リスクを継続的に可視化・評価し軽減する
最新サイバーリスクマネジメントの方法論

　近年、サイバー攻撃者の間で「DXで拡大した攻撃対象領域を悪用する」という動きが広がっている。デジタルツールの活用が広がる中で、管理が行き届かない部分が増加。その隙を突く攻撃が増えているのだ。特定企業を狙った標的型ランサムウエア攻撃や、ゼロデイ脆弱性を悪用した検出が難しい攻撃は、その一例である。

　「サイバーリスクを抑制するには、攻撃対象領域の把握からリスクの評価、リスク軽減に向けた対策まで、リスクマネジメントをライフサイクルで考えることが欠かせません」とトレンドマイクロの釜池 聡太氏は指摘する。

　このリスクマネジメントのライフサイクルをカバーし、トータルな対策実施を支援するために、同社が用意しているのが統合サイバーセキュリティープラットフォーム「Trend Micro One」である（図1）。同社が保有する多彩な製品・サービス、蓄積したナレッジなどを、企業・組織のサイバーリスク対策向けに体系化して提供する。 　中核を担うのが全体のオペレーションを担う「Trend Micro Vision One」（以下、Vision One）だ。このVision Oneで、エンドポイント、メール、クラウド、ネットワーク、IoTなどの各種セキュリティ製品―から収集したテレメトリ情報を相関分析し、サイバー攻撃の全体像と対処が必要な攻撃対象領域を可視化する。「他社製ツールも含めたソリューションの連携によって、XDR（セキュリティーレイヤーを横断する検知と対応）や組織内の脆弱性の検出・把握、リスク低減に向けた多彩な機能を提供します」と釜池氏は言う。

　具体的なリスクマネジメントの方法を見ていこう。まずリスクマネジメントのライフサイクルは、①攻撃対象領域の把握、②リスクの評価、③リスクの軽減の3つのステップで構成されている。これらを繰り返すことで、リスクマネジメントを高度化することが可能になる。

　①攻撃対象領域の把握では、「デジタル資産」と「攻撃ベクトル」の掛け算でリスクを可視化する。デジタル資産とはユーザーアカウント、エンドポイントデバイス、ドメイン、クラウドサービスやアプリケーションなどを指す。攻撃ベクトルはアカウントの侵害、ぜい弱なパスワード、ランサムウエア、誤設定といった攻撃の経路・手法などを指しているという。

　「当社のエンドポイント対策製品やメールセキュリティー製品、IPS／IDS製品をセンサーとして活用し、利用状況のデータを収集します。また、アクセス管理ツールなどのサードパーティ製品を利用し、センサーの数を増やせば可視化の精度を一層高められます」と釜池氏。結果はナレッジグラフという独自の概念を活用して分かりやすくビジュアル化することが可能だ。

　②リスクの評価では、把握した攻撃対象領域にどの程度のリスクがあるのかを、重大さ、脆弱性の状況、セキュリティー対策の設定、攻撃の種類などを基に評価する。

　潜在的なビジネスインパクトの指標になるのが「リスク指数」だ。Vision Oneでは、複雑なアルゴリズムを組み合わせてリスク指数を算出し、ユーザーに提示する。「企業・組織のIT環境全体の可視性のレベルが高いほど、より多くのデータを基にリスク指数を算出できるようになります」と釜池氏は述べる。

　Vision Oneのエグゼクティブダッシュボードでは、企業・組織全体のリスク指数をグラフとともに確認できる。継続的な評価に基づき、リスクの推移や平均値から総合評価を示すことで、迅速な経営判断に役立てられるようにするという（図2）。 　「ランサムウエア、マルウエアなどの攻撃の種類や、システムレイヤーごとの攻撃と対処状況、セキュリティー製品・サービスの適用状況など、様々な観点から攻撃対象領域のリスクを評価できます。また、画面をクリックするだけで、デバイス別の脆弱性数や設定不備があるデバイスなど、より詳しい情報を表示することも可能です」と釜池氏は紹介する。

　そして③リスクの軽減では、必要な対策を優先順位付けした上で実行する。これについてVision Oneでは、企業・組織の対応の質を高めるためのガイダンスも用意している。ステップ①②で可視化した攻撃対象領域に対し、トレンドマイクロのセキュリティーエキスパートが優先順位付けしたリスク軽減策を提示。同時に、推奨アクションを簡単な操作で実行できる「セキュリティプレイブック」の機能を提供するという。

　セキュリティプレイブックとは、対応を自動化する作業手順書のようなものだ。例えば今年発覚したLinuxサーバーのOSSであるSambaの脆弱性を検出・評価したい場合、一般的には脆弱性アセスメント用スクリプトのアップロード、ホスト名／IPアドレスで対象サーバーを検索、スクリプトの実行、アセスメント結果のダウンロード……といった手順をサーバーごとに繰り返し行う必要がある。

　「セキュリティプレイブックがあれば、事前に作業手順を設定し、クリックするだけでスクリプト実行から結果の取得までを行えます。作業の自動化によって脆弱性の発見・評価にかかる時間を大きく短縮できるほか、正確性・網羅性も向上できるでしょう」と釜池氏は強調する。

　現在トレンドマイクロは、既存のVision Oneユーザーに向け、今回紹介した一連のリスクマネジメント機能をパブリックプレビュー版で無償解放している。新規ユーザーも、60日間の無料体験版で利用することが可能だ。サイバーリスクが企業のビジネス活動に大きなインパクトを与える今日、インシデントを未然に防ぐためのリスクマネジメントには新たなアプローチが求められている。トレンドマイクロの提案は、その方向性を定める上で重要な参考になるものといえるだろう。