大規模個人情報流出事件 その対策とは？
大規模な情報流出事件はなぜ起き、手口はどのような手段なのか？ それをひも解かない限り、この脅威に対する対策は立てられない。 ある大規模情報漏えい事件を例にとり、どのような手口であったのか検証してみる。
ある大規模個人情報流出事件の実態
調査の結果、以下のような実態がわかった模様である。（某情報機関からの発表を抜粋）
侵入するために特権を何らかの方法で取得
人的要因により流出した可能性が高いが、ウイルスのように何らかのプログラムが仕掛けられ流出した可能性もある。
ウイルスは、オペレーションミスだけでなく、内部犯罪による混入も考えられる。
操作だけでなく、不正なファイルが配置されていないかチェックすることで、より早く対策をうつことができ、被害を最小限に出来た可能性が高い。
侵入行為を隠ぺいするためにログ・ファイルを削除
ハッカーでなくても、サーバにログインした記録が標準でどこに記録されるかは、システム関係の仕事に従事していれば常識である。
WEEDS社でも、UNIX系OSの標準ログ(「wtmp」や「history」)や、Windows標準ログ「イベントログ」では監査できないことを提言しているが、恐らく犯人はこのような標準ログに記載されるログを削除したと予測できる。
このことで明らかになったことは、“OS標準ログは削除される”ということであり、標準ログをあてにしたログ監査は意味をなさないことを示している。
不正なファイルを配置
ある事件の攻撃者は、痕跡はほとんど消し去ったようだが、ある自警技術集団の名前が付けられたファイルだけを残した模様である。
つまり、ファイルまたはプログラムを容易に配置することができる状態にあったことは間違いない。
これも不正なファイルが配置されていないかチェックすることが非常に重要であることがわかる。
さらに、どこに配置されるかはわからないため、サーバの全ディレクトリをチェックする必要があることがわかる。
個人情報流出を防ぐ対策とは
上記の結果から、大量個人情報流出事件を防ぐ手立ては以下が有効であることが考えられる。
アクセスログは独自機構で取得する
既存に存在する標準ログでは、ハッカーに見破られ、痕跡を消されてしまうことが、ある大量個人情報流出事件で明らかにされた。
つまり、標準ログは改ざんされるリスクが非常に高いと言えることになる。
よって、アクセスログは独自機構でログ取得する必要がある。
ログを即座にサーバから退避する
PCIDSS 10.5.3でも謳われているように、ログを削除や変更されないよう、素早く退避する必要がある。
アクセスログは操作ログも取得する
ログイン・ログオフの記録だけは、情報流出経路や手口の調査に膨大な時間がかかり、その結果「株価の暴落」や「風評被害」に見舞われてしまう。
操作ログまで保持していれば、情報開示に多くの時間を取られることなく、説明責任を果せる。
この違いは後々の対処や説明に余計な負担をかけることがないばかりか、無駄なリスクを排除できる。
ファイルやプログラムの不正な配置をモニタリングする
情報を流出するために、何らかのファイル・プログラムを配置した事は間違いないが、どこに配置したかは事前に特定できない。
そのため、特定のディレクトリだけをモニタリングするだけでは漏れが生じてしまう。
基本的には全ファイルが監査対象としてモニタリングし、システム上、自動更新されるファイル名は規則性から排除するなどの方法で効率的に監査することが求められる。
データベースへの不正アクセスをモニタリングする
データベースのアクセスログを取得することは最も重要な対策と言って過言ではない。
例えば「暗号化している」といっても、暗号を解除してアクセスできる担当者、ユーザID、アプリケーションは必ず存在する。
よって、個人情報やクレジットカード情報などの“データの御本尊”が保管されているデータベースへのアクセスをモニタリングし、不正アクセスを監視することは非常に重要である。
このログをモニタリングすることで、この事件を未然に防げた事件は多くあり得る。
このように、大量個人情報流出事件などでは、上記の対策を予め施し、日々アクセスログを取得、定期的に監査していれば防げたと考えられる。
さらに、ログ取得はシステムや業務の傾向がわかり、セキュリティ目的だけでなく、業務改善やTCO観点でのチェックに使え、ブラックボックスだったシステム運用を可視化できるだけでなく、IT統制も行える。
WEEDS Trace Seriesによる解決方法
上記の対策を、すべてWEEDS Trace Seriesにて施すことができる。
不正なプログラム配置を検知 「WEEDS ITGC-Trace」
ある事件では、犯行声明のようなファイルが残されていたり、不正プログラムを配置され、時限爆弾のようにある時期が来ると稼動するように仕掛けられたりする。
それらをいち早く察知できれば、犯行を未然に防ぐことが可能になる。
「WEEDS ITGC-Trace」では、不正なプログラム、ファイルが配置されたり、更新、削除されたことを検知し、レポーティングする。
予め、サーバ内の正常プログラムを登録しておくことで、不正なファイル変更だけを抽出して監視できる。
不正なデータベースアクセスを検知 「WEEDS DB-Trace」
情報漏えいというリスクを考えれば、データベースに補完されたデータが監視対象であり、このアクセスログを漏れなく取得することは必要不可欠といえる。 データベースアクセスログ監査において重要な点は、ログ取得漏れがないことと、アクセス先が明確なログを保持することである。 これは、PCIDSSでも謳われているが、ログであればなんでもよいわけではなく、効率よく監査できなければ意味がない。 よって、アクセス先テーブルの、アクセス先フィールド、アクセス種別が瞬時に判別できなければ、速やかな監査業務は行えない。 これが容易に実現できるのが「WEEDS DB-Trace」である。
ログを追跡し、不正操作を検知「WEEDS UNIX-Trace」
「WEEDS UNIX-Trace」は、人間の操作に着目し、コマンド/パラメータ/コマンド実行結果を取得し、なおかつ、環境変数やエイリアスで別名となったコマンドも取得しているため、何をして、何を見たのかをログ取得/監査できる。 さらに、ログ改ざんを防ぐために、ログは随時ログサーバへ転送して隔離する。監査業務効率化のため、サーバ作業申請登録機能、及び未申請操作の自動抽出、さらに指定された禁止コマンド、禁止パラメータの実行一覧機能を備え、不正を自動的に浮かび上がらせることができる。
お問合せ ＞ お電話(営業部：03-5950-6350)もしくは、お問合せフォームまで
.jpg)