｢クラウドサービスは安全｣？メール攻撃の潮流 ｢Microsoft 365｣を安全に活用するための対策
強みは「技術力」＋「使いやすさ」
ウィズセキュアは、フィンランドのセキュリティ企業であるエフセキュアからBtoB事業を担う企業として2022年に分社化された。エフセキュアは、現在もサーバーなどで広く使われているオープンソースOS（基本ソフト）Linux®️の祖国であるフィンランドで1988年に誕生した老舗のセキュリティベンダーで、Linuxのアンチウイルス製品を皮切りに、欧州を中心として日本を含めた世界中にユーザー企業を持っている。
「今では一般的なセキュリティ機能として知られている、ファイルの行動を監視して危険なファイルを検出する『振る舞い検知』や、クラウド上のマルウェアデータベースを参照する『オンラインレピュテーション』などの機能を早くからリリースし、技術力の高さを武器にしてきたセキュリティ企業です」と語るのは、ウィズセキュア サイバーセキュリティ技術本部 セールスエンジニアの鈴置純也氏だ。
鈴置純也氏
技術力を売りにしながらも、同社のセキュリティ製品の特徴は、「ユーザーフレンドリー」であると鈴置氏は説明する。「セキュリティを取り巻く環境は日々複雑化しており、対策製品も難解になりがちです。しかし、高度な製品を導入しても、それが難しくて使えなければ対策に漏れが生じ、企業の資産を守ることができません。誰にでも使いやすいことは、セキュリティ製品として非常に大事な性能です」。
古いセキュリティの考えは通用しない時代に
鈴置氏は、日本企業のセキュリティ意識は向上してきていると評価する。
「昨今ではサイバー攻撃によるセキュリティ被害がニュースで取り上げられるようになり、一般の人の目にも触れる機会が増えました。十分な対策を取らずに被害を受ければ、企業価値の毀損につながることから、企業経営者はセキュリティ対策を意識するようになったと思います」
なぜ、企業の被害が拡大しているのか。これは昨今のサイバー攻撃手法が高度化し、従来のセキュリティ対策では歯が立たなくなってきている事情がある。
まず、これまで企業がセキュリティ対策として実施してきたファイアウォールなどの「境界防御」では、企業内に侵入してくる不正なソフトウェア（マルウェア）を100％防ぐことが難しくなっている。そして、侵入を許したマルウェアは、社内のPCにインストールされているウイルス対策製品（EPP）だけでは、検出や駆除ができないことが多い。
こうした脅威に対し、外部からの侵入を前提としたセキュリティの考え方に対応する製品として企業に浸透しつつあるのが、EDR（Endpoint Detection and Response）といわれる製品群である。
EDRはその名のとおり、企業内のエンドポイントであるPCなどの端末に専用のソフトウェアをインストールし、端末が社内のネットワーク内で不審な挙動を示した場合にいち早く検知し、セキュリティ管理者にアラートを発する。2015年ごろに登場したツールだが、企業での利用が拡大してきたと鈴置氏は評価する。最近では社員数200名以下の中小企業でも導入が進みつつあるという。
巧妙に作られたメールやサイトを見分けるのは難しい
サイバー攻撃手法が高度化する中でも、長年、企業に対するサイバー攻撃は8割以上がメールを起点として行われている。ただし攻撃者は、従来のようにメールの添付ファイルに不正なプログラム（マルウェア）を仕込む手法から、攻撃方法を変えてきている。
今も猛威を振るっているのが「フィッシングキャンペーン」と呼ばれる手口だ。攻撃者は、メールの本文に書かれた偽情報のハイパーリンクをクリックさせて、自分たちが本物そっくりに作ったWebサイトへ誘導し、クラウドサービスのID／パスワードを打ち込ませて盗もうとする。成功すれば、社員になりすましてクラウドサービスに正面から侵入することが可能で、連絡先などの個人情報や、クラウドストレージに保存された機密データも「取り放題」である。
「偽のメールやWebサイトは、作りが雑なので見ればわかるだろうという認識は、すでに時代遅れです。フィッシングメールの本文に書かれたURLのリンクも、メールの文面としては正規のものでも、実際のジャンプ先はまったく違うURLになっています。メールの文言も、『パスワードが失効しました』などユーザーを焦らせる内容になっていることが多く、非常に巧妙に作られているのです」（鈴置氏）
注意深く、リンク先のURLをコピーして確認すれば、偽のサイトに誘導されることはない。しかし、社員全員がその慎重さを持てるかというと、そうとう厳しいだろう。仮に社員1000人の会社に攻撃を仕掛けて、1人でもリンクを踏んでIDを入れてくれれば、それで攻撃者の目的は達成されるという、攻撃者側に有利な状況である。
多くの企業が利用するクラウドサービスを不正から守る
このように危険なID情報の詐取がまかり通る中、クラウドサービスに特化したセキュリティ製品も登場している。ウィズセキュアがマイクロソフトの「Microsoft 365」のユーザー企業に向けて提供している「WithSecure™ Elements Collaboration Protection」（以下、Collaboration Protection）である。
Collaboration Protectionは、Microsoft 365に搭載されている標準のセキュリティ機能を強化し、より効果的な脅威保護を提供することで、メールをはじめ、ウェブ会議やチャット、クラウドストレージなどを介して共有されるファイルやURLによってもたらされる巧妙化したフィッシング攻撃や悪意のあるコンテンツを阻止し、ビジネスメールに関わるリスクを軽減する費用対効果の高いソリューションである。
クラウド上の管理サイトにアクセスすれば、全社員のセキュリティの状態が一目でわかる
前述のとおり、メールはあらゆる規模の企業にとって最大の脅威経路の1つだが、ある企業に属するユーザーのメールアカウントにアクセスできれば、多くの場合、ほかのさまざまな企業サービスへのアクセスも可能になり、攻撃者に企業や顧客のデータを盗む機会を与えてしまう。
アカウントの侵害は攻撃者が組織に侵入するための簡単な方法であると同時に、侵害されたアカウントを使用して行われるフィッシングキャンペーンやなりすましなどの攻撃は、正当なユーザーアカウントを使用することから、検知が困難であるという特徴も持っている。
Collaboration Protectionでは、企業が侵害されたことがわかると、侵害されたアカウントの検知機能により、対象のアカウントを特定できる。そして、アカウントを修正するためのアクションを実行するようユーザーと管理者に通知し、パスワードを変更したり、侵害されたデータのさらなる悪用を回避するために多要素認証をオンにしたりするなどのセキュリティ対策を講じることを促す。
また、メールやクラウドストレージで共有されるコンテンツを介したIDやパスワードを盗むフィッシングキャンペーンが仕掛けられた場合、Collaboration Protectionは、すべての添付ファイルやリンクを、ウィズセキュアが収集しているリアルタイムの脅威インテリジェンスやウィズセキュアのクラウドで稼働する複数のアンチウイルスエンジンやサンドボックスでスキャン分析し、有害なコンテンツやWebサイトへのリンクを探し出してURLを無効化すると同時に、管理者にその情報を通知する。Collaboration Protectionを使えば、標準のクラウド基盤を使いながら、危険なフィッシングの対策などを実装することができる。
Collaboration Protectionのもう1つの特徴は、企業への導入が非常に簡単なことだ。「マイクロソフトが公開しているAPI（アプリケーション・プログラミング・インターフェース）を使って、当社のクラウドサービスと直接接続することで機能を提供しています。そのため、エンドユーザー側への設定はいっさい不要で、導入していることもまったくわからない形で利用開始できます。また、システム管理者は、当社が提供するクラウド上の管理サイトにアクセスすれば、全社員のセキュリティの状態を一目で把握し、管理することができます」（鈴置氏）。
冒頭で述べた「使いやすくなければセキュリティは維持できない」という思想が、製品に反映されているのである。
さらに、この製品は同社の「WithSecure™ Elements」というクラウドプラットフォーム上で提供されるため、同社のEDRやEPP製品を、同じプラットフォーム上に追加して利用することも可能だ。製品を追加しても管理サイトは共通のため、管理者の負担は大幅に軽減される。「複数のセキュリティ対策を散発的に導入すると、管理者の負担が非常に重くなります。セキュリティのグランドデザインを描き、できる限り共通基盤で運用することをお勧めしています」と鈴置氏は語る。
DXの主役であるクラウドサービスだが、セキュリティも考えなければいけない。鈴置氏は、「企業にとってクラウドは『どう利用するか』が先行しており、『どう守るか』という論点が不足しています。ビジネスにとって不可欠なサービスであるからこそ、しっかりとセキュリティ対策をして、安心して利用することが重要です」と語った。
「WithSecure™ Elements Collaboration Protection」の詳細はこちらから
※Linux® は、米国およびその他の国における Linus Torvalds氏の登録商標です
※Microsoft 365は、米国Microsoft Corporationの米国およびその他の国における登録商標または商標です
