ランサムウェアを恐れぬために
◆目次
- 死活インフラへのランサムウェア攻撃
- レガシーハードウェアとシステムを利用するリスク
- 多要素認証の重要性
- セキュリティ対策の管理運用の難しさ
- 事前に攻撃の対処法を知っておこう
- 致命傷にならぬよう備えること
2021年の米国でのサイバー攻撃は重要インフラでさえもその標的となり、壊滅的被害を受けてしまうことを露呈しました。
今回はその事例をご紹介します。
死活インフラへのランサムウェア攻撃
米国におけるインフラ攻撃の最大事例は、コロニアルパイプライン事件。
米国最大級の石油パイプライン企業として知られ、IFM Investorsが所有。「コロニアルパイプライン」の全長は約8850キロ、これは青森市と鹿児島市の間を高速道路で2往復してもさらに余る距離です。
2021年5月、攻撃者は不正に取得したパスワードを利用して約100GBのデータを盗み出し、コロニアルパイプラインのITネットワークにウイルスを感染させました。パイプライン停止によりガソリンからディーゼル、ジェットと言った燃料の輸送が止まり、テキサス州からニューヨーク州に至る数百万の企業や消費者、旅行者が影響を被ったことで世間を騒がせました。
この事件は米国に大きな衝撃を与え、このような国家安全保障上の脅威が二度と起こらぬよう矢継ぎ早に政策が打ち出されました。国土安全保障省（DHS）はパイプラインを対象とした初のサイバーセキュリティ規制を発表、米国の政府機関ではソフトウェアの部品表（SBOM）を掲示することが義務づけられました。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はゼロトラストのガイドラインを強化、フレームワーク改善に動きました。
レガシーハードウェアとシステムを利用するリスク
古く陳腐化したハードウェアとソフトウェアを使い続ける組織は既知の脆弱性にさらされランサムウェア攻撃のターゲットとして狙われています。この事実を知りながらも、多くの組織は脆弱性に対応したパッチの適用や従来のツールのアップデートをしていません。その結果としてランサムウェア等による標的型攻撃は増え続けているのが現状です。
「Spotlight Report 2023 RANSOMWARE」のレポートでは、2022年のランサムウェア攻撃の76％が2010年から2019年に公表された既知の脆弱性に関連していました。つまり古いタイプの攻撃を防ぐことができていないことが判明しています。
攻撃者は手口をたえず巧妙にすり替えるため、システムのアップデートは一度では不十分です。
定期的にアップデートを実施する必要があり、全てのIT環境もまた定期的に分析すべきことは論を俟ちません。
多要素認証の重要性
多要素認証（MFA）は攻撃を防ぐ有効な手立ての一つ。事件当時にもし多要素認証システムを導入していれば、攻撃の発端となったVPNパスワードの漏えいによるランサムウェア攻撃を防ぐことができたかもしれません。
セキュリティ対策の管理運用の難しさ
システムを破壊するより人を攻撃する方が簡単です。ランサムウェア攻撃では人的要素が主な要因であり、フィッシングによる詐取や作業ミスから生じる人為的な行為を発端として被害に遭うことがほとんどです。
ヒューマンエラーによるリスクを軽減するにはユーザートレーニングを定期的に実施することも大事ですが、一つのミスでシステムがダウンすることがないよう人間の失敗にも対処できるソフトウェア構築活用が急務です。
事前に攻撃の対処法を知っておこう
攻撃者は金銭要求を目的に企業を標的にします。
ところが重要インフラに関連する機関・組織を標的にした場合、安全保障上のリスクも加わり、攻撃されたときに何をすべきか、いつすべきかを従業員が理解できるように企業は徹底した対応策をあらかじめ講じておく義務があります。
事業継続と災害復旧の要素を含む強固なインシデント対応計画を導入、万全を期してデータ復旧方法も組み込む。いざというときのため情報漏えいやサイバー攻撃を世間に公表開示するタイミングも考慮しておく。不必要なパニックを引き起こしたり情報の安全性を損なったりすることなく適切に開示すべきです。ステークホルダーである一般市民とどのようにコミュニケーションをとるのかを含め、企業は綿密に計画を策定しなければなりません。
致命傷にならぬよう備えること
重要インフラに関連する機関組織は、自社や顧客のデータが流出しないようにセキュリティ体制を継続的に評価する義務が生じてきました。アップデートを定期的に確認、NISTやCISAが推奨するフレームワークのベストプラクティスを継続順守しながら脆弱性評価を実施していくことが今後は求められます。
十分なセキュリティチェック体制が存在せず、致命的なサイバー攻撃を受ける危険性が高い組織はまだまだ残っているのが現状です。
お問い合わせはこちら
費用やスケジュール・サービス詳細に関するご不明点や疑問点などもお気軽にお問合せください。原則翌営業日までにご回答しておりますが、内容によりお時間がかかる場合も…
PlatSupplyConsulting 