開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

日本ヒューレット・パッカード株式会社(HPE)提供コンテンツ

  • スペシャル
  • 会員限定
  • 2018/01/23
ハードウェアレベルの保護が急務 2018年のサイバー攻撃はどうなる? 名和利男×HPE 緊急対談

2017年末、インテル、AMD、ARMといったプロセッサのアーキテクチャレベルの脆弱性が問題となった。攻撃の難易度は高いとはいえ、プロセッサベンダー、クラウドベンダーは対応に追われた。2018年、多くの製品にプロセッサが搭載され、ネットワークにつながるIoT時代は、アプリケーションやOSへの従来型の監視や対策では不十分であり、ハードウェアやプロセッサレベルの保護が急務と指摘する専門家も少なくない。


対談で見えてきた、これからの対策ポイント

 2017年末、サイバーディフェンス研究所 名和 利男氏、日本ヒューレット・パッカード(HPE) 及川 信一郎氏の対談を設定し、2017年のサイバーセキュリティの振り返りと2018年以降の動向について語っていただいた。対談で2名が共通して語っていたのは、ハードウェアや仮想化環境に対する防御だ。

 これらのセキュリティ対策は、導入後の対応も不可能ではないが相当困難なので、調達時に信頼のおける製品かどうかを見極める必要がある。昨年末から話題となったプロセッサのパイプライン処理、メモリ保護に関する脆弱性「Meltdown(メルトダウン)」や「Spectre(スペクター)」では、プロセッサ内のファームウェアであるマイクロコードの書き換えやOS側での対応が必要となり、一部ではパフォーマンスへの影響が懸念されている。そして、これらの対応は、アプリケーションやOSのセキュリティパッチ以上に手間がかかるため、エンドユーザーは従来通りの運用は困難になるだろう。

 エンドポイントの防御は、これまでの対策からがらりと変わりそうだ。

2017年のサイバー攻撃を総括する

──まず、2017年のサイバー攻撃の総括からお願いしたいと思います。名和さんは昨年1年のサイバー攻撃についてどのように分析されていますか。

photo
サイバーディフェンス研究所
専務理事 上級分析官
名和 利男氏
名和氏:キーワードとしては「ランサムウェア」が挙げられると思います。その使われ方には2種類あると思っています。1つはWannaCryやONIに代表される金銭目的のランサムウェアです。WannaCryは、米国政府機関(NSA:国家安全保障局)が開発したハッキングツールが流出して作られたといわれていますが、利用される目的はやはり金銭です。

 その一方でマスターブートレコード(MBR)を破壊するような亜種も作られています。このような破壊的攻撃は、身代金が目的というより、相手企業・国の業務に対する妨害行為、リソースに対する破壊活動が目的と見ています。

 WannaCryやONIといったランサムウェアの活動がこの1年で急激に広がった背景には、それを支えるブラックマーケットの存在があります。ブラックマーケットや一般の人には検索しにくいディープウェブの世界で、ランサムウェアの形態や活動が深化しているのです。年末に14億件規模の認証情報がインターネットで検索できる状態になった事件が起きていますが、ディープウェブでの活動が徐々にサーフェスウェブ(SNSなど)に移行している点も注意が必要です。

──近年は、国家規模でもサイバー攻撃がよく取り沙汰されますね。

名和氏:破壊的攻撃で問題なのは、安全保障にもかかわる場合があるからです。米国の国家安全保障省は、WannaCryの活動に北朝鮮が関与していると述べています。日本でも官房長官が同様な見解を発表していますが、イスラエルや韓国の研究機関も同様な分析をしているので、信憑性は高いと思います。

 気になるのは、日本の行政機関が「基幹システムのクラウド化」を推進していることです。米国もシステムのクラウド化を進めているので、オープンプラットフォームの利用は広がっていくでしょう。このように、分散化していたものを一元化していくことで、データ利用や計算処理を不能状態にさせる破壊型攻撃のリスクが高まっていくと思います。

 また、これまでの行政機関の取り組みにより、システムのセキュリティが高くなってきたため、攻撃者にとっては難易度のある標的となりました。そのため、相対的に攻撃を成功させやすい「行政機関と関係性の深い民間企業」が狙われるようになっています。行政機関は、システムの調達先および委託先となる民間企業と連携した取り組みが必要です。

──及川さんは2017年をどのように分析されていますか。

この続きは会員限定です

ここから先は「ビジネス+IT」の会員の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!