# オープニング #涼しい格好の工夫 どうもー セキュリティジョッキーの松野です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。ということでね、今日は涼しい格好の工夫に関する話なんですけども 残暑、厳しい残暑、みたいな涼しいギャグから始めさせていただきましたが、この時期になるとですね、どうしても 軽装でですね、できるだけ暑さをしのごうということはあるわけなんですけども 私セキュリティジョッキー松野の マッチョ界隈でございますので、露出の多い服はですね 望むところだということでですね、ノースリーブですとか 調子良い時はですね、タンクトップなどをですね 着ていることが多くございます。下は短パンとかもですね、あったりするんですけれども すごく当たり前のことを言いまして オフィスではやめようか、ですね。定食なしではございますが、最近ですね お客様のオフィスに出社することもありまして その際にですね、タンクトップとは言いません。ノースリーブを着させていただくことがありまして やっぱりですね、オフィスはエアコンが効いてますので、そこまでではないんですけども 歩いていく道中ですね 非常に暑さが厳しくございますので、そういった傾向で伺った結果ですね オフィスではやめとこう、という感じで言われました。皆さんもですね TPOにはですね、しっかり気をつけていただきつつですね 暑い日が続いております。しっかり水分をとりつつですね 熱中症対策は十分気をつけていただければと思います ということで、今回は レンタルサーバーにおいて発生した不正アクセスのインシデントについて取り上げております この放送を通じてリスナーの皆さんは、サイバー攻撃を受けた際の企業の初動対応の重要性や 二次被害を防ぐためのシステム停止といった決断の背景について 理解を深めていただければと思います。それではどうぞ # NTTスマートコネクト「スマイルサーバ」に不正アクセス、9 月中旬頃の復旧環境の提供開始を目標に準備 NTTスマートコネクトスマイルサーバーに不正アクセス 9月中旬頃の復旧環境の提供開始を目標に準備 NTTスマートコネクト株式会社は8月19日 同社が提供するレンタルサーバーサービススマイルサーバーへの不正アクセスについて発表した こちらの記事を簡単に解説お願いできますでしょうか はい今回のニュースはあるクラウドサービス提供会社が運営するレンタルサーバーの 一部設備に対して7月24日に第三者からの不正アクセスが確認されたというものです この会社は被害の拡大を防ぐための初動対応として同日の午後1時に該当する 設備上のすべてのサービス提供を停止する措置を取りました 現在外部の専門機関によるフォレンジック調査が進められており 8月末の完了を見込んでいます また顧客のデータについては二次的な被害を防ぐために現時点では提供を控えており 代替サーバーの提供を7月27日から開始しています 今後の再発防止策については調査結果をしっかりと踏まえた上で策定される予定です 記事の中にフォレンジック調査とありましたがこれは具体的にどのような調査を行うのでしょうか はいフォレンジック調査とはコンピューターやネットワーク上で発生したサイバー犯罪や インシデントの際に電子的な証拠を収集し分析するための専門的な調査手法のことです 今回のような不正アクセスが起きた場合 攻撃者がどこから侵入したのかどのようなデータを盗み見たのか または改ざんしたのかといった痕跡をログデータやシステムの記憶領域から細かく探し 出します これによりインシデントの前容や根本的な原因を正確に把握することができます 非常に高度な専門知識が求められるため今回のように外部の専門機関に依頼することが一般的と なっています 不正アクセスを確認した後すぐにサービスをすべて停止したようですがこれはなぜですか はい それは被害の拡大を最小限に食い止めるための非常に重要で適切な初動対応です サイバー攻撃を受けた際システムを動かしたままにしておくと攻撃者がさらに ネットワークの深部へ侵入したり他の攻撃データにアクセスしたりする危険性が高まります サービスを停止することでまずは攻撃者の通信を強制的に遮断し状況をコントロール可能な状態 に置くことができます 利用している顧客にとってはサービスが使えなくなるという大きな影響が出ますがこれ以上の 深刻な情報漏洩やシステムの破壊を防ぐためには躊躇せずにサービスを切り離すという苦渋の 決断が必要になります 顧客のデータを提供できないとありましたがこれはどのようなリスクを警戒しているのでしょうか はいそれは顧客の環境で二次的な被害が発生することを強く警戒しているためです 不正アクセスを受けたサーバー内に保存されているデータは攻撃者によってマルウェア つまり悪意のあるプログラムを仕込まれている可能性があります もし十分な安全確認が終わっていない状態でそのデータを顧客に返却し 顧客がそれを自社の環境で開いてしまった場合顧客のパソコンや社内ネットマークにまでウイルスが 感染してしまう恐れがあります そのため専門機関の調査が完了しデータが間違いなく安全であると証明されるまではあえて 提供を止めているというわけです 原因調査が終わった後再発防止策はどのようなプロセスで決められていくのでしょうか はい再発防止策はフォレンジック調査によって明らかになった根本的な原因に基づいて非常に 論理的に策定されます 例えばシステムの税作成が疲れたのであればセキュリティパッチの適用やシステムの 回収が行われましパスワードの管理が甘かったのであれば 多要素認証の導入などが検討されます また技術的な対策だけでなく異常を検知してから対応するまでの社内体制や監視ルールの 見直しといった運用面での改善も重要になります 原因を一つ一つ潰し同じ手口での攻撃を二度と許さないような多角的な対策を 練ることが求められます 顧客のインシデントから私たち利用者はどのような教訓を学ぶことができますでしょうか はい最も重要な教訓はどれだけ信頼できるサービスを利用していても サイバー攻撃の被害に遭うリスクはゼロではないという全体に立つことです 今回のようにサービス提供側が3000のためにシステムを停止したり データをすぐに返却できなかったりする事態は十分に起こり得ます したがって利用者側としても重要なデータは必ず手元や別のクラウドサービスにも バックアップをとっておくという自己防衛が欠かせません いざという時に自分たちの業務をどのように継続させるかという事業計画計画を日頃から 考えておくことが大切になります なるほどすべてをクラウドサービスに任せきりにするのではなく 利用者側でもデータのバックアップをしっかりとったり 万が一のシステム停止に備えて業務を継続するための計画を立てておくことが本当に 大切なのですね 日頃からの自己防衛の意識を高めるいい機会になりました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、レンタルサーバーにおいて発生した不正アクセスのインシデントということでした。 対策としてですね、システムの停止を行ったということなんですけれども、 目的としてはですね、それ以上被害が広がらないようにということです。 レンタルサーバーですと多ければですね、数百万のユーザーが使っていることも考えられますし、 その上ではですね、場合によっては数千万のシステムが動いている可能性もありますので、 この判断に至るまではですね、様々な議論と検討がなされたんじゃないかというふうに思っています。 僕自身もですね、お客様のシステムでインシデントが発生していないかというですね、 セキュリティ監視をですね、僕自身アナリストとして実際にやらさせていただいているわけなんですけれども、 その際にですね、アラートが上がると、それが本当にインシデントかどうかというものをですね、 正確にかつ高速にですね、判断することが求められます。 当然ですね、インシデントにつながらないようにということで、 被害を広げないためにですね、即時遮断するというのはある意味簡単なんですよね。 ただそれができない理由というのが、当然そのシステムを使っている人、 仮にそのEDRであってもですね、その一つの端末を使っている方がいらっしゃるわけです。 その方がですね、例えば重要な開発をしていたりですとか、 その端末がですね、重要なシステムにつながっていたりですとか、 そういったことが当然あり得るということもありますし、多かれ少なかれですね、業務の影響というのは 必ずゼロではないということがあります。 そうするとですね、その正確にかつ高速にということ、この両立が求められるわけなんですけれども、 一般的にはですね、その30分以内に必要であれば封じ込めを行うようにということが セキュリティ業界で言われています。 ですからその30分以内にですね、そのアラートを分析しなければいけないわけなんですけれども、 簡単なものからですね、難しいものまで様々あります。 ただ、インシデントであった場合ですね、攻撃者は待ってくれないわけですね。 この狭間でしっかりと最後、責任を持って判断するのはAIではなく人間であると、このように思っております。 今日の10分セキュリティラジオは月曜からとように、祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!