開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

EMCジャパン株式会社RSA提供コンテンツ

  • スペシャル
  • 会員限定
  • 2014/02/27

Webの不正アクセス被害、情報漏えいだけが問題ではない

企業のWebサイトを狙った攻撃が後を絶たない。個人情報やクレジットカード情報を扱う企業、しかも名前の知られた著名企業においても、こうした漏えい事件が頻発している。金融機関やネット通販サイトにとって、個人情報やクレジットカード情報を保有できるかどうかは競争力の源泉とも言うべきもの。顧客との信頼があって、初めて預かることができるものだ。しかし、それが一度漏えいしてしまえば、経済的な被害を補填する可能性があるだけでなく、その顧客は二度と自社サイトを利用してくれないだろう。こうした情報漏えいの問題は、これまでも言い古されてきたことではあるが、Webの担当者はそれ以外の問題にも頭を抱えている。

情報漏えいだけが問題ではない

photo
F5ネットワークスジャパン
シニアソリューション
マーケティングマネージャ
帆士 敏博 氏
photo
EMCジャパン
RSA事業本部
事業推進部
シニアビジネスデベロップメント
マネージャー
花村 実 氏
 日本ネットワークセキュリティ協会(JNSA)が発表した2013年のセキュリティ十大ニュースによれば、Web関連のトピックが数多くランクインしていることがわかる。たとえば、「第5位 アカウントリスト型ハッキング」「第6位 Webサイト改ざんの多発」などがそうだ。

 また、第2位の「韓国へのサイバーテロ攻撃」は、韓国企業のWebサイトやインターネットバンキングなどが狙われ、取引停止に追い詰められた事件のことだ。これもWebが絡んでおり、隣国とはいえ決して対岸の火事ではない事件だった。

 Webを中心にビジネスを展開するインターネット銀行や証券、オンラインショッピングなどを運営する企業にとって、こうした脅威から自サイトを守ることは、まさに自社の生命線である。しかし、多くの企業の対策は、十分ではないとF5ネットワークスジャパンの帆士敏博氏は指摘する。

「多くの日本企業は、現在の対策で十分だと考えているようです。確かに、金融やEコマース系の企業であれば、ファイアウォール、IPS/IDSなどの仕組みはすでに多くの企業が導入しているでしょう。しかし、SQLインジェクションやクロスサイトスクリプティングといったアプリケーションレイヤーの攻撃への対策はまだまだ十分とはいえません。一方で、サイバー攻撃は猛威をふるっており、Webページを公開すれば、即座に不正アクセスが検知でき、その回数・頻度も以前とは比べものにならないほど増えています」(帆士氏)

 さらに、企業のWeb担当者が頭を抱えているのは、こうしたシステムの問題点を突いた攻撃や不正アクセスによる情報漏えいの問題にとどまらない点だ。EMCジャパン RSA事業本部の花村実氏は次のように説明する。

「企業のWeb担当者にとって、セキュリティの問題はWebサービスを取り巻くいくつかある問題の1つに過ぎません。実際は、犯罪者がWeb上で不正操作して利益を得たり、犯罪に悪用するケースがあり、こうした問題にも目を光らせる必要があるのです。たとえばオンラインバンクの不正送金、ネット通販サイトでのキャンペーンコードの不正利用、不審な売買行為、あるいは競合他社からの不審なアクセス……等々。こうした不正アクセスにも注意を払い、場合によってはアクセスを制限する処置をとらなければなりません」(花村氏)

 先のJNSAのランキングでも「第10位 インターネットバンキングの不正送金」が入っている。しかし、明らかな攻撃とは異なり、システム手続き上は正しい挙動でも、悪意ある行為(ビジネスロジックの悪用※1など)は、担当者が極めて気づきにくい。技術的にもビジネス的にも止めることが難しくなっているWebの不正アクセスに対して、どのような対策をとればよいのだろうか。

※1 ビジネスロジックの悪用:ECサイトで自身の評価を上げるために自作自演で高評価を付けたり、本来1度しか使えないクーポンをバグを利用して何度も利用したりといった、Webサービス提供者が意図しない操作による、不正な利益窃取のこと

この記事の続き >>
●異常の検知・アクセス制御の精度を高める
●不正アクセスの遮断処理を自動化、運用負荷を低減する

この続きは会員限定です

ここから先は「ビジネス+IT」の会員の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!