「ネット上のリスクは深刻に、水面下で攻防戦が展開」、KDDI・中尾氏

KDDI　技術開発本部　情報セキュリティ技術部　部長　中尾　康二氏インタビュー

——中尾さんは、情報通信研究機構（NiCT）のセキュリティ高度化グループリーダーやTelecom-ISAC Japanの運営副委員長もされています。そうしたお立場から、企業ネットワークを取り巻くリスクの現状をどうご覧になっていますか。

一般の皆さんはなかなかお気づきにならないでしょうが、インターネット上のリスクは日々深刻なものになっていて、実は大変な状況になっています。今はネットワーク感染型ワームの全盛期といわれていますが、インターネットのブロードバンド化によって帯域幅が広がったことで、ワームの威力が数百倍にもなってしまったのです。

具体的な話でいうと、セキュリティホールが公表されてから数日から10日後には、セキュリティホールを実証するためのプログラム『エクスプロイト・コード』が発表されます。早ければ、その数日後にワームが出現するのです。新しいウイルスですから、未対策のユーザーが多く、感染したPCがLANに接続した瞬間にウイルスをまき散らすことになります。ワームの設計が巧妙であれば、被害は避けられません。

また、“ソンビPC”の存在もネットワークの脅威として挙げられます。インターネットに接続されたPCをワーム感染させたり、不正ツールによって乗っ取り遠隔地から自由に操作できるようにゾンビ化して、それらの多数のソンビPCを同時に操作し、大量のスパムメールを発信するといったケースが増えています。

これらはスパムメールの発信だけでなく、「Phishing（フィッシング）」や「Ddos（Distributed Denial of Service）攻撃」に使われ、大きな被害が発生しています。多数のPCを同時に利用するので、何十万ものメールを同時に発信できるという特徴があります。

こうしたネットワークの脅威に囲まれた中で、リスクの状況を把握して、ネットワークの安定運用を目指して研究活動しているのが、NiCTのセキュリティ高度化グループです。ネットワークのリスクを観測する活動として、いろいろなSOC（セキュリティ・オペレーションセンター）や警察庁、米ミシガン大学などがありますが、私がかかわっているTelecom-ISAC Japanもそうした組織のひとつです。

——Telecom-ISAC Japanでは、どのような活動が行われているのでしょうか。

Telecom-ISAC Japanは、情報通信基盤の安全性確保のために、情報通信事業者を中心に設立された組織です。会員間でインシデントの情報を収集して分析し、共有することを目的にしています。

会員企業をはじめ、幅広く情報を収集してインターネット上の変化をウォッチし、アラート情報を発信したり、脆弱性情報をデータベースとして提供しています。特に、深刻な脅威が発生した場合には、緊急情報を発信し、対応策を検討して各社での対応を促します。

皆さんの記憶に新しいと思いますが、2003年8月に起きたMS-Blaster事件の際には、あるセキュリティホールを狙うBlasterの存在をTelecom-ISAC Japanがいち早く認識し、すぐに内閣官房情報セキュリティ対策推進室の緊急対応支援チームとの連絡体制を構築して対応にあたりました。プロバイダーのネットワークへの影響を技術的に分析し、情報通信事業者へは注意を促すとともに、即座に対策を決定して実施しました。実は、その後続いたBlasterの亜種についての対応の方が大変でしたが、これらもネットワークの異常を検知してから一両日中に対応することができました。

また、同じ頃に世界中の20台のホストコンピュータからプログラムをダウンロードし、第三者の指令で何らかの動作を行う、約1.8Mバイトもある『Sobig-F』という巨大ワームが出現しました。この時は、狙われている20台のホストコンピュータを解明し、日本のISP（インターネット・サービスプロバイダー）も含めた関係者の協力の下で、その20台のホストコンピュータを閉鎖して感染を未然に防ぐことができました。

——我々の知らないところで、攻撃する側と守る側の激しい攻防戦が行われているわけですね。そうした状況の中で、どうネットワークセキュリティに取り組むべきなのでしょうか。

大局的には、不正侵入やDos攻撃、あるいはウイルスに耐えることができて、本人認証が可能なネットワーク基盤の構築が必要です。

BlasterやSobig-Fでは、インシデント情報の収集と分析の重要性を痛感しました。ワームの挙動を分析して予兆情報を収集するためには、ネットワーク上のトラフィックの異常を常に観測するシステムと国内に複数の分析機関があって、お互いに協力し合うことが必要です。

そこでNiCTでは、ISPを中心としてネットワーク上にセキュリティ情報を収集する機器を配備した広域モニタシステムを構築して、ログ情報をセンターで一元管理して分析するセンター構想を進めています。また、Telecom-ISACと連携してデータの分析をリアルタイムに処理し、分析結果に基いて自動的に対策を実行する研究にも取り組んでいます。

いくらネットワーク基盤を技術的に整備しても、利用できなければ意味がありません。そのためには、ユーザー自身がシステムに対応することが重要です。今のようにウイルスに感染しても気がつかないユーザーが多いことは問題です。多数のウイルスに感染して自分のPCの動作が多少遅くなっていても、個人ユーザーはあまり気にならないかも知れません。

我しかし、自分のPCが気づかないうちにウイルスを撒き散らせば、ネットワーク上にウイルスが蔓延し、ネットワークは混乱します。自分のPCにパッチを当てないために、周りに迷惑を掛けていることを認識してほしいですね。ISPにとってもこうした個人ユーザーをフォローするために、顧客対応コストが膨大になってしまいます。

■詳しくは、こちら「bp special トータル・セキュリティソリューション」でご覧になれます。