連日、不正アクセスのニュースがメディアを賑わしていますが、GMOインターネットへのサイバー攻撃のニュースはひときわ目を引きました。毎日のように報じられる不正アクセスはどれも深刻な問題なのですが、GMOの件は特に注目すべき点がいくつかあると思います。
第一に、GMO自体がサイバーセキュリティの専門家だということです。聞くところによれば、社内には非常に優秀なホワイトハッカーも常駐していて、そういった社内のエキスパートはセキュリティ体制の改善を提言していたとか。経営上の観点から改善策が直ちには適用されず、その間隙を突かれて被害に遭ってしまったと、代表者が自身のブログで説明しているようです。
一方、攻撃者からの公表によれば、幅広い権限を持つ管理者アカウントを乗っ取り、多くの顧客端末から情報を抜き取ったという情報があります。ただし、それが本当の攻撃者なのか、本当だとしても唯一の攻撃者なのかどうかも確定していないので、攻撃者側の発表を鵜吞みにすることはできません。
しかし、GMOは26,000件以上のサーバーに侵入されたと発表しているので、つじつまはあっています。ここまでの限られた情報だけを聞くと、ちょうど2週間前に報じられたIDCフロンティアへのサイバー攻撃の状況を連想してしまいます。なぜなら、管理者アカウントを通じ仮想デスクトップに侵入を許したとされるGMOの状況に、IDCフロンティアの件で推奨されるセキュリティ対策が、驚くほどよく当て嵌まるからです。
IDCフロンティアの事例に関連して、以前のブログで、ハイパーバイザーが狙われるパターンと基本的な対策を記載しましたが、ここにその要点を繰り返しておきます。
ハイパーバイザーが狙われるパターン
1） 管理者アカウントが侵入経路となるパターン ― 管理者の認証情報が盗まれたり、管理端末が乗っ取られるなど。アクセス権限を必要最低限に絞ることが重要。
2） vCenter / ESXiの脆弱性 ― 攻撃者が管理インターフェースにアクセスして脆弱性を悪用するパターン。システムをまめにアップデートすることはもちろん、管理コンソールをインターネットアクセスから隔離することや、使用したSSH接続を放置せずに、まめに閉じることなどが重要。
3） Active Directoryなどから横方形への侵入 ― ESXiがActive Directoryと統合されている場合、Active Directoryへの不正アクセスを許すと、ハイパーバイザーへの侵入も許すことに。
4） ゲストVMからホストへの侵入 ― ゲストVMからホストのバイパーバイザーの脆弱性を突くパターン。ゲストVMのアクセス管理の厳格化、VM間の隔離の徹底などが必要。
基本的な対策
1. ハイパーバイザーもVM同様、忘れずにパッチを適用する
2. 管理者アクセスを隔離する ― 管理インターフェースは、ファイアウォールで保護された専用のネットワークかVLANに置くべき。インターネットからのアクセスを可能にするのは避けるべきで、デバイスからのアクセスも必要最低限にとどめる。
3. 厳格なID管理を徹底する ― アカウントは絶対に共有せず、単独ユーザーで使用して、多要素認証（MFA）を適用し、最小権限の原則を順守したうえで、定期的にアクセス状況を監査する。特に、管理者権限を付与するグループ／ユーザーは必要最低限に厳選し、Active Directoryとの統合も慎重に。
4. Active Directoryアカウントアクセスを制限する ― 管理者アカウントは必ず非ドメインアカウント（ローカルアカウント）にする。
5. 攻撃対象領域や侵入経路を減らす ― 使用していないサービス（使用後のSSH接続など）を無効にし、不必要なポートを閉じ、攻撃を受ける（侵入を許す）リスクを極力減らす。
6. バックアップは隔離し、定期的にテストする ― オフライン／イミュータブルのバックアップが必要。
現時点では確定済みの情報ではありませんが、GMOもActive Directoryの管理者アカウント経由で被害が拡大したという情報があり、上記のIDCフロンティア関連で記述した内容が、そっくりそのまま当て嵌まるように見えます。
IDCフロンティアの「IDCF クラウド」がランサムウェア攻撃を受け、495もの企業や自治体が影響を受けたとき、メディアでは盛んに「AIの脅威」が叫ばれていました。GMOの件に関しても、早速、テレビやネットで「AIの脅威」が連呼されています。
たしかにAIは攻撃の頻度とスピードを圧倒的に高めるので、脅威には違いないのですが、前述のセキュリティ対策はAIがあろうがなかろうが、もともとやっておかなければならないものです。憶測でしかありませんが、もしかしたら、GMOの社内でセキュリティ担当者が指摘していたのも、このような基本的な対策だったのかもしれません。AIの脅威の急拡大や国内のセキュリティ人材不足を声高に叫んだり、優秀なホワイトハッカーを揃えても太刀打ちできないと嘆いたりする前に、一般的なシステム管理者ができる基本的かつ重要な対策があるので、まずはそこを徹底することから始めるのが大事なのではないかという気がします。
GMOに関して、もう一つ注目すべき点は、「能動的サイバー防御」の適用に関してです。警察や自衛隊が攻撃元サーバーに侵入し、無害化を行える「能動的サイバー防御」の措置は、政府が主体的に判断するもので、民間の要請に応じて行うものではなく、また本来は攻撃前に兆候を把握して未然に被害を防ぐ措置でもあり、すでに攻撃が行われているケースへの適用も想定されていない、とさまざまなメディアで詳しく報じられています。一方、GMOの代表者は官民一体での対応を呼びかけているようです。
勝手な想像ですが、優秀なホワイトハッカーがいるというGMOは、今なら犯人を追跡して退治できる、それには警察権力の助けがいる、と考えたのかもしれません。家に泥棒が侵入し、警察を呼んで、泥棒が逃げたとき、警察が追いかけて捕まえることを希望するのは当然で、警察権力に期待したいところですが、それは「能動的サイバー防御」の範疇ではないということなのでしょう。
では、通常のサイバー攻撃被害の通報に対して警察がどこまで対応できるのか、被害者側に警察以上の犯人追跡スキルがあるが、それを行使する法的根拠がない場合、警察はどう協力できるのか、という点をもっと整理する必要があるのではないでしょうか。「能動的サイバー防御」を持ち出したから、逆に本当の課題が見えづらくなってしまった点が気がかりですが、これをきっかけにさらに法整備が進むことを願います。
施行されたばかりの「能動的サイバー防御」を早速持ち出した点に関しては、仮に的を射ていなかったとしても、課題をどんどん投げかけて、制度の実用性を高めていくのは良いことだと思います。
RSSフィードを取得する
