「脅威の総論」――仮想化による四次元攻撃、クラウドによる「犯罪基盤aaS」

「重要インフラ情報セキュリティフォーラム2010」レポート

　さる1月25日、「重要インフラ情報セキュリティ フォーラム2010」が開催された。その基調講演で、ラック 取締役執行役員 最高技術責任者の西本逸郎氏が「脅威の総論」 と題して、昨今の情報セキュリティの考え方や重要インフラでのアプローチなどについて、非常に示唆に富んだ内容の講演を行った。その模様をお伝えする。

重要インフラ情報セキュリティフォーラム2010

　さる1月25日、「重要インフラ情報セキュリティフォーラム2010」が開催された。近年のIT基盤の社会への浸透、グローバルな社会情勢の変動から、交通、電力、ガス、水道、医療など、いわゆる重要インフラへのセキュリティ対策の重要性があらためて注目されている。このフォーラムでは、これまで情報技術を利用しながら、どちらかと言うとクローズドな環境で独自技術を発展させていったと言える、重要インフラ分野へのセキュリティ対策とインシデント対応に関する情報共有や議論が行われた。

　その基調講演にて、ラック 取締役執行役員 最高技術責任者でありサイバーリスク総合研究所 特別研究員でもある西本逸郎氏が「脅威の総論」と題して、昨今の情報セキュリティの考え方や重要インフラでのアプローチなどについて、非常に示唆に富んだ内容の講演を行った。

ラック 取締役執行役員 最高技術責任者 西本逸郎氏

感染経路の分離が難しい昨今のホスティング事情

　西本氏は、最近印象に残った情報セキュリティインシデントの話題から講演を始めた。一つ目は、あるサービスプロバイダのIP-VPNでのウイルス感染の事例だ。異なる2社が同じプロバイダのIP-VPNを利用しているとし、1社がウイルスに感染すると、状況によってはB社にも感染が広がってしまうことがある。A社、B社からみればプロバイダの提供する回線は専用のプライベート回線に見えるが、実体は仮想的に分離された共有回線であり物理回線は共有している。そのため、このような事例でも完全な感染経路の分離は不可能であり、閉域網のつもりでいると、いわば四次元的な攻撃を受けてしまうそうだ。

VPNによる四次元攻撃の例

　また、現在、ホスティング会社では、仮想化によるサーバー統合が進められている。この場合、1社の仮想化サーバーがガンブラーに感染したとすると、リピータやスイッチの設定が適切でなければ、ネットワークカードなどを共有している同一物理ホスト内の仮想化サーバーのすべてが影響を受けてしまう。

ホスティングによる四次元攻撃の例

クラウドをトリガにしたITの新大航海時代

　以上の事例でポイントとなるのは「仮想化」というキーワードだ。これまで、サーバーの管理者はネットワークにおいてすべてを制御できる「神様」のような存在であり、サービス提供事業者の信頼性は極めて重要な項目であった。しかし現状は、アウトソース、XaaS、クラウドへと時代はシフトしていき、そのような認識は薄くなっていくとした。

　そして、仮想化、クラウドコンピューティングなど新しい技術や利用スタイルがもたらす新しい脅威が増えているにもかかわらず、企業は、コストカット、経費の流動化、事業の自由度などから、これらに対する期待を益々高めるばかりである。さらに、停滞する世界経済下において、各国の企業が内需依存から外需にシフトせざるをえない状況もでてきている。とりわけ新興国需要を含むグローバル市場戦略は不可欠となり、企業がクラウドをトリガとした世界的なサービスの覇権を新天地にめざす、いわば「新大航海時代」が始まろうとしている。

　このような動きは正規のビジネスだけでなく、アンダーグラウンド、つまり犯罪ビジネスにおいても同様であり、しかも犯罪市場の方がクラウド化が進んでいる現状さえあると付け加えた。攻撃者や犯罪者の中では、不正クラウドを提供する基盤、ボットネット、犯罪用クラウドサービス、正規クラウドサービスの悪用などの浸透が進んでいる。特に、正規クラウドサービスを犯罪に利用しても、証拠が残りにくいという犯罪者側のメリットがあるという問題点も指摘した。

新大航海時代の始まり。しかし、犯罪者も新しいクラウドの海にいち早く進出している

仮想化・クラウド時代に考えるべきセキュリティ対策

　以上のような状況を受けて、このような時代に考えるべきセキュリティとはどのようなものになるか、について述べた。それによると、「セキュリティには、機密性、完全性、可用性の3つの柱があるといわれている。これはビジネスにおいても通用することである。秘密が守られず、間違いが多く、融通の利かない企業はビジネスの世界では淘汰されていく。だとしたら、セキュリティはビジネスの信頼基盤であって、必要悪やコストセンターであってはならない」との意見だ。

　では、セキュリティ対策はどこまでやればいいのか。この質問に対しては、良いリーダーとは何かという命題に似ているとして、それに対するアプローチや正解が多様であるのと同じで、他人のまねをするだけでなく自分（自社）のスタイルを確立させることが重要だとした。自分のスタイルを確立するということは、自分にとっての「最悪」の事態を想定し、技術面だけでなく経営的な判断を含めて、適切な対応を選択できるようにするということだ。

　西本氏は、例えば、「ガンブラー事件」として話題になったサイト改ざんの事例では、有名企業のサイトが汚染されるという目に見えやすい被害がクローズアップされ、本当の脅威を間違えてとらえてしまい、正しい対策を行っていない可能性を指摘した。

ガンブラーにみる脅威と対策の不一致。サイト改ざんが目的ではなく、手段だとしたら、その対策は違ったアプローチが必要かもしれない

　最後に西本氏は、市場のルールが変わり、技術やサービスの平準化が進んだ現代では、特定の技術やサービスだけでは差別化は十分ではないと述べ、情報セキュリティという付加価値でグローバル展開を考えることが、重要インフラの分野でこそ求められる要件であるとして講演を終えた。