情報セキュリティの脅威と攻撃

企業が持つ顧客情報、営業情報、人事情報、設計情報などは重要な情報資産です。紙の資料や電子データだけでなく、業務に価値を持つ情報を広く対象として考えます。

情報資産が漏えい・改ざん・消失すると、事業や信用に影響することがあります。情報の重要度に応じて適切な管理を行うことが基本です。

価値ある情報を情報資産として管理する

情報資産に損害を与える原因となるものを脅威といいます。攻撃者、マルウェア、災害、誤操作などが脅威になり得ます。

脅威に悪用されるシステムや運用上の弱点を脆弱性といいます。脅威は被害を生む原因、脆弱性は付け込まれる弱点という違いを押さえます。

脅威は原因、脆弱性は弱点

技術的な仕組みではなく、人の心理や行動上の隙を利用して秘密情報を入手する方法をソーシャルエンジニアリングといいます。電話で担当者になりすましてパスワードを聞く行為や、画面を肩越しに見る行為などがあります。

取引先や経営者になりすましたメールを使い、送金などをだまし取る手口としてBECがあります。人への教育や確認手順もセキュリティ対策の一部です。

人の心理やミスを突く攻撃にも注意する

悪意あるソフトウェアの総称をマルウェアといいます。自ら複製してネットワークなどを通じて広がるワームや、正規ソフトを装って侵入するトロイの木馬などがあります。

ファイルを暗号化するなどして利用できなくし、復旧と引換えに金銭を要求するものがランサムウェアです。単に広告を表示する迷惑ソフトとは被害の性質が異なる点を押さえます。

ランサムウェアは利用不能化と金銭要求

感染した端末を遠隔操作するために使われる不正なツールをRATといいます。ファイル操作やコマンド実行などを攻撃者が遠隔から行うために悪用されます。

侵入後に、次回以降も容易にアクセスできるよう秘密の入口を用意するものをバックドアといいます。RATは遠隔操作、バックドアは再侵入経路と整理します。

RATは遠隔操作、バックドアは秘密の入口

組織が許可していないクラウドサービスや端末を、従業員が業務で利用することをシャドーITといいます。管理部門が利用状況を把握できず、情報漏えいなどの危険が高まります。

内部不正の要因を、機会・動機・正当化の三つで説明する考え方を不正のトライアングルといいます。不正を起こしにくい環境づくりには機会を減らす対策も有効です。

シャドーITは組織が把握しないIT利用

一般的な検索エンジンから見つけにくく、専用の仕組みを使ってアクセスする領域の一部をダークウェブと呼びます。匿名性が高く、正当な用途だけでなく違法な取引などに利用されることもあります。

漏えいした認証情報などが流通する場合もあります。ダークウェブそのものがマルウェアの種類というわけではない点を区別します。

ダークウェブは匿名性の高いネット領域の一部

考えられる文字列を機械的に順番に試す方法を総当たり攻撃といいます。よく使われる単語を集めた一覧を使って試すものが辞書攻撃です。

他のサービスから漏えいしたIDとパスワードの組合せを別のサイトで試す攻撃をパスワードリスト攻撃といいます。利用者のパスワード使い回しが被害拡大の要因になる点が特徴です。

漏えい済み認証情報の使い回しがリスト攻撃

Webサイトの入力欄などに不正な命令を入れてデータベースを操作する攻撃をSQLインジェクションといいます。入力値を適切に処理していないWebアプリケーションが狙われます。

利用者のブラウザ上で不正なスクリプトを実行させる攻撃がクロスサイトスクリプティングです。SQLインジェクションは主にDB、XSSは主にブラウザ上のスクリプト実行を狙うと整理します。

SQL注入はDB、XSSはブラウザを狙う

通信の途中に攻撃者が入り、送受信内容を盗み見たり書き換えたりする攻撃を中間者攻撃といいます。利用者と正規サイトの間に割り込む形で行われます。

正規サイトに似せた偽サイトへ誘導し、IDやパスワードなどを入力させる手口をフィッシングといいます。SMSを使う同様の手口はスミッシングと呼ばれます。

通信への割込みは中間者、偽サイト誘導はフィッシング

改ざんされたWebサイトなどを閲覧した利用者に、ブラウザやプラグインの脆弱性を悪用してマルウェアを送り込む手法をドライブバイダウンロードといいます。利用者が明示的にファイルを実行しなくても被害が発生する場合があります。

攻撃者は多くの利用者が訪れるサイトを狙うことがあります。OSやブラウザなどを更新して脆弱性を減らすことが対策につながります。

Web閲覧をきっかけにマルウェア感染を狙う

大量の通信や処理要求を送り、サービスを利用しにくくする攻撃をDoS攻撃といいます。正常な利用者への応答ができない状態を狙います。

多数の端末から分散して同時に攻撃するものがDDoS攻撃です。DDoSはデータを盗むことが主目的ではなく、サービス妨害を狙う攻撃です。

多数の端末からの分散妨害がDDoS

特定の組織や人物を狙って継続的に侵入を試みる攻撃を標的型攻撃といいます。長期間にわたり情報収集や侵入を続ける攻撃はAPTと呼ばれることがあります。

標的となる利用者がよく訪れるWebサイトを改ざんし、そこから感染させる方法を水飲み場型攻撃といいます。不特定多数ではなく狙った相手の行動を利用する手口です。

水飲み場型は標的が訪れるサイトを利用する

修正プログラムが提供される前の脆弱性を悪用する攻撃をゼロデイ攻撃といいます。既知の対策が十分整う前に攻撃される可能性があります。

生成AIなどに、本来の指示を無視させるような悪意ある入力を与えるプロンプトインジェクション攻撃もあります。新しいサービスでも入力や権限を無条件に信用しない考え方が必要です。

未修正の弱点を突くのがゼロデイ攻撃