「AI攻撃は人の100倍速」、日本ハッカー協会 代表に聞くパッチ当てを自動化すべき理由(2/3)

予算があっても被害に遭う企業の共通点

　予算も人員も整っているのに、被害を受ける企業がある。その差は何か。杉浦氏が挙げるのは、考え方が前年のまま止まっている点だ。

　杉浦氏によると、前年までは、セキュリティ会社に脆弱性診断を頼めば、中程度のレベルの結果が返ってきた。それで十分だった。ところが、今は事情が違う。

「今は中程度のレベルではもういらなくて、トップクラスの人がやるか、AIがやるかのどちらかなんです」（杉浦氏）

　トップクラスの人材を確保するのは難しい。となれば現実的な選択肢はAIによる診断だが、診断を提供するセキュリティベンダーの側も、AI診断の体制がまだ整っていないところが多い。結果として、先進的な企業しか対応できていないと、杉浦氏は指摘する。

　杉浦氏が攻撃されやすい企業の条件として挙げるのは、個人情報を大量に抱え、DX（デジタル技術で業務を変えること）を外部に丸投げし、セキュリティをあまり考えずに進めてきた企業だ。公開されている情報も多く、狙われやすいという。

　外注先に任せていれば安心とも言い切れない。脆弱性診断は、素人には業者の実力が見分けにくい。その上、AIの登場で「平均レベルの診断」の価値が薄れた。

「値段だけで選んでしまったら、本当に全部だめだと思います」（杉浦氏）

　開発を外注している企業は、特に厳しい状況にあるという。AIによる診断は、開発の現場なら比較的簡単に取り入れられる。自社で開発に関われているかどうかが、分かれ目になりつつある。

　ここで、読者の皆さんの会社に当てはめてみてほしい。システムの中身を、自分たちで説明できるだろうか。

最優先はVPN、次に仮想化基盤、認証情報

　弱点は無数にあるが、杉浦氏は優先順位をはっきり示す。

「VPNは絶対に対策が必要です。VPNの有無は外部からでも分かってしまうので、まず最優先です。すぐ攻撃されます」（杉浦氏）

　VPN（仮想プライベートネットワーク）とは、社外から社内ネットワークへ安全につなぐための仕組みのことだ。杉浦氏は、インターネットから接続できるVPN機器への対応を最優先に挙げる。

　次に注意すべきは、VMware ESXi（1台の物理サーバを複数の仮想サーバに分けて使うための基盤ソフト）だ。侵入された後の被害が極めて大きい。

「ESXiは入られた後に、企業がなくなるぐらいのダメージを受けるので、できる限り早めに対応しないと非常にまずいです」（杉浦氏）

　対策が難しい点も隠さない。更新しにくく、更新の対象も多い。抜本的な対策はあるのかと問うと、「あってほしいよね、という感じです」と率直に答えた。この取材の前日にも、新たな未対策の弱点（ゼロデイ）が報じられていたという。

　それでも、今できることはある。VPNから仮想化基盤の管理画面に入れないようにすることだ。

「一般ユーザーから入ってしまうと、やはりだめなので。理想は完全にローカルネットワークですが、それがかなわないなら、専用のVPNを別に用意して、脆弱性の少ないものを使ってほしい」（杉浦氏）

　リモートワークに影響が出る可能性はある。それでも、管理用の入り口を一般の経路から切り離すことは見直せるはずだと、杉浦氏は強調する。

　3つ目の認証情報では、インフォスティーラー（パソコンからIDやパスワードなどを盗むウイルス）が問題になる。杉浦氏の肌感覚では、およそ3000人に1人が情報を盗まれている。ユーザー数の多い組織では、そのうち何人かが感染し、ログインされた状態でシステムに入られてしまうリスクがあるという。

　とりわけ危険なのは、侵入されると多くの情報が抜けてしまう、守りの弱い社内システムが、外に公開されているケースだ。ログインされた後でも被害を抑える設計が欠かせない。 【次ページ】パッチ当ては自動化、鍵はテストにある