【ブックレビュー】最新ネットワークセキュリティ
最新のセキュリティ事情について豊富な図と質の高い取材からひも解く
雑誌『日経ネットワーク』のセキュリティに関連した記事をまとめた本です。そもそも、フロッピーディスク💾（今やこれを使ったことがない人も多いのではないでしょうか）で直接コンピュータウイルスを感染させるような時代ではなく、ネットワークを介さないセキュリティなど、今や皆無と言っても過言ではありません。
この本の出版は2026年3月となっており、かなり新しい内容が掲載されています。昨年はアサヒビールやアスクルのランサムウェア被害、ネット証券のアカウント乗っ取りなど、大きなセキュリティ事故が多発しました。それだけに、セキュリティの重要性はますます高まっています。
このような本の良いところは、警察庁や証券会社、ベンダーなどの大組織に対してアンケートやインタビューを試みることができる点です。いわゆる「コネ」があるんですよね。おかげで、普段は知ることができない現場のリアルについて知ることができます。
第1部 セキュリティ最前線
今まさに世中で流行しているサイバー攻撃について紹介しています。ボリュームがあり読み応えもありますので、今の時代を把握するにはうってつけの内容です。
やはり流行しているのはランサムウェアです。ランサムウェアの被害を受けたら警察に相談しましょう。警察庁はLockbitの復元ツールを開発しましたが、その動機が「Lockbitで暗号化するツールをインターネット上で見つけたので、暗号化できるなら復元もできるのでは」というものだったとのこと。日本の警察のスキルの高さを感じました。
かつては、無差別にWebやメールでソフトウェアをダウンロードさせる「ばらまき型」が主流でしたが、現在はネットワークに不正侵入して暗躍し、準備が整ったら一気に起爆させる「侵入型」が増えました。世の中のニュースで報道される事故も、だいたいこれですものね。
そしてその入り口になっているのがVPN装置だと言われています。2024年に警察庁に報告されたランサムウェア被害のうち、実に半数がVPN装置からの侵入経路であり、次にRDPが17%——つまり、リモートによる社内システムへの侵入が7割近いということになります。僕も情シスとして他人事ではないと思っています。VPN装置から社内ネットワークに侵入後、次に狙われるのはActiveDirectoryです。Microsoftのビジネスにおける根幹はOfficeではなくActiveDirectory（AD）とはよく言われていますが、システム管理者にとっては大変便利なADが攻撃者に掌握されたら、たいへんなことになります。
次にネット証券各社へのアンケートです。ネット証券口座の乗っ取りはニュースになったので覚えがあると思います。各証券会社がユーザーの反応を待たずに一斉に多要素認証を必須にしたため、家族のために多要素認証を設定した際の感想は僕の僕の過去のブログ記事でも書きました。 今回アンケートに応じた証券会社15社すべて、多要素認証機能自体はもともと存在していましたが、これまではユーザーに利用が広がりませんでした。しかし、こうも被害が増加した状況では 「強制しないと、自分たちにも責任がありと詰められるかもしれない」 という恐怖があったのかもしれません。
ワンタイムパスワードによる多要素認証にはいくつかの実装方法があります。ポピュラーなのは、専用アプリのインストール不要なSMSを利用したワンタイムパスワードでしょうか。しかし攻撃側も、”リアルタイムフィッシングというより高度なフィッシング手段を用いてきています。このブログで数年にわたって追いかけてきたパスキーが証券会社アプリでも必須になりました。このスピードの速さは、実際にサービスを利用していても感じて驚かされました。 また、この記事は”とにかくセキュリティ強化を”と邁進する僕たち専門家に、重要な課題を突き付けています。
「多要素認証をいちいち聞かれるのが面倒なので御社の利用をやめます」という顧客に言われた場合、企業としては利益のためにセキュリティを弱化することがインセンティブとして働く。 そもそも高齢者は新技術の理解・操作の習熟について苦戦する。 パスキーに対応したシステム開発はハードルが高い。セキュリティに関する業務負荷が高まり、現場が「セキュリティ疲れ」を起こしている。 次にフィッシング詐欺の入り口として大勢を占めるEメールのなりすまし対策、SPFとDKIM、そしてDMARCについては、僕も昨年四苦八苦して導入しました（参考記事）。。 DMARC対応は「わずかであれば正常なメールも拒否されるのはやむを得ない」というロジックです。迷惑メールを無差別に受信するよりはまし、ということですが、完璧な技術ではありません。また「攻撃側がお行儀よくDMARCに対応した本物そっくりドメインからメールを送ってくる」ことを防げません。 そのため、この記事で紹介されている 「私の会社から送られてくるメールにはURLは決して記載していません」（お知らせは公式Webサービスにログインして確認してください）という啓発を利用者に定期的に行う のは、単純ながら効果があると思います。これなら自社サーバの中身が改ざんされない限り、フィッシング詐欺を防ぐことができます。ただ、これは利用者にお知らせ確認のためにサービスログインを強いるので、利便性を犠牲にしているんですよね。悪い人のせいで一般人が割を食っています。
そしてこちらも以前ブログで紹介した「能動的サイバー防御」。以前紹介した、高市早苗総理がずっと昔に書いた本でも既に言及があったことから、総理にとっては悲願だったと思われます。攻撃者の攻撃の兆候を事前分析から予知して、相手のサーバを無害化（テイクダウン）。これは国内外を問いません。名前の通り攻撃を受けてから対応するパッシブではなくアクティブな防御ですが、言い換えれば攻撃です。「攻撃は最大の防御なり」とはよく言ったものです。 この能動的サイバー防御を行う根拠となる、通称「サイバー対処能力強化法」と「サイバー対処能力強化法整備法」（実際にはもっと長い名前の法律です）について、僕らは詳しく読んではいないのですが、さすがは専門誌、専門家の取材を行っています。この法律、分析においては国内通信事業者の通信内容は対象外とのことです。理由は”攻撃の99％は海外から”とのことですが、攻撃者が国内拠点・国内通信網を利用して攻撃してくる可能性は当然考えられます。これについては憲法が保障する「通信の秘密」などとの兼ね合いがあるのでしょう。そもそも憲法は先制攻撃を禁止しているわけで、その点でも能動的サイバー防御はだいぶ踏み込んだものになります。現状やりたいことをすべてできるようなものではなく、ある程度玉虫色の条文となっていると思われます。
クレジットカードの不正利用についての記事も興味深かったです。クレジットカードは、クレカ番号と裏に書かれたセキュリティコードがあれば認証できてしまう脆い設計です。Webサービス側のログイン時の多要素認証やパスキーで入り口を抑えるしかないのかと思っていましたが、最近はEMV-3Dセキュアという規格に各クレジットカード会社が対応していることを知りました。
従来のインターネット上でのクレジットカード決済は、「クレジットカード番号」や「有効期限」などのクレジットカードに記載されている情報のみで行えました。一方、EMV 3-Dセキュアにおいては、利用者が用いるパソコンやスマートフォンなどのデバイスから得られる情報などを利用して、その購入が本人であるかどうかを数値化してリスク判定します。
クレジットカード決済をする際、外部サービスによるチェックが行われているのは知っていましたが、こんな処理をしていたとは。上記のみならず、カード決済の直前にワンタイムパスワードや生体認証を追加可能な規格とのこと。これは心強いです。 ただしすべてのクレカ事業者が対応しているわけではないようなので、我々利用者ができる対策には クレカ事業者のアプリやメール通知機能を利用し、クレカの支払いが発生した際に どの取引先からいくら引き落としされたか がすぐ気づけるようにするのが有効です。これなら「あ、毎月のインターネット料金だ」「今月の水道料金だ」と気が付きますからね。
今まさに世の中で流行しているサイバー攻撃について紹介しています。ボリュームがあり読み応えあります。今の時代を把握するにはうってつけです。
やっぱり流行しているのはランサムウェア。ランサムウェアの被害を受けたら警察に相談しましょう。警察庁はLockbitの復元ツールを開発しました。その動機が「Lockbitで暗号化するツールをインターネット上で見つけたので、暗号化できるなら復号化もできるのでは」だったとのこと。日本の警察のスキルの高さを感じました。 かつては無差別にWebやメールでソフトウェアをダウンロードさせるばらまき型が主流でしたが、現在はネットワークに不正侵入して暗躍、準備が整ったら一気に起爆という侵入型が増えました。世の中のニュースで報道される事故もだいたいこれですものね。 そしてその入り口になっているのがVPN装置と言われています。2024年に警察庁に報告されたランサムウェア被害のうち実に半数がVPN装置からの侵入経路、次にRDPが17%、つまりリモートによる社内システムへの侵入が7割近いということになります。僕も情シスとして他人事ではないと思っています。VPN装置から社内ネットワークに侵入後、次に狙われるのはActiveDirectory。Microsoftのビジネスにおける根幹はOfficeではなくコレとはよく言われていますが、システム管理者にとっては大変便利なADが攻撃者に掌握されたらたいへんなことになります。
次にネット証券各社へのアンケート。ネット証券口座の乗っ取りはニュースになったので覚えがあると思います。各証券会社がユーザの反応を待たずに一斉に多要素認証を必須にしたため、家族のために多要素認証を設定した際の感想は僕の過去のブログ記事でも書きました。 今回アンケートに応じた証券会社15社すべて多要素認証機能自体はもともと存在しましたが、これまではユーザに利用が広がりませんでした。しかしこうも被害が増加した状況では 強制しないと、自分たちにも責任がありと詰められるかもしれない、という恐怖があったのかもしれません。
ワンタイムパスワードによる多要素認証はいくつかの実装方法があります。ポピュラーなのは専用のアプリのインストール不要なSMSを利用したワンタイムパスワードでしょうか。しかし攻撃側も”リアルタイムフィッシングというより高度なフィッシング手段を用いてきています。このブログで数年にわたって追いかけてきたパスキーが証券会社アプリでも必須になりました。このスピードの速さは実際にサービスを利用していても感じて驚かされました。 また、この記事は”とにかくセキュリティ強化を”、とまい進する僕たち専門家に重要な課題を突き付けています。
- 「多要素認証をいちいち聞かれるのが面倒なので御社の利用をやめます」という顧客に言われた場合、企業としては利益のためにセキュリティを弱化することがインセンティブとして働く。
- そもそも高齢者は新技術の理解・操作の習熟について苦戦する。
- パスキーに対応したシステム開発はハードルが高い。セキュリティに関する業務負荷が高まり現場が「セキュリティ疲れ」を起こしている
次にフィッシング詐欺の入り口として大勢を占めるEメールのなりすまし対策、SPFとDKIM、そしてDMARCについては僕も昨年四苦八苦して導入しました（参考記事）。 DMARC対応は「わずかであれば正常なメールも拒否されるのはやむを得ない」というロジックです。迷惑メールを無差別に受信するよりはまし、ということですが完璧な技術ではありません。また「攻撃側がお行儀よくDMARCに対応した本物そっくりドメインからメールを送ってくる」ことを防げません。そのためこの記事で紹介されている 「私の会社から送られてくるメールにはURLは決して記載していません」（お知らせは公式Webサービスにログインして確認してください）という啓発を利用者に定期的に行うというのは単純ながら効果があると思います。これなら自社サーバの中身が改ざんされない限りフィッシング詐欺を防ぐことができます。ただ、これは利用者にお知らせ確認のためにサービスログインを強いるので、利便性を犠牲にしているんですよね。悪い人のせいで一般人が割を食っています。
そしてこちらも以前ブログで紹介した「能動的サイバー防御」。以前紹介した、高市早苗総理がずっと昔に書いた本でも既に言及があったことから、総理にとっては悲願だったと思われます。攻撃者の攻撃の兆候を事前分析から予知して、相手のサーバを無害化（テイクダウン）。これは国内外を問いません。名前の通り攻撃を受けてから対応するパッシブではなくアクティブな防御ですが、言い換えれば攻撃です。攻撃は最大の防御なり、とはよく言ったものです。 この能動的サイバー防御を行う根拠となる、通称「サイバー対処能力強化法」と「サイバー対処能力強化法整備法」（実際にはもっと長い名前の法律です）について、僕らは詳しく読んではいないのですが、さすがは専門誌、専門家の取材を行っています。この法律、分析においては国内通信事業者の通信内容は対象外とのことです。理由としては”攻撃の99％は海外から”とのことですが、攻撃者が国内拠点・国内通信網を利用して攻撃してくる可能性が当然考えられます。これについては憲法が保障する「通信の秘密」などとの兼ね合いがあるのでしょう。そもそも憲法は先制攻撃を禁止しているわけで、その点でも能動的サイバー防御はだいぶ踏み込んだものになります。現状やりたいことをすべてできるようなものではなく、ある程度玉虫色の条文となっていると思われます。
クレジットカードの不正利用についての記事も興味深かったです。クレジットカードはクレカ番号と裏に書かれたセキュリティコードがあれば認証できてしまう脆い設計です。Webサービス側のログイン時の多要素認証やパスキーで入り口を抑えるしかないのか、と思っていましたが、最近はEMV-3Dセキュアという規格に各クレジットカード会社が対応していることを知りました。
従来のインターネット上でのクレジットカード決済は、「クレジットカード番号」や「有効期限」などのクレジットカードに記載されている情報のみで行えました。一方、EMV 3-Dセキュアにおいては、利用者が用いるパソコンやスマートフォンなどのデバイスから得られる情報などを利用して、その購入が本人であるかどうかを数値化してリスク判定します。
クレジットカード決済をする際、外部サービスによるチェックが行われているのは知っていましたが、こんな処理をしていたとは。上記のみならず、カード決済の直前にワンタイムパスワードや生体認証を追加可能な規格とのこと。これは心強いです。 ただしすべてのクレカ事業者が対応しているわけではないようなので、我々利用者ができる対策には クレカ事業者のアプリやメール通知機能を利用し、クレカの支払いが発生した際に どの取引先からいくら引き落としされたかがすぐ気づけるようにするのが有効です。これなら「あ、毎月のインターネット料金だ」「今月の水道料金だ」と気が付きますからね。
第2部 脆弱性の正体
”脆弱性”を一言で解説すると、”攻撃者が悪用できるバグ”のことです。ただし悪用の難易度、悪用による影響の大きさなどはバグによって異なります。本書で紹介されているようにホワイトハッカーたちによる報酬付き脆弱性発見イベントも開催され、バグの撲滅に各ベンダーが取り組んでいます。しかし近年はAIの影響により人間が処理しきれないほどの脆弱性が報告され、あまりにカジュアルにバグが報告されるため、最近はバグハンターへの報酬金制度がなくなるというニュースもありましたね。
AIによる低品質な脆弱性レポート連発でcURLがバグ報奨金プログラムを停止 オープンソースソフトのバグを報告すると報奨金がもらえる制度、受付を一時停止。その理由とは
一方で近年は、脆弱性が発表されてから、脆弱性を利用しての攻撃開始までのスパンが短くなっているという調査結果もあります。攻撃側もAIを使用しているのでしょうか。情シスも戦略的にセキュリティ対策をやらないと、攻撃速度に追いつけず被害を受けてしまいます。
とはいえ、いきなりあれもこれもはできません。この本にあるように松竹梅プランを作り、下位のプランから少しずつ進めることが良いと思います。 まず梅は最も危険なVPN装置のセキュリティ対策と、そのベンダからの情報を逐一チェック。それが済めば竹プラン、資産台帳にハードウェアやアプライアンスをOSのバージョンを含めて記録し、該当する脆弱性が出ていないかを確認。資産台帳を作成するのは最後の最後、松になります。Pマーク取得の条件にもなる資産台帳ですが、前提なくいきなり用意はできない、ということですね。セキュリティに近道なしです。 と、やりたいことだらけなのですが、
1人に任せると負担が大きいし、担当者は休めなくなる。複数人で対応できるようにしておくべきである 役割分担では、システムを止めてパッチ適用するなど業務に与えるような判断に対して、実務を行う人と判断を行う人を分けるべきである（調査する人は判断を後回しにしがち）
本書にあるように、一人セキュリティ担当ではなく、組織としてセキュリティ対応、させてください！（涙）
第2部でもランサムウェア被害の入り口の半数を占めるVPNルータについて多くの紙面を割いています。FortinetがSSL-VPNを廃止する件については、僕もベンダーのウェビナーに参加しました。
接続者は多く、関心の高さがうかがえました。SSL-VPNとIPSec-VPNの技術の差異、双方のメリデメについて、本書ではウェビナーの内容と同様の説明が書かれていました。VPNではなくゼロトラストネットワークアプライアンスを推奨する部分も一緒でした。よく解説されており、ネットワークスペシャリスト試験勉強でこの辺りを何度も学習したのを思い出しました。
そしてサプライチェーン攻撃にも注目。以前ブログ記事に書いたように、Linuxの古くから利用されているライブラリやnode.jsの依存先に攻撃が注入されるインシデントが短期間で多発しました。自分たちが利用しているソフトウェア、ハードウェアにどのライブラリのどのバージョンが利用されているのか把握することがとても大切になっています。ライブラリ管理表の目視とテサ作業のメンテが追い付かないのは常なので、各ライブラリのバージョンを自動収集して台帳（SBOM）に登録するようにする機構を作りたいところです。
サプライチェーンリスクが強調されることで、今まで以上に現場の負荷が高まっています。これまで以上に取引先、委託先に対するセキュリティの目は厳しくなっており、この本に書いてあるように取引前の事前セキュリティチェックシートが送られてくることが増えてきました。このチェックシートはある種の踏み絵として機能します。つまり万が一セキュリティ事故が自社で起きた場合、「あなたは事前のチェックシートで、”ここは大丈夫”と書きましたよね！」となるわけです。相手のほうが立場が上です。いやです、とは言えません。辛い。
第3部は セキュリティに対応する
セキュリティ攻撃に対応し、防御策も次々生まれています。様々なセキュリティ用語が出てきます。EPP、EDR、IoA（Indicator of Attack）、IoC（Indicator of Compromise）、SIEM。CSPM、CIEM、CWPP、CASBなど・・・ちなみにこれらの”C”はすべて”Cloud”の頭文字です。似たような用語が多くて覚えられません。 そして先ほど”委託元がセキュリティチェックシートの記入を依頼してきて仕事の負荷が高まっている”と書きましたが、この本には委託元の立場に立ったチェックシートの作り方についても解説する記事が。ご丁寧にサイボウズが使っているセキュリティチェックシートのひな型がついてます。
委託元にも言い分はあります。近年大企業が発注した委託先企業内でのセキュリティ事故が多発しています。このような委託先企業は多くの会社の仕事を請け負っており、個人情報もたくさん保有しています。攻撃者にとってはおいしいターゲットです。しかし近年は「委託先が悪いので、私の会社に非はない」とは言えない時勢となっています。こういう記事を読むと、委託先企業でセキュリティ体制を高める自分が、会社の取引を増やし、損害を防ぐ重要な立場であることを再認識します。
しかしこの記事にあるように、現場は「チェックシート疲れ」を起こしています。毎週１社はセキュリティチェックシートを回答している気がします。数も多いし、聞いてくる内容は各社微妙に異なります。経済産業省主導の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が期待されているところはまさにそこでして、「うちの会社は取引に値するセキュリティ対策をしていますよ！」というロゴをホームページに掲載し、それでセキュリティ対応は完了としたいものです。
多要素認証にはたくさんのページを割いて深く解説しています。ログイン成功時にSMSやメールに6桁の数字が送られてくるワンタイムパスワードは手軽ですが、金融機関が導入してから2か月後には金融機関のWebサイトを模したリアルタイムフィッシングの事例が発生するなど、中間者攻撃に対する弱さが露呈しました。そのためやっぱりパスキーとなります。このブログ開設当初から「将来のスタンダードになる」と推していた技術ですが、こうやって詳細について改めて理解すると、よくできた技術スタックだと思います。推しているわりには詳細を忘れるので、このように定期的に再学習できる機会を作らないと、と思っています。 ただしパスキーも過信は禁物で、パスキーを新規設定する初回の無防備な状態を中間者攻撃に狙われたり、対象のサイトに対して認証をパスするCookieが盗まれたりなど、フィッシングメールなどの詐欺には十分注意しないといけません。
不幸にもランサムウェア被害を受けてしまった場合、どのように対応するのかについても書かれています。昨年IIJがActiveMailの脆弱性を突かれたサイバー攻撃を受けましたが、IIJですら（利用している外部のソフトウェアの脆弱性の問題とは言え）防げないのですから、現代においてセキュリティ事故を100％防ぐことはできません。セキュリティ対策は「予防」と「対応策」がセットです。僕も今年の仕事の目標に「インシデント発生時の対応についてルール・文書化する」ことをミッションとして定めています。対応を「拡大の防止」「封じ込め」「分析・特定」「復旧」にカテゴリ分け、情シス部門が何をするか、それ以外の部署は何をするか、でまとめている本章はまるっと参考になります。
加えて「対応の前の対応」つまり平時にどのように備えておくかも大切。
今できていないことは何か、「誰が」「いつまでに」やる必要があるか 「拡大の防止」をやみくもに行動しないためにも、社内のネットワーク構成図、PCがどこでだれが使っているかを把握 社内の（利用しているサービスの）「どこに」「どの程度の重要・機密情報が配置されているか」把握 後述の問い合わせ先企業・専門家・警察の番号を控えておく 社内体制図を作成 第一報のひな型を作っておく 経営層に意思決定の方針を伝える フローチャートもありますし、この本のタイトル「図解で身につく」のとおり、充実の内容です。JNSAにはサイバー攻撃を受けた際に「初動無償」で対応してくれる専門企業の一覧が掲載されていることを覚えておきたいです。警察に連絡すれば、職場にも来てくれるそうです。さらに最初のインタビューでも紹介したように、警察は暗号化されたデータを復元するツールも持っていますので、業務を早期に再開することができます（データが盗まれた場合は別の対応が必要になりますが…）
また、情シスにとって大きな壁となるセキュリティ対策の予算をどれくらい見積もり、どれくらい費用をかけるのが妥当かの数値の根拠の考え方も記載されています。セキュリティ対策もコスパが求められます。お金は無限ではありませんからね。大きな会社は羨ましい程の人・時間・お金をセキュリティ対策に投資していますが、中小企業はそうはいきません。 そんな中小企業に向けてコスパの良い選択肢も紹介されています。重要な場所をしっかり守るという作戦です。まずはやっぱりVPN装置＋ActiveDirectory。VPNを経由した端末への不正侵入をきっかけに、社内システムのコアであるActiveDirectoryをどう乗っ取るかまでの典型的な手法図解で示されています。その対策は
複雑なパスワード、加えて多要素認証（先日のFortinetのウェビナーでも紹介されていました） ログイン試行回数の制限 パッチをちゃんとあてること バックアップを取っておくこと。 いずれも初歩的な対応です。特効薬はありません。高価なアプライアンスも、高度な実装も不要で、まずは基本中の基本を積み重ねるだけで、リスクを下げることができます。結局200ページ読んだところで、セキュリティに近道なく、地道な積み重ねが最重要であることがこの本の言いたいことなのではと思いました。
全200ページですが、文章の密度は濃く、内容は実践的、タイトルに誤りなく図も多くて大変参考になる本でした。