普段ブラウザはGoogle Chromeを使っているのだが、どこかのタイミングからか、URLバーに表示されるはずのURLがドメインだけに短縮され、マウスカーソルを当てないとすべて表示されないという、個人的にイヤな事象が発生していた。
調べてみると、Google Chromeにおけるフィッシングによる被害を防ぐための新たな取り組みとのことなのだが、アクセスしているURLが一部隠されてしまうのは、個人的には迷惑である。
そこで、元に戻す方法を調べてみた。
当初Chromeの設定で元に戻せるのかと思っていたが、どうも拡張機能を入れて全体を表示させることで解消させるアプローチ委となるようだ。
で、そのツールが下記。
Google謹製なので、おそらく安心していいと思う。
実際入れてみたところ、たちどころにURLが勝手に省略される事象が直った。
メデタシメデタシ
【参考】
トレンドマイクロは12月22日、脅威動向を予測したレポート「2021年セキュリティ脅威予測」を公開しました。あわせて公式ブログ記事も公開しています。
2020年は、新型コロナウイルス感染症（COVID-19）の拡大により、業務形態、流通網、生活様式など、世界中で幅広い変化が発生しました。サイバーセキュリティにおける脅威も、そうした変化で発生した隙をつくように、さらに巧妙さと危険度が増しています。
こうした背景から「2021年セキュリティ脅威予測」では、まず「自宅のテレワーク環境がサイバー攻撃の弱点になる」「テレワーク用企業向けソフトウェアやクラウドアプリケーションの深刻な脆弱性が狙われる」といった可能性を指摘しており、脆弱なホームネットワークから従業員の自宅のコンピュータを乗っ取って組織ネットワークへ侵入する事例などが予想されています。他方で、既にインターネット上では、脆弱性の影響を受ける特定のVPN機器のリストも公開されており、該当する組織での早急な対応が求められています。
また「新型コロナウイルスに便乗する攻撃キャンペーンの継続」「医療機関が直面するセキュリティリスク」も予測されています。2020年に日本国内では、マスク不足に便乗した偽の通販サイトや偽の給付金の申請サイトなどが確認されました。今後も、感染状況やワクチン関連の情報に偽装した不正サイトや不正メールが横行すると考えられます。一方で、医療機関やワクチン開発関連組織への諜報活動が懸念されます。
そして、サイバー攻撃に悪用される脆弱性（セキュリティ上の欠陥）において、ベンダからの修正プログラム（パッチ）提供などの対応策がない「ゼロデイ脆弱性」だけでなく、修正プログラムが提供されているものの、公開されたばかりでパッチが適用されていない可能性がある既知の脆弱性「Nデイ脆弱性」がより一層問題になると予測されています。
「2021年セキュリティ脅威予測」では、その他にも以下のようなトピックを解説しています。
・攻撃者はホームオフィスを新たな犯罪拠点に
・テレワークの導入によって企業はハイブリッド環境と持続困難なセキュリティアーキテクチャに直面
・外部からアクセス可能なAPIが企業の情報漏えいの攻撃経路に
・パンデミックで進む個人情報の収集と共有に注目するサイバー犯罪者
・セキュリティ強化の推進
「2021年セキュリティ脅威予測」（PDFファイル）は、トレンドマイクロの公式サイトから無償でダウンロード可能です。
パスワード管理の基本は、強固なパスワードを作成し使いまわしせず、なるべく漏洩しないようにすることが挙げられると思います。ありがちなものとしては、以下のような方法があります。
ですがセキュリティや管理・運用のしやすさを考えると、上記の方法よりも専門ツールであるパスワード管理ツールを利用する方が優れています。
「パスワードなんてブラウザに保存できるからそれで事足りる」と思う方もいらっしゃると思います。しかし会社としてパスワード管理の基盤がないと、チームごとに管理方法が違ったりパスワードの共有に平文が用いられてしまったり様々なリスクが生じます。
パスワード管理ツールは、便利なだけではなくそういった問題を解決できるので、利用者側、管理者側ともに非常に有益なものと言えます。
パスワード管理ツールは色々あります。
ざっと調査しただけで、上記が挙げられます。
上記の全てを比較したわけではありませんが、どれも基本的な機能としては大差ありません。例えば下記のような機能があります。
強度の高いパスワードを生成でき、利用者は自身のマスタパスワードだけを覚えれば他のパスワードを覚える必要がなく、保存された情報は暗号化され安全に共有できます。もちろんパスワード以外のセンシティブな情報も保存できます。パスワード管理ツールはそのような機能を備えたツールです。
弊社では主に以下の点で、1Passwordを採用するに至りました。
1Passwordにはマスタパスワードに加えてSecret Keyがあり、たとえマスタパスワードが漏洩したとしても、Secret Keyを知らなければアクセスできません。マスタパスワードはデバイス上のデータを保護し、Secret Keyはデバイスからデータを保護してくれるとのことで、この二段構えの構成は安心できます。
ビジネスプラン以上ではユーザグループを作成できます。グループにユーザを追加し、グループを保管庫（Vault）に紐付けることで権限付与が可能です。
1Passwordにはコマンドラインツールがあります。コマンドラインツールに対応していることは、運用の自動化を考慮する上で重要な要素と捉えています。
例えば以下のようなことができます。
1Passwordにはドメイン侵害レポートがあります。自社が管理するドメインを登録しておくと、漏洩に巻き込まれたアドレスを見つけることができます。このレポートを元にしてパスワードの変更をユーザへ促すことができます。
課題は大きく3つありました。
ところが、最近、telnetが暗号化に対応しているらしい。
詳しくは下記の動画（35:00周辺）参照。
当然普通に使っただけでは暗号化されるわけはなく、オプションを使う。
例えば、Ubuntuにはtelnet-sslという実装があるようで、こういったパッケージを使う。
【普通のtelnetのキャプチャ】
今後は下記のような対応を心掛けたい
×：telnetは問答無用でダメです
〇：telnet-ssl等で通信が暗号化されるならOKです。
【参考】
国家支援を受ける高度な技術を持つ攻撃者が、FireEyeがRed Teamに用いるツールを窃取しました。攻撃者はこれらのツールを所有していると考えており、また攻撃者が盗んだツール自体を使用したり公開したりするかどうかは不明であるため、FireEyeはこのブログをもって数百もの対策を公開し、多くのセキュリティコミュニティがそれらのツールから自らを保護できるようにしました。私たちはFireEye製品にもその対策を反映させ、パートナーである政府機関とこれらの対策を共有し、攻撃者がRed Teamツールを悪用する可能性を大幅に制限しています。
これらの対策のリストは、FireEyeのGitHubリポジトリにて公開されています。
Red Teamとは、可能性のある攻撃者による攻撃や情報窃取を模倣して企業のセキュリティ体制を評価する、セキュリティ専門家からなる組織化されたグループです。当社のRed Teamの目的は、攻撃が成功した場合の影響を実証し、防御体制 (Blue Teamなど) が運用環境でそれらに対抗する方法を示すことによって、企業のサイバーセキュリティを向上させることです。当社は、世界中のお客様に対して15年間にわたりRed Teamアセスメントを実施してきました。その間、私たちはお客様のセキュリティ体制改善に役立つスクリプト、ツール、スキャナ、テクニックを開発してきました。残念ながら、今回これらのツールが攻撃者の窃取の対象となりました。
盗まれたツールには、探査の自動化に使用される単純なスクリプトから、CobaltStrikeやMetasploitなどの一般的に利用可能な技術のようなフレームワーク全体に至るまでさまざまです。Red Teamツールの多くはすでにコミュニティにリリースされており、オープンソースの仮想マシンであるCommandoVMで配布されています。
一部のツールは、基本的なセキュリティ検知メカニズムを回避するために修正された公開ツールです。その他のツールやフレームワークは、Red Team用に社内で開発されたものです。
窃取の対象となったRed Teamツールには、ゼロデイ攻撃ツールは含まれていませんでした。対象となったツールは、世界中の他のRed Teamも使用している、既知かつ文書化された手法を適用したものです。これらの盗まれたツールが攻撃者の総合的な攻撃能力の進歩に大きく寄与するとは考えていませんが、FireEyeは万が一の自体に備えて、できうることをすべて行っています。
FireEyeは、攻撃者によるこれらのツールの拡散や利用を確認しておりません。また、セキュリティ・パートナーとともに、今後も活動を監視し続けます。
組織的にこれらのツールを検知していくための支援として、ツールが実際に使用された場合、それを見分けるために役立つ対策を公開しています。今回のRed Teamツールの窃取の対応として、OpenIOC、Yara、Snort、ClamAVなど、一般に利用可能な技術に対する数百の対策をリリースしています。
FireEye GitHubリポジトリにてその一覧を公開しています。新たな検知技術や、すでにリリースされている検知技術の改善が行われるごとに、公共レポジトリにおけるホスト、ネットワーク、ファイルベースのインジケータなどの対抗策をアップデートし続けます。さらに、GitHubページでRed Teamツールの効果を制限するために対処する必要があるCVEのリストを公開しています。
FireEyeは、チーム一丸となって、お客様と広範なコミュニティを保護するための対策の構築に取り組んできました。これらの対策を製品に取り入れ、国土安全保障省などのパートナーと共有し、製品に対策を取り入れ、広くコミュニティに対応しています。
利用可能な検知シグネチャの詳細については、GitHubリポジトリを参照してください。
この連載では、海外のサイバーセキュリティ分野の友人にインタビューする形で、サイバーセキュリティのエキスパートがどのように育ってきたのか、サイバーセキュリティはなぜ難しい課題なのか、企業がサイバーセキュリティと向き合う上でどういったことが重要なのかなどさまざまな考え方を紹介しています。
海外エキスパートインタビューシリーズ第3回は、ポーランドの友人パウエル・ヤツェヴィッチ（Pawel Jacewicz）の話を紹介します。
海外のサイバーセキュリティ友達の中でも、ポーランド人は何名かいるのですが、「ポーランドにはサイバーセキュリティの専門家が育ちやすい事情があるのではないか」と個人的には考えています。
パウエルに会ったのは、ポーランドの首都ワルシャワに訪れた際、国立研究所のリサーチプロジェクトの紹介を彼がしてくれたときのことでした。彼は話をするのが大好きなので、プロジェクトの説明を延々としてくれて、いつまでたっても話が終わらないので、彼の上司に中断されていたのが印象に残っています。それ以来、ポーランドに行ったときや、彼が来日したときには一緒に食事をしています。
では、内容に入ります。（元のやりとりは英語で行われていますが日本語に意訳しています）
筆者 パウエル（以下P）、今日はありがとう。まずは簡単に自己紹介をお願いします。
P 私の名前はパウエル・ヤツェヴィッチです。現在はスタンダードチャータード銀行のグローバル・サイバーセキュリティ・センターで働いています。サイバー脅威のハンティングを主な仕事にしており、銀行のサイバーセキュリティの中でも、サイバー攻撃の予兆などをプロアクティブに発見する仕事を主にしています。他にもいろいろな仕事はしていまして、人材育成や、内部むけのコンサルティング、自分の能力開発、新たなITの学習なども行っています。
筆者 ありがとうございます。これまでに、どのようにITやサイバーセキュリティを学んできたか教えてください。
P 自分は小さい頃から、モノがどのように作られているのか、どのように動くのかといったことに興味を持っていました。このスタンスは自分の職業人生のなかでも非常に重要な意味を持っていると思います。
私がサイバー空間で冒険を始めたのは、1990年代後半に初めてPCを手にして、56kのモデム（筆者注：その昔、電話回線を利用してインターネットに接続するときに利用していたデバイスのことです）でインターネットに接続するようになってからです。インターネットに触れはじめて、書籍や友人達からは得られないほど膨大な知識を得られるようになったことに驚きました。
時間をかければかけるだけ急速にいろいろなことを学びました。特に力を入れたのは、コンピュータやネットワークがどのような仕組みで動いているのかということですが、そのなかでもLinuxを使い始めてからDebianに恋に落ちました（筆者注：DebianとはLinuxディストリビューションの一つで、どちらかというと玄人に好まれる傾向があるように思います）。
サイバーセキュリティに関わるようになったのは2009年からで、その年からポーランドのナショナルサートであるCERT.PL（筆者注：日本におけるJPCERT/CCのポーランド版です）働き始め、結局8年間そこで勤めました。サイバーセキュリティの仕事に深く関わることで、ネットワークセキュリティやサイバー攻撃の検知などかなり詳しく学ぶことになります。
その間、世界中のセキュリティカンファレンスに参加し、サイバーセキュリティ業界で最も輝いている人たちに会うことができました。そういった経験が、自分の今の専門性を維持したり継続的に学び続けたりする姿勢を作り上げてくれました。
CERT.PLの次は、ポーランド最大手の銀行のインシデントレスポンスチームで働き始めました。そこでは、企業におけるセキュリティ対策はどのようなものか、金融業界がサイバー攻撃の脅威とどのように向き合っているかを学ぶことになります。
リアルタイムで起きている攻撃がどのようなものかを知りましたし、また実企業におけるサイバーセキュリティというのは、アドホックに臨機応変に構築するのが難しく、決められたプロセスに従って時間をかけてちょっとずつ改善と変化を積み重ねていくしかないということも学びました。
銀行を辞めた後、いわゆるBig4と呼ばれる大手コンサルティング会社のインシデントレスポンスチームに加わりました。そこでは、大企業も中小企業もそれぞれの悩みをもってサイバーセキュリティの対策に取り組んでいることを知りました。
大企業は既に構築されたサイバーセキュリティの取り組みを改善する方法を模索していますし、中小企業はごくごくわずかなリソースでサイバーセキュリティという強大な敵にたちむかうにはどうしたらよいのかということに悩んでいました。そこでの経験で、ポーランドにおけるサイバーセキュリティの課題は何かを深く学ぶことができました。
今のスタンダードチャータード銀行に転職したのは2019年のことです。非常に優秀なサイバーセキュリティチームのメンバーたちと共に働くことができて大いに満足しています。
筆者 サイバーセキュリティをよりよいものにするためには何が重要でしょうか？
P 一昔前のサイバーセキュリティは誰にも注目されず、いわば会社の地下で何をやっているのか誰も知らないような仕事でした。誰にも邪魔されず自分たちの好きなことをやっていられたのです。
けれども、今は社長をはじめ役員もサイバーセキュリティに意識を向けるようになり、ウイルスとはなにか、サイバー攻撃とはどういうものか、ランサムウェアとは何か、データが漏えいしたらどのような影響があるのか、といったことを日々聞いてくるようになりました。
今日、サイバーセキュリティは望むとも望まずとも、全ての人の生活に深く浸透しています。サイバーセキュリティの課題を長期的に無視していれば、深刻な問題を引き起こすことは間違いありません。これは国という単位でも、企業や個人という単位でも同じ事です。現代の戦争はサイバー空間で発生しています。これは、われわれサイバーセキュリティの専門家が何年も言い続けていることです。
これから来るであろう攻撃に備えて、企業はサイバーセキュリティに投資しなければなりません。特に重要なのは、「自社のネットワークやシステムで何が起きているのか」を知ることです。
何か攻撃が起きていることを見つけた場合、企業は積極的に攻撃に関するデータを他社と共有すべきです。これがいわゆるインテリジェンスといわれているものです。これによって、同じ攻撃が大規模に成功することを防ぐことができますし、被害の範囲を最小化することができます。データの共有は非常に重要なのですが、法律や規制などが原因で難しい場合もあります。法律や規制は刻一刻と変化する脅威に適合し続けることが難しいのです。
企業では、インシデント対応とモニタリングを所管するブルーチームの運営が一般的になってきました。そこに、脅威ハンティングのチームを加え、サイバー攻撃の予兆を早期に発見するようになり、さらに企業の防御システムを実際に攻撃することによってテストするレッドチームも加わってきています。
最近ではパープルチームとしてブルーチームとレッドチームのせめぎ合いを調整する取り組みも見られます。このような取り組みはとても効果的ですが、中小企業が自力でやるにはコストがかかりすぎます。
中小企業でサイバーセキュリティの専門スタッフを抱えられるところはごく限られています。現実的には、そういったところは外部のコンサルタントに依頼して、セキュリティサービスを購入しています。
しかし私見を述べると、それは長期的な観点で効果的とはいえません。なぜならば、内部のスタッフが能力を身につけて、自社内でできるようになったほうが費用対効果の観点で効果が高いからです。もちろん短期的に問題を解決したい場合は外部のコンサルタントは非常に有効ですが、長期的な視点で捉えたときには違うと考えています。
私が最初の銀行に勤めていたとき、常に外部のコンサルタントを活用していました。しかし、コンサルタントが何をしているのかを学び、その能力を時間をかけて身に付けることで、内製で実施できるようになり、結果的に外注コストが大幅に下がったという経験があります。
私が推奨したいのは、業界ごとに固まって、監督官庁が主導する形で企業間の実務的な演習を企画、実施する方法です。そうすることで中小企業でもスタッフの教育を効果的に行うことができるでしょう。
世の中では机上演習がよく行われています。机上演習は組織の意思決定の訓練にはなりますが、実際に手を動かして作業する人たちの訓練にはなりません。具体的にどんな作業をどのようにするのか、どういった環境や機材が必要なのかということを知る機会が必要です。
また、本番では絶対にできない「実験的に試す」といったことができるのも演習の良いところです。もちろん、机上演習は経営層など組織上層部むけの意思決定の訓練にはとても有効ですので、机上演習と実務的な演習を組み合わせて行うことが効果的でしょう。
筆者 サイバーセキュリティの仕事をしてきた中で特に印象に残っている出来事を教えてください。
P 私がポーランドの銀行業界で働くようになってからすぐに、業界全体を巻き込む歴史的なサイバー攻撃が発生したことによって業界全体が大混乱に陥る様子を目の当たりにし、業界横断的な協力関係の構築が不可欠だと実感しました。
それは2017年の始め頃に発生した攻撃です。ポーランドの金融規制当局のWebサイトが改ざんされ、いわゆる水飲み場攻撃によって、ポーランド国内の多くの銀行の社内ネットワークでのマルウェア感染につながったものです。これは、現在に至るまでポーランドの銀行業界にとって最も深刻なものです。この攻撃が明らかになったのは、とある銀行の社内ネットワークでマルウェアの活動が発見されたことがきっかけでした。
当初は誰も金融規制当局が関係していることなど考えもしなかったのです。そして何週間も気付かないまま攻撃は進展していきました。私は自分が勤めていた銀行の社内ネットワークを監視していて、不審な兆候を発見しました。
社内にはネットワークやシステムのセキュリティ監視システムがしっかりと入っていたので、挙動をトレースすることで原因を突き止めることができました。社内ネットワークでマルウェア感染が明らかになり、それが金融規制当局のWebサイトからもたらされたものであることが判明したときは本当に驚きました。
銀行というのは通常巨大な組織であり、こういった攻撃の分析を1人で行うのは不可能で、チームで仕事をする必要がありますし、社内外に多くのステークホルダーがいる状況です。分析には膨大な時間がかかるため、外部のリソースから協力を得る必要もあります。組織を越えて協力し合うことの大切さ、観測できたデータを共有することの大切さ、それがあって初めてインシデント対応は成功するということを、この事案対処の経験を通じて学びました。
繰り返しになりますが、助け合うことやチームワークは非常に重要で、他の何にも代えがたい価値があります。ポーランドの金融業界のサイバーセキュリティコミュニティーでは、この攻撃は歴史上最悪なものだったけれども、業界として協力し合うことの必要性を気付かせてくれた最も価値のある事案でもあったと、現在でも話題になります。この事案を繰り返さないようにという思いで、われわれはサイバーセキュリティ能力の向上、サイバーレジリエンスの強化に取り組んでいます。
筆者 企業の役員はサイバーセキュリティについて、どの程度、どのようなことを理解しておくべきだと思いますか？
P サイバーセキュリティは投資であるという認識を持つべきです。企業活動は利益を上げることがメインです。そんなことは誰でも分かっています。企業の役員は、サイバーセキュリティチームは企業の目的や目標を達成するために必要不可欠な支援をしてくれていると考えるべきです。
企業でサイバーセキュリティの仕事をする人たちの知識や能力は、どんなセキュリティ製品でも、サービスでも、監査でも得ることのできない貴重なものです。その企業のネットワークやシステムのことを隅々まで知り尽くしている人は社外にはいません。サイバーセキュリティの仕事をする人たちの能力に投資することは、企業がサイバー攻撃の被害を受ける可能性を低減することへの投資です。
ある企業の役員が「社員のスキル向上に投資したら、学ぶだけ学んで転職してしまうではないか」と言ったことがありました。それに対して私は「人材のスキルに投資しなければ、何も学ばない人たちがずっと社内にい続ける、ということではないでしょうか？」と答えました。
企業における一般社員はいわゆる一線の防御を担う役割がありますが、実際には彼らがもっとも狙われやすいポイントでもあります。一般社員がサイバー攻撃の最新の脅威のことを考えてくれなければ、到底企業全体を守り続けることは不可能です。世の中には無料で得られるサイバーセキュリティの情報ソースがたくさんあります。一般社員にも分かりやすいように解説されている記事もあります。そういった情報を共有するなど小さなことから始められる取り組みもあり、その積み重ねが未来の自社を守ることに繋つながるのです。
従業員の一人がうかつにメールの添付ファイルをクリックしてランサムウェアに感染して、何億円もの身代金を払う事を考えたら抜群のROIだ、というのが私の意見です。
※筆者注：金融業界でよく使われる考え方にThree Lines of Defenseという三線防御でリスクコントロールするというコンセプトがあります。一線で一般社員が業務執行部門としてリスクオーナーとして対処する、二線でサイバーセキュリティを含むリスク管理の専門部署がリスクに対処する、三線は監査の観点でリスクに対処するという考え方です。
筆者 これからサイバーセキュリティを学ぼうと思っている人たちにアドバイスはありますか？
P 伝えたいことが3つありますが、その前にサイバーセキュリティはとてつもなく巨大なフィールドです。サイバーセキュリティの分野では、誰もが自分に向いている仕事を見つけることができるでしょう。
それを踏まえた上で、1つ目に大事なのは何にでも興味を持つことです。そうすることで自分に適した仕事がどれなのかを発見することができます。
2つ目に大切なのは壊してしまうことを恐れない。何かを深く知りたいと思ったら、それを分解して元に戻すということは仕組みを学ぶ上でとても大切です。誰かがやった記事を読んだりするだけではなく、自分の手でやらなければ理解することはできません。そのようなスタンスで学び続けることを楽しんで、同じような考え方をしてくれる仲間を見つけることも大切です。自分でやってみることで、他の人の経験からも理解することができます。
3つ目に大切なのは、夢中になれることをやっている間は、体中の血液の巡りがよくなってずっと起きていられます。それは要するにあなたに向いている仕事だということです。
今回はポーランドの友人、パウエルの話を紹介しました。公的な立場のセキュリティ専門機関から銀行へ転職し、そのあとコンサルタントへ転職、その後銀行に再び転職という経緯をへた彼ですが、実はいつか日本で働きたいという思いを持っています。
来日したときに国内企業との面談をアレンジしたこともあるのですが、うまく折り合わず彼の希望は実現していません。今回の彼の話では、私もよく質問を受けるセキュリティの内製化に関して一つの考え方を提示してくれていると思います。
また、セキュリティが好きでセキュリティの仕事をしている人たちがどういったメンタリティなのかということについてもその一つの姿を提示してくれています。