不正アクセスとは

不正アクセスの定義

不正アクセスは、所有者や管理者からの明確なアクセス権許諾や正規の認証なしに、個人またはプログラムがアプリケーション、コンピューティング システム、ネットワーク、リソースを閲覧または使用する行為です。不正アクセスの影響はさまざまですが、脆弱性の悪用、セキュリティ管理の回避、盗まれたクレデンシャルの使用につながるおそれがあります。不正アクセスは、データ侵害、機密情報の漏洩、サービスの中断につながるおそれがある深刻な脅威です。

不正アクセスが発生する仕組み

不正アクセスは、システムのセキュリティ インフラストラクチャの脆弱性を悪用する高度な方法から、不注意なユーザーを騙してクレデンシャルを共有させる方法まで、さまざまな方法で発生します。不正アクセスを行う攻撃者の巧妙な方法には、以下のようなものがあります。

標的型持続的攻撃

標的型持続的攻撃（APT）とは、不正アクセスを目的とした長期にわたる巧妙な標的型の悪意あるキャンペーンです。攻撃者は一旦侵入すると、最初の攻撃を仕掛けるまで、長期間にわたって検出されないように試みます。

標的型持続的攻撃は通常、価値の高い情報、資金、その他の資産を有する組織を標的とし、その特徴は粘り強さにあり、最初の目的を達成した後も標的を攻撃し続けます。

ブルート フォース攻撃（総当たり攻撃）

ブルート フォース攻撃は、脆弱なクレデンシャルを悪用します。攻撃者は自動スクリプトを使用して、多数のユーザー名とパスワードの組み合わせを高速で試行することで、推測可能なクレデンシャルを容易に探し出します。

クレデンシャルの侵害

クレデンシャルは、フィッシング、キー ロギング、APTなど、さまざまな方法で盗まれる可能性があります。盗まれたクレデンシャルのリストも販売されています。この場合、クレデンシャル スタッフィングと呼ばれる敵対的な戦術が用いられ、あるプラットフォームから盗まれたユーザー名とパスワードを使用して、別のプラットフォームへの不正アクセスが行われます。

クロスサイト スクリプティング（XSS）

攻撃者は、悪意のあるクロスサイト スクリプティング スクリプトをWebページに仕掛けたWebアプリケーションを攻撃ベクトルとして使用します。疑いを持たないユーザーが侵害されたページとやり取りすると、攻撃者はセッションを乗っ取ったり、認証トークンを盗んだりすることができます。

ソフトウェアの脆弱性の悪用

不正アクセスを行うもう一つの方法は、古いソフトウェアやパッチが適用されていないソフトウェアなど、ソフトウェアの脆弱性を悪用する方法です。これにより、アプリケーション、オペレーティング システム、ネットワーク サービスへのアクセスに使用できる既知の脆弱性が攻撃者に提供されます。

物理的なセキュリティ侵害

デジタル ベクトルよりも発生頻度は低いものの、物理的なセキュリティ侵害も不正アクセスに使用されます。攻撃者は、サーバー、ネットワーク デバイス、その他の重要なインフラストラクチャ コンポーネントに物理アクセスを行って、デジタル資産にアクセスしようとします。

特権昇格

特権アクセス権限を拡大するために、攻撃者はまず権限の低いアクセス権限を取得することから始めます。最初のアクセス権限を確保すると、攻撃者はそのアクセス権限を利用して特権昇格を試みます。

不正アクセスは、必ずしも組織外部から行われるとは限りません。不満を抱く従業員や悪意のある内部関係者が、内部情報を利用してアクセス権限を拡大するおそれがあります。

ソーシャル エンジニアリング

攻撃者はソーシャル エンジニアリングの戦術（フィッシング、スケアウェア、水飲み場型攻撃など）を使用して、組織内の個人を操り、機密情報を漏洩させたり、不正アクセスを手助けする行為を行わせたりします。

SQLインジェクション攻撃

SQLインジェクション攻撃とは、攻撃者がWebアプリケーションの入力フィールドやデータ入力ポイントに悪意のあるSQLコードを注入するサイバー攻撃手法です。このコードは、アプリケーションをだまして意図しないコマンドを実行させることで、SQLクエリを操作します。これにより、データへの不正アクセス、データ操作、さらには標的とするOS上でのコマンド実行につながるおそれがあります。

データ侵害とは

データ侵害とは、不正アクセスを伴うセキュリティ インシデントであり、機密情報や社外秘情報の取得、漏洩、流出、公開、または破壊につながります。データ侵害の原因はさまざまですが、マルウェア、フィッシング攻撃、ソフトウェアの脆弱性を利用した攻撃が一般的です。

セキュリティ チームとIT管理者は、堅牢なセキュリティ対策を実施し維持することで、データ侵害を防止する上で重要な役割を果たします。セキュリティ チームとITチームがデータ侵害に対処するための適切なリソースを確保するには、データ侵害の仕組み、不正アクセスが行われる仕組み、そしてその影響について包括的に理解することが重要です。

データ侵害は財務的な損失をもたらすだけでなく、組織の評判を傷つけ、法的責任につながる可能性もあります。不正アクセスを防止するだけでなく、インシデント対応計画を策定しておくことで、潜在的なデータ侵害に対する強固な防御が可能になります。

不正アクセスを防止するためのベスト プラクティス

以下のベスト プラクティスを使用することで、不正アクセスのリスクを大幅に低減できます。これらは、システムとデータの整合性、機密性、可用性を維持するのに役立ちます。

• アクセス制御
  アクセス制御は、デジタル システムとユーザー間のやりとりを規制および管理し、ユーザーの役割と責任に基づいて適切な権限を付与し、不正アクセスを防止します。アクセス制御は、ファイル システム、データベース、ネットワーク リソースなど、さまざまなレベルで使用されます。使用される技術には、ネットワーク アクセス制御リスト（ACL）、任意アクセス制御（DAC）、強制アクセス制御（MAC）、ロール ベース アクセス制御（RBAC）などがあります。
• 最小権限の原則（POLP）
  最小権限の原則では、ユーザー（すなわち人間や機械）には、タスクを実行するために必要な最低限のアクセス レベルが付与されます。これにより、攻撃対象領域（アタックサーフェス）を縮小することで、不正アクセスを最小限に抑えることができます。
• 継続的な監視
  堅牢なネットワークおよびシステム監視ソリューションは、セキュリティ情報イベント管理（SIEM）ツールなどのソリューションを使用して、ログ データを集約し、不正アクセスの兆候を分析することで、異常や疑わしい活動を事前に検出します。
• 暗号化
  暗号化は、保存中のデータ、転送中のデータ、さらにはアプリケーションやデータベース内のデータなど、さまざまなレベルで使用され、平文データを数学的アルゴリズムによって暗号文に変換し、適切な復号キーがなければ読み取り不可能にすることで、不正アクセスから保護します。不正アクセスを防止するための暗号化のその他の用途には、セキュアな通信チャネル（WebトラフィックのHTTPSやSSL/TLSなど）、暗号化データベース、フルディスク暗号化などがあります。
• セキュリティ パッチと更新プログラムのインストール
  オペレーティング システムやアプリケーションなどのソフトウェアの定期的な更新プログラムとパッチをインストールすることで、攻撃者が一般的に悪用する既知の脆弱性から保護することができます。
• 侵入検知および防御システム（IDS/IPS）
  組織は、IDS/IPSを導入して疑わしい活動がないかネットワーク トラフィックを監視し、潜在的な脅威を阻止し、IDSを設定して潜在的なセキュリティ インシデントをリアルタイムで検知し、対応しています。IDSルールは、不正アクセス試行を示すパターンを特定するように最適化することができます。
• 多層認証
  多要素認証（MFA）、生体認証、ハードウェア トークン、または電子メールやSMSで送信されるワンタイム コードなど、強力な認証を導入することで、セキュリティに追加の層が構築され、サイバー攻撃者が不正アクセスを行うことが困難になります。さらに、アカウント ロックアウト ポリシーを導入することで、ブルート フォース攻撃を軽減することができます。
• ネットワーク セグメンテーション
  ネットワークをセグメントに分割することで、セキュリティ侵害が発生した場合に、侵入者がシステム間でラテラル ムーブメントを行う能力を制限することができます。
• ペネトレーション テスト
  ペネトレーション テストを定期的に実施することで、攻撃者が脆弱性を悪用する前に、脆弱性を特定し、修正することができます。また、現実世界の攻撃シナリオをシミュレートして、セキュリティ管理の有効性を評価することもできます。
• セキュリティ意識向上トレーニング
  トレーニングによって、最も対処が難しいサイバー セキュリティの脅威の1つを軽減できます。それは認証済みユーザーです。組織は、不正アクセスのリスクについてユーザーに教育を行う継続的なセキュリティ意識向上プログラムを開発し、実施することができます。定期的なトレーニングをスケジュールすることで、チーム メンバーはフィッシング メールなどの潜在的なセキュリティの脅威を特定し、安全なオンライン利用を理解できるようになります。フィッシングの模擬演習では、ソーシャル エンジニアリング攻撃に対するユーザーの耐性をテストし、向上することができます。
• 強固なパスワード管理ポリシー
  複雑かつ一意のパスワードの使用を義務付けることで、ブルート フォース攻撃による不正アクセスのリスクを大幅に低減することができます。これに加えて、ユーザーに定期的なパスワードの更新を義務付け、パスワード管理ツールを使用することで、サイバー防御をさらに強化することができます。ほとんどの組織では、複雑なパスワードの使用や定期的なパスワードの変更を含む強固なパスワード ポリシーが実施されています。

デジタルおよび物理的なセキュリティ管理が不正アクセスを防止

堅牢なサイバー セキュリティと脅威監視システムを導入し、維持している組織は、不正アクセスをより効果的に防止することができます。多要素認証 (MFA)、強固なパスワード ポリシー、定期的なソフトウェアのパッチと更新プログラムの適用、ネットワーク監視、厳格なアクセス制御（最小権限の原則の遵守など）を含む包括的で多層的なアプローチによって、不正アクセスのリスクを効果的に低減できます。