悪意ある攻撃者によるモバイルアプリへの攻撃を阻止

F5エコシステム | 2023年8月23日

モバイルユーザーがスマートフォンで買い物や銀行取引、健康状態の確認などを行うなか、モバイルマルウェアをはじめとする悪意のある活動による被害が後を絶ちません。攻撃の被害に遭わないためにはエンドユーザーにも果たすべき役割がありますが、モバイル環境の安全を確保する最終的な責任は、製品チーム、運用チーム、プライバシーおよびセキュリティチームなどのアプリプロバイダーにあります。また、これらのモバイルアプリを通じてやり取りされる機密データを、不正な第三者の目に触れないよう保護する必要があります。

モバイルのリスクは少し異なる

組織がクラウド、ネットワーク、Webアプリケーションの保護への投資を拡大する一方で、多くの組織では依然として、モバイルアプリケーションを、会社所有かBYODかを問わず、デスクトップやノートPCなどの従来型エンドポイントと同じように扱っています。

しかし、モバイル環境には固有の課題があり、こうしたシステムが侵害される可能性があります。たとえば、攻撃者はデバイスへの侵入、データの窃取、特権アクセスの取得、アプリケーションの不正使用を目的として、次のような手法を用いることがよくあります。

モバイルアプリの再パッケージ化
マルウェアの注入
フッキングフレームワークの乗っ取り
オーバーレイ攻撃の実行

悪意のある攻撃者がモバイルアプリを制御すると、そのモバイル側のアプリケーションを足掛かりに、自動化された攻撃によってサーバー側のアプリケーションへの攻撃を開始する可能性があります。これにより、クレデンシャルスタッフィング、アカウント乗っ取り、スクレイピングなど、さまざまな悪性ボット攻撃を実行できます。

あらゆるセキュリティプログラムの主な目標は、環境が侵害されないよう保護することです。しかし、この最終目標に向けた取り組みは、多くの場合、まず次のようなコンプライアンス基準を満たす必要性によって推進されます。

プライバシー：GDPR、CCPA
決済：EMVCo SBMP、PCI-DSS、PSD2
医療記録：HIPAA

こうした現状を踏まえ、Google CloudとF5のエキスパートが共同でウェビナーを開催しました。このウェビナーでは、これらの課題について議論するとともに、クラウドエンジニア、アプリ開発者、運用チーム、セキュリティ担当者が連携し、DevSecOpsプログラム全体でモバイルアプリのセキュリティを適切に管理するための道筋を示します。

全体像を捉えるうえでは、今日のモダンで適応性の高いモバイルアプリの要件に対応し、ユーザー体験に影響を与えることなく、エンドユーザーにセキュリティとプライバシーをシームレスに提供できる適切なインフラストラクチャを選ぶことが重要です。同様に、CI/CDパイプラインのデリバリープロセスを中断や遅延から保護することも重要です。

異なる視点が重要

ウェビナーでは、ActualTech MediaのモデレーターであるJess Steinbach氏が、Google CloudのStrategic Technology Partner ManagerであるJoshua Haslett氏と、F5のCybersecurity EvangelistであるPeter Zavlaris氏に、いくつかのシナリオを提示しました。

ビジネスリーダーシップ

組織が1つ以上の規制や標準に準拠していても、モバイルアプリに伴うリスクや法的影響がなくなるわけではありません。同様に、モバイルのリスクプロファイルは従来のWebアプリとは異なる観点で捉える必要がありますが、より広範なリスクの全体像に組み込むことも重要です。

パネルディスカッションでは、モバイルアプリが悪意のある攻撃者に乗っ取られる可能性がある場合に、ビジネスリーダーが率先して事業リスクの変化を特定し、算定する方法についても議論しました。

ITおよびセキュリティ運用

ITチームとセキュリティチームが連携することで、モバイルアプリのセキュリティを開発・デリバリーライフサイクルに適切に統合するために必要となるインフラストラクチャの変更に、より的確に備えることができます。

もちろん、その目標は、ツール、デリバリー、チーム構成、運用に大きな影響を与えることなく実現することです。パネルディスカッションでは、ローコード技術を活用してモバイルアプリのセキュリティを導入・設定する方法と、過去のペネトレーションテストや監査の結果を、モバイルアプリを組み込んだ、より堅牢なAppSecプログラムの戦略策定、計画、コミュニケーションに役立てる方法について議論しました。

エンジニアリングおよび開発者オペレーション

このグループが、開発中のモバイルアプリがどのように侵害される可能性があるかをより深く理解できるよう、パネルではアプリのリパッケージ化攻撃とフッキング攻撃の仕組みを解説しました。また、こうした脅威からアプリをより効果的に保護するために、エンジニアリングチームと運用チームがどのように連携できるかについて、現場の知見を共有しました。

明るい話題として、パネルディスカッションでは、モバイルアプリのセキュリティリスクを明確に把握し、対処計画を立てることで、エンジニアリングチームがCI/CDパイプラインに潜むメリットを引き出す方法も紹介されました。セキュリティは、リスクの軽減にとどまらない効果をもたらす場合があります。このケースでは、プロセスと成果の向上にもつながります。

実例が示す、行動を起こすことの価値

また、モバイルをより広範なCI/CDおよびDevSecOpsプロセスに組み込む必要性を示すため、実際の事例についても議論しました。

コンプライアンスの維持：チームは、モバイルアプリの提供と保守にほとんど、またはまったく影響を与えることなく、GDPRやHIPAAなどの規制要件に対応できます。
業務の効率化：IT運用チームは、チームの疲弊を招くことなく、チーム内および経営幹部とのコミュニケーションに関するベストプラクティスを活用し、増加するモバイル脅威により適切に対処できます。
アプリ内脅威防御：DevOpsチームは、AppSec態勢を継続的に監視・評価し、実行時のアプリを標的とする脅威から効果的に防御できます。また、SecOpsチームと重要な情報を共有することで、可能な限り最善の対応を実現できます。