仮想化技術・クラウド・スマートフォンで変わるセキュリティ対策

　クラウド・コンピューターとスマートフォンの普及で企業のIT環境は大きな変化が生じている。セキュリティ対策もこの環境変化に対応した新しい考え方が必要だ――。8月26日、東京・大崎で行われたデジタル・フォレンジック研究会の技術分科会で講演した株式会社ラック常務・最高技術責任者の西本逸郎氏はこのように強調した。

　傘下に24時間365日運営の情報セキュリティに関するオペレーション・センターやサイバーリスク総合研究所、サイバー救急センターなどを擁する株式会社ラックの最近の事故調査からの教訓を基にした西本氏の「仮想化技術やクラウド活用の要諦」をレポートする。
　

■変化するサーバー攻撃

西本逸郎　株式会社ラック　サイバーリスク総合研究所長　最高技術責任者が講演

　西本氏はまず、サイバー救急センターの最近の出動状況について「緊急出動が増えている。その内容は、情報漏洩が減り、情報窃取が増加しているのが大きな特徴だ」と述べた。

　「景気が悪くなっているため、企業は単純な災害では我々に依頼しなくなり、泥棒に入られたような深刻なものでなければ声が掛からなくなっている」とし、攻撃の変化として、（1）企業からの盗みは減少している。2008年まではECサイトでカード情報を盗られる被害が多かったが、昨年は減少した、（2）セキュリティの弱者が標的となっている。クレジットカード会社などから情報を大量に窃取するのではなく、個人のPCから取得していると思われる、（3）本来の脅威は問題になっていない――の3点を挙げた。ガンブラー系ウィルスが話題となるのはサイトの改ざんであり、そこに侵入した悪性のプログラムが被害を及ぼしているという証拠はほとんどないことを指摘した。
　

緊急出動が増えているが、その内容は、情報漏洩が減り、情報窃取が増加しているのが大きな特徴だという

■SEO対策はセキュリティでも重要

　そして、情報搾取対策の基本として、検索キーワードの重要性を指摘。「正当な利用者も攻撃者も接点は検索エンジンであり、訪問目的を知るためには、どういう検索キーワードで自社サイトを訪れたのか探るのが第一」。

　「その意味でSEO対策はセキュリティの観点でも極めて重要であり、サイトの利用者に興味を持たせる一方、攻撃者には興味を持たせないSEO対策が大切だ。脆弱性をなくそう、あらゆる脅威から防ごうと言うがその前に、攻撃者から自社サイトを見えないようにする、攻撃者に興味を持たせないようにすることがポイントだ」と述べた。
　

■セキュリティ・ポリシーの前提を見直せ

　
　こうした対策の重要性は最近の環境変化に対応してさらに増しており、「クローズ・ネットワークという前提が崩れている」とし、その例として（1）収集データを決済、統計、保守などの別目的に使用、（2）システム連携、（3）サーバやネットワークの共有・流用、（4）外部メディアの持ち込み、（5）無線LANの普及、（6）無線LANにNICを追加使用――などを挙げた。

　「ユーザーを訪問して話をすると、セキュリティの前提としてクローズド・ネットワークを挙げる企業が多い。『外部から遮断されているから大丈夫』と言いたいのだろうが、セキュリティ・ポリシーを2000年頃に定義したままでいる企業が多い。この間に、環境は大きく変化しており、前提のマネジメントが必要だ」と語った。
　

■クラウドとスマートフォンの二大環境変化にどう対応するか？

　西本氏は次いで、今、備えるべき2大環境変化としてクラウド・コンピューターとスマートフォンを挙げた。「基幹システムにクラウドは適用できるのか？と言っている間に、スマートフォンが社員の個人ベースで使用され出している。セキュリティ面で考えるべきは、クラウドからの攻撃とスマートフォンからの攻撃だ」と述べた。

　「現在、スマートフォンとクラウドの活用は個人と、中小企業が中心だが、大企業の中でも仮想ストレージサービスやWebメールなど無料のものを勝手に使用しているケースが多い。大半の組織では違反行為だが、このようなボトムアップ型のクラウド活用に対して企業は禁止する、黙認する、すべてを許可するということでなく、やはり、安全なやり方を用意する必要がある」。

　「スマートフォンでは使用アプリの安全性・信頼性は誰が担保するのか？リテラシーをどう確立するのか？など。クラウドではスマートフォントの組み合わせ方、適応業務やプロセスの選定、法的対応を含めたデータの取扱など基本的な方向性を定める必要がある。これまで情シス部門の用意してくれるタクシーに乗っていた人が、自転車やスクーターを運転するにはそれなりのリテラシーが必要となる」と身近な例を挙げて説明した。
　

■セキュリティ犯罪を招く“丸投げ体質”

　
　クラウド時代では、「スマートフォン、タブレットPCなどは否応なく普及してくる。そのなかで生き抜いていくためにはこうした環境変化に適応し続けなければならないが、セキュリティの観点からはクラウドを支える基本技術である仮想化。この仮想化がついたサービスには四次元的な攻撃や事故が発生する可能性があることを銘記する必要がある」と指摘する。「SLAのある・なし、法律面での縛りがあるかなど考慮すべき点はある」とする。

　そして、セキュリティ事件から見て、外部からの犯罪としては、「Web改ざん、USBメモリ、標的型メール、サービス妨害などではアカウント情報がキーとなっている。また、全体の15～18％を占める内部犯罪では、情報システム部門によるものがトップ、上司のPCの面倒をみている部下、協力会社、とくにオフショア開発・運用と続き、役員の競合によるものもある」と実情を明かし、これらは「丸投げ体質に起因する」という。
　

■止まるクラウド

　「クラウド活用の原則は丸投げが通用しないことを銘記すべき。商用クラウドでのメールが消えた、サービス停止が起きたなどの事故を追跡してみると、データが復旧したと言っても正規の手順で復旧したものはなく、フォレンジックなどの手法でたまたま復旧したと見ている。Amazonも停止したことはあるし、Googleも経路が変更されていたケースがある。クラウドは結構、止まる。こんなこともあろうかと考えることは仕方ない。それが嫌な人は、クラウドでなく、アウトソーシングなどの“おんぶに抱っこ”のサービスを利用すべきだ」と直言する。

　さて、今回の講演のハイライトであるクラウドのセキュリティについて西本氏は、IaaS、PaaSの場合は「かなりコントロールできるはずだが、問題はデータの廃棄の部分で、クラウド側に安全にデータを廃棄してくれることを求めるのは難しく、自社で暗号化するなど別の方法を採る必要がある」と述べた。また、SaaSの場合は「基本的にユーザーでコントロールすることは出来ないので、ベンダーを見極め、うまく利用するにはベンダーに対抗できるリテラシーが必要となる」とする。

　また、仮想環境の課題として、（1）ゲストOSからハイバーバイザーを攻撃する。これは非常に脅威、（2）ゲストOSからゲストOSを攻撃。これは一般的、（3）ハイバーバイザーからゲストOSを攻撃。これは何でもできる――つまり、大家が攻撃するようなものだと解説した。

　ハイバーバイザーはクラウド時代における重要な技術だが、「バグが多く、社会システムを支えるレベルに達していない。どうするか？　そんなものかと腹を据えるしかない」と言う。

　仮想化は管理コストを低減するため採用するわけだが、「その一方、多大な管理コストをかけるのは矛盾している」。「たとえば、自動車を考えてみても完全ではなく、費用対効果を考えて運用するしかない」。

Amazon AWSからの攻撃

■スマートフォンのウィルス対策は難しい

　一方、スマートフォンからの攻撃について西本氏は「スマートフォンはブラックボックスであり、万が一の事態把握や現象解明ができない可能性が高い。さらに犯人にとっては、電話を制御できる時点で金銭的メリットに直結し、PCよりパーソナルな機器だけに遠隔制御された場合のインパクトは、プライバシー面でも強烈だ。着実に高機能化しているため、犯人の動機も高まっている」と語った。

　また、スマートフォンのボット感染率は、「PCの感染率が2～2.5％から推測すると日本国内で500万台のスマートフォンが存在すると見ると、10～12万台となり、PCより増えてしまう。スマートフォンはウィルス対策が難しく、対応が問題となる」と懸念を示した。
　

■リスクが腹に落ちているか？

　最後に西本氏は、サイバー攻撃を受けた対応策について解説した。「重要なのはPRであり、事故が起きたことを公表するだけでは十分ではない。『二度と同じことは起こしません』と言って済ませるのではなく、事故がだれにどんな影響があるのかを伝える必要がある」とし、「リテラシーが高く自己責任で推進する組織になるべき。リスクを腹に落とすことが大切」と述べた。

　また、選択肢を用意しておくことの重要性も指摘した。「場合によっては2社のサービスを同時に受けることも、全体を考えたら安いかも知れない。ITリテラシーを身につけ、ベンダーの嘘を見抜くことも肝要だ」とまとめた。