ランサムウェア攻撃から企業を守る対策を、認証ビジネスのパイオニアである専門家に聞いた｜セキュリティニュース

2021年、相次ぐ大規模なランサムウェア攻撃によって多くの企業、さらに市民までもが悲劇に見舞われました。これまでに起きた大規模事件を例に、企業はどのような対策ができるのかを、認証ビジネスのパイオニアであるジョン・ハガード氏に聞きました。

認証ビジネスのパイオニア　ジョン・ハガード氏

米サイバーセキュリティテクノロジー大手のVASCO Data Security（現：OneSpan）の社長、COO、およびCTOを歴任し、VASCOを金融機関向けの強力な認証を提供する会社として成功させました。
そのほかにも30年以上にわたり、商用セキュリティ製品の開発など企業戦略の幹部として最先端の情報セキュリティ製品を提供してきた、認証ビジネスのパイオニアです。現在はISRの顧問を務めています。

企業を脅威から守るためにするべき対策とは？

企業がランサムウェア攻撃への対策としてできることは、「認証におけるパスワード依存を今すぐやめること」だとハガード氏は指摘します。

またしてもランサムウェアの攻撃を目の当たりにしていますが、そのたびに “このような脅威から組織を守るためにはどうしたらいいのか？” という質問を受けます。私は最初に決まって、“認証におけるパスワード依存を今すぐやめること、待っている暇はない” と回答しています。そして最後に既知の脆弱性は、自動化されたツールによって悪用される可能性があるので、パッチ管理に注意するよう伝えています。」

認証におけるパスワード依存を今すぐやめるべき理由とは？

ハガード氏はやめるべき理由を2つ挙げています。

「まず、1つ目の理由としてアメリカのサイバー保険を事例で挙げると、保険申請者がMFA（多要素認証）を利用していることが、加入・更新の条件としています。MFAを導入することは、もはやオプションではなく、必須条件です。

そしてその背景となっている2つ目の理由が、数ある攻撃手段の中で、アカウントを元にした侵害が一番多いということです。通信事業会社Verizonがまとめた「2020 Data Breach Investigations Report」（2020年度版データ漏洩/侵害調査報告書）によると、ハッキングによるデータ漏洩/侵害の80%以上は、ブルートフォースか紛失または窃取された認証情報の悪用に関係しているとのことです。そして、Microsoft社の記事では、MFAを使用すると、アカウントは99.9%以上侵害されにくくなると書かれています。」

実際に今年5月に起こったコロニアル・パイプライン社へのランサムウェア攻撃は、パスワードのみによる不正アクセスから始まったとされており、これらの事実からもパスワード依存を今すぐにやめるべきなのではないでしょうか。

企業がMFAを適切に導入する方法と詳しい対策とは？

具体的にどのようなMFAを導入するべきなのか、ハガード氏はそのポイントを挙げています。

「私がお勧めするのは、認証においてFIDOなどの最新のMFA標準をサポートするSSO製品を利用することです。もちろんユーザーに、さまざまなユーザーエクスペリエンスや実装を持つ何十もの異なるアプリケーションへのMFAを利用したサインオンの操作方法を教えることができればいいのですが、それは大変困難なことです。そのため、SSO製品は企業が利用する複数のテクノロジーに対し不可欠な要素となっているといえます。ISRのSSO製品であるCloudGate UNOは、FIDO認証のリーダー的存在であり、最近では認証フローにゼロトラストの考えを取り入れたことで、ユーザーの導入を加速させています。

そしてMFAだけでなく、組織がすべての特権アカウント、特にMFAの対象とならないアカウントを棚卸しすることも提案します。これらのアカウントについては、厳格なアクセスポリシーとローテーションポリシーを導入する必要があります。複雑な環境では、PAM（Privileged Access Management、特権アクセス管理）製品を利用することをお勧めします。これらのアカウントは「王国への鍵（＝企業のシステムへ侵入する鍵）」となるため、保護されていることが非常に重要です。

さらにリポジトリ内の認証情報を発見することも必要です。これには、ユーザー名、パスワード、APIトークンなどが含まれます。開発者や管理者は人間であるため、期限を守って仕事を終わらせるためには手順を省いてしまうこともあります。MFAの対象とならない認証情報を Github やその他のリポジトリに保存し、それを消去することを忘れてしまうことも普通に起こります。

したがって、この脅威を見過ごさず、基本的な検索ツールを使用して、管理者や開発者が使用するさまざまなリポジトリを照会してください。PAMベンダーの中には、この手順を自動化するための検索機能を提供^(*1)しているところもあります。

パスワードに対処した後は、パッチマネジメントについての注意事項です。
Kaseya社の侵害事件は皮肉なことに、彼らのVSA製品はまさにこのパッチ問題に対処するためのパッチマネジメントソリューションです。彼ら自身が自分たちのシステム/製品にパッチを当てなかったという話が出回っていますが、誰もがガラスの家に住んでいるように、これは注目すべきメッセージではありません。ここで重要なのは、脆弱性は常に存在し、パッチと悪用の間には常に競争が存在するということです。たとえパッチ戦略を持っていても、それを見直す時期に来ているのかもしれません。」

FIDOなど最新のMFA標準をサポートするSSO製品の導入から、パッチマネジメントまで企業として対応すべき具体的なステップが分かりました。
CloudGate UNOは、企業がランサムウェア攻撃によって大きな被害を受けないよう、生体認証を利用したMFAと、一度のログインで複数のクラウドサービスへそれぞれのセキュリティポリシーによるセキュアなアクセスを実現します。

*1 <関連情報>