CSA Japan Summit 2014 クラウド時代のセキュリティ～新しいリスクへの対応日本ヒューレット･パッカード株式会社テクノロジーコンサルティング統括本部藤田政士 / May 23, 2014 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. アジェンダ 1.クラウド時代のセキュリティ ◆ ◆ 新しいIT利用とクラウドクラウド時代のセキュリティ課題 2.セキュリティ戦略の重要性 ◆ ◆ 2 © Copyright 2014 クラウド時代のセキュリティ戦略経営課題としてのセキュリティ対応 3.新しい脅威への対応方法 ◆ ◆ リスク対応の見直し Proactiveなセキュリティ対応 4.まとめ ◆ ◆ Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 短期/中期/長期シナリオ包括的なセキュリティ対策 1.クラウド時代のセキュリティ © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 1.0 ITの利用方式の変革：拡がり続ける ITの利用企業の生産性向上から人の生活の向上、そして豊かな社会の実現に向けて変化 1960 1980 商用コンピュ―ターの進化企業での利用高度成長 4 © Copyright 2014  メインフレーム  オートメーション 2000 2020 New Style of IT PC・インターネット企業＋個人での利用便利な生活  E-コマース  リアルタイム Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 企業+個人+社会+機器次世代の社会  モビリティ  クラウド  ソーシャル  ビッグデータ 1.1 個人＋企業＋社会＋機器クラウドの必然性→Cloud Native Applicationの増加つながるものの多さ (通信の増大→Internetとの親和性) ◆ ◆ ◆ いつでも、どこでも、個々人が利用 (Smart Device) 通信能力の向上、通信コストの低下 M2M (Machine to Machine)、IoT (Internet of Things) データ量の多さ (データの爆発→拡張性のあるリソース) ◆ 個人 x 機器 x サービス (PC：3億台、Smart Device 10憶台、センサ100億～) ■ 膨大なデータ(Big Data：2.5エクサ・バイト/Day、40ヶ月で倍) サービスの多様化 (サービス競争 →頻繁な新サービス導入) ◆ ◆ 5 © Copyright 2014 各種アプリ/ゲームソーシャル・サービス、オープン・データ Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 1.2 クラウド時代のセキュリティ IT利用の拡大(機器・場所・時間・目的)→セキュリティ・リスクの増大果てしなく続く攻撃 ◆ なくならない脆弱性 ■ ◆ ■ 愉快犯から国レベルの攻撃者年間8000件超の新たな脆弱性報告 (公式報告以外にBlack Marketも存在) 対策前に攻撃Toolが出現時間差を突く攻撃(ゼロ・ディ攻撃) 防御対象の拡大 ■ ■ 6 ◆ 時間との戦い ■ ◆ 攻撃者の増大と目的の多様化 © Copyright 2014 個人/業務兼用利用(BYOD)機器の増大 (従来型の防御壁型対応が困難) 通信機能をもつすべての機器が対象 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. ■ ■ ■ 動機の多様化 (なんでもあり) 攻撃目標の拡大 (個人～国家) 攻撃手法の高度化 (執拗、悪質) →標的型攻撃、 APT(Advanced Persistent Threat) のっとり型（Ransomware） 1.3 クラウド時代の防御モデルの再検討防御モデルとは異なる種類のセキュリティ対策(防護壁)を組み合わせ、ひとつの壁が破られても他の壁で守るようにする（多層防御）情報資産 (装置系) ④エンドポイントセキュリティ ③アクセスセキュリティ システム／データ特性にあわせ、 ②境界(NW) セキュリティ最適な対策を実施する リソースが“外”にあるクラウドの特性を理解して、防御モデルを考慮する ①物理セキュリティ ⑤インシデント管理 7 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 1.4 クラウドサービスでのセキュリティ責任クラウド利用においても利用側が責任を持つ分野(セキュリティ対応)が数多く存在利用側責任範囲提供側責任範囲 S a a S P a a S I a a S          アウトバウンド帯域幅アウトバウンドネットワーク SLA トラッキング  Web アプリ • セキュリティ • スケーラビリティ • パフォーマンス • 可用性  Web アプリ･セキュリティ Web アプリ･パフォーマンス Web アプリ可用性 OSセキュリティ 3rd パーティ･セキュリティ MW セキュリティ設定    © Copyright 2014 Webアプリ品質 End-user SLA プラットフォーム(PF) セキュリティ PFスケーラビリティ PF可用性 Web アプリ • セキュリティ • スケーラビリティ • パフォーマンス • 可用性サービス利用のための管理対象 8   Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.      FW設定負荷分散 NWセキュリティ帯域接続性 1.5 クラウドのセキュリティ考慮点既存リスク＋クラウド特有のリスクの存在クラウドであっても当然、セキュリティ・リスクは存在 ◆ Privateでも、Publicでもセキュリティ・リスクは存在(IaaS) ■ ◆ クラウド特有のセキュリティ・リスクも存在 ◆ クラウド特有のセキュリティ問題 IaaSでは、OS以上のセキュリティ・リスクは既存システムと同様のリスクが存在 PaaSでも、SaaSでもセキュリティ・リスクは存在 ■ 設定・作業ミスや、高度な攻撃に対し、クラウド提供側の対応力をどこまで信用するか ■ ■ ■ ■ ■ ■ ■ 9 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. セキュリティに関するSLAの遵守クラウド管理ツールの欠陥マルチ・テナンシー監査性データの完全消去の保証企業(サービス)の存続その他 1.6 もう一つの課題：Hybrid下でのセキュリティ対応既存ITと複数クラウドの利用→企業ITとしてどこまでセキュリティ対応の一元性・一貫性を確保するか E社 SaaS アプリミドルウェアインフラ C社 PaaS 自社保有 A社 IaaS F社 SaaS D社 PaaS B社 IaaS セキュリティ管理機能をどこまで一元的に利用するか 10 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. G社 SaaS SaaS PaaS IaaS 1.7 クラウドサービスの利用領域と共通管理機能分野A ITシステム業務機能分野B SaaS PaaS 様々なクラウドサービス IaaS を使って構築ハウジングサービス利用範囲サービス利用範囲分野C サービス利用範囲エンドポイント管理セキュリティ管理機能インシデント管理 (Metastructure) 境界セキュリティ(NW)管理アクセス管理物理セキュリティ管理社内/外のクラウド・サービスの混在利用の場合、どこまで共通・一元管理を行うかが重要に 11 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 2.セキュリティ戦略の重要性 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 2.0 クラウド時代のセキュリティ戦略新しい時代には、新しい考え方(戦略)が必要固定的な“セキュリティ・ポリシー”や“規則（ルール）”では、常に変化する環境に対応できない。 →より、柔軟かつ包括的な“セキュリティ戦略”や“セキュリティ・フレームワーク”が必要企業での利用 1960~1980年個人＋企業での利用 1980~2000年個人＋企業＋社会＋機器 2000～2020年環境利用は企業内企業内、企業間 PC、Internetでの利用企業内、企業間、Internet、Web、Smart Device、Cloud、Social、M2M、IoT セキュリティアーキテクチャ物理セキュリティアクセス・セキュリティ物理セキュリティ境界セキュリティ(NW) アクセス・セキュリティ物理セキュリティ境界セキュリティアクセス・セキュリティエンドポイント・セキュリティインシデント管理(ログ) (プロアクティブ防御) セキュリティガバナンス戦略：特になし規則：アクセス・ルール対象：IT部門、IT利用者戦略：(IT内戦略) 規則：ポリシー(ルール)、セキュリティ教育対象：全社員、パートナー戦略：全社セキュリティ戦略セキュリティ・フレームワーク規則：ポリシー対象：全社員、パートナー、顧客を含むIT利用者 13 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 2.1 経営課題としてのリスク対応① 現在の ICT/Internet(Cyber Space)環境は・・・攻撃防御 ICT(Internet)を利用する場合には、常に攻撃への防御を考える ◆ ICTセキュリティ･リスクの無い会社はない! InternetやCloudの利用 →継続的なリスク対応が必要 →経営課題 ◆ 技術の進歩や攻撃手法の多様化が進み、 “これでOK”という防御策はない。常に、できる限りのリスク対応を行っておく必要がある ■ ■ ■ 14 © Copyright 2014 対処療法ではなく、長期的視野でのリスク対応の予算化が必要 ITに関するガバナンス/プロセスの見直しが必要恒常的な組織(機能)による対応と人材の育成が必要 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 2.2 経営課題としてのリスク対応② ゼロ・ディ攻撃の多発や標的型/APT攻撃は、既存のITにとっては、“想定外”の事件。このような攻撃を想定していないシステムでの対応には膨大なコストがかかる。 (クラウドを導入しても、リスク対応費がUpしては意味がない) 平和な時代に作られたシステム群 (Cyberspaceはもはや“擬似戦争”状態) ◆ 悪意のある攻撃を受けるという前提ではないため、防御が弱い  重要データが隔離/暗号化されていない新たな脅威の登場と対象拡大 →長期的視野に立った IT利用戦略の立案が必要 ◆ システム/データ保全の概念が大きく変化(特にクラウド利用時)  適切なSecurity Patchがなされていない ■  Updateするには膨大なテストが必要でそんな時間もお金もない漏洩や破壊だけでなく、使用不能にする攻撃が存在(DoS攻撃、乗っ取り) ■ セキュリティ対応を他人に委ねるリスク (不当なコピーや不完全消去) ■ 多重防御の考え方で、複数の防御策を講じる  装置系はIT部門の管轄外 15 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 2.3 “待ち”型、IT部門依存からの脱却セキュリティを経営課題として全社対応するセキュリティ戦略 ◆ 対象を拡大し、ライフサイクルを踏まえたセキュリティ戦略の立案 ■ インシデント対応の繰り返し(待ち)ではなく、中長期的かつ全社的な対応としてセキュリティ戦略を立案 ■ 広義の企業リスク対応(経営課題)として経営が関与ガバナンス･プロセスと ◆ 全社での包括的なセキュリティ管理にはガバナンス強化が必要 ■ 企画･構想時からのセキュリティ･リスク評価プロセスの整備アーキテクチャの整備 ■ インシデント対応体制の整備(IT～事業部) ◆ 全社的防御モデル(アーキテクチャ)の立案 ■ クラウドの利用を前提としたセキュリティ・アーキテクチャの立案 ■ 完全防御は不可能。どこかが破られても、他が補完する仕組みの構築 (多重･深層防御) 組織化、人材の育成、 ◆ 全社組織としての組織化と体制の整備 ■ 戦略/ガバナンス/プロセス/アーキテクチャ/オペレーション機能整備予算化方式の確立 ■ 長期的展望(戦略)に従ったセキュリティ予算の確保 16 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 3.新しい脅威への対応方法 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 3.0 新しい脅威への対応方法脅威の把握 (外部＋内部) ◆ 攻撃者/動機/攻撃方法/リスクの把握 ■ 自社の置かれている環境の評価 ■ クラウド利用を含む、攻撃を受けた場合のBad Caseのシュミレーションと発生率/損害額の評価(リスク評価) 脆弱性の把握 (技術＋体制) ◆ 現状システム(防御モデル)とクラウド利用時の脆弱性の把握 ■ 物理/境界(Network)/アクセス/エンドポイント/モニタリングの構成 ■ 現状＋クラウド利用時のインフラ/アプリケーションの脅威と脆弱性評価 ■ インシデント発生時の対応 (事業部門との連携、リハーサル、事後対策) 対策の立案と実施 (IT＋全社) ◆ リソース(予算、人員、ツール) ■ 戦略/ガバナンス/プロセス/アーキテクチャ/オペレーション機能設置 ■ 長期的展望(戦略)に従った予算化と対策の実施 18 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 3.1 技術環境変化への対応 (クラウド特性の理解) クラウド利用に伴う、セキュリティ・リスクの評価 (Hybrid環境を想定) IaaSでは、物理セキュリティ以外は従来型と変わらない対応が必要 ◆ ◆ 19 NWセキュリティやアクセス・セキュリティでは場合によっては“強化”が必要(NW監視、アプライアンス対応、 ID連携等) Hybrid環境下での一元管理/個別管理のメリット、デメリットを評価 © Copyright 2014 クラウド上に置く、システムやデータの“保全”方式を再評価する ◆ サービス停止(遅延、DoS攻撃、乗っ取り)、破壊・改ざん、漏洩リスクを評価するリスク＝発生確率ｘ発生時の被害額 ■ Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. データは特に、作成～削除までの全ライフサイクルについて考慮 (参考：CSA v2.1 データセキュリティライフサイクル) 3.2 技術環境変化への対応 (クラウド特性の理解) クラウド利用に伴う、コンプライアンス・リスクの評価 (Hybrid環境を想定) パブリック・クラウドでは、ゾーン指定を行わない限り、どこにインスタンスが存在するか分からない 20 ◆ 国によっては、データ等の移動を禁止 ◆ 国によっては、データ等の開示等が、義務付けられている場合がある (テロ等に関係しているとみなされた場合) © Copyright 2014 コンプライアンス対応のためには、第三者機関の承認を得ることが必要 ◆ 利用する、クラウド・サービスについて、内部統制評価(SOX法)、カード情報の取り扱い等の各種コンプライアンス要求に合致しているかの確認が必要 ■ Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. データは暗号化(秘匿)だけでなく、必要な時(要請時)にすぐに、探し出せなければならない場合もある (米国：ディスカバリー法など) 3.3 クラウドコンピューティングに伴うリスク日本の業者と契約しても、個人データサーバー/データがの法的な移動制限日本にあるとは捜査権限限らない･･･。規制法(英) クラウド提供事業者側の標準化が遅れているケースが多い予定外のメンテナンス業者間のポータビリティ、相互運用性がないデータ保護指令(EU) データの窃取・喪失通信回線の不足ワッセナー協約通信途絶、速度低下個人情報保護法他(加) インターネット経由ﾃﾞｰﾀ規制捜査権限法(中) 情報漏洩、産業スパイ運用ミスハード/ソフト不具合 →アクセス不能、データ喪失広域停電契約賠償範囲がユーザが不十分サーバー/データの実際の所在地、運用方法・形態を知るのは難しい  サービス提供業者の切り替えが困難 (利用継続性に疑問、ベンダーロックイン) 21 安易にデータを移動させると抵触する恐れ © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.  サービス統合や、業者間のリソース融通等が難しい愛国者法 (米) 公権力によるサーバー差押え、データ閲覧等 3.4 もう一つの対応策：プロアクティブ防御｢敵を知り、己を知れば、百戦危うからず｣セキュリティ攻撃の多様化、複雑化に対応するためには、受け身ではなく積極(攻撃)的な防御も必要 22 ◆ 攻撃者の攻撃パターンを想定し、積極的な対応策をとる ◆ 罠をかけるという手法もありうる ◆ 当然、手間もお金もかかるため、セキュリティ戦略等で、方向性を定めておく必要がある © Copyright 2014 内部からのセキュリティ不正に関しても有効ではあるが、適用には細心の注意が必要 ◆ 悪意とミスを見分けるのは、ツールやシステムではなく人間であり、インシデント発生時の対応を十分に考慮しておく必要がある Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. ■ ハニー・トラップ(罠)をかける方式を採用する場合には、前もって、警告等の対応を行っておく必要がある 3.5 サイバー・キル・チェーンの利用偵察武器化エクスプロイト配送インストール C2 目的の実行 • • • 軍事作戦のキル・チェーンを、攻撃者の活動に当てはめたもの右側にステップが移行するにつれ、攻撃が深化していく 2009年ロッキード・マーチン社のMike Clopper氏によって提唱された考え方 • 標的型攻撃など、「意図を持った」攻撃を軍事作戦になぞらえ、インシデント・レスポンスの考え方を提唱 C2:Command & Communication 23 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 3.6 攻撃の侵攻の例各チエーン上で、関係付けられるふるまいを検知し、先手必勝で対応を行う 1 2 偵察能動的調査組織図 IPアドレス武器化攻撃ペイロードマルウェアデリバリーシステムデリバリスピアフィッシングドライブバイ・ 3 ダウンロードサービスプロバイダエクスプロイト武器のアクティベート足場の確定サードパーティコンプロマイズインストールトロイの木馬バックドア固定チャンネルの確立権限昇格 C2 対象へのチャンネル確保側面からの活動内部探査目的の実行攻撃の進行固定チャンネルの追加データ搾取 24 © Copyright 2014 ポートスキャンサービスプロバイダID 外部ホスト実施される攻撃シーケンスに伴い各種セキュリティ装置からの検知が推移 4 攻撃の流れを捉えることが重要ユーザーID・パスワード取得固定チャンネルの維持 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 3.6 サイバー・キル・チェーン、その対応手法検知拒否中断緩和偵察 Web分析ファイアウォールACL 武器化ネットワークIDS ネットワークIPS デリバリ警戒ユーザープロキシフィルターゲートウェイAV キューイングエクスプロイトホストIDS パッチ DEP インストールホストIDS chroot アンチウィルス C2 ネットワークIDS ファイアウォールACL ネットワークIPS 目的の実行監査ログ欺くターピット DNSリダイレクト QoS ハニーポット攻撃を受ける場合のパターンを予測、対応を準備し、積極的に守りを固める 25 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 4.まとめ © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 4.0 短期的対策、中期的対策、長期的対策短期セキュリティ･リスクの評価 ◆ クラウド利用を前提とした脅威と脆弱性の把握 (クラウド利用の可否、管理対象の範囲は適正か) ◆ 現状での対応レベルの確認 (何ができ、何ができていないか) 中期アーキテクチャの見直し (整合化) (対応ロードマップ作成) ◆ ガバナンス/プロセス/アーキテクチャの見直し ◆ 脆弱点の徹底強化長期組織化と予算化 (経営課題としての取り組み) ◆ 事業部門を巻き込んだ組織･体制づくり (スキル･マトリックスとキャリアパス) ◆ 長期での対応予算の編成 ◆ 人材育成 27 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 4.1 包括的なセキュリティ対策のフレームワーク予防防止検知対応アプリ  企画時のCheck  重要データの隔離 (ハッシュ化･暗号化)  各種テストの実施  異常検出  被害対象の把握  関連アプリのCheck インフラ  多層の防御  アーキテクチャ整合  バージョン最新化  構成情報の完全把握  異常検出  パターン予測  停止・切断・分離･隔離  迅速な再構成プロセス体制  標準の提示  レビューの実施  リスク評価  管理対象の拡大 (装置～機器～BYOD)  内部不正への牽制  24H/365D対応  兆候の把握  CSIRTによる対応  事業部門へのエスカレーション方式確立ガバナンス  セキュリティ戦略立案  ベンダー契約の確認  ベンダーとの連携  予算化･組織化  現場からの声の収集  内部不正監視  有事体制の構築  ビジネス･イベントの考慮  セキュリティ監査  全社セキュリティ･コミュニケーション確立 (広報、法務等) CSIRT: Computer Security Incident Response Team 28 © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. 4.2 まとめこれからの10年は、ITの利用方式が大きく変化する10年であり、クラウドの利用がその主流になっていくと考えられる。しかし、利用方式の拡大はセキュリティ・リスクの増大そのものであり、IT部門だけが対処療法的にセキュリティ対応を行っていては対応出来ない。標的型やAPTの登場により、ITセキュリティ対応は、全社レベルで継続的な対応を必要とする企業リスクの経営課題となったと考えるべきである。またクラウド利用ではIT 資産の“保全”の考えも再考が必要である。 29 © Copyright 2014 ITセキュリティ･リスクの評価は、企業がおかれている環境や、 ITインフラやアプリケーションの構成および、運用･利用方式により異なるが、  クラウド利用を前提とした自社のITリスクを正しく理解し、  全社的かつ長期的な視野での新しいITセキュリティ戦略を立案し経営陣や事業部門、共通機能(広報、法務等)を含めた全社的対応能力の継続的な向上を目指すことが必要である。 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. Thank you © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.