ソフトウエア部品やID／権限など
内部資産の攻撃面を継続的に管理

　現代のセキュリティー対策において、重要な考え方の1つが「攻撃面」である。攻撃面と聞いて、公開WebサーバーやVPN機器などをイメージする人も多いことだろう。しかし、こうした外から見える資産は、実は攻撃面の一部に過ぎない。

　「各種の外部公開資産は、確かに狭義での攻撃面であるといえます。しかし、攻撃面を広義でとらえると、これ以外にも様々なものが浮かび上がってきます。例えば、ソフトウエアに含まれるOSSやライブラリ、SaaSやIaaSを利用する際のID／権限、APIを使う際の認証情報、ネット上に公開されていないコンピュータなども立派な攻撃面といえます。なぜなら、これらの内部資産も、侵害の侵入口になり得るからです」とCloudbaseの大峠 和基氏は説く。

　こうした内部の攻撃面の中でも、特に気を付けたいのが「ソフトウエア部品」と「ID／権限」だ。昨今のソフトウエア開発では、すべてのプログラムをフルスクラッチで組むケースは稀である。ほとんどの開発現場において、何らかのOSSやライブラリが用いられているはずだ。その結果、いくらシステムを堅牢に作っても、その内部にあるソフトウエア部品が攻撃の起点となるおそれがある。

　実際にある法人カード会社でも、利用していたOSSに悪意あるプログラムが混入したことが、社内への不正アクセスを招く原因となった。大峠氏は「こうした外部モジュールを汚染するサプライチェーン攻撃は、現在も増加傾向にあります」と警鐘を鳴らす。

　また、クラウド環境におけるID／権限にも十分な注意が必要だ。「クラウド利用が広がるほど、人やシステム、委託先にひも付くアカウントや権限が増え続けます。そして、その一つひとつがシステムへの侵入口になり得ます。つまり、アカウントが増えれば増えるほど、攻撃面も増えてしまうのです」と大峠氏は話す。

　大手EC・通販事業で起きた不正アクセス事案でも、管理者アカウントの認証情報漏えいや多要素認証の未適用がインシデントの原因となった。この事案ではEDRの監視対象外の経路から侵入が行われた点が話題となったが、アカウント保護や多要素認証が確実に行われていれば、初期侵入を防げた可能性もある。自社の安心・安全を守る上では、こうした内部資産にも十分な対策が求められる。

　それでは、企業はどのようにして、攻撃面を継続的に管理すればよいのだろうか。大峠氏はこの点について「攻撃面となり得る内部資産は、前述のソフトウエア部品やID／権限以外にも様々なものが存在します。しかし、どのような資産であっても、管理の方法は共通のフレームワークに落とし込むことができます。それは『インベントリ化』『リスク評価』『対処・アクション』の3点です」と説明する。

　まずは自社のどこに、どのような資産があるかを洗い出し、その資産が持つリスクを評価。さらに、危険性の高いところから順番に改善していく。「対象資産がどういうものであっても、この流れは変わりません」と大峠氏は続ける。

　ただし、ここで問題になるのが、大量の資産をどうやってインベントリ化するかである。狭義の攻撃面であるWebサーバーやネットワーク機器などについては、表計算ソフトなどを用いて台帳を作成している企業も多い。しかし、内部資産に関しては、このような帳簿型の管理を行うのは困難である。膨大な数に上るアプリケーションやソフトウエアの所在や権限を表計算ソフトでまとめるのには、非常に多くの労力とコストが必要となる。また、資産が増えるスピードのほうが速いため、これに追いつくのは事実上不可能である。

　そこで必須になってくるのが、インベントリ化を自動で行ってくれるシステムだ。「主要パブリッククラウドではAPIが提供されているので、これを用いて資産情報を収集。オンプレミスの資産についてもネットワークスキャンやエージェントなどを活用することで、資産を自動的に台帳化していきます」と大峠氏は話す。

　なお2番目のリスク評価については、脆弱性以外の要素にも目を向けることが肝心だ。「セキュアではない設定や保守期限の切れたソフトウエア、高権限なアカウントなども大きなリスクになり得る」（大峠氏）からである。

　Cloudbaseでは、こうしたインフラ資産を統合的・継続的に管理するプラットフォームを提供。クラウド上の仮想マシンやコンテナ、オンプレミスのサーバーやネットワーク機器、ID／権限、ソフトウエアなど、あらゆる資産を網羅的にスキャン。これらを可視化し、リスクを自動で評価する（図1）。 　「インベントリ化のフェーズにおいては、社内で使われているソフトウエアコンポーネントの情報を自動収集した上で、自由に検索することができます。新たなマルウエアが報告された際にも、社内のどこで使われているかすぐに把握できるので、問題解決のリードタイムを大幅に短縮できます」と大峠氏は話す。

　同様にID／権限についても、どのようなIDやサービスアカウント、ロールがあるかを自動的にインベントリ化。未使用アカウントや高権限なIDについては警告も通知されるため、高リスクなID／権限の棚卸しもできる。「ID／権限が増えれば攻撃面も増えるので、不要なものをできるだけ減らすことが大事です。当社のプラットフォームを利用すれば、わざわざその仕組みを内製する必要もありません」と大峠氏は話す。

　また、リスク評価においては、発見されたリスクをスコアリングして、優先して対応が必要なものを抽出。これによりセキュリティー部門の負担を軽減しつつ、対処すべきリスクを着実に潰すことができる。

　さらに注目されるのが、対処・アクションでの働きだ。Cloudbaseの大きな特長として、「誰でも簡単に修復が行える」という点が挙げられる。「主要なアラートに関しては、リスクへの対処方法を記した日本語のドキュメントが表示されます。ここではリスクへの対処手順をコマンドラインやGUI付きで解説しますので、セキュリティーに精通した人でなくともすぐに対応が可能です」と大峠氏は話す（図2）。 　こうしたメリットが評価され、大手企業を中心にCloudbaseの導入が広がっているとのこと。攻撃面の管理に悩んでいる企業は、一度チェックしてみるとよいだろう。