アタック・サーフェスを考える

近年、アタック・サーフェス(Attack Surface)という概念が注目されています。アタック・サーフェスは、直訳すると攻撃領域、つまり何らかの攻撃の対象となり得る領域のことを指します。

ここ十数年、データセンターは大規模な変革を経験しています。これまで、企業はインフラを所有し、それに対して物理的、およびペリメーター(境界ネットワーク)・ベースの厳格なアクセス制御を行ってきました。旧来型のデータセンターはこのモデルに基づいて設計されています。そして、企業のセキュリティ戦略は、企業がネットワーク資産を所有しているという事実への、暗黙の信頼に基づいていました。このモデルでは、信頼できる内部ネットワーク機器と信頼できない外部ネットワーク機器の間にゲートウェイ・セキュリティ・アプライアンスを置く、「要塞守備」型のセキュリティ戦略が採られることになります。

このアプローチは、インフラ、アプリケーション、またアプリケーションに対するアクセスの種類、などが限定されていたある時期まではとても有効だったといえます。しかし、サーバー仮想化の波、クラウドコンピューティング、分散処理型・多層型アプリケーションの台頭は、インフラとデータセンターのありかたにまったく新しい視座をもたらしました。

米国の金融機関を対象とした調査では、ひとつの組織につき平均7,500の外部アクセスが可能なIT資産があり、またその60%が外部ネットワークにありました。外部ネットワークとと内部ネットワークが通信するアプリケーションもあり、ここでは「内部と外部を分けてその境界を守る」という要塞守備型の方法論そのものが通用しなくなっています。

IoT(Internet of things)が「すべてがつながるインターネット(Internet Of Everything)」へと発展しつつある今、アタックサーフェスは企業システムそのものの外へと拡大するものと予想されています。たとえば、2020年には一人が平均6.5台のインターネット接続デバイスを持つことになると予想されています。このようなアタック・サーフェスに対し、ネットワークレベル、ソフトウェアレベル、また最も厄介な人的レベルの攻撃がされることが予想されます。

ファイアウォール内の内部ネットワークもまたアタック・サーフェスと考えられます。内部ネットワークに侵入される可能性、また内部犯行の可能性もまた考慮する必要があります。今や、内部ネットワークもまた保護すべきアタック・サーフェスです。

このように、ネットワークの世界は大きな変革を経験しましたが、セキュリティ・モデルは大部分において変わっていません。境界ネットワークに焦点を当てた、静的なネットワークを想定したセキュリティモデルが依然として採用されています。

今後のセキュリティ対策を考える上で、まずアタック・サーフェスを減らすことが第一の課題となると考えられます。どのようなIT資産があり、攻撃対象はどれか、またそれにどのようなセキュリティホールがあるか、まず把握することが必要になるでしょう。その上で、無用な機能を無効にする、アクセス制御をする、暗号化など、適した対策をとっていくことになります。

OSINT(Open Source Intelligence)の手法を用いて攻撃者目線で収集した情報を評価、分析し、ご提供するサービスもございます。
ぜひSCT SECURE OSINT サービスの製品ページもご覧ください。