国家権力によるハッキングとは
「国家権力によるハッキング」と云うと誰もがイメージするのが、巨大な防衛産業、政府機関、金融機関といった組織だと思います。
「海外のある組織が最新の原子炉のデザインを盗む」といったようなことがあれば、政府やその利害関係者にとって大きな脅威になり、お金も時間も惜しまないで対処すると思います。
しかし、中小企業では、そのようなハッキング行為が行われる対象になるといったような心配は「無用」と思われると思います。
もちろん、ペルーの建築デザイン会社数社もそのように考えていたに違いありません。がしかし、知らない間に重要なデザイン文書がネット上に「魔法にかけられたように」流出してしまいました。
中小企業でも非常に機密度の高いデータを所有している
ESET研究員がブログで紹介したこともあるACAD/Medre Aという悪玉ソフトがデータ流出の犯人でしたが、中小企業でも非常に機密度の高いデータを所有していることがあり、その紛失は企業の存亡に関わることがあります。
例えば、みなさんの小さい建築会社が高層ビル設計に入札し、その作品には多大な労力と費用をかけた詳細な設計図が含まれているとします。そして、不幸にもその設計図が、政府に太いパイプを持つ競争相手の手に渡ってしまったと仮定します。
費用回収の必要のない競争相手の見積りには勝てるはずもなく、彼らが落札することになります。そして彼らが完成した建築物はみなさんの設計図どおりだったという現実に直面することになります。
小さい契約案件で政府機関に関わる必要性が出てきた場合は、気をつけましょう。「Georbot」で紹介したパターンでは、スパイウェアが御社のコンピュータにアクセスし、政府関連の機密データを探しまわり、遠方にデータ転送してデータマイニングしようとしていた事件もあります。
みなさんの会社が、小規模の電気工場のシステムインテグレータ業者だったとしましょう。
最近「SCADA」関連のシステム攻撃が増加しているが、みなさんの会社が重要なインフラ制御のアクセス権限を持っている可能性があり、そのような極秘データを盗んで誘拐などの悪事に利用できる可能性を求めて、敵は攻めてきます。
資金豊富で用意周到に準備される脅威に対して、一般的な中小企業には十分な備えはありません。一方、敵は資金豊富で、貴社や特定の業界の情報に価値を見出したら、惜しげもなく、時間を含む豊富な資源を投入する用意のある手ごわい連中です。
国家権力によるハッキングに対する防御策１
では、防御策はないのでしょうか？
敵はまず情報収集からはじめてきます。ターゲット会社のネットワークをまず見極めようとします。
例えると、強盗に入る銀行の図面を入手するようなものです。図面そのものというよりは、目的達成の近道を見つけ出すきっかけになるのでその情報が貴重なのです。
国家による攻撃の第一段階は、ネットワーク周辺から侵入し、探ることかもしれません。内部ネットワークの動きを執拗に探る動きを感知したら、何者かが情報収集に乗り出した兆候と考えるべきだと思います。
この段階で敵をみつけて止めることができれば価値は大きいものです。図面なしには敵の生産性は低く、目的達成は難しくなります。
国家権力によるハッキングに対する防御策２
次に、外部へのデータ転送のパターンに注意しましょう。
不自然な場所に不自然な時間に非常に大量のデータの転送があったら、要注意です。これらは危険な兆候であり、ネットワークの感知機能があなたに危険を知らせるべき状況です。
国家権力によるハッキングに対する防御策３
第三に、外部との接点が弱点であり、狙われることがよくあります。
意図せず敵を招き入れてしまったり、セキュリティのちょっとした不注意が原因となって傷口が広がります。
メールの添付やSNSのメッセージがよく使われますが、不注意にこういったものをクリックしたり、マルウェア対策が徹底していなかったりすると、トラブルの始まりになることがあります。
打つ手はないほど状況は深刻なのでしょうか？
そんなことはありません。数点のネットワークハードとユーザー教育の徹底とその結果の外部接点でのセキュリティの強化により、脅威は阻止できます。
最新のルーターには、侵入探知機能が組み込まれているし、ルーターのコントロールパネルのチェックボックスにチェックマークをいれればよい程度の労力です。
脅威の恐れに対してアラートメールも設定できます。ハードの費用も中小企業に十分耐えられるレベルです。
もちろんもっと費用をかけてより堅固な防御システムを構築することも可能ですが、この程度で十分なスタートをきれるますし、中小企業のほとんどはこの程度の備えもないかと思います。
これらのステップを実行に移していただきたいですし、エンドユーザーが不審なメールの添付ファイルを安易に開いたりリンクをクリックしたりしないように教育を徹底できればさらに良いと思います。
出典：blog.eset.com
