ビジネスに悪影響を及ぼすサイバーセキュリティの7つの誤解（続編）

F5エコシステム | 2022年5月23日

2年前、私は、サイバーセキュリティにまつわる7つの誤解がビジネスリスクを生み、善意で取り組むセキュリティチームの注力先を誤らせることについて書きました。

当時、世界的なパンデミックが始まったばかりで、現実世界とデジタル世界の両方で私たちの生活は急速に変化し、その一部は恒久的なものとなりました。それ以来、世界は経済、政治、テクノロジーの各面で大きな衝撃に見舞われています。テクノロジーの進歩は、すでに目まぐるしい速さだったにもかかわらず、さらに加速しました。サイバー戦争を繰り広げる国家は、一般市民の家計にも直接打撃を与えています。2年も経てば、こうした通説もすっかり変わっているはずです。そう思いませんか？

いいえ、そうではありません。「変われば変わるほど、変わらないものがある」という言葉が示すとおりです。当初取り上げた7つの通説は、今なおどれも非常に重要です。そこで、人間の本質が変わらないことから生まれる、サイバーセキュリティに関する新たな7つの通説を紹介します。

誤解その1：偽のソーシャルメディアアカウントはごくわずかしかない。

多くの企業は自社にボットが存在することを認識しています。しかし実際には、ソーシャルメディア企業はどれほどのボットが存在するのかを把握していないことが多く、把握しようともしていません。

数年前、あるソーシャルネットワーキングサイトで概念実証を行ったところ、ログインの98%が自動化されたボットによるものだと判明しました。この企業は急成長を誇り、将来に期待を寄せていましたが、実際の登録者数は想定の10分の1にすぎないことが分かりました。

この情報を把握することの重要性は、Twitterの買収をめぐる公の議論で如実に示されています。同社の価値は、ユーザー数に大きく左右されます。スパムボットと偽アカウントの割合が5%未満であることを証明するようElon Musk氏が同社に求めたのは、投資家、広告主、提携を検討する企業、さらにはユーザーにとっても妥当な要求です。

Twitterのボットの割合は、50%かそれ以上に近いと予測しています。（注：その後の調査に基づき、より最近の「ブログ記事」でこの推定値を修正しました。）企業には、ユーザーが人間であることを検証し、ボットトラフィックを効果的に管理・軽減することが求められるべきです。

端的に言えば、悪意のあるボットの活動が成功していることは、セキュリティ上の不備を示しています。ボット対策は、これらのサイトを流れる情報の完全性を確保するだけでなく、企業が重要なビジネス上の意思決定を行い、その取引先が当該企業との取引について判断するための正確なデータを確保するうえでも不可欠です。

誤解2：ボット対策は社内で自作できるプロジェクトである

潤沢な予算と優秀な技術スタッフを擁する企業が、何年にもわたってボットと戦い続けている例を見てきました。しかし、こうした組織のボットトラフィックを分析しても、防御を突破するために進化した高度なボットが見つかるだろうという予想に反し、実際にはそうではありません。

企業は、IPアドレス、地域、自律システムをブロックすることでボットに対抗してきましたが、悪意のあるボットトラフィックは進化し、今や数十万、さらには数百万ものIPアドレスから攻撃が仕掛けられています。ネットワーク層の防御だけでは限界があります。

私が常に強調しているのは、クライアント側のシグナルが何よりも重要だということです。行動バイオメトリクスを活用し、ブラウザとデバイスを詳しく調べる必要があります。これらすべてのシグナルを総合的に分析することで、ボットだけでなく、悪意のある人間も特定できます。

企業は、人材を採用すればこの状況を打開できるとも考えています。しかし、これほど大規模な問題を解決できるだけのIT人材を確保することは不可能です。自動化に本当に対抗する唯一の方法は、自動化を活用することです。

誤解その3：常に、今後現れる正体不明の新たな脅威に注目すべきである。

セキュリティ業界、テクノロジー系メディア、企業の広報担当者は、絶えず新たな手法を生み出し、常に先手を取る脅威アクターに対して、共通の懸念を抱いています。しかし、多くの点で攻撃の本質は変わっておらず、これまでに加えられたのはわずかな調整にすぎません。

現在確認されているボットの大半は、5年前と同程度の高度さにとどまっています。異なるのは、その発信元だけです。2要素認証やCAPTCHA、またはその両方が導入されていても、クレデンシャルスタッフィングは依然として有効です。従来の攻撃ベクトルが成功し続ける限り、攻撃者が新たな攻撃ベクトルを生み出すことはありません。新しい防御策を回避する方法を見つけさえすればよいからです。

企業は新たな脅威を考慮し、それに備える必要があります。しかし、業界全体として、昨年から続く脅威への対策も継続しなければなりません。

誤解その4：複数のクラウドの管理は、確保困難な人材を必要とする難題である。

複数のクラウドを利用する環境は、今やほとんどの企業にとって現実のものとなっています。企業買収、パートナーとの統合、あるいは各クラウドの優れた機能の活用など、その理由を問わず、マルチクラウドは今後も定着していくでしょう。

しかし、複数のクラウドを利用しているか企業に尋ねると、「残念ながら、そうです」といった答えが繰り返し返ってきます。複数のクラウドを利用する企業の中には、やむを得ずそうしているだけで、それぞれの長所を最大限に活かす機会を捉えられていないところもあります。

現在では、複数のクラウドにまたがるIT資産の管理とセキュリティ確保に、多大な労力をかける必要はありません。クラウドベンダーは相互運用性を戦略に組み込んでおり、ほかにも多くのプロバイダーが、統合の負担を軽減し、複数のクラウドにまたがる機能を抽象化して、シンプルで統一されたインターフェースから提供できるよう設計されたソリューションを提供しています。

誤解その5：企業のアーキテクチャとデバイスを保護するだけで十分である

セキュリティチームは、企業のインフラストラクチャ、サーバー、コンピューター、デスクトップなど、組織内のあらゆるものに注力しています。一方で、組織の全従業員のホームネットワークには、ほとんど目を向けていません。

攻撃者は、合併・買収に関する情報やその他の戦略的情報にアクセスするためにCEOを標的にする可能性があります。しかし、そうした情報を収益化するのは、買掛金担当者やIT管理者を標的にするほど容易ではありません。在宅勤務がかつてないほど一般化する中、ホームネットワークは悪意ある攻撃者にとって新たな抜け穴となりつつあります。

誤解その6：従業員は信頼できる

周囲の人を善意に解釈するのは人間の本性であり、それだけで内部脅威は非常に有利になります。しかし実際には、50人、100人と従業員を雇えば、1人や2人の問題人物が紛れ込む現実的なリスクは避けられません。

不満を抱く従業員がGlassdoorに悪いレビューを投稿するだけで済むとは限りません。機密ファイルをUSBメモリに保存し、そのまま持ち出す可能性があります。さらに、システムに悪意のあるソフトウェアを残していくのではないかという懸念も高まっています。

私は以前から、多くのランサムウェア攻撃にも内部関係者が関与している可能性が高いと考えています。IT管理者なら、ダークウェブ上に架空の人物を作り、その人物にシステムへのアクセス権を与えてマルウェアをインストールさせ、身代金を要求したうえで、会社に身代金を支払うよう働きかけることも容易です。現時点では、この見方を裏付ける証拠を確認していない点には留意が必要ですが、そうする動機は確かに存在します。

誤解その7：最大のサイバー脅威は、インフラを標的とする国家主体からもたらされる。

1年前にColonial Pipelineが攻撃を受けた際、ガソリンスタンドに長蛇の列ができ、米国東海岸の消費者に不便が生じたことは、国際的な大ニュースとなりました。

しかし、毎年オンライン詐欺の被害に遭う何百万人もの米国人については、ほとんど、あるいはまったく語られていません。その多くは高齢者で、退職後の蓄えを頼りに暮らしています。これは社会的セーフティネットに対する極めて深刻な脅威であり、ガソリンを買うために列に並び、より高い代金を支払うことよりもはるかに大きな打撃を、本人やその家族に与えかねません。

私は法執行機関で長年にわたりサイバー犯罪の捜査に携わってきましたが、思うような成果が得られないことも少なくありませんでした。だからこそ、この問題には強い思いがあります。インフラへの攻撃は重大かつ現実的な問題です。しかし、被害者の話に耳を傾ければ、広く蔓延するサイバー詐欺に、今以上の関心を向けるべきであることは明らかです。

ボットの管理と防御、脅威の特定と緩和、組織内でのゼロトラストの導入について詳しく知りたい方に、参考資料をいくつかご紹介します。

_____

F5グローバルインテリジェンス責任者、Dan Woods

注目のブログ記事

F5、NVIDIA Cloud Partnerリファレンスアーキテクチャで大規模なAI推論を高速化・保護

妥協のないAIモデルとエージェントのセキュリティ：F5によるCalypsoAIの買収で実現する、エンドツーエンドのAIランタイム保護

量子時代への備え：F5でPQCを有効化するための実践ガイド

タグ： 2022