2018年にガートナーが発表した脆弱性評価のマーケットガイドでは、2008年から2017年までの期間で発見された脆弱性は年々増加しているものの、サイバー攻撃に悪用された脆弱性は累計でも8500程度にとどまっている。このことから、サイバー攻撃者は新たな脆弱性を悪用するわけではなく、自分たちが慣れている、類似した脆弱性を突く攻撃を繰り返す傾向にあることが分かる。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

出典：ガートナー

　ここで重要なのは、新たな脆弱性を次々と狙ってくるわけでないという“攻撃者の行動、考え方を理解する”ことだ。攻撃者の考え方を十分理解しておかないと、新たな脆弱性への対応ばかりを優先するあまり、効果的な防御が難しくなる場合も考えられる。攻撃者の行動、考え方を理解すればやるべきことが変わってくる。リスクアセスメントによって脆弱性を特定していくことは重要だが、同様に“敵を知ること”も大切だ。

攻撃者の行動理解に欠かせないダークウェブの存在

　では、自社に対する敵とは具体的にどんなものなのだろうか。これまで脆弱性への対策を進めてきた企業でも、一体何が敵なのかという主語が不明瞭なケースが多い。これでは、攻撃者としての敵がどんな目的で自社に攻撃を仕掛けているのか、どんな行動手法で侵入してくるのかを把握することは困難だろう。だからこそ敵を知る必要があるわけだ。

　一般的な攻撃者の行動は、まずは偵察・事前調査から始まり、攻撃に利用する脆弱性やツールの入手、そして侵入経路や手段を決めるといった武器化を行う。そして実際に侵入した上で攻撃を実施、システム内に仕掛けを施し、遠隔操作など仕掛けの活性化を実施した上で機密情報の入手など目的を実行するのが一般的な行動パターンだ。まずはこのような攻撃者の行動を理解することから始めたい。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

出典：ガートナー

　例えば初期の偵察・事前調査の段階では、ダークウェブなどに流通している攻撃対象企業の脅威情報を入手していき、その後の武器化につなげていく。ダークウェブ上には、社内システムで利用されている従業員のユーザーIDやパスワードをはじめ、従業員がFacebookやLinkedInなどのSNSで使用するユーザーIDやパスワード、システム情報、システム構成図、社内システムで利用するOS情報など、ありとあらゆる情報を見つけに行く。実は導入事例などに掲載されたシステム情報なども参考にしながら「どんなシステムを利用しているのか」「どんな環境にあるのか」といったことも見つけ出す。情報管理が徹底した企業は、内部環境が類推できるような事例を作らせないものだ。

　逆に言えば、ダークウェブなどに上記のような情報が存在しなければ、攻撃者は攻撃のしようがなく、情報が流通する別の企業に狙いを定めていくことになる。こうした観点からも、ダークウェブに自社の情報がどの程度流れているかの現状把握もしておきたいところだ。