AOSデータ株式会社は、サイバーリスク診断サービス「アタックサーフェスアナリティクスサービス」の提供を開始した。
攻撃の糸口になってしまう企業のデジタル資産や、攻撃のヒントになる漏洩情報などのサイバーリスクを、ハッカーの視点で診断するサービスで、表面化していないシステムの脆弱性や、データ侵害などのデジタルリスクを可視化できる。同サービスは、外部脅威情勢管理プラットフォームを提供するサイファーマとの協業によって提供する。
AOSデータ代表取締役社長の春山洋氏は、「AOSデータは、証拠調査を行うフォレンジックサービスなど、インシデントの発生後の調査を主体にビジネスを行ってきたが、インシデントが起こる前のサービスを新たに提供する。これによって、予防と事後対応できるようになり、企業のデジタル資産を守ることができる」とした。
AOSデータ 代表取締役社長の春山洋氏
また、サイファーマの佐野健一氏（プリセールスディレクター）は、「DXや在宅ワークにより外部に公開されるシステムやデータが増えたことで、IT部門やセキュリティ部門が認識しきれていない危険にさらされた企業のデジタル資産が増大している。攻撃者の視点で自社を見てみた外部攻撃対象領域管理が必要である」と指摘した。
サイファーマ プリセールスディレクターの佐野健一氏
「攻撃者を知ることと、攻撃者から見た自分を知ることが大切」
アタックサーフェスアナリティクスサービスは、次の4つの診断サービスで構成される。ドメインを登録するだけで、外部から見た自社の攻撃対象領域やリスクの抽出が可能になり、診断結果はレポートとして提供される。料金は70万円からとなっている。
- 攻撃対象領域の把握：ドメインやサブドメイン、IPアドレス、ソフトウェアバージョンや脆弱性など、攻撃者に知られる可能性があるクライアントの資産を特定する
- 露出されている脆弱性の把握：登録したドメインにもとづいて、潜在的なセキュリティ侵害を起こす可能性がある資産の脆弱性リストを表示する
- 証明書の把握：ドメインやサブドメインに使用されている証明書の状況を表示する
- 漏洩したユーザー情報を把握：漏洩したメールアドレスやパスワード情報を調査する
アタックサーフェスアナリティクスサービスによる対策方法
佐野氏は、「攻撃者を知ることと、攻撃者から見た自分を知ることが大切である。今回のサービスは、攻撃者から見える自組織のリスクを把握するものであり、外部からアクセス可能なシステムや、存在する脆弱性、外部情報をもとにした類似ドメインや偽装ドメイン、類似SNSアカウントの把握などが可能になる」と述べた。
サイファーマは、シンガポールに本社を置くCYFIRMAの日本法人で、インドや米国、欧州にもオフィスを展開している。クラウドベースのAIとMLを搭載した分析プラットフォームにより、外部の脅威情勢に関する洞察を行い、攻撃者から見た視点を提供することで、攻撃への対策を支援する。日本では、大手製造業、金融サービス、インフラ事業者、商社、消費財メーカーなどがサービスを利用しているという。
サイファーマが提供するサービス
攻撃者視点によるチェックで、多様化する攻撃手段への対策を
佐野氏は、「感染経路はメールの添付ファイルだけではなく、むしろ、それ以外からの感染が多いのが実態である。また、ランサムウェアは、情報窃取や暗号化は結果に過ぎず、あらゆる手段を使って侵入されたあとに発生するものである。セキュリティ対策では、どこから侵入されるか分からないため、多層での検知、防御を行っているが、初期侵入される前の偵察や開発段階は、いまのセキュリティツールでは対応できない」とした。
ランサムウェアの感染経路として、メールの添付ファイルが主であったのは過去、現在はリモートデスクトップやVPNなども利用される
また、「攻撃者は、ドメインに紐づいて、外部に公開されているシステムを容易に特定でき、古いバージョンを使っていることが分かれば、既知の脆弱性をもとに攻撃が可能になる。攻撃者にとって、VPNやウェブサーバーなどの外部に公開されているシステム情報は収集しやすく、侵入に活用できる。全てのシステムの存在を組織で把握すること、外部から見た状態がどうなっているのかを把握しておくことが必要である」と述べた。
攻撃手順のイメージ
ハッカー（攻撃者）視点で見る攻撃対象を見るイメージ
外部に公開されているデジタル資産を把握したり、終了したはずのシステムが稼働していないことや開いているポートがないことを確認したりするほか、OSやソフトウェアの状況確認、外部サービスから漏洩したメールアドレスの把握などを行い、攻撃者視点から「おいしい」と思われない対策が必要だと警鐘を鳴らす。
さらに森田氏は、「定期的な健康診断と同じように、アタックサーフェスアナリティクスサービスを利用してもらい、その結果をもとに、必要に応じて、標的型攻撃メール訓練などの社内教育、統合ログ分析などのソリューション、ファイヤウォールやUTMなどのプロダクト、EDRやSOCといった監視、運用サービスを利用してもらいたい。競合するセキュリティ関連企業同士が連携することが重要である」とした。
アタックサーフェスアナリティクスサービスと関連するサービス
AOSデータでは、今回発表した現状把握を行うアタックサーフェスアナリティクスサービスに加えて、セキュリティ調査とツール選定を行うセキュリティコンサルティング、深層学習のセキュリティソフトによるマルウェア対策、有事に備えるためのフォレンジック対策、ファイル単位でデータの世代管理を行うデータバックアップの各サービスを提供。トータルでのセキュリティ対策を提案できるとしている。
AOSデータが提供するセキュリティ対策サービス群
