IPAの言うセキュリティ対策の基本を見ていきましょう！　その4

2024年11月22日 13:15

皆様、こんにちは！
株式会社カチカにおけるリモート（遠隔地）バックアップ事業担当の村島です！
今朝は寒さで目が覚めました。普段よりだいぶ早くに。ずっと寝ていたい季節がいよいよ本格的に到来です。
さて、今日は「国民のためのサイバーセキュリティサイト（外部リンク）」の記事を見ながらバックアップ関連のものをピックアップして、それでその後は「セキュリティ対策の基本と共通対策」をさらに精読して参りましょう。レッツスタディセキュリティ！
「セキュリティ対策の基本と共通対策」は「IPAの言うセキュリティ対策の基本を見ていきましょう！　その1」にリンクが張ってあります。ぜひ読んでね！

国民のためのサイバーセキュリティサイトより

さて、昨日のお話にも出したんですが、今回はやっぱりランサムウェアの話が中心になると思います。「国民のためのサイバーセキュリティサイト」の19ページですね。一応、画像で出しましょうか。

このページと、その次のページですね。
これ、私読んで思ったんですけど「事故・被害事例」を読んでみますと

「原因は、社外から社内へ接続する際に使用するVPN 機器の脆弱性を悪用されたことによるものでした。その結果、社内のIDを窃取され、社内システムにランサムウェアを展開されたのです。

総務省編「国民のためのサイバーセキュリティサイト」より

VPN狙われちゃってるんですよね。
ちょっと先走りますが、次のページに予防法が書いてあります。

◼ 予防法
ランサムウェアの被害を防ぐためには、以下の対策が必要です。
・ソフトウェアの最新化
・マルウェア（ウイルス等）対策
・悪意のあるウェブサイトへの対策
・データ保護・バックアップ

総務省編「国民のためのサイバーセキュリティサイト」より

ランサムウェアにやられたデータが読めなくなるのは間違いありません。ですので、重要データは既に過去記事で書きました「バックアップの3-2-1ルール」ですとか、もっと踏み込んで「バックアップの3-2-1-1-0ルール」を普段から実行しておくことにより「読めなくなるという問題」は回避できます。
しかし、それらの対策をしておくことでも「重要情報を公開するぞ」という脅しには対応できません。ディープWebやダークWebに公開されちゃったら犯人捜しも難航を極めるでしょうしねえ。
以前出しました記事に載せましたこちらの図↓でも、

8割前後がネットワーク経由で侵入しているってことがわかっているじゃないですか。バックアップだけで対応するのは無理があると思うんですよね。
もちろん、バックアップはして下さい。そしてそれは、できれば業務上のネットワークから遮断されたところに置いて下さい。ネットワークに繋がったところに置いてあったら、遅かれ早かれランサムウェアの被害に遭います。
だからこそこの資料では、上記しましたような予防法が掲げられているわけですね。侵入者から見て2重3重の壁が立ちはだかるようにしておけば、それだけ強力なガードになります。ほら、侵入路を確保するのに何分以上かかるようなら空き巣が諦めるとかそういう話があるじゃないですか。まあそんなのと似たような話だと思います。
というようなわけなんですが、じゃあバックアップ以外にどんな対策があり得るのかというと「ソフトウェアの最新化」これはわかります。「マルウェア（ウイルス等）対策」「悪意のあるウェブサイトへの対策」…なるほど、わからん。こういうのはやっぱりGoogle先生に問い合わせてみるに限りますね。
そうしたら何と、同じ「国民のためのサイバーセキュリティサイト」の別ファイルにちゃんと載っているではありませんか。

その5ページ目からになります。
長いんですが一応画面だけ出します。その後説明しますので、まあこんなもんなんだなと思って眺めて下さい。

というわけなんですが…マルウェア（ウィルス等）対策について書いてあります。以前、マルウェアとウィルスの違いについてはご説明しました。簡単に言うと、利用者にとって好ましからざる動きをするソフトウェアがマルウェア、その中でも

自己伝染機能
潜伏機能
発病機能

のなかの1つ以上を持つものがウィルスでした。まあ、世の中の大半のマルウェアはウィルスなんではないでしょうか。
で、このマルウェア類も、最近は巧妙化してきて、電子メールをプレビューしたり、Webブラウザでホームページを閲覧したりするだけで感染したりもするようになっているんですね。
だから対策の第一歩はOSやアプリケーションを最新のものにしておくと。そしてセキュリティソフトをインストールしてパターンファイルも最新に更新しておくことが必要なわけですね。これが大事。
「悪意のあるウェブサイトへの対策」に関しても、この資料に載っています。まあ、なんて優秀な資料なんだろう。

ただ、基本的に書いてあることはこれまでのまとめって感じですね。この件に関して重要なのは「悪意を持ったホームページが存在するということを認識し、怪しいホームページはできる限り近寄らないようにする」触らぬ神に祟りなしってことです。
あとはOS・ブラウザの最新化、セキュリティソフトの利用、あとこの件に関して特徴的なのはブラウザの設定をセキュリティ強にしておくってことですね。これに関しては説明すると途轍もなく長くなりますので各自いろいろ試してみて下さい。
そして最悪、マルウェアが入ってしまった場合には、発見されたそのデバイスをネットワークから切り離す。あるいは大規模が予測される場合にはルーターの電源を落として下さい。その後じっくり状況の把握と対策をしましょう。
悪意のあるWebサイトを閲覧することの危機はまあこれだけの記述です。実にあっさりしています。

無料セキュリティソフトは大丈夫か？

ここで、皆様にこの疑問を投げかけてみたいと思います。皆様の中で、無料セキュリティソフトをご利用の方はいらっしゃいませんか？
実は、私も個人用PCでは無料セキュリティソフトを使っています。今のところ、不便は感じていません。
問題があり得るとすれば、以下のような点だと思います。

有料製品版と比べて機能が限定されている
広告が表示されるため、リソースがそちらに持って行かれる
バージョンにより製品の完成度に著しく差があり、定期的に他社製品と比較して必要な場合には乗り換える必要がある
製品によってはブラウザのポータルページが書き換えられる

というようなところなんですけど、まあ致命的と言えるほどの欠陥はないかなと思います。個人で使用する限り、これは問題ないんじゃないでしょうか。
ちなみにですが、あくまでも、あくまでも個人的にはですよ。Chromeが「危ないページかも知れないよ？」という表示を出しても敢えて踏み抜くこともあります。
Chromeは本当にセキュリティに対処した行き届いたブラウザではあるんですが、たま～にそれが行きすぎることもありますし、私の側で少々のリスクを覚悟の上で敢えて踏み抜くこともあります。
ただし、そういうことは危険なサイトであることを認識した上で、どんな動きをするのかという確認のために踏み抜いています。
ですので最悪の場合に備えてバックアップを行った上でそういうことをしていますし、その他いろいろと対策をした上で踏み抜いています。
「こういう危険性がある」ということは、やっぱりその直前ぐらいまで行ってみないと分からないわけなんですよね。
ですから私は自ら人柱になってるってわけです。その積み重ねが今なので、まあ私はそうやって手に入れた情報を皆様にいろいろとご披露しているっていうわけなんです。
結構危ない橋を渡っていることは確かです。
皆様におかれましては、各自ご判断の上で利用していただきたいと思います。特に会社などの組織にあっては有料版を使うに越したことはないと思いますので。

というわけでここで一区切り

というようなところで、なんとなくいい文字数になってしまいましたし、話としても一区切りという感じなので今日はここまでにしましょうか。
今まで何をやってきたか、おわかりいただいていますでしょうか。

IPA「セキュリティ対策の基本と共通対策情報セキュリティ10大脅威2024版」より

これを読んでいるんですよ。なかなか進んでいませんが。ですのでこれを引き続き読んでいこうということになるわけです。次回からもよろしくお願いしますね。

皆様に注意喚起したいこと

というわけで皆様に注意喚起をお願いしている次第なんですけど、被害者になることよりはるかに恐ろしいのが加害者になることだと思います。

警察庁広報資料「令和６年上半期におけるサイバー空間をめぐる脅威の情勢等について」より

以前にもご覧いただきましたこの図なんですが、現在この手の犯罪組織はどんどん大きくなり、ネットの普及によっていとも簡単に国境を越えています。
犯罪組織が大きくなるとどういう現象が起きるかというと、業務の細分化が行われるわけなんですね。
例えばの話ですが、左上の「提供サービス側」も「ランサムウェアの開発者」「リークサイトの構築者」「被害者との連絡係」「攻撃方法の教示係」というような具合にどんどん細かくなっていくんです。
するとどうなるかと言うと、そういう仕事をしないかと誘われたりしたときにも「ちょっと変わったバイトだな…？」という疑問を持つぐらいで全体的な違法性が見えにくくなるんですね。
その疑問にぶつかって「やっぱりやめておこう」となればギリギリセーフですが「お金がたくさんもらえるし…」なんていう気分で関わってしまったが最後、こういう組織を統轄している犯罪者にとってあなたはどうにでも動かせる駒になってしまいます。最悪、悪事が露見してもあなたはトカゲの尻尾側です。
なので、全体像をぜひご確認いただきたくこういうことをやっているわけですね（もちろん、バックアップという弊社製品を売り込むためでもありますが）。
ぜひお気をつけ下さい。