# オープニング #理想のワークスペース どうもー、セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を輩出した屈指のセキュリティ企業家である私、松野が、 東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日は理想のワークスペースに関する話なんですけども、 在宅勤務なんですけども、以前もお話ししましたかね。僕自身、L字の机を使っていまして、これが本当に便利でして、 椅子を回転すると別の作業ができるということで、作業スペースを広く確保できています。 もう一つ、モニター、やっぱり物理ではなく仮想というか、パソコンの中の作業環境ですね、モニターの数によって広く取れるわけですよね。 モニターごとによって、ブラウザーだったり、スラックだったり、ワードエクセルだったりと使い分けられますので、同時に見ながら作業もできるわけですね。 ですから、物理も仮想もですね、いかに作業スペースを広く確保できるかが、生産性につながるんじゃないかなというふうに思っております。 ということで、今回はリモートアクセス機器を経由したランサムウェアについて取り上げております。 この放送を通じてリスナーの皆さんは、実務で役立つ防衛策と検知のポイントについて理解を深めていただければと思います。 それではどうぞ! # リモートアクセス機器経由での侵入が判明 ～ サンリオエンターテイメントへのランサムウェア攻撃 リモートアクセス機器経由での侵入が判明。サンリオエンターテイメントへのランサムウェア攻撃。 株式会社サンリオエンターテイメントは、8月12日、1月21日に発生した同社ネットワークへのランサムウェアによる不正アクセスについて調査結果を発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の記事は、あるエンターテイメント企業のネットワークが、1月21日にランサムウェアによる不正アクセスを受け、一部サービスが停止したことに端を発します。 企業は問題発生後に、該当サーバと関連システムをネットワークから遮断し、外部専門機関に調査を依頼しました。 調査の結果、リモートアクセス機器の脆弱性をつかれて侵入された可能性が高く、最大で約200万件に上る個人情報や機密情報が外部流出した恐れが判明しました。 原因としては、リモートアクセス周りのセキュリティ体制に不備があったと推測され、企業は認証情報のリセットや管理ポリシーの見直し、ネットワークと管理機器の強化、従業員教育の強化といった対策を講じ、8月1日時点でサービス復旧を完了しています。 初動では隔離と外部専門組織への調査委託が行われ、今後はさらに高度なセキュリティ体制構築を目指すとしています。 リモートアクセス機器という言葉が出てきましたが、具体的にはどのような装置や機能を指すのでしょうか? はい。リモートアクセス機器とは、社外や遠隔地から企業の内部ネットワークに接続するための機器やソフトウェアを指します。 一般的にはVPN装置やリモートデスクトップゲートウェイ、リモート管理用のアプライアンスなどが含まれ、外部から安全に内部資源へアクセスさせる役割を担います。 しかし、ファームウェアの未更新、規定の認証情報、古い暗号化方式、過度に広いアクセス権限設定などがあると脆弱点になり、攻撃者はそこを足掛かりに内部へ侵入します。 したがってこれら機器の適切な設定、定期的な更新、強固な認証方式の適用が不可欠です。 今回の侵入はどうやって検知されたのでしょうか。通常の監視で見つけられなかったのはなぜですか。 はい。記事からは当初サービスの異常停止やネットワークトラブルが発端となっていることがわかります。 多くの侵害ではまずパフォーマンス低下やサービス停止、ログの異常などの副次的な兆候で発覚します。 直接的な侵入検知が難しかった理由として、ログが十分に収集・保全されていなかったことや、侵入経路となったリモート機器の監視が不十分だった可能性が考えられます。 外部の専門機関による詳細なフォレンジック解析で侵入経路や影響範囲が明らかになることが多く、日常的な監視体制とログの一元管理、侵害検知ルールの整備が欠かせません。 リモートアクセスの脆弱性が原因とされていますが、どういった具体的な設定や運用ミスが典型的な原因になりますか? はい。典型的には初期設定のまま使われている管理者アカウントや簡単なパスワード、未適用のファームウェアやパッチ、不要なサービスの稼働、管理インターフェースをインターネットに直接公開していることなどが挙げられます。 また、二要素認証が未導入であることや、アクセス権限の肥大化、ログの保存、監視が不十分であることも問題です。 これらは個別の設定ミスだけでなく、組織の管理ポリシーや運用体制に起因するため、技術的対策と運用改善を同時に進める必要があります。 再発防止として企業が行った施策はありますが、根本的に効果のある対策は何でしょうか?導入の優先順位はどう考えればいいですか? はい。根本対策としてはまず、リスクの高いリモートアクセス経路の洗い出しと脆弱性の全数把握を行い、重要度に応じてパッチ適用とファームウェア更新を最優先にします。 次に、アクセス制御を強化し、管理者含むすべての認証に二要素認証を導入、アクセスできる端末やIPを限定することが重要です。 ネットワーク分離と最小権限の原則を適用し、侵害発見のためのログ収集、SIEM導入やエンドポイント検知の整備を並行して進めると効果的です。 これらの順序で実行すると、短期的なリスク低減と中長期の耐性強化を両立できます。 なるほど。今回はリモートアクセス機器の管理不備が新入の入り口になり得ること、初動としては迅速な隔離と外部調査の重要性、そしてパッチ適用や二要素認証、ネットワーク分離といった対策の優先順位を学びました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 リモートアクセス機器を経由したランサムウェア攻撃のお話だったわけなんですけども、 このランサムウェアがですね、リモートアクセス機器を狙う理由としてですね、 いくつか挙げられると思っていまして、 まずはですね、そのVPN機器だったりですね、こういったリモートアクセス機器に 侵入することができるとですね、 その先には社内ネットワークが接続されているわけですね。 つまりランサムウェアにとっても、いわゆる人質というかですね、 暗号化して接種するデータが大量に保存されている可能性があるということになります。 もう一つですね、実際に攻撃できてしまう背景としてはですね、 このリモートアクセス機器、あとはVPN機器のですね、脆弱性管理ですね、 これが後手に回ってしまう背景があるというふうに思っています。 いわゆる普段使うですね、パソコンだったり、目の前にあるデバイスに対してですね、 やっぱりVPN機器って、普段意識することって相対的に少ないと思うんですよね。 ですから、その脆弱性が放置されてしまったりですとか、パッチ適用がですね、 できてなかったりという状態が放置されてしまう可能性が高くなるということになります。 ですので、普段使わないですね、こういったVPN機器だったり、リモートアクセス機器に関しても、 脆弱性管理についてですね、しっかりと定期的に見直していただきますようお願いいたします。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう、何でも聞ける、セキュラジー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は、セキュラジーAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。それではまた次回のレギュラー配信でお会いしましょう。 セキュリティージョーキーの松野でした。See you!