エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - 不十分なログ記録と監視

本ブログシリーズでは、これまで様々なトピックを探求する中で、ハッカーがネットワークへの攻撃や防御の回避に用いる、非常に危険な脆弱性や悪意のあるエクスプロイトを数多く取り上げてきました。プログラミング言語の弱点の悪用から、様々な形式を用いたコードインジェクション、通信データのハイジャックまで、その手法は多岐にわたります。脅威の種類は非常に幅広いですが、それらの攻撃が成功する際、被害を受けたアプリケーションには共通する要素がしばしば見受けられます。

ログ記録と監視の不備は、アプリケーションの防御構造において最も危険な状態の一つです。この脆弱性や不備が存在する場合、それに対する高度な攻撃のほとんどは、最終的に成功してしまいます。ログ記録と監視が不十分であるということは、攻撃や攻撃の試みが発見されるまでに非常に長い時間がかかる、あるいは全く発見されないことを意味します。これは実質的に、攻撃者が有用な脆弱性を見つけ出し、それを悪用するために必要な時間を与えてしまっているのです。

本エピソードでは、以下の内容を学びます。

• 攻撃者がログ記録と監視の不備を悪用する方法
• ログ記録と監視の不備が危険な理由
• この脆弱性を修正するための技術

攻撃者はどのようにログ記録と監視の不備を悪用するのか？

当初、攻撃者はシステムが適切に監視されているか、あるいはログファイルが不審なアクティビティのために精査されているかを知りません。しかし、それを突き止めるのは非常に簡単です。攻撃者は時折、よく使われるパスワードをユーザーデータベースに対して照会するなど、洗練されていないブルートフォース攻撃のようなものを仕掛けます。そして数日待ってから、同じ種類の攻撃を再度試みます。もし2回目の試行がブロックされなければ、それは不審なアクティビティを監視している者が誰もいないという明確な兆候となります。

アプリケーションの防御をテストし、アクティブな監視レベルを測定することは比較的単純ですが、攻撃を成功させるために必須というわけではありません。攻撃者は、できるだけ目立たないように攻撃を仕掛けることも可能です。多くの場合、過剰なアラート、アラート疲れ、不適切なセキュリティ設定、あるいは単に悪用可能な脆弱性が山積しているといった状況が重なり、防御側が攻撃者の存在に気づく前に、攻撃者は目的を達成するための十分な時間を確保できてしまうのです。

なぜログ記録と監視の不備は危険なのか？

ログ記録と監視の不備が危険なのは、攻撃者が攻撃を仕掛けるだけでなく、防御側が対応を開始するよりもずっと前に目的を達成する時間を与えてしまうからです。その時間は攻撃対象のネットワークによって異なりますが、Open Web Application Security Project (OWASP) などの団体は、侵害されたネットワークの平均対応時間を191日以上と見積もっています。

少し考えてみてください。もし銀行強盗が発生し、人々が警察に通報したにもかかわらず、警察の到着に半年もかかるとしたらどうなるでしょうか？

警察が到着する頃には、強盗はとっくに逃げ去っているでしょう。実際、最初の事件に警察が対応する前に、同じ銀行が何度も襲われる可能性さえあります。

サイバーセキュリティの世界も同じです。ニュースで耳にするような世間を騒がす侵害のほとんどは、一過性の強盗のようなものではありません。多くの場合、標的となった組織が侵害に気づくのは、攻撃者が数ヶ月、あるいは数年にわたってデータをほぼ完全に掌握した後です。このため、ログ記録と監視の不備は、適切なサイバーセキュリティを実践する上で最も危険な状況の一つとなっています。

ログ記録と監視の不備を解消する

ログ記録と監視の不備を防ぐには、主に2つのことが必要です。第一に、すべてのアプリケーションは、サーバーサイドの入力バリデーション失敗を監視・記録できる機能を備えていなければなりません。その際、セキュリティチームが攻撃者の使用しているツールや手法（ユーザーアカウントが特定できない場合でも）を識別できるよう、十分なユーザーコンテキストを含める必要があります。あるいは、そのような入力をSTIX (Structured Threat Information eXpression) のような形式に変換し、セキュリティツールが迅速に処理して適切なアラートを生成できるようにすべきです。

第二に、優れたアラートを生成するだけでは不十分です。それはあくまで第一歩に過ぎません。組織は、アラートがタイムリーに調査されるよう、役割と責任を明確にする必要があります。実際に成功した侵害の多くでは、攻撃を受けたネットワーク上でアラートが発せられていたにもかかわらず、責任の所在が曖昧だったために警告が無視されていました。誰が対応すべき仕事なのかが不明であったり、他の誰かが問題を調べているだろうと思い込んでいたりしたのです。

責任を割り当てる際の出発点として、米国国立標準技術研究所 (NIST) が推奨するインシデント対応および復旧計画（特別刊行物 800-61）を採用するのが良いでしょう。他にも業界特有のものを含め、様々な参考資料が存在します。それらを一言一句守る必要はありませんが、組織内の誰がアラートに対応し、どのようにタイムリーに対処するかを定義した計画を策定することは極めて重要です。

ログ記録と監視の不備に関する詳細情報

詳細については、OWASPによるログ記録と監視の不備に関する解説をご覧ください。また、新たに得た防御の知識を、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで試すこともできます。この脆弱性やその他の脅威を打ち負かす方法について詳しくは、Secure Code Warriorブログをご覧ください。

不十分なログ記録と監視を今すぐ特定・修正・排除する準備はできましたか？トレーニングアリーナへお進みください： [こちらから開始]