インターネットに接続するデジタル機器の普及により、インターネットに接続する機会が増えてきました。同時に、近年サイバー攻撃の標的となるリスクも飛躍的に高まっています。サイバー攻撃といえば、当初は個人が愉快犯的に行っていたものが多かったですが、近年は集団で行われるケースも増えています。目的も金銭の要求や個人情報の不正取得、悪用などでフィッシング詐欺に使われてしまう事件は頻繁に起こっていますし、特定の企業を攻撃し社会的な信頼を失墜させるものが目立ってきています。
サイバー攻撃の対象や目的、手段も複雑化してきており、対策も容易では無くなってきています。今回は代表的なサイバー攻撃の手口のご紹介から、対策の一つとなるWAF（Web Application Firewall）の理解、その攻撃パターンの一覧と可能な対策についてご紹介していきます。今すぐにでも、サイバー攻撃の対策を知る機会になれたら幸いです。
サイバー攻撃の手口
そもそもサイバー攻撃の対象は大きく、個人と組織に分けられます。組織には企業だけでなく、国家や行政機関なども含まれ、攻撃の種類も複数になります。近年のサイバー攻撃では、ランサムウェアやメールを介したマルウェア（Emotet）の相談件数が大幅に増加すると予想されています。メールを介して感染するマルウェア（Emotet）は、メールの文面を巧みに偽装する為、マルウェアと気づきにくい事が厄介です。
それでは代表的なサイバー攻撃の手口をご紹介します。
【１】ランサムウェア
ランサムウェアの「Ransom」とは、日本語で身代金を意味します。ランサムウェアに感染すると、所有するデータが勝手に暗号化されてしまい、攻撃者はそのデータの復号と引き換えに金銭を要求してきます。
【２】標的型攻撃
標的型攻撃とは、特定の組織を狙ったサイバー攻撃で、攻撃の際に使用されるメールは極めて巧妙に偽装されているものが増えてきています。事前に不正に取得した情報も元に、組織内で実際に使用されている役職名を使い、業務に関係する内容を記載する場合もあり、受信者は判別が難しくなります。
【３】DDos攻撃
分散型サービス拒否攻撃と訳され、Webサイトやサーバーに負荷をかけてダウンさせる事でサービスを妨害する攻撃です。この攻撃を受けると外部からのアクセスが不可能な状態に陥り、サービスが利用出来なくなってしまいます。
【４】不正アクセス
アクセス権限のない第三者が、システムやサービスに不正にログインする事です。企業だけでなく個人も標的となります。企業が不正アクセスを受けた場合、個人情報流出の原因になるケースも多く、事業継続に大きな影響を及ぼしかねません。
【５】サプライチェーン攻撃
サプライチェーンとは、商品やサービス等の製造から、消費者へ提供されるまでの一連のプロセスの事で、一般的に販売店や開発元、物流、病院など複数の企業が関与します。こうしたサプライチェーンの弱点を狙う’サプライチェーン攻撃’に対し、委託先や再委託先などサプライチェーン全体のセキュリティ対策の状況を把握する事が必要となってきます。
他にもいくつかサイバー攻撃の手口はあり、対策が必要となってきます。その対策の中でも、Webアプリケーションの脆弱性を悪用した攻撃への対策の一つに【WAF（Web Application Firewall）】があります。ここからはWAFについて、解説していきます。
WAF（Web Application Firewall）とは
WAFは、Webアプリケーションの脆弱性をついた攻撃に対するセキュリティ対策のひとつです。Webアプリケーション内に直接実装するものではなく、Webアプリケーションの前面やネットワークに配置し、脆弱性を悪用した攻撃を検出・低減する対策方法です。
直接管理や改修をする事が出来ないWebアプリケーションや、脆弱性を修正する事が難しい場合、あるいは修正に時間がかかる為に直ぐに対策を講じたい時にも有効です。
WAFの必要性においては、情報処理推進機構（IPA）が「Web Application Firewall 読本」でも詳しく解説しています。Webアプリケーションの脆弱性を悪用した攻撃から保護するセキュリティ対策のひとつとして紹介されています。
https://www.ipa.go.jp/archive/security/vuln/waf.html
それでは次に、WAFで防御できる攻撃について見ていきましょう。
攻撃パターン一覧とWAFでの有効性
WAFで防御できる攻撃パターンには以下のようなものが挙げられます。
【 WAFで防御できる攻撃パターン一覧】
- バッファオーバーフロー
- クロスサイトスクリプティング
- SQLインジェクション
- DDoS攻撃
- ブルートフォースアタック
- ディレクトリトラバーサル
この中でも、特にクロスサイトスクリプティングとSQLインジェクションは他のセキュリティ製品では防げない攻撃パターンとなり、WAFを導入検討する際のポイントとなります。
一方で、WAFで防げない攻撃も存在するので、より複数のセキュリティ対策を組み合わせて多層防御する事が大切になります。
まとめ
数あるサイバー攻撃の手口から有効なセキュリティ対策、その具体的なツールとしてのWAFという事でご説明して参りました。
世の中が便利になる一方、リスクも比例して増えるため攻撃と対策はいたちごっこのようですが、場合によっては被害規模が途方もないものになる可能性があります。
目の前にある脅威をきちんと認識し、必要なセキュリティ対策を講じて個人での生活や会社としての事業継続を守っていかなければいけません。
当サイトでは、サイバー攻撃を防ぐためのWAFに興味がある方へ、参考になるダウンロード資料をご用意しております。 サイバー攻撃可視化ツール【PrimeWAF】は、セキュリティの専門的な知識が無い方でもカンタン設定で気軽にWEBサイトを強化でき、状況が直ぐにわかるダッシュボード機能で効果検証に使いやすいレポート機能も搭載しています。対応可能な攻撃パターンも分かりやすくご説明しておりますので、ぜひ一度資料をダウンロードのうえ、ご導入検討を頂ければ幸いです。
