カテゴリー: SQAT® Security 玉手箱

Security NEWS TOPに戻る
バックナンバー TOPに戻る

デジタルフォレンジック調査の質は「誰に任せるか」によって大きく左右されます。調査を依頼する際は、必要なスキルや資格を有する信頼できる専門家を見極めることが重要です。「企業のためのデジタルフォレンジック入門」シリーズ第3回目となる今回は、デジタルフォレンジック調査に求められるスキルや、信頼できる調査パートナーを選ぶためのポイントについて解説します。

デジタルフォレンジック調査に求められるスキル

デジタルフォレンジック調査は、単なる技術的作業にとどまらず、法的対応や組織内のコミュニケーションなど、多岐にわたるスキルが求められる高度な専門分野です。調査の正確性と法的証拠能力を確保するためには、以下のようなスキルが求められます。

1.技術的スキル
フォレンジック調査では、コンピュータやモバイルデバイス、ネットワーク機器など、さまざまなデジタルデバイスから証拠を収集・分析する高度な技術が不可欠です。具体的には、ログ解析、マルウェア解析、ネットワークトラフィックの分析、暗号化データの復号、クラウド環境やIoTデバイスからのデータ抽出など、多岐にわたる技術的知識と経験が求められます。

2.法的知識
デジタルフォレンジックの調査結果は、訴訟や内部処分などの法的対応に利用されるケースが多くあります。そのため、証拠保全の適切な手続きや電子データの証拠能力を担保する方法についての理解は欠かせません。調査の過程で収集したデータが、法的に無効とならないよう慎重に取り扱うことが求められます。

3.分析力と問題解決能力
フォレンジック調査では、大量のデータの中から関連性のある情報を特定し、攻撃の手口や経路を明らかにする必要があります。そのため、データの相関関係を見抜く分析力や、複雑な問題に対して柔軟に対応する問題解決能力が重要です。

またフォレンジック調査は、調査担当者だけで完結するものではありません。調査を円滑に進めるためには、IT部門や法務部門、経営層との連携が不可欠です。専門的な調査結果を、非技術部門にもわかりやすく説明し、経営判断や法的対応に必要な情報を正確に伝える力も重要です。これらのスキルをバランスよく備えた人材が、企業のインシデント対応力を大きく高める鍵となります。調査を依頼する際は、こうしたスキルセットを有する専門家に依頼することが、調査の精度と効果を高めるための重要なポイントです。

デジタルフォレンジック関連の資格

デジタルフォレンジック調査は高度な専門知識と技術が求められる分野であり、調査を担当する人材のスキルによって調査結果の正確性や証拠能力が大きく左右されます。そのため、調査を依頼する際は、担当者がどのような資格や専門性を持っているかを必ず確認することが重要です。以下に、代表的な資格とその特徴を紹介します。

GCFA（GIAC Certified Forensic Analyst）

GCFAはSANS Instituteが提供するGIAC認定資格の一つで、デジタルフォレンジック調査に特化した国際資格です。データ侵害の調査、インシデント対応、脅威ハンティングなど、実践的なスキルを証明します。

CDFP（Certified Digital Forensics Professional）

デジタル・フォレンジック研究会が実施する資格で、基礎資格（CDFP-B）、実務者資格（CDFP-P）、管理者資格（CDFP-M）の3段階があります。日本国内でのデジタルフォレンジックに特化した資格として注目されています。

CHFI（Computer Hacking Forensic Investigator）

EC-Councilが提供する資格で、サイバー攻撃の痕跡を特定し、必要な証拠を適切に収集・分析するスキルを習得することを目的としています。

またクレジットカード業界の情報漏えい事故を調査する資格にQSA（Qualified Security Assessor）があります。特に、カード情報を扱う企業にとっては、QSAの資格を持つ専門家によるフォレンジック調査が重要な意味を持ちます。

これらの資格は単なる知識だけでなく、実務経験や倫理的な判断能力を備えていることの証明にもなります。調査を依頼する際は、「どの資格を保有しているか」「過去にどのような調査実績があるか」を確認し、信頼できる専門家に依頼することが重要です。

インシデント対応としてのフォレンジックの重要性

サイバー攻撃や内部不正などのインシデントが発生した際、企業に求められるのは迅速かつ的確な対応です。その中で、デジタルフォレンジック調査は、被害の拡大を防ぎ、再発防止策を講じるうえで極めて重要な役割を果たします。

フォレンジック調査を適切に実施することで、攻撃者の侵入経路や攻撃手法、被害範囲を正確に特定できます。これにより、攻撃の拡大を防ぐために必要な対策を即座に講じることが可能となり、被害の最小化につながります。また、攻撃の原因を突き止め、脆弱性の修正や運用体制の見直しを行うことで、同様の被害が再び発生するリスクを大幅に低減できます。
しかし、こうした迅速な対応を実現するには、事前の備えが不可欠です。経営層や管理部門は、平時からインシデント発生時の対応体制を整えておく必要があります。具体的には、以下のような準備が求められます。

• インシデント対応ポリシーの策定：どのような事象をインシデントと定義し、発生時にどの部門がどのように対応するかを明確化します。
• 証拠保全体制の整備：調査に必要なログやデータを適切に保存し、改ざんや消失を防ぐ体制を構築します。
• 外部専門家との連携準備：緊急時にすぐに相談・調査を依頼できるよう、フォレンジック調査会社との連絡ルートや契約手続きを整えておきます。
• 社内教育・訓練の実施：情報システム部門や関係者に対して、インシデント対応手順や証拠保全の重要性について定期的な教育を行います。

インシデントは、いつ発生してもおかしくありません。被害拡大を防ぎ、企業の信用を守るためには、フォレンジック調査を中心とした実効性のあるインシデント対応体制の構築が不可欠です。経営層がリスクマネジメントの一環としてこの重要性を認識し、積極的に体制整備に取り組むことが、企業の持続的な成長と信頼維持につながります。

【関連サービス】
インシデント初動対応準備支援はこちら

信頼できる調査会社・専門家の選び方

デジタルフォレンジック調査を依頼する際には、調査会社や専門家の信頼性と対応力を慎重に見極めることが不可欠です。

1.過去の調査実績・公開事例の有無
調査会社や専門家を選ぶ際は、まず過去の調査実績や公開事例の有無を確認しましょう。実績が豊富な会社は、さまざまな業種や企業規模のインシデントに対応した経験を持っており、適切な調査手法と迅速な対応力を備えています。また、可能であれば、同業他社での対応事例や解決までのプロセスを確認することで、自社の課題に対する対応力を具体的にイメージできます。

2.調査体制（緊急対応可能か、社内対応チームの有無）
サイバーインシデントは突発的に発生します。万が一の際に備え、24時間365日対応可能な緊急体制を整えているかを確認することが重要です。また、外部委託だけでなく、社内に専門の調査チームを有している企業は、ノウハウの蓄積や迅速な意思決定が可能であり、調査の品質も高い傾向にあります。緊急時の連絡手段や初動対応までの所要時間も事前に確認しておくと安心です。

3.事前相談・見積もり段階での対応姿勢
調査を依頼する前段階の事前相談や見積もり時の対応姿勢も、信頼できる調査会社かどうかを見極めるポイントです。質問に対する回答が的確かつ分かりやすいか、専門用語をかみ砕いて説明してくれるかなど、コミュニケーションの質を重視しましょう。また、調査内容や費用の内訳について明確に説明がない場合は、後から想定外の追加費用が発生するリスクもあるため、しっかりと確認しましょう。

このように、実績・体制・対応姿勢の3点をバランスよく確認することで、信頼できるパートナーを選定することができます。インシデント発生時に慌てることがないよう、平時から調査会社の候補をリストアップし、必要に応じて事前相談を行っておくことが理想的です。

まとめ：リスクに備える最善の準備とは

サイバー攻撃や情報漏えいといったインシデントは、今やどの企業にとっても現実的なリスクとなっています。そのリスクにどう向き合い、どのように被害を最小限に抑えるかは、企業の信頼性と持続的成長を左右する重要な課題です。本シリーズでは、デジタルフォレンジック調査の基礎知識から、調査の流れや費用、そして信頼できる調査パートナーの選び方まで、実務に役立つ情報を解説してきました。これらの内容は、単にインシデント発生時の対応策としてだけではなく、経営層や管理部門が平時から備えておくべきリスクマネジメントの一環です。企業がこれから取り組むべきは、「万が一ではなく、いつ起きてもおかしくない」という前提で、適切な体制を整えておくこと」です。必要な情報を正しく理解し、信頼できる専門家とのネットワークを構築しておくことで、万が一の事態にも冷静かつ的確に対応できる企業体制を実現できるでしょう。本記事が、皆様のリスク対策とインシデント対応体制の強化に少しでも貢献できれば幸いです。

緊急時の対応にお困りですか？
24時間365日対応可能な専門チームが、迅速にサポートいたします。
今すぐ相談する

サイバー攻撃や情報漏えいのリスクは、企業規模を問わず現実のものとなっています。万が一の事態に備え、信頼できるパートナーと連携し、迅速かつ適切な対応体制を整えておくことが重要です。株式会社ブロードバンドセキュリティ（BBSec）では緊急対応支援サービスを提供しています。突然の大規模攻撃や情報漏えいの懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。詳細はこちら。

【連載一覧】

―第1回「デジタルフォレンジック調査とは？企業が知っておくべき基本情報」―
―第2回「デジタルフォレンジック調査の流れと費用とは？」―

Security NEWS TOPに戻る
バックナンバー TOPに戻る

Security NEWS TOPに戻る
バックナンバー TOPに戻る

「脆弱性（ぜいじゃくせい）」という言葉を見かけても、正確な読み方や意味を知らない方も多いかもしれません。特にITやセキュリティの分野ではよく使われる専門用語ですが、近年では一般的なニュースや記事でも登場するようになってきました。この記事では、「脆弱性　読み方」をはじめ、「脆弱性」の意味、使い方、ビジネスやセキュリティでの重要性について、わかりやすく解説します。

「脆弱性」の読み方は？

「脆弱性」は「ぜいじゃくせい」と読みます。

「脆」（ぜい）：もろい、こわれやすいという意味
「弱」（じゃく）：よわい、力が足りないという意味
「性」（せい）：性質や特徴を示します

つまり、「脆弱性」とは「もろくて弱い性質」という意味を持ちます。

「脆弱性」の意味とは？

脆弱性は英語で「Vulnerability」（「攻撃を受けやすいこと」の意）といいます。脆弱性とは、不正アクセスやコンピュータウイルスなどの攻撃により、その機能や性能を損なう原因となり得るセキュリティ上の問題箇所のことです。

IT分野では、システムやソフトウェアに存在するセキュリティ上の弱点を意味します。たとえば、プログラムの不備や設定ミスなどにより、外部から不正アクセスを許してしまうような状態が「脆弱性」です。

脆弱性の多くは、「プログラムの設計ミスやコーディングミスなどによるバグ」になります。バグが存在せず正しく動作するプログラムやWebアプリケーションであっても、設計者が想定しないやり方で機能が悪用され、 結果としてサイバー攻撃が成立する場合には、その「悪用されうる機能設計」が脆弱性とみなされます。

脆弱性を悪用した攻撃の事例とその後の企業の対応について

脆弱性への対応を怠り社長が辞任に追い込まれたケースも

脆弱性への対応を誤ることは、しばしば事業の運営に甚大な影響をもたらします。典型的な事例をご紹介しましょう。2017年、クレジットカード等の与信に関わるアメリカの大手消費者情報調査会社がサイバー攻撃を受け、自社で保有していた4億件の個人の信用情報の約3分の1にあたる、1億4,000万件もの情報が盗まれました。この攻撃は、Webアプリケーションの開発フレームワークであるApache Strutsの脆弱性を、脆弱性情報とパッチの公開後速やかに修正できなかったことに起因するものです。

攻撃の端緒となった脆弱性に対しては、2017年3月にパッチや対策方法が公開されました。会社側では公開を受けて修正を図ったものの、組織体制の不備等もあいまって修正は不完全な形となり、結果、システムへの不正アクセスを許すことになりました。さらに、攻撃は同年5月から確認されていたにもかかわらず同社が事件を公表したのは9月。4か月もの間事態が公表されなかったことが大きな批判を浴び、CEOなど一部の幹部は辞任に追い込まれ、格付けも引き下げられたのです。脆弱性が引き金となり、このように甚大な影響がもたらされることは少なくないのです。

脆弱性を悪用したセキュリティ事故は日々発生しています。
SQAT.jpでは以下の記事でも取り上げていますので、ぜひあわせてご参考ください。

●　「定期的な脆弱性診断でシステムを守ろう！-放置された脆弱性のリスクと対処方法-」
●　「備えあれば憂いなし！サイバー保険の利活用」

脆弱性情報はWebサイトでチェックできる

脆弱性は、さまざまなソフトウェアやプラットフォームで日々発見されています。そうした情報は、多くの場合、ソフトウェアやプラットフォーム提供元のWebサイトに掲載されます。
少なくとも、自組織で利用している主要なプラットフォームに関しては、緊急性が高い脆弱性が出現していないかどうかを、提供元のWebサイトで定期的にチェックするとよいでしょう。

JVNを利用した脆弱性情報の正確な情報収集と活用法

一般社団法人JPCERTコーディネーションセンターとIPA（独立行政法人情報処理推進機構）では、公表された脆弱性情報を収集して公開するサービス「JVN（Japan Vulnerability Notes）」を共同運営しています。日本で利用されている大半のソフトウェアの脆弱性の情報は、このサイトでチェックできます。

脆弱性情報ソースと活用

インシデントやゼロデイの発生情報については、セキュリティ専門のニュースサイト、セキュリティエバンジェリストのSNSなどからも情報をキャッチできます。

情報の裏取りとして、セキュリティベンダからの発表やtechブログ等を参照することもと重要となります。攻撃の影響範囲や危険度を確認するには、Exploitの有無を技術者のPoC検証ブログやNVD等で確認することも有効です。

「脆弱性」はサイバー攻撃の端緒となる

サイバー攻撃の数は年々増加し続けており、その手口は高度化・巧妙化しています。このため、あらゆる企業・組織がサイバー攻撃の脅威にさらされています。そして、そして残念ながら、多くのWebアプリケーションやシステムには脆弱性が存在している可能性があります。情報漏えいなどの被害をもたらすサイバー攻撃の多くは、この「脆弱性」を悪用して行われます。脆弱性の放置は、サイバー攻撃を誘発し、事業活動に甚大な影響を及ぼしかねません。

脆弱性を突かれた場合のリスク

悪意のある第三者によって脆弱性を突かれてしまった場合、問題箇所の悪用、コンピュータ内部データ（情報）の盗取・改竄・削除、また他のコンピュータへの同様の悪事が可能になります。その結果、不正アクセスや自動的に動作させるウイルスやボットに感染する恐れもあります。また、システムやサービス全体という視点からは、設定に関して何らかの誤りがある場合など、設定ミスが脆弱性とみなされます。たとえば、ポートの開放に関する設定、権限管理、AWSをはじめとするクラウドサービスの設定ミスがセキュリティ事故を招いた例は枚挙に暇がありません。

「脆弱性が多い」と言われるソフトウェアの傾向

脆弱性が数多く報告されているのは、一体どんなソフトウェアでしょう。ひとつ共通することは「ユーザが多い」ということです。たとえば、皆さんがこのサイトをご覧になっているWebブラウザ、そのWebブラウザが動作するMicrosoft WindowsなどのOS、ビジネスでよく使われるPDFファイルを扱うAdobe Acrobat、WebサーバソフトのApache、データベースアプリケーションのMySQLなどです。いずれも、全世界に膨大な数のユーザを持つソフトウェアであり、規模のインパクトという点から、攻撃者にとって極めて魅力的、いわば人気があるのです。かつ、このようなソフトウェアでは、開発元において、脆弱性を早期に発見し、修正プログラムの公開、所定機関への報告を迅速に行う必要性が高いことから、報告件数が当然ながら多くなる傾向がみられます。

わかりやすい例としては、オンライン会議ソフトのZoomがあります。Zoomでは、2020年になって脆弱性が次々と発見されていますが、そこには、新型コロナウイルス対策の一環でテレワーク化が進み、Zoom利用者が爆発的に増えたという背景があります。攻撃者の格好のターゲットになったことと、Zoomの脆弱性の増加は、連動した現象なのです。

ここまでの説明でお気づきかもしれませんが、「脆弱性が多く報告されている」ことは必ずしも「品質が悪い」ことを意味するのではありません。脆弱性が存在してもそのことが報告・公表されていなければ、「脆弱性がある」とは認知されないわけです。

なぜ「脆弱性対策」が重要なのか？

現代の企業活動において、ITシステムは欠かせない存在です。そのため、システムの脆弱性を放置することは、情報漏えいやサービス停止といった重大なリスクにつながります。サイバー攻撃の多くは、脆弱性を狙って行われます。つまり、脆弱性を特定・対処することが、企業の情報資産を守る第一歩なのです。

脆弱性対策の基本と企業での実践方法

脆弱性対策の基本的な考え方としては、システムの欠陥をつぶし、脆弱性を無くすこと（「攻撃の的」を無くすこと）が最も重要です。企業での実践方法としては以下の項目があげられます。

修正パッチの適用

衣服等の破れを補修する「継ぎ当て」や傷口に貼る「絆創膏」のことを英語で「パッチ（patch）」と言いますが、脆弱性を修正するプログラムも「パッチ」と呼ばれます。修正プログラムを適用することは「パッチをあてる」と言われたりします。パッチをあてることにより、システムに影響が及ぶ場合があります。適用にあたっては事前に調査を行い、必要に応じて十分な検証を実施してください。なお、自組織で開発したシステムに関しては、必ずテスト環境を用意し、パッチ適用による整合性チェックを行いましょう。

ソフトウェアやOSの定期的なアップデート

アップデートされた最新バージョンでは既知の脆弱性や不具合が修正されていますので、後回しにせずに更新を行うようにしてください。

セキュアプログラミングで脆弱性を作りこまない体制に

自組織で開発したソフトウェアやWebアプリケーション等の場合は、サービスが稼働する前の上流工程（開発段階）から、そもそも脆弱性を作り込まない体制を構築することが大切です。

また、テレワーク環境では、以上の項目に加え、クライアントサイドでのパッチ適用が適切に行われているかをチェックする体制を構築することも重要です。また、シャドーITの状況把握も厳格に実施する必要があります。

「IT部門が知らないサービスを勝手に利用され、結果として脆弱性の有無について未検証のクライアントソフトやブラウザプラグインが使われていた」という事態は防がねばなりません。

ツールを使って脆弱性を見つける

脆弱性を発見するためのソフトウェアは「チェックツール」「スキャンツール」「スキャナ」などと呼ばれます。以下に、代表的なものをご紹介しましょう。有償、無償のさまざまなツールが提供されていますので、機能や特徴を知り、ニーズに合致するものを試してみてはいかがでしょうか。

「脆弱性診断」サービスで自組織のソフトウェアの脆弱性を見つける

上記でご紹介したツールを使えば、脆弱性のチェックを自組織で行うことが可能です。しかし、前述の通り、「脆弱性が存在するのに報告されていない」ために情報がツールに実装されていないソフトウェアも数多くあります。また、一般に広く利用されているソフトウェアであれば次々に脆弱性が発見、公開されますが、自組織で開発したWebアプリケーションの場合は、外部に頼れる脆弱性ソースはありません。さらに、実施にあたっては相応の技術的知識が求められます。そこで検討したいのが脆弱性診断サービスの利用です。脆弱性の有無を確認するには、脆弱性診断が最も有効な手段です。

脆弱性診断サービスでは、システムを構成する多様なソフトウェアやWebアプリケーション、API、スマホアプリケーション、ネットワークなどに関し、広範な知識を持つ担当者が、セキュリティ上のベストプラクティス、システム独自の要件などを総合的に分析し、対象システムの脆弱性を評価します。組織からの依頼に応じて、「自組織で気付けていない脆弱性がないかどうか」を調べる目的のほか、「脆弱性に対して施した対策が充分に機能しているか」を検証する目的で実施することもできます。

対策が正常に機能しているかの検証を含めた確認には専門家の目線をいれることをおすすめしています。予防的にコントロールをするといった観点も含め、よりシステムを堅牢かしていくために脆弱性診断をご検討ください。

脆弱性との共存（？）を図るケースもある

最後に、診断で発見された脆弱性にパッチをあてることができないときの対処法をご紹介しましょう。

まず、「パッチを適用することで、現在稼働している重要なアプリケーションに不具合が起こることが事前検証の結果判明した」場合です。このようなケースでは、システムの安定稼働を優先し、あえてパッチをあてずに、その脆弱性への攻撃をブロックするセキュリティ機器を導入することで攻撃を防ぎます。セキュリティ機器によって「仮想的なパッチをあてる」という対策になるため、「バーチャルパッチ」とも呼ばれます。

また、脆弱性が発見されたのがミッションクリティカルなシステムではなく、ほとんど使われていない業務アプリであった場合は、脆弱性を修正するのではなく、そのアプリ自体の使用を停止することを検討できるでしょう。これは、運用によってリスクを回避する方法といえます。

なお、前項でご紹介した脆弱性診断サービスの利用は、脆弱性に対して以上のような回避策をとる場合にも、メリットがあるといえます。発見された脆弱性について、深刻度、悪用される危険性、システム全体への影響度といった、専門サービスならではのより詳細な分析結果にもとづいて、対処の意思決定を行えるためです。

まとめ

・サイバー攻撃の端緒となる脆弱性はプログラムの設計ミスなどによって生まれます。
・海外では脆弱性への対応を怠ったことで発生した情報漏えい事故で社長が辞任に追い込まれた事例もあります。
・脆弱性情報はベンダのWebサイトやJVNなどで公開されています。
・自組織のネットワークやソフトウェアなどの棚卸しを行い、それぞれのバージョンを把握しましょう。
・利用者が多いソフトウェアほど脆弱性が発見されます。必ずしも「脆弱性の報告数が多い＝品質が低い」というわけではありません。
・脆弱性診断サービスは、自組織で開発したWebアプリケーションなどの脆弱性を発見するのに有効です。

関連情報

●
脆弱性診断の必要性とは？ツールなど調査手法と進め方

●
2019年下半期 カテゴリ別脆弱性検出状況

Security NEWS TOPに戻る
バックナンバー TOPに戻る