昨今、ネット通販サイトやSNS、各種ネットサービスにおいて、IDやパスワード、アカウント登録情報の漏えいが相次いでいる。LexisNexis社によれば、米1030社のEC事業者を対象に実施した調査で、売上の0.54％が不正取引に該当するという。

　今回RSAが新たに発表した製品「RSA Silver Tail」は、サイト利用者全体の膨大なアクセスデータや遷移データを用いて、大多数の正規利用者によるサイト内の行動遷移から大きく外れる行動や普段の行動でみられない動きを検知するセキュリティソフトウェア製品。2012年10月に同社が買収したSilver Tail Systemsの製品となる。

　RSA Silver Tailが具体的に検知するための指標になるのは、ユーザーのこれまでの履歴（被害履歴など）、接続デバイスのリスク、セッション情報、ページの遷移情報、ページのアクセス時間や滞在時間、普段の動作との違いなど。これらを複合的に見て不正なユーザーかどうかを判断する。不正利用者は、「複数のIDを同一IPで使用する」「短時間に大量の商品を購入する」など、正規利用者とは異なる特徴があるという。

　こうした製品が要求される背景について、EMCジャパン RSA事業本部 本部長 宮園充氏は、ECサイトに対する攻撃が相次いでいることを説明。「オンラインバンキングでは、不正送金も増えてきている。8月初旬ぐらいで4億円相当の不正送金があり、過去最大だった一昨年の水準を既に超えている」と説明した。

　また、昨今被害が相次ぐ「パスワードリスト攻撃」についても言及。この攻撃は、不正に入手したIDとパスワードを使って、他のサイトに同じIDとパスワードの組み合わせでアクセスしようとする行為のこと。消費者が同じIDとパスワードを使いまわししていることが原因だが、「消費者に完全に違うIDとパスワードを要求することは難しい」（宮園氏）こと、そして不正なアクセスながら正しいIDとパスワードの組み合わせでアクセスしてくるため、これまで対応策が打ちにくい状況だった。

　こうした攻撃トレンドは米国でも起きているという。米EMC RSAのIT脅威ストラテジストで、本製品などを活用し、同社のセキュリティを担当しているエリック・トンプソン氏は「かつてはユーザーエージェントやIPアドレスで特定できた。現在は静的なIPアドレスからダイナミックになってきているので、アクセスする人間が特定しにくい」と説明する。

　企業ネットワークとインターネットの間の境界線も、現在はクラウドの世界に入ってきているほか、端末も多様化している。またOAuthのように認証を外部に委ねるケースもある。トンプソン氏は、オンラインバンキングからの不正送金や不正搾取が行われている実態や、ロシアのある企業がDDoS攻撃を競合企業に行って、業務不能に追い込んだ事件などを紹介。Webサービスの継続性やセキュリティの重要性が以前よりさらに増していると説明した。

　RSA Silver Tailは、ユーザーのWeb上の各種ステータス情報からリスクベースのアプローチを行うことができるため、「階層化したセキュリティ対策において非常に補完的な能力を持っている製品」と評した。

　実際にRSA Silver Tailでパスワードリスト攻撃を検知した場合、まず管理者に通知メールが来る。ダッシュボードにアクセスすると、攻撃検知アラートがあがっていることがわかる。そこからドリルダウンすると、同一IPから複数のユーザーIDを使ってアクセスを試みようとしている動きが見て取れたり、途中でログインに成功している状況がわかる。


　そのほかにも、自作自演による大量商品購入や高評価コメントを入力し、不正にショップレーティングを引き上げようとする動きなども検知できる。

　日本市場での展開について、RSA事業本部 マーケティング部部長の水村明博氏は、「まずはECサイト事業者、オンラインバンキング、オンライン証券事業者などをターゲットに、今後2年で30社程度の販売を目指す」と説明。

　参考価格は会員数10万人で2,920万円（保守・消費税別）。価格は対象サイトの会員数で決まる。「ユーザーにひもづく製品のためトラフィックの量ではなく、ユーザー数課金のほうが適切だと判断した」（トンプソン氏）という。ソフトウェアで提供され、Cent OSやRed Hat Enterprise Linuxで動作する。

　発表会の最後に、トンプソン氏は本製品がマーケティング分野でも活用されていると説明した。クリックストリーミングをすべて収集するため、「競合企業の人間が価格サイトを頻繁に訪れていたことがわかったり、一般利用者が当初想定していなかった遷移で利用していたことがわかってサイト改善に活かした例もある」という。RSA Silver Tailでリアルタイムに収集するこれらのビッグデータは他のマーケティングツールなどでも利用できる。