組織・プロセスなども含まれるため、基本的には組織内部で実施する必要があります。 

フェーズ1および2は、主に脅威インテリジェンスベンダーの領域です。「認識」「理解」は利用する側で行うことですが、そのためのインプット情報は自分で収集するのではなく脅威インテリジェンスベンダーから得る必要があります。またここで入手する情報は、スキルを必要とする深い分析・読解を求めるようなものであるべきではありません。次のフェーズ3以降をスムーズに実行できるように整理された活用しやすい脅威インテリジェンスを利用してください。 

フェーズ3以降は組織内部で行っていく必要があります。これ以降のフェーズをしっかり進めるためには、自組織のビジネス環境やIT環境に対する理解やリスクシナリオの検証能力、判断能力、報告能力が求められますが、逆に前のフェーズで有益な脅威インテリジェンスを得られていれば、脅威インテリジェンスの収集/分析能力やセキュリティ技術に対する深い知見は左程重要な要素ではありません。 

このように、脅威インテリジェンスを活用するには、外部から情報を入手するだけではなく自組織でも実施すべきことがあります。潜在的な外部脅威を可視化することは脅威インテリジェンスベンダーに任せ、脅威インテリジェンスを活用する側では、得られた脅威情報と自組織の脆弱性からリスク、対応を考えていくことが必要です。 

今回は、脅威インテリジェンスを活用するうえでの考え方をご説明しました。次回以降それぞれのフェーズについて詳細にご説明していきたいと思います。 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。 

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

6領域で理解する脅威インテリジェンス

今回は、CYFIRMAが定義する6領域の脅威インテリジェンスを見ていきます。

脅威インテリジェンスは幅広く非常に多くの要素を含んでおり、脅威インテリジェンスをそのまま深く理解し活用するには相応のスキルが必要となります。CYFIRMAでは一般的な組織で活用しやすいよう脅威インテリジェンスを6つの領域にカテゴライズしています。この分類には企業における利活用の視点は勿論のこと、サイバー攻撃を仕掛ける攻撃者の視点を踏まえて定義しています。

図：CYFIRMAの定義する6領域の脅威インテリジェンス

 

ATTACK SURFACE DISCOVERY（攻撃対象領域の調査）
攻撃者は攻撃ができそうなシステムを常に探索しています。攻撃者が今現在ターゲットとしている組織に対する探索は勿論のこと、将来攻撃を実行する際に使えそうな資産、侵入口となり得るシステムや攻撃者に利益をもたらしそうなシステムなどのリストを作成しています。
守る側の組織では、「攻撃者から見える自組織の資産」を常に把握し、自組織が把握していない外部公開資産がないよう管理することが重要です。

VULNERABILITY INTELLIGENCE（脆弱性に関するインテリジェンス）
「攻撃者が存在し」「攻撃対象となり得る資産があり」「脆弱性が存在する」と、それは組織のリスクとなります。残念ながら攻撃者の存在はコントロールできませんが、自組織の資産に関する脆弱性は対処可能です。自組織の資産に関する情報、例えば不要なポートの開放や稼働しているソフトウェアの開示など、攻撃者にとって有益になる情報は秘匿すべきでしょう。

守る側の組織では、「攻撃者から自組織の資産がどう見えているのか？」を常に把握し、攻撃者に不要な情報を与えないようシステムを管理することが重要です。

BRAND INTELLIGENCE（ブランドに関するインテリジェンス）
時として攻撃者は組織のブランドを悪用します。有名ブランドのSNSの偽アカウントにユーザーを誘導したり、BEC（ビジネスメール詐欺）やホエーリングなどと呼称されますが、役員や決裁者の名前を騙って取引先へのソーシャルエンジニアリングを実行することが常に行われています。

守る側の組織では、そういった悪用されやすい自社のブランドを理解しておくことも重要です。

SITUATIONAL AWARENESS（情勢認識）
攻撃者は多くのリソースを投じて、狙いを定めた国や業界の情報を収集し、必要に応じてターゲット企業を定め攻撃を実行します。彼らはどの業界でどのような最新技術が開発されたか？ある国でシェアが高いソフトウェアは何か？など常に最新の動向に目を配っています。

守る側の組織でも、自組織のリスクの高まりや攻撃者の動機を理解するために、攻撃者と同様に自分たちの国や業界、そして自組織がどう攻撃者から見られているか、自組織を取り巻く脅威情勢の趨勢を理解することが重要です。

DIGITAL RISK PROTECTION（デジタルリスク保護）
残念なことに、いくら自組織でセキュリティ対策を実施していても情報の漏洩は発生します。情報の漏えい元は自組織に限らず、取引先や雇用者、クラウドサービスなどから漏洩することもあります。

攻撃者はこの漏洩してしまった情報も活用します。彼らは常に公開された漏洩情報のデータベースや、リークサイト、情報共有サイトなどから情報を収集しそれを次の攻撃で悪用できないか考えています。
守る側の組織でも、この二次利用される可能性のある情報を定常的にモニタリングし対応することで、リスクを軽減することに繋がります。

CYBER INTELLIGENCE（サイバーインテリジェンス）
ここまでの5つの領域は、攻撃者の視点をもとに分類した脅威インテリジェンスですが、最後の領域は攻撃者そのものです。自組織をターゲットとして攻撃をしてくる可能性のあるハッカーグループ、彼らの動機や目的、TTP（戦術・テクニック・手順）などの攻撃者の情報を得ることが重要です。

守る側の組織では、実際に自組織に被害をもたらす可能性のある攻撃者の情報を理解することで、前段の5つの領域の脅威インテリジェンスがより活用しやすいものとなります。

以上、CYFIRMAの定義する6つの領域の脅威インテリジェンスのご説明でした。脅威インテリジェンスを組織で利活用するためには、単に情報をフィードし理解は組織側に委ねるのではなく、組織側での活用シーンを理解し適切で利用しやすいよう提供される必要があります。

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。

“戦略的”  “統制的”  “戦術的”：3つのレイヤーで活用する脅威インテリジェンス

今回は、脅威インテリジェンスの活用について考えてみます。

我々のような脅威インテリジェンスを提供する会社はよく、脅威インテリジェンスは「戦略的(Strategic)」、「統制的(OperationalあるいはManagement)」、「戦術的(Tactical)」の3つレイヤーで活用ができると言っています。これは、言い換えると、「経営層」、「管理層」、「実務層」のそれぞれの方々で脅威インテリジェンスは活用することができ、さらに自社を守るためにはすべての層で活用すべきであるというメッセージでもあります。

この3つのレイヤーでの脅威インテリジェンスの活用について見ていきましょう。

図：3層で活用する脅威インテリジェンス

戦略的インテリジェンス 

脅威インテリジェンスを活用するうえで最も重要な観点になります。経営層、管理層、実務層の間でセキュリティ戦略における円滑なコミュニケーションツールとして活用されます。 

・自社で顕在化したインシデント（セキュリティ製品からアラートが出たもの）の数値的なの報告に留まらず、ビジネスの世界と同じように、脅威インテリジェンスを用いて世の中の動向、脅威情勢について共通認識を持つ 

・世の中の脅威情勢の変化、自社の脅威情勢の変化を受けて重点的に守るべき資産、組織を定義する 

・自社が優先的に実施すべきセキュリティ対策について議論、共有する 

個々のセキュリティ対策製品の機能や流行のセキュリティ対策製品について話しても、三3層の間で円滑なコミュニケーションをとることはできません。自社を取り巻く脅威情勢について経営層、管理層、実務層で共通認識を持つことで、自社のセキュリティ戦略の企画立案、効率的なセキュリティ対策の実施する手助けとなります。 

統制的インテリジェンス 

自社が晒されている脅威や狙われる可能性のある自社の資産を把握することで、サイバー攻撃のリスクを低減することができます。 

・自社を狙っている攻撃者の存在認識およびその攻撃者の動向、ターゲット業界、攻撃手法などを理解する 

・攻撃者視点で狙われる可能性のある自社資産を特定する 

・利用している資産に存在する脆弱性（公開されているポートや利用しているソフトウェアの開示など）を把握する 

・特定のソフトウェアの脆弱性について攻撃者の利用動向、エクスプロイトコードの有無など付加情報をもとに脆弱性のリスク度合い把握する 

漠然とセキュリティ対策製品を並べていても攻撃者から自社を守ることはできません。脅威インテリジェンスを用いて攻撃者の存在と自社の脆弱な状況を的確に把握することが、適切なセキュリティ対策を実施するために必要です。 

戦術的インテリジェンス 

俗に言うTTP（Tactics, Techniques and Procedures：戦術、技術、手順）やIoC（Indicator of Compromise: Hash、IPアドレス、URL）です。これらの脅威インテリジェンスは以下のように活用することができます。 

活用するうえで最も重要な観点になります。経営層、管理層、実務層の間でセキュリティ戦略における円滑なコミュニケーションツールとして活用されます。 

・セキュリティ対策製品にIoC IOCを連携し、検知・防御する 

・セキュリティ対策製品が検知したIoC がどのようなものか脅威インテリジェンスを用いて調査する 

・脅威インテリジェンスで得られるIoC を利用して自社内の攻撃痕跡を調査する 

・自社を狙う攻撃者やマルウェアのTTPを利用して自社のセキュリティ対策で検知・防御可能か確認する 

非常に実務的な内容ですが、TTPやIoC は様々な活用方法があります。ただ、世の中にある有償・無償のIoCを利用しても、大概が既にセキュリティ対策製品で検知できるIoCの場合があります。既に被害が公表されているマルウェアのIoCであれば、商用のセキュリティ対策製品であれば検知・防御が可能です。IoCを活用したセキュリティ対策を行うには、攻撃者が利用する前のIoCや攻撃者と相関分析を行っているIoCを提供する脅威インテリジェンスを利用することが有用です。 

 

今回は3つのレイヤーで活用する脅威インテリジェンスを紹介しました。 

脅威インテリジェンスは実務層だけが活用するものではなく、経営層、管理層も含めて活用することで、脅威インテリジェンスを活用する本来の目的である自社を守ることができるようになります。 

最後に脅威インテリジェンスについて、ありがちな注意点や誤解をいくつか挙げてみます。 

・漏洩したデータがダークウェブ上にないか調査する 

これは発生したインシデントによって引き起こされた「結果」の調査にすぎません。データを漏洩させた実行犯や彼らの目的、今後の攻撃計画などを調査分析し、対応に結び付けられる情報まで昇華させたものが脅威インテリジェンスです。 

・脅威インテリジェンスとして得られた情報の確実性を求める 

インシデント発生後に得られるIoCは証拠のある確実なものですが、それは事後事故調査であり、諜報活動の結果得られるものではありません。脅威インテリジェンスは攻撃者の動向、目的、能力などを分析して提供しています。言い換えると攻撃者に関するエビデンスに基づき分析をしていますが、脅威インテリジェンスで得られた情報は、実際に攻撃者が行動を起こすまで可能性の枠内にあります。これは軍の諜報活動で得られる軍事的なインテリジェンスでも同じことです。攻撃者が実際に攻撃を仕掛けるか否かは我々にもわかりませんが、攻撃が行われる前にこのタイミングで適切に対応することでインシデントの発現可能性を軽減できます。 

CYFIRMAでは組織のセキュリティ戦略から戦術面まで活用できる、包括的な脅威インテリジェンスを提供しています。ご興味のある方は、どうぞお気軽にお問い合わせください。 

 

CYFIRMAでは色々な視点から脅威インテリジェンスを理解して頂ける様、各種無料のコンテンツをご用意しています！

✧毎週火曜日に発行「Weekly Security Update」

CYFIRMAが独自で毎週発行している「Weekly Security Update」のメールマガジンです。
その週にあった出来事をピックアップし、さらにサイファーマならではの情報も交えてご紹介しています。
ハッカーの会話をモニタリングしているからこそ、通常では得られない様な情報もいち早く手に入れる事ができますので、
ご興味のある方は下記よりお申込下さい。
※同業他社の方はお断りする場合がございます、ご了承下さい。

メルマガお申込

✧毎月定期開催「CYFIRMA ウェビナー」

脅威インテリジェンスとは何かという初歩的な内容から、MITRE ATT&CKフレームワークの活用方法、
毎月の脅威トレンド報告などなど、旬な話題を取り入れ、かつ弊社独自目線も取り入れた内容となっており、
弊社サービス紹介というよりも、脅威インテリジェンスをどう考えるか、どう活用するかという部分で
皆様のヒントとなるよう運営しております。是非お気軽にご参加下さいませ！！！

ウェビナー詳細＆お申込

 

✧その他、ご不明な点がございましたらこちらからご連絡下さい。