TOP>セミナー/イベント>開催報告>ランサムウェア対策に有効!Web・メール・ファイル無害化で実現するインターネット分離

ランサムウェア対策に有効!
Web・メール・ファイル無害化で実現するインターネット分離

セミナー風景

セミナー開催概要

特定の組織や業種に狙いを定めたサイバー攻撃や、企業や一般消費者を狙った金銭目的のランサムウェア被害が増加の一途をたどっている。
IPAが発表した「情報セキュリティ10大脅威 2016」においても、「標的型攻撃による情報流出」が組織における脅威の第1位となった。高度化し、攻撃の対象を広げる標的型攻撃は、今や官公庁や公共機関等の重要インフラを担う企業だけでなく、あらゆる組織が経営リスクとして捉えられており、対策が急がれている。そんな中、サイバーセキュリティリスクの根本であるインターネットと、守るべき情報がある内部ネットワークとを分離する「インターネット分離」、またそれを実現する「無害化」の仕組みが注目されている。

2016 年7月7日に開催した本セミナーでは、巧妙化するサイバー攻撃から組織内の情報を守り、急拡大するランサムウェアの被害から組織を守るための手法として、完全なインターネット分離を実現する「Web」「メール」「ファイル」無害化の仕組みについて紹介した。

1.標的型攻撃の現状とWeb無害化ソリューションのご紹介

講師:株式会社アシスト
   システムソフトウェア事業部 仮想化推進室 技術部長  重松 俊夫


重松


攻撃者は、セキュリティベンダーの一歩先を進んでいる

標的型攻撃等のサイバー攻撃や、ランサムウェア対策が急務となっている。
警察庁の発表(※1)によると、標的型メール攻撃の件数は、2013年492件、2014年1,723件、2015年3,828件と、3年で約7倍となった。ランサムウェアによる被害もまた急増している。
標的型攻撃とランサムウェアの潜入経路は似ている。攻撃者は、ソーシャルメディア等で公開されているメールアドレスに対して標的型メールを送り、巧みに添付ファイルを開かせたり、改ざんされたWebサイトへ誘導したりして、ターゲットの端末をマルウェアに感染させる。そのマルウェアがOSやアプリケーションの脆弱性を利用するなどして、RAT(Remote Administration Took)と呼ばれるバックドア型マルウェアやランサムウェアの本体を呼び込み、機密情報が搾取され、端末やファイルサーバのデータを暗号化して身代金を要求する。

攻撃者の手口は日々巧妙化しており、こうした被害を1つで防げるような万能型の対策は存在しない。そのため、各企業や団体は、入口・出口・内部対策を地道に進めてきた。代表的な対策としては、様々なタイプのアンチウイルス製品、メールやWebのフィルタリング、不正侵入検知機能(IDS/IPS)、ログ分析、特権ID管理などが挙げられる。セキュリティ投資はかなりの費用がかかるからこそ、最良なソリューションを導入したいと、エンドユーザは慎重に選んできたはずだ。
毎日1万にもおよぶマルウェアの亜種が作られる現状において、殆どのセキュリティ担当者は、パターンマッチング型のアンチウイルス製品は現代のサイバー攻撃には無力ということを知っている。そうした未知のマルウェアに対応できる対策として昨今注目されている、最先端のサンドボックス型マルウェア検知製品でさえ、マルウェア自身がサンドボックスの仮想環境にいることを認識して沈黙したり、無理に実行すると自ら壊れたり、といった「007」を彷彿とさせる芸当を繰り出して解析すらさせない。つい昨日まで通用した防御策が、今日には破られるというイタチごっこが続くように、攻撃者は常にセキュリティベンダーの一歩先を進んでいる。彼らは、セキュリティベンダーの製品やサービスをよく研究した上で、その網に掛からないように工夫されたマルウェアを開発する。守る側からしてみれば、後出しジャンケンをされるような戦いが繰り広げられているのだ。


総務省、IPA、金融庁は「インターネット分離」を推奨している

昨今のサイバーセキュリティ攻防の現状を踏まえ、注目されているのが「インターネット分離」だ。感染リスクの源泉と言えるインターネットから、内部ネットワークを分離することで、少なくともインターネット経由でのマルウェア感染や情報漏洩を防ぐ仕組みである。
事実、2015年6月以降、総務省やIPAは相次いで「インターネット分離」を推奨してきた。インターネットを利用する際はインターネット専用の端末を使い、機密情報や社内システムを取り扱う内部ネットワークとは分離させようという考え方だ。現在は、特に自治体において、総務省が推奨する「自治体情報システム強靭性向上モデル」に沿ったセキュリティ対策の実施に取り組んでいる。この考えは、金融機関の一部でも採用されてきた。最もメジャーな方法は、インターネット接続用端末と、イントラ用端末とを物理的に分けて、業務内容によって使い分けるというものだ。
しかし、物理分離は、各拠点でネットワーク2重化工事や、インターネット専用端末の購入・運用にかかる費用面の問題があり、ユーザにとっても、2台の端末を使い分けることで業務効率が低下する。たとえば、インターネット上で調べたデータを業務端末へ手入力したり、離れた場所にあるインターネット専用端末で資料を印刷して自席に戻り、報告書に転記したりする。こうした状況下で経営者が懸念すべきは、業務効率の低下というよりむしろ、不便さを回避するために顧客データを持ち出したり、個人情報を含んでいるファイルを加工して誰でも見られるファイルサーバへ保存したり、といったルール違反が蔓延することだ。かえって情報漏洩リスクを高める危険性がある。

そこで、金融庁は2015年、物理分離に限らず、仮想分離も新たな選択肢とすることを発表した。これは、上述したような導入コストやユーザ利便性低下の問題から、ネットワーク分離をしていなかった金融機関に対する救済措置とも言える。


インターネット分離を実現する、Web・メール・ファイル無害化

インターネットと内部ネットワークとを仮想分離する際に検討すべきは、「ブラウザ」と「メール」をどのように扱うか、である。インターネット接続が必須のこの2つのアプリケーションを、インターネットから汚染されない状態で利用するためには「無害化処理」が欠かせない。所謂、空気清浄機のような役割を担う。
具体的な処理としては、Web無害化、メール無害化、ファイル無害化が必要だが、アシストはWeb無害化の機能を有する「ダブルブラウザ・ソリューション」を取り扱っている。メール無害化とファイル無害化に関しては、Ericomパートナー企業各社の製品で補う。

Web・メール・ファイル無害化が揃った利用イメージは、以下の図の通り。


Web・メール・ファイル無害化連携

ここから先、各3つの無害化ソリューションについて紹介する。

◎ Web無害化を実現する「ダブルブラウザ・ソリューション」
◎ メール無害化を実現する「CyberMail」
◎ ファイル無害化を実現する「Votiro Secure Data Sanitization」


Web無害化を実現する「ダブルブラウザ・ソリューション」とは

「Web無害化」を実現するアシストのダブルブラウザ・ソリューションは、ネットワーク分離を仮想ブラウザ方式で実現する。高額なMicrosoft RDS CALが不要なLinux版をリリースしてからは、自治体・金融・製造業を中心に多くの問い合わせをいただいた。現在は、株式会社みずほトラストシステムズ様をはじめとして、発表からわずか1年間で20社に採用、数万ユーザに利用されている。

(1)ユーザ利用イメージ


ダブルブラウザ・ソリューションのユーザ利用イメージ

左上がユーザの業務端末だとすると、デスクトップ上にこのように2つのアイコンが表示される。1つは、端末に予めインストールされているローカルブラウザで、イントラネットにしか繋がらない。もう1つが仮想ブラウザで、起動するとインターネットへ接続できる。
仮想ブラウザ方式を用いたソリューションの多くは、仮想ブラウザ起動時に、仮想サーバへ接続するためのユーザ認証が求められる(Active Directoryを内部とインターネット側とで別々に持つ前提)。しかし、ダブルブラウザ・ソリューションの場合、自動ログイン機能を実装しているため(※1)、仮想ブラウザ起動時のID/パスワードの入力は不要。即座にブラウザが起動するため、ユーザはローカルブラウザと同じ感覚で仮想ブラウザも利用できる。


(2)仕組み


ダブルブラウザ・ソリューションの仕組み

この仕組みを実現するには、インターネット接続セグメントにWebブラウザ(以下、仮想ブラウザ)実行専用のサーバを用意する必要がある。この仮想ブラウザの画面は、ソリューション独自のプロトコル(Ericom Blaze)を使ってユーザの業務端末へ転送(※2)される。そのため、インターネットを利用する際は、業務端末のデスクトップ上に表示された仮想ブラウザのアイコンをクリックするだけで良い。
業務端末と仮想ブラウザ間は、前述した通り、独自の画面転送プロトコルを使って通信する。つまり、HTTP/HTTPSを含むそれ以外の通信ポートは遮断されるため、仮に仮想ブラウザがマルウェアに感染しても、内部ネットワークを侵害する術がない。もし、ブラウザ以外の経路(メール等)で内部に入り込んだマルウェアがあったとしても、現在のマルウェアの活動はほぼHTTP/HTTPSによって進行するため、実害が及ぶ前に攻撃を無害化することができる


(3)プラットフォーム(Windows・Linux)の違い


ダブルブラウザ・ソリューションは、仮想サーバのOSを「Windows」と「Linux」から選ぶことができる。
用途と予算に合わせて選べるが、アシストはLinuxを推奨している。なぜなら、Windowsを利用する場合は、高額なMicrosoftのライセンス(RDSCAL:¥15,000/人)が必要となるが、Linuxの場合はRDSCALが不要だ。ただし、Linuxには以下2つの機能制限があるため、これが許容できない場合はWindowsを利用する必要がある。
 1.IEでしか動作しないサイトを閲覧する
 2.Microsoft Officeが必要

Linux上にはIEがインストールできないため、「1」の制約は外せない。しかしMicrosoft Officeに関しては、100%の互換性を求めなければLibreOffice等で十分であるため、上記2つの要件が必須となるユーザはかなり限定的なはずだ。さらに、ダブルブラウザ・ソリューションの場合、WindowsとLinuxの混在環境を一括管理(負荷分散やポリシー設定等)できるため、どうしてもIEやMS Officeが必要なユーザのみ「Windows」を利用し、それ以外は「Linux」を利用することでコストの最適化も可能。

逆に、Linuxにしかない特長的な機能もある。ユーザ環境の「分離」と「初期化」だ。
一般的に、仮想サーバ1台で約100人分の環境を収容することができるが、万が一、あるユーザの仮想ブラウザがマルウェアに感染すると、そのサーバ全体に感染が広がってしまう。そうなった場合は、バックアップからの復旧が必要など多大な工数がかかる。しかし、ダブルブラウザ・ソリューション「Linux版」なら、ユーザ環境の「分離」と「初期化」機能も有しているため、特定のユーザの環境が感染しても、サーバや他ユーザへの影響は無い。さらに、仮想ブラウザを起動する度に環境が初期化されるため、マルウェアが活動可能な時間が限定的となる。
以上が、Web無害化のダブルブラウザ・ソリューションの概要である。

  • *1 自動ログイン機能を利用するためには、既存Active Directoryとは別に、新規で構築する必要がある。
  • *2 仮想サーバ上で実行したアプリケーションの画面ビットマップ・ディスプレイ情報のみを、ユーザ端末へ転送する技術。狭帯域でも高パフォーマンスを発揮する。


2.メール無害化を実現する「CyberMail」のご紹介

講師:サイバーソリューションズ株式会社
   営業本部 ソリューションセールスグループ グループマネージャー  國分 隆博様


國分様


メール無害化が必要とされる背景

サイバーソリューションズ株式会社は2000年に設立され、メッセージングに専心したソリューションプロバイダーとして、メールに関するパッケージとクラウドサービスを提供している。上場企業や自治体を含めた官公庁など、国内約15,000社、120万カウントで利用されている。

どのような規模のサイバー攻撃であっても、始まりはいつも「標的型メール」だ。もはやインターネットからのメールを内部のメールサーバで受信するのは、敵に塩を送るようなものだ。そこで、メール無害化という新たな対策が注目されている。特に自治体では、メール無害化は「自治体情報システム強靭性向上モデル」において必須項目とされている。インターネットからのメール受信は、インターネット接続セグメント上のメールサーバで受信して、インターネット用端末(仮想サーバ)から閲覧する。内部ネットワークで閲覧する場合は、受信メールを無害化処理する必要がある。
CyberMailは、総務省ガイドラインに完全対応することで安全な無害化転送を実現しており、既に鹿児島県がこの仕組みを採用している。

CyberMailの仕組み

メール添付ファイルの無害化の仕組みについて、自治体を例に挙げて説明する。
まず、(①)届いたメールがHTMLメールの場合、テキストへ変換されると同時にハイパーリンクが外される。(②)添付ファイルが外され、(③)外された添付ファイルに書かれている文字を、メール本文の末尾にテキストで挿入。(④)安全な形式で内部メールサーバへ転送する。


CyberMail仕組み

この一連の動作はCyberMailが自動で行う。そのため、ユーザはこれまで通り、内部ネットワーク内のメールサーバを使い続けることができる。添付ファイルをいちいち開かずとも内容を確認できるため、場合によっては業務の効率化も期待できる。無害化前のメール原本はメールサーバに保存されるため、ファイルを開いて見たいという場合は、仮想ブラウザから操作することで添付ファイルのPDF参照等も可能。アーカイビングして残しておけるため、事後確認の対応にも支障が無い。
また、インターネットメール用に新規ドメインを取得する必要は無く、これまで庁内メール環境で利用したLGドメインやメールアドレス等がそのまま利用できる。マルチドメイン機能も有しており、自治体情報セキュリティクラウドへの対応も可能だ。


3.ファイル無害化を実現する「VOTIRO SDS」のご紹介

講師:株式会社イーセクター
   ビジネスイノベーション部 IT営業グループ サブマネージャー  小村 正彦様


小村様


ファイル無害化が必要とされる背景

株式会社イーセクターは1990年に設立。セキュリティプロダクトを中心に50製品ほど取り扱っており、販売/構築/保守サービスを提供している。
総務省が推奨する「自治体情報システム強靱性向上モデル」においては、インターネット側からの送られてきたファイルを内部ネットワークに持ち込むには、必ず無害化(サニタイズ)して取り込む必要があるとしている。せっかくネットワークを分離していても、マルウェアを別経路で内部に取り込んでしまっては意味が無い。

一般的なファイル無害化ソリューションとは異なり、VOTIRO Secure Data Sanitization(以下、VOTIRO SDS)が特長的なのは、元のファイル形式を維持した状態で無害化できるという点だ。PPTならPPT形式のまま無害化できるため、たとえばインターネットから申し込み用紙をダウンロードして、直接編集することが可能。一見簡単そうに見えるが、この仕組みを実現できるソリューションは唯一VOTIRO SDSだけと言ってよいほどだ。ほとんどのソリューションは、ファイルを画像やPDFやテキスト形式へ変換してしまうため、ファイル編集ができずに利便性が低下する。VOTIRO SDSは、ユーザ利便性が徹底的に追求されている。

VOTIRO SDSの仕組み

ファイルが、どのように無害化されるのかを説明する。
一般的に、マルウェアやエクスプロイトコードは、メタデータや空ビットスペース、マクロの中に組み込まれる。そのため、下図の通り、VOTIRO SDSは、ファイルの構造上不要なデータを意味のない情報へ書き換えることで、マルウェアを単なる害の無いファイルへと無害化する。ただし、ファイルのメタデータ(作成日や作成者等の情報)も強制的に消されることや、Excel等のマクロが使えなくなることには留意が必要だ。


VOTIRO SDS仕組み

システム構成としては、ファイル無害化を担う「SDSサーバ」のほか、ライセンス情報を管理する「Updaterサーバ」が必要。ファイル原本を保管する必要がある場合は、別途「Flowサーバ」が必要となる。


セミナー参加者アンケート

本セミナーへ参加されたお客様に参加目的を聞いたところ、「ネットワーク分離の情報収集」と回答した方が全体の5割。さらに、「ネットワーク分離を実施予定/顧客へ提案予定」と回答した方は3割にも及んだ。今まさに、ネットワーク分離に向けての具体的なソリューション/製品設定の最中であることが伺える。
アンケート用紙には、「自治体や民間に提案を進めているが、価格面から検討が進まないため安価なソリューションを探していた」といった声も複数あった。

参加者アンケート


ダブルブラウザ・ソリューションの詳細が知りたい方へ、資料プレゼント中!

ダブルブラウザ・ソリューションの詳細が知りたいお客様向けに、「ダブルブラウザ・ソリューション紹介資料」を無料でご提供しています。ソリューションの概要から、導入コストを大幅に削減するLinux対応版の詳細、システム構成、導入事例、まで詳しく記載しています。是非ご覧ください。
これ以外にも、Ericom製品紹介資料、導入規模別にまとめた価格/システム構成資料、導入事例集など、多数ご用意しています。貴社の検討状況に応じて、お気軽にお申し込みください。

関連コラム

ラック×アシスト対談記事

情報セキュリティ分野におけるあらゆるサービスに定評のある株式会社ラックより、取締役専務執行役員 CTO 標的型対策本部長の西本逸郎様をお招きして、今すぐに取り組むべき、標的型攻撃への正しい対処法について対談しました。
間違いだらけの日本の標的型攻撃対策を指南します。

ページの先頭へ戻る