国家的なサイバー攻撃への意識

国家主導型サイバー攻撃

国家支援／主導型と呼ばれる、国家によるサイバー攻撃が増えています。
企業が対象となる国家的な攻撃も増えており、対策の必要に迫られていると語るのは、イスラエルのサイバー研究センターCSO。
国家的な攻撃にどのように備えていくべきなのか、Harel博士の意見記事をご紹介します。

企業における組織的なサイバーセキュリティ戦略の再考

Blavantnik学際サイバー研究センターのCSOであるYaniv Harel博士は、「営利企業がこのような攻撃を経験したという事実は、国家レベルの攻撃を対処すべき脅威の1つとして含める必要はないという仮定に疑問を投げかけている」と述べています。

サイバーセキュリティ戦略は、組織が対処しようとするリスクの定義と、それぞれのリスクに対して組織がどの程度対処する計画なのかに基づいています。
これらの定義と、ビジネスやオペレーションの属性に基づいて、組織は、コンセプト、テクノロジー、適切な人材、方法論、インシデント対応計画、保険加入などを含むサイバーセキュリティ・プログラムを作成します。
どのリスクに対処するかを決定することと同じくらい重要なことは、どのリスクに対処しないかを決定することです。長年にわたり、ほとんどの組織は、国家による攻撃を防衛プログラムに含めないという計算された決定を下してきました。

国家攻撃者は、攻撃による金銭的利益とは無関係に単一のターゲットに集中し、複雑な一連の行動を計画し、ユニークで破壊的なタイプのマルウェアを使用するという特徴を持ちます。
このような攻撃者は、通常、高度な制御能力を備えたバックエンドのオペレーションを持ち、さらに、様々な情報源を用いて活動を支援しています。

脅威の主体は、個人攻撃者、サイバー犯罪グループ、国家攻撃者の3つのグループに分けられるのが一般的です。最近では、世界中の組織が何百万ドルもの予算をサイバーセキュリティに割り当てており、大企業では数千万ドル、数億ドルに達する予算が組まれています。
予算計画の一環として、組織は、定義されたリスクから身を守るために、優先順位と選択するソリューションを特定します。例えば、重要なインフラを持つ企業は、教育機関とは異なるソリューションを導入することになるでしょう。

予算は有限であるため、組織は投資に優先順位をつける必要があり、多くの場合、国家攻撃に対するソリューションを除外することにしています。
セキュリティ・リーダーとしては、組織に襲いかかる可能性のある典型的な攻撃は何か、そして組織をターゲットとして選ぶ可能性が最も高い攻撃者は誰なのかを判断する必要があります。
CISO/CSOはこのように発言することで知られています。「もしある国が私たちを攻撃すると決めたら、これは私たちが対処できないシナリオであり、私たちは経営陣とこのことを承認しています。」
このような発言は、国家レベルの脅威に対する解決策はより複雑で、より高度な専門知識を必要とするという前提のもとになされるものです。

また、国家機関は通常、民間企業ではなく政府機関を標的にするという通説があります。政府機関は情報収集のための典型的なターゲットであり、それがエスカレートすると攻撃目標になります。
これは、情報機関や軍事分野において、長年にわたり事実でした。

近年、私たちは、事業体が関心を持つべき変化を観察しています。SolarWindsに始まったサプライチェーン攻撃は、国家による手法をビジネスの場に持ち込んだのです。
正規のプラットフォームを介して企業へのアクセスを可能にする複雑なインフラを構築し、それを攻撃対象として選択するというのは、国家レベルの手法として重要な意味を持ちます。
したがって、数カ月後にKaseyaの攻撃が同様の手法を採用し、今度はITマネジメントプラットフォームではなく、マネージドセキュリティプラットフォームを活用したことは驚くことではありません。

ここ数カ月の間に暴露されたいくつかの具体的な事例では、国家的な行為者の方法論として、グループがインフラストラクチャを構築し、強力なコンポーネントを使用するために幅広い努力を払っていることが説明されています。
例えば、Signiaのチームが暴露したPraying Mantisでは、攻撃者はゼロデイマルウェアを洗練された方法で使用していました。
さらに、高度な監視・検知技術を認識しながらも、攻撃ツールへの散発的なコマンド＆コントロールチャネルを開発し、一般的なサイバーセキュリティ検知システムに対してより高い耐性を持たせています。

営利企業がこのような攻撃を経験しているという事実は、国家レベルの攻撃を対処すべき脅威の1つとして含める必要がないという前提に疑問を投げかけています。
商業企業を標的にした国家主体が相手なのか、国家クラスの攻撃配列を達成したサイバー犯罪組織が相手なのか、という問題は重要ではありません。
重要なのは、そこから生じる結論です。共通の前提を再考し、新たな視点から異なる優先順位や計画が生まれるかもしれません。

当団体について

日本とイスラエルを結ぶインキュベーション支援事業をワンストップにて提供しております。
スタートアップやベンチャー企業、また、当研究所からしかご紹介することが出来ないビッグプロジェクトのマッチング、紹介、参画募集や代理店募集など、すべて直付の紹介を行っております。

当団体からご紹介できるセキュリティサービス一覧はこちらから