この記事で分かること
- 情報が盗まれていなくても、自社の機器が他社への攻撃に使われることがある
- そのとき自社は、被害を受けた側ではなく、説明を求められる側に回る
- 何を確認し、どこから手をつければよいか
取引先から連絡が来たとき
「おたくの回線から、うちのシステムに攻撃が来ています」
こう連絡を受けたとき、まず疑うのは自社への侵入です。攻撃の発信元になっているなら、誰かが中に入り込んでいる。あるいは社内のどれかの端末が感染している。そう考えるのが自然です。次に来るのが、何を持っていかれたのかという心配になります。顧客の情報は無事か。しかし調べても、盗まれた形跡が見つからないことがあります。
情報は漏れていない。それでも、自社の機器が他社への攻撃に使われていた。IPAが継続して注意喚起しているORB（Operational Relay Box）化は、こういう事態を指します。
何が起きているのか
会社と外部のつなぎ目には、ネットワーク機器が置かれています。事務所があればルータやファイアウォール、社外から社内のシステムに入る仕組みがあればVPN機器。何が置かれているかは会社によって違いますが、共通しているのは常時インターネットにつながっていることです。同じことは家庭用のルータやIoT機器にも起こり、IPAは同じ日に別の注意喚起を出しています。在宅勤務がある会社では、そちらも視野に入ります。
こうした機器は外部と接する位置にあるぶん、開発元からも世界中の研究者からも、最も注意深く見られている部分です。深刻な脆弱性が相次いで公表されるのは、それだけ精査され、見つかるたびに修正が提供されているからでもあります。問題は、修正が出たあとも適用されないまま動き続ける機器が残ることです。攻撃者が狙うのはそこで、侵入したあとの目的も、社内の情報だけとは限りません。
乗っ取った機器を、別の組織を攻撃するための中継点として使います。これがORB化です。攻撃者から見れば、自分の居場所を隠したまま攻撃できる踏み台が手に入ることになります。
上図のとおり、相手に届いているのは、あなたの会社から出た通信です。その手前で何が起きたのかは、相手からは分かりません。説明する側に回るのは、このためです。
IPAは、この状態で起きうることを四つ挙げています。情報の窃取、ORB化、侵入拠点として長期に潜伏されること、そして信用失墜・訴訟・取引停止といった社会的・法的なリスクです。
情報漏えいとは、何が違うのか
情報漏えいであれば、被害者は自社と顧客です。謝罪と補償の相手も、そこで完結します。
ORB化は違います。加害の側に立たされるという点で、性質がまったく別です。自社に実害がなくても、攻撃を受けた組織には実害が出ています。取引先であれば、説明を求められます。
この違いは、備え方も変えます。情報漏えいへの備えは「守ること」が中心ですが、ORB化への備えには「気づけること」が要ります。盗まれたものがない以上、社内の被害からは発見できません。外から指摘されて初めて知る、という順序になりがちです。
外に面している機器を全部言えるか。この問いに即答できる組織は、実際にはそう多くありません。長く運用してきたネットワークほど、導入の経緯を知る人がいなくなった機器が残ります。攻撃を受けたかどうかを調べる前に、まずそこを埋める作業から始まります。
まず押さえておきたいこと
専門的な調査に入る前に、最低限そろえておきたい項目です。社内の担当者や委託先と一緒に確認してください。すでに手が打たれているものも多いはずなので、その場合はどこまでできているかを把握しておければ十分です。
インターネットに直接つながっている機器を、全部言えますか
把握できていない機器があれば、そこが最も危ない場所です。IPAはASM（外部から見える資産の把握）の活用を挙げています。
サポートが終わった機器は残っていませんか
修正プログラムが提供されない機器は、脆弱性が見つかっても直せません。更新するか、外すかの判断が要ります。
管理画面は、外から見える状態になっていませんか
設定用の画面が公開されたままになっている例は珍しくありません。不要なサービスやポートも同様です。
普段と違う通信に気づける仕組みはありますか
ORB化は、外向きの通信として現れます。ログを取っているか、取っていても誰かが見ているかは別の問題です。
何かあったとき、誰が判断して誰が連絡しますか
IPAは対策の一つとして、BCP・BCMを通じた危機管理体制と定期的な訓練を挙げています。機器の対策より先に決まっていないと、初動が止まります。
急がなくてよいこと、先延ばしにできないこと
すべての機器を今すぐ入れ替える必要はありません。まず把握し、危ない順に手を入れるほうが確実です。
専門の監視サービスを即座に契約する必要もありません。自社にとって必要かどうかは、守るべきものと体制が決まってから判断できます。
社内に専門家を置く必要も、今はありません。最初に要るのは、聞くべきことを聞ける状態です。
一方で、サポートが終わった機器は先延ばしができません。修正が提供されない以上、時間が経つほど不利になります。入れ替えるのか、外から届かない位置に移すのか、いずれ判断することになります。費用と時期が絡むので、現場だけで決められる話ではありません。
そして、確認して終わりにしないことです。いつまでに何をやるかを決めて、計画として持つ。そこまで持っていければ、あとは順に片づけていくだけになります。