見えづらい…サイバー攻撃者の最新手口　ハッカーはいとも簡単に資格情報を得ていた

ようこそゲストさん

ビジネス+ITを始める

ITと経営の融合でビジネスの課題を解決する

ビジネス＋ITとは？

ログイン

新規会員登録

閉じる

記事をお気に入りリストに登録することができます。

組織の情報セキュリティが機能しているかどうか、攻撃者と同様の手法で侵入を試みるのが「ペネトレーションテスト」だ。各種環境へのさまざまな侵入口があるため、明確な意図・目的を持った攻撃者の執拗（しつよう）な攻撃から組織が守れるかどうかを検証することの重要性は高い。ハッキング技術に精通し、企業などに各種セキュリティトレーニングなどを提供するトライコーダの代表取締役上野宣氏に、ペネトレーションテストを踏まえた効果的なサイバー攻撃対策について、話を聞いた。

サイバー攻撃者は、明確な意図と目的を持ってターゲットに接近

　上野氏は、奈良先端科学技術大学院大学で情報セキュリティを専攻し、2006年にトライコーダを設立して以来、数多くの企業に対してペネトレーションテストやサイバーセキュリティのトレーニングを提供してきた。また、WebアプリケーションセキュリティのコミュニティであるOWASP（Open Worldwide Application Security Project）の日本の代表や、ScanNetSecurity編集長、複数のサイバーセキュリティ企業の社外取締役、日本ハッカー協会理事などを務める業界屈指の専門家だ。

　上野氏によれば、近年のサイバー攻撃は、攻撃者が明確な意図と目的を持っているという。10年ほど前までは、コンピュータウイルスを拡散し社会に影響を与えようとする「ばらまき型」の攻撃者が主流だったが、最近は特定のターゲットに向けてカスタマイズした攻撃が増えている。たとえば、特定の企業・組織の情報を窃取したり、ランサムウェアを仕掛けて身代金を要求したりするなどだ。攻撃者も個人だけでなく組織的、国家的な場合もある。

　サイバー攻撃者は高度なコンピュータ知識や技術力を持つイメージがあるが、それだけではなく心理的な隙や行動のミスに漬け込んでだますテクニック「ソーシャルエンジニアリング」の手法も使う。

　以降では、ペネトレーションテストで実施するさまざまな環境への侵入の手口と、攻撃への心構えなどについて、上野氏が解説する。

この記事の続き＞＞
・対策に自信がある企業こそ、ペネトレーションテストが効果的
・境界型セキュリティを破って侵入する攻撃者の振る舞い
・グーグルでも8年、ゼロトラスト移行のための長い3つのフェーズ
・攻撃の防御と起きている攻撃を発見するために必要なこと