＜アフターレポート＞金融業界向けセキュリティセミナー「多様化する⾦融サイバー犯罪とサイバーセキュリティの⾼度化」（2019年7月25日開催）

アフターレポート

2019年7月25日（木）、セミナーインフォ主催の「FINANCE FORUM　多様化する⾦融サイバー犯罪とサイバーセキュリティの⾼度化」が開催され、金融業界から多くのサイバーセキュリティご担当者様が来場されました。

東京オリンピックパラリンピックを来年に控えた今、本セミナーでは、重要インフラの一つである金融機関において、実際にサイバー攻撃を受けた際の対応や、セキュリティ対策について経験のない方の場合の対応方法など、金融機関におけるサイバーセキュリティの現状と未来についての講演が行われました。

アウトソーシングテクノロジーは、Digital Shadows社の日本における総販売代理店として、以下のセッションに協賛しました。

◆ 金融セクターにおけるサイバー脅威の歴史的考察

講演者

「過去5年間の金融セクターを標的にした攻撃の例として挙げられるのは、まず2016年のバングラデシュ銀行への攻撃である。ハッキングされるはずはないと評価されていたが、実際には攻撃を許してしまった。さらに明らかになったのが内部脅威で、組織の中に入り込んでハッキングを手助けするメンバーがいたとされた。

直近の傾向としてATMの攻撃が増えており、商業銀行からリテールバンキングのシステムへシフトしている。イギリスなどで一時期ATMを爆発させて金銭を盗む犯罪が頻発していたが、この数年で減少し、サイバー犯罪へと手口が変わってきている。これらに関わるスレットアクターグループ（犯罪集団）として、北朝鮮に関連するLazarusや、低レベルだが他を模倣することによって成功するサイバー犯罪を行うCarbanakやSilenceなどがある。これらに対抗するには、従来のペンテストを超えたシステムが必要とされている。

具体的に導入されている事例として、イギリス銀行のスポンサーシップで行われているCBESTがある。CBESTは脅威主導型であり、現在のペンテストの間に存在するギャップを埋めるためのものだ。CBESTは脅威に関するレポートを作成するスレットインテリジェンスセクション、実際にテストを行うPENテスターセクションの2つに分かれる。PENテストは脆弱性と脅威の2つで構成される。

まず脆弱性はグローバルな視点で見ることが重要だ。クリティカルファンクションとは、組織内の主要な機能を侵害し、組織全体に影響を及ぼす。さらに、関連する経済システムに対して連鎖的な悪影響を作り出す。

ここでデジタルシャドウズが実施したアードウルフ（ハイエナの種類）というプロジェクトについて紹介する。世界中のIPレンジでのファイル形式と転送プロトコルをスキャンするものだ。パブリックでアクセスできるストレージデバイスから、ファイルに関するメタデータ（ファイルサイズ・ファストレージデバイスタイプなど）をダウンロードする。このデータを活用することにより、ハッカーが攻撃しやすい場所がどこなのかを知ることが可能だ。

アードウルフは漏えいデータにアクセスすることもできる。約54万7千の個々の漏えい事例から、160億行以上のデータを収集・保管している。地域別の内訳を出すのは難しいが、産業別の内訳の算出は可能だ。漏えいデータを見ると、金融サービスが多いことがわかる。組織のメンバー全員がコンピューターを使うため、漏えいリスクが高いのだ。

もう1つの観点である脅威に関して、典型的な3つのモデルがある。ハクティビスト・組織的な犯罪者・国家犯罪者だが、やや単純すぎるだろう。脅威モデリングではバランスを取ることが重要だ。具体例の一つとして、ロッキードマーティンのキルチェーンがある。本質的に間違ってはいないが、攻撃が一度であるとは限らず、明確につながっているとも限らない点を想定していないことが課題だ。多数の人間が繰り返し攻撃をすることが現状である現在、ダイヤモンドモデルが必要になるだろう。

CBESTでの脅威モデリングは細かく、必要な時にアクションを取れるようになっている。しかし各モデルにはそれぞれ特色があり、1つのモデルだけですべてに対処できるわけではない。

これらのモデルはサイバー脅威に対して、実際に効果が出ているときもあるということは明確になっている。また、モデルはすぐに効果が出るものではなく、6か月・12か月・18か月など中長期的な視点で効果を出すようになる。

引用：The Finance「FINANCE FORUM 多様化する金融サイバー犯罪とサイバーセキュリティの高度化＜アフターレポート＞」

関連製品

Digital Shadows SearchLight™（デジタルシャドウズ　サーチライト）

インターネット上だけでなく、ダークWeb上まで1億以上のデータソースに対応。27言語対応可能な専門アナリストによる調査、AI分析後、精査し、リスク種別を判定します。業種に限らず幅広く導入いただけます。
［推奨企業規模］ハイエンド（大規模）
【7日間 無料】SearchLight™ 体験 受付中 個別相談

　製品について詳しく見る »