攻撃を阻止し、その知見を次へ：F5のセキュリティインシデント対応を無償で提供

ほとんどの攻撃者は、特定の組織を狙っているわけではありません。少なくとも、最初から狙っているわけではありません。通常はまず極めて広範囲に攻撃を仕掛け、悪用しようとしている特定の脆弱性が見つかった組織を標的にします。金融機関、大手小売企業、政府機関など、特に価値の高い標的でない限り、狙われた理由は組織そのものではありません。おそらく、攻撃者が探していた脆弱性がたまたま存在していたのでしょう。もっとも、攻撃を受けている最中には、そう聞いてもあまり安心できないかもしれません。

視野を広げてみると、攻撃者が探しているものは概して共通しているため、理論上、知識の共有は非常に有益です。しかし実際には、ほとんどの組織に、a）業界で過去に発生したセキュリティインシデントから得られた教訓を取り入れる仕組み、またはb）他の組織が同じ過ちを避けられるよう、自らの経験を匿名で共有する仕組みがないため、通常はうまく機能しません。その結果、実環境で新たな（または既知の）脆弱性を悪用している現在進行中の攻撃キャンペーンに関する情報が、本来届くべき範囲まで行き渡らず、同じ根本的な脆弱性やエクスプロイトに起因する侵害のニュースが後を絶ちません。たとえば2017年、問題があると広く指摘されていたEOLまたはサポート対象外のソフトウェアを使用していたWannaCryの被害者は、どれほどいたでしょうか。答えは、非常に多く.

公平を期すなら、こうした状況の多くは無理もないことです。攻撃を受け、侵害された可能性もある中で、緊急インシデント対応の重圧にさらされているセキュリティ担当者にとって、より広範なコミュニティへの情報提供を真っ先に考える余裕はありません。同時に、事実関係が明らかになるまでインシデントに関する情報を封じ込めようとする法務部門から、厳しい監視も受けています。耐え難いほどのストレスにさらされておらず、なお十分な利他的精神が残っているとしても、周囲の業界に役立つために、いったい何ができるでしょうか。発見したファイルをVirusTotalで共有することは選択肢の1つですが、そこにファイルを残す以上のことはほとんどできないまま、組織（そして、より切実には自分の職）を守るという、さらに緊急性の高い任務に戻ることになるでしょう。理想を言えば、危機対応を迅速に支援できる、熟練した応援チームが待機していることが望まれます。情報を分析して即時の緩和策を提示し、その後、将来の攻撃を防ぐために、自社と他のインターネット利用者がネットワークをより適切に備えられるよう支援する専門家チームです。

本来の業務へ

そこでF5の出番です。F5のお客さまは、サポート契約に付帯する緊急インシデント対応支援を無償（そう、無料です）で利用できます。これにより、最も重要な局面で必要な支援を受けられるだけでなく、複数の組織の経験を分析、集約、抽象化し、より広範なコミュニティーに役立てる道も開かれます。差し迫った脅威に直面した場合は、F5テクニカルサポートに電話し、セキュリティイベントが発生していることを伝えるだけで、F5 Security Incident Response Team（SIRT）に直接つながります。このグローバルチームは、インシデント対応の豊富な経験を持つセキュリティエンジニアで構成され、12を超える言語に対応し、24時間365日体制で支援します。今後の事態により適切に備えられるよう、関連する幅広いセキュリティ課題についても改めて検討しますが、F5 SIRTの主な目標は、まず被害の拡大を食い止め、お客さまのビジネスに適した長期的な緩和策を策定するための時間を確保することです。

F5 SIRTのグローバル担当者は、お客さまの環境に導入されているF5製品やサービスで実現できる幅広い緩和策も活用できます。たとえば、Advanced WAF（Proactive Bot Defense、CAPTCHAなどを含む）、AFM、IP Intelligence（IPI）、GeoIP、各種ブルートフォース攻撃対策などです。また、必要に応じてF5 Silverlineチームと連携したり、クラウドベースのDDoSまたはWAF保護の追加を推奨したりすることもできます。該当する場合、これらをはじめとするソリューションはF5 Salesを通じてご利用いただけます。

SIRTチームは、F5のプログラマブルなiRulesに特に精通しています。iRulesを迅速に開発、導入することで、トラフィックフローを変更できます。どの程度迅速なのでしょうか。問題の複雑さにもよりますが、カスタマイズ可能なiRulesは数分以内に準備でき、お客さまは数時間以内に導入できます（もちろん、適切な緊急変更管理手順に従う必要があります）。

簡単な例を見てみましょう。あるF5のお客さまは、F5デバイスの配下にあるRDPサーバーに対するブルートフォース攻撃を受けていました。これらのサーバーはインターネットに公開されており、業務上アクセス可能にしておく必要がありましたが、アクセス元は特定のネットワーク範囲に限定する必要がありました。攻撃を緩和するため、F5 SIRTと連携してiRuleを開発しました。このiRuleでは、データグループを使用してクライアントIPを「既知で信頼できる」外部ネットワークのリストと照合し、該当するネットワーク以外からのトラフィックを破棄します。これにより攻撃を効果的に緩和し、お客さまのセキュリティ態勢を強化できました。さらに、お客さまがGUIで特定のデータグループを設定し、信頼できるネットワークのリストにネットワークを追加または削除できるため、今後の同様の攻撃にも備えられます。

コミュニティに戻る

インシデント調査の過程で、これまで実環境で確認されていない、または十分に解明されていない新たなエクスプロイト、攻撃キャンペーン、マルウェア、脆弱性などの重要な情報が判明した場合、F5 SIRTは社内の各チームのネットワークを活用し、さらなる知見を得ることができます。このアプローチでは、F5の脅威リサーチャー、セキュリティ製品開発者、その他の専門家の知識を効果的に結集して調査結果を分析し、今後の修復対応を強化します。業界全体に役立つ情報として公開することが適切な場合でも、特定のお客さまや個別のインシデントに関する詳細は一切公表しません。公開する情報は、PyCryptoMinerの事例と同様に、特定の脅威の発見と挙動、および必要に応じた一般的なガイダンスに限定されます。

F5の専門家チームがいつでも支援できる体制を整えており、攻撃を受けた際にも、必要な支援を得るまでに煩雑な手続きや大量の書類作業に阻まれることはありません。そのため、インフラストラクチャをより適切に保護、管理できます。さらに、こうした貴重な知見を共有する取り組みにより、他のお客さまが同じ被害に遭うのを防ぐとともに、長期的にはお客さまの組織の安全性向上にもつながります。

では、F5にはどのようなメリットがあるのでしょうか。もちろんF5は、企業が事業を継続し、安全かつ順調にビジネスを展開できることを望んでいます。お客さまの成功がF5の成功につながるからです。さらに、セキュリティイベントの影響は標的となった組織だけにとどまらず、その顧客やパートナー、場合によってはさらに広い範囲へ波及することも認識しています。（一例として、ユーザーは複数のサイトで同一または類似のパスワードを使用することが多く、セキュリティインシデントの影響範囲が大幅に拡大します。たとえば、SonyとYahooのユーザーが両方のアカウントで同じパスワードを使用していた割合は59%だったことが判明しています。）誇張を避けて言えば、この波及効果はインターネット上でビジネスを行うすべての人に影響を及ぼす可能性があります。（もう1つ補足すると、調査によれば、現在、オンラインユーザー1人当たり平均3件のレコードが侵害されています。）

私たち、つまり業界全体が、関連する攻撃の詳細や重要な知見を共有する機会を設けることで、システムを脆弱にしている根本的な問題に、より適切に対処できるようになります。F5 SIRTは、お客さまが自社のセキュリティ態勢を改善しながら、より広範な利益にも効果的に貢献できる環境を整えることから始めます。

詳細情報の確認およびF5 Security Incident Response Team（SIRT）へのお問い合わせは、同チームのWebページをご覧ください。