本日、「変わるランサムウェア攻撃、企業の対策は追いついているか？ 〜外部公開資産、認証情報の悪用、データ窃取、バックアップ破壊への備え〜」というwebセミナーに参加しました。
現在、私はWebアプリケーションやプラットフォームの脆弱性診断に携わっています。
普段の業務では、与えられた診断対象に対して、どのような脆弱性があるのか、どこまで影響が及ぶのかを確認しています。
そんな中で今回、特に印象に残ったのが、攻撃者は診断対象として渡されたシステムだけを見るわけではないということでした。
攻撃の初期段階では、まず外部から見えるIT資産を偵察し、OSやソフトウェア、ポートなどの情報を集めながら、どこを攻撃対象にするか、どの手法を使うかを検討していきます。
その視点で考えると、管理側が存在を把握できていない古いWebサイトやサーバーも、攻撃者から見れば一つの「入口」になり得ます。
実際、資料の中でも、放置された古いキャンペーンサイトや既知の脆弱性が残った外部公開資産が、攻撃面として狙われる例が紹介されていました。
そこでつながったのが、ASMという考え方です。
ASMでは、外部公開資産を発見し、情報を集め、リスクを評価し、対策につなげるという流れで、攻撃面を継続的に管理していきます。
これまで私は、脆弱性診断という「対象を深く見る」視点を中心に学んできました。
今回のセミナーを通じて、それに加えて、
「そもそも攻撃者には何が見えているのか」
「どこが入口として選ばれるのか」
という、診断より前段の視点を持つことの重要性を実感しました。
脆弱性を一つ見つけることだけでなく、その弱点が攻撃者からどう見え、どのように攻撃の入口になり得るのかまで考える。
今後は、そうした視点も意識しながら、今の脆弱性診断の経験を深めていきたいと思います。
