Iphone

リスクを見直し、対応計画に焦点を当てる：セキュリティ専門家がロシアのサイバー攻撃に備えるためのヒントを提供

今週のロシアによるウクライナ侵攻に対し、米国とその同盟国は、ロシアのウラジーミル・プーチン大統領に攻撃計画を再考させるため、広範な制裁を発動した。米国および欧州各国の政府関係者や企業幹部は、ロシアによるサイバー攻撃という形での報復に備え始めている。

「たった数分間で、たった一度のサイバー攻撃が、我々の経済に数十億ドル相当の損害を与え、世界的企業を停止させ、我々の重要インフラを麻痺させ、我々の民主主義を弱体化させ、我々の軍事力を麻痺させる可能性がある」とNATOのイエンス・ストルテンベルグ事務総長は、英国の雑誌プロスペクトに寄稿した記事で述べた。

ストルテンベルグ氏は、深刻なサイバー攻撃はNATO創設条約第5条「一つの同盟国への攻撃は全ての同盟国への攻撃とみなされる」に違反する可能性があり、ロシアの侵攻がさらに広範囲の紛争に拡大する可能性があると述べた。

バイデン大統領は木曜日、「もしロシアが我が国の企業や重要インフラに対してサイバー攻撃を仕掛けてきた場合、米国は対応する用意がある」と述べた。「…数ヶ月にわたり、我々は民間部門と緊密に協力し、サイバー防衛を強化し、ロシアのサイバー攻撃への対応能力も向上させてきた。」

米国の半導体メーカー、エヌビディアへのハッキングは当初ウクライナ危機との関連が懸念されていたが、金曜日に無関係のランサムウェア攻撃だったと報じられた。

企業、政府機関、そして一般市民にとって、今は不確実で恐ろしい時代です。

セキュリティ専門家でGeekWireの寄稿者でもあるクリストファー・バッド氏は、ITセキュリティ企業ソフォスの記事で、「混沌とした時代は、さらに混沌とした時代と行動を生む」そして「不確実性は圧倒的になり得る」と書いている。

「現実には、このような時期や状況では、基本に集中し続けることで、自分自身と組織をよりよく保護するのに役立つ強固な基盤が得られます」とバッド氏は書いている。

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、企業やその他の組織に対し、デジタル侵害の回避方法に関するガイダンスを発表しました。GeekWireはシアトル地域のサイバーセキュリティ専門家に連絡を取り、サイバー攻撃への対策や注意すべき点についてヒントやアドバイスを求めました。回答の一部をご紹介します。

ストライクグラフのCEO兼共同創設者、ジャスティン・ビールズ氏

外国の行為者から見られる典型的な問題は、以下のとおりであると思われます。

フィッシング攻撃
コードインジェクション
ランサムウェア

これらの問題の解決に役立つ主な焦点領域は次のとおりです。

リスクを見直しましょう！そうすることで、地政学的に変化の激しい環境下において、ビジネスの最も脆弱で価値のある側面に時間を集中させることができます。
変更管理プロセスと自動パッチ適用をチェックして、コードが本番システムに挿入されないようにします。
チームの迅速な対応を確保するために、フィッシング攻撃とセキュリティインシデント通知プロセスを特に網羅したセキュリティトレーニングをスケジュールします。

ExtraHopの最高情報セキュリティ責任者、ジェフ・コストロウ氏

計画的な攻撃の多くは、ボリューム型で迷惑な脅威を伴います。これは、DDoS攻撃の猛攻に見られる「ショック・アンド・オー」戦術です。しかし、これらの脅威は、攻撃者が本番攻撃の準備を整えている間に、しばしば空中からの援護を行うものです。組織は、猛烈な攻撃が収束した暁には、はるかに破壊的な攻撃が準備されていると想定しておく必要があります。攻撃がどのように実行されるかを予測することは困難ですが、過去の攻撃事例から、組織を狙ったフィッシング攻撃、Log4Shellなどの既知の脆弱性の継続的な悪用、そしてソフトウェアサプライチェーンへの攻撃が今後見られることが示唆されています。

「組織は、急速かつ激しい攻撃が鎮まったら、はるかに破壊的な攻撃が進行中であると想定する必要があります。」

組織は基本的なサイバー衛生対策を実施し、インシデント対応計画に注力する必要があります。チームに演習シナリオを実行させ、信頼できるパートナーやアドバイザーと連携して、あらゆるセキュリティホールを補うことが重要です。

最後に、組織にはミッドゲーム（中盤戦）に焦点を当てることをお勧めします。意欲的で高度なサイバー犯罪者は、ほぼあらゆる組織に侵入できることが分かっています。賢明な防御者は、ミッドゲーム（中盤戦）における防御戦略を策定しておくべきです。ミッドゲームでは、攻撃者がインフラ内を縦横無尽に動き回り、侵入をチームに知らせる行動（コマンド＆コントロール通信、データステージング、ラテラルムーブメントなど）を講じます。

ソフォスのグローバル脅威コミュニケーション担当ディレクター、クリストファー・バッド氏

5 つの具体的な行動領域に焦点を当てて実行することで、不確実性が高まっているこの時期に、自分自身と組織を攻撃からより効果的に保護することができます。

増大するリスクについてユーザーに警告し、教育します。
システム、モバイル、IoT、ネットワークデバイスとアプリを更新します。
セキュリティソフトウェアを実行して更新します。
リモートアクセスアカウントとデバイスを保護します。
バックアップを作成して検証します。

Budd 氏の全文はここでお読みください。

Polyverse Corp. CEO、Alex Gounares 氏

皆さんに「基本」を改めておさらいしておくのが良いでしょう。先日、フィッシング攻撃でハッキングされた友人を助けたのですが、その友人はどこでも同じパスワードを使っていました。一見意味のある、しかし解決可能な問題が、たちまち彼らにとって大きな問題へと発展してしまったのです。

多要素認証を使用します。
リンクや添付ファイルをクリックする前に、メールの送信者（名前だけでなく、メールアドレスなど）を確認してください。
送金する前に実際に電話をかけて、口座番号などを確認します（その後、送金が受け取られたことを確認するためにフォローアップします）。
システムにインストールされている可能性のあるウイルス対策ソフトウェアやその他の保護ソフトウェア (Microsoft の Defender 製品、Amazon の Eero ホームネットワーク機器のセキュリティ機能など) を使用します。
サービスやウェブサイトごとに異なるパスワードを使用するなど、使い分けましょう。Google ChromeとAppleのSafariブラウザには、非常に優れた「セーフティチェック」機能が搭載されていますので、ぜひ活用してください。これらのツールでパスワードが侵害されたと表示された場合は、すぐに変更してください。

使用するサイトやサービスごとに固有のパスワードを設定する実用的な方法は、100 個の異なるパスワードを覚えようとするのではなく、強力なパスワード (長いほど良い) を生成できるアルゴリズムをいくつか覚えておくことです。

簡単な例として、アルゴリズムは、Web サイトの最初の文字とその文字を含むお気に入りの色、そのサイトについてどう思うか (または何を買ったか、あるいは覚えやすいもの) に関する 2 つの単語、それにお気に入りの特殊文字と数字を散りばめるといったものになります。

重要なのは、明白な情報や個人情報を含まない非常に長いパスワードを生成する、覚えやすいアルゴリズムであるということです。

これについては素晴らしい漫画があります。

もちろん、携帯電話への SMS や Google Authenticator などのアプリなどの多要素認証を使用して、強力なパスワードをバックアップしてください。

クリス・ハレンベック、タニウムのアメリカ大陸担当CISO

ロシアとウクライナの間の継続的な紛争により、ウクライナ、米国、そしてその他の西側同盟国の官民両セクターの組織は、サイバー攻撃のリスクが高まっています。こうした高まる脅威の中で、サイバーセキュリティ体制の強化を目指す経営幹部の皆様に、以下の4つのヒントをご提案します。

サイバーレジリエンスのプレイブックを活用しましょう。事前に計画を準備しておくことは非常に重要ですが、組織とその独自の慣行に特化したものであれば、なおさらです。計画に記載されている演習を実際に試すことで、関係者全員が自分の役割を理解し、シナリオによって対応がどのように変化するかを把握できます。

サプライチェーンリスクの軽減に重点を置く：サプライチェーン関連のリスクは増大の一途を辿っており、現在ウクライナで発生しているような事態は、サプライチェーンへのハッキングの可能性をさらに高めています。組織は、自社の環境をスキャンし、保有する資産と脆弱性を特定する必要があります。そして、もしこれらの脆弱性が侵入された場合は、可能な限り迅速に修復する必要があります。

脅威ハンティング活動の強化：敵対者が自社の環境に侵入したという前提に立ち、積極的な脅威ハンティングアプローチを通じて常に警戒を怠らないようにしましょう。脅威ハンティングチームが組織内を徹底的に調査し、ハッカーがアクセス可能な可能性のある場所を特定し、潜在的な侵害の可能性がないか綿密に監視するようにしてください。

パッチ管理プロセスのアップグレード：パッチ適用は、セキュリティ侵害を修復する最も簡単で迅速な方法であることが多いですが、ハッカーは遅いパッチ管理システムを悪用することがよくあります。最善のアプローチは、毎月のパッチ適用を自動化し、新しいシステムを導入前に十分にテストすることです。