同社対策チームが手がけた典型的／重大な事故事例をまとめた「Data Breach Digest」
実例に基づく「18の情報漏洩シナリオ」、ベライゾンが報告書公開
2016年04月13日 07時00分更新
ベライゾンジャパンは4月12日、同社が実施したデータ漏洩／侵害事故調査の中から、18件の典型的または重大なインシデントの実例をまとめた「Data Breach Digest」を発表した。サイバー攻撃の「シナリオ」をわかりやすく見せることで、企業のCxOや一般社員など、セキュリティ担当者以外にもサイバー攻撃のリスクやそのための備えを理解しやすくする試み。
ベライゾンが公開した「Data Breach Digest」表紙。同社サイトからPDFがダウンロードできる
シンガポールからテレカンファレンスで説明を行った、ベライゾン 調査対応担当マネージングプリンシパルのアシシュ・ターパル（Ashish Thapar）氏
ベライゾンでは、2008年から毎年「データ漏洩／侵害調査報告書（DBIR）」を発行している。これは実際に発生した世界のデータ漏洩／侵害事故について、主に“データ”の視点からまとめているレポートで、たとえば2015年版のDBIRでは、61カ国で発生した標的型攻撃に関わる7万9790件のインシデントから2122件について、原因や損失額などの分析を行っている（DBIR 2016年版は近日公開予定）。
一方、今回発表したData Breach Digest（DBD）は“シナリオ”という別の視点から、サイバー攻撃と被害の実態をまとめたレポートである。具体的には、インシデント調査／対応サービスを提供するベライゾンのRISKチームが手がけた案件から、全体の60％以上を占める「典型的な事例」12件と危険度の高い「重大な事例」6件の、合計18件の事例が提示されている。
18の具体的な“脅威シナリオ”に基づいてインシデント事例が紹介されている
各事例については、攻撃の発生状況や発生頻度、巧妙さの度合い、関与している脅威実行者や主要な攻撃元国、使われた攻撃手法、推奨される対応策など、詳細な分析結果を1枚の“カード”形式にまとめている。そのうえで、実際に起きたインシデントの発覚から対応、調査、被害回復までの一連のシナリオや、取るべき対策／留意点などを具体的に（企業名などは伏せた形で）記している。
Data Breach Digestの内容例。CMSの脆弱性を悪用された海運会社の事例だ
たとえば「CMS（コンテンツ管理システム）からの情報漏洩」シナリオでは、ある国際的な海運会社が受けた被害が紹介されている。同社の船が武装した海賊に襲撃された際、海賊は宝石類の入った価値の高い積荷だけをすぐに特定し、盗み出したという。不審に思った同社がベライゾンに調査を依頼した結果、同社が使っていたCMSの脆弱性を突いて攻撃者がサーバーに侵入し、積荷の内容が記された船荷証券を不正にダウンロードしていたことがわかったという。
そのほかにも「ソーシャルエンジニアリング」「インサイダー脅威」「デジタル恐喝」「DNSトンネリング」「ランサムウェア」など、人的要素から設定改竄、不正なソフトウェアなど広範な脅威シナリオが紹介されている。
業種別に、発生する攻撃手法の頻度と、参照すべきシナリオの番号も一覧で記されている
記者向けに説明を行ったベライゾンのアシシュ・ターパル氏は、データ中心のDBIRとは別に、攻撃／被害シナリオを紹介するDBDを発行した理由について、「DBIRで明らかにしている“数字の向こう側”でどんなことが起きているかを知ってほしいと考えたからだ」と説明した。
「セキュリティエンジニアだけでなく、企業のCxO（経営層）や一般社員にもぜひ読んでいただければ。こうしたインシデントにおいて、自分たちも関与する可能性があることを自覚して、自らの立場からリスク評価や対策の検討をしてほしい。こうした“シナリオ”を知ることで、自社にもリスクがあることに気づき、対応を取ったという事例もある」（ターパル氏）
なお、現在公開されているレポートPDFは英語版となる。ベライゾンジャパンによれば、日本語版の発行については「調整中」とのことだが、ぜひとも発行を期待したいところだ。
本記事はアフィリエイトプログラムによる収益を得ている場合があります
