情報セキュリティとの出合い

先日、ある飲み会で友人の女性からこう言われた。　「狩野さん、SEO対策(*5)するならブログは毎日1500字以上書かないと効果がないよ」
勿論まわりからは「そんなに書けるもんじゃないでしょ」、「毎日1500字はきついなあ」という意見も出た。

そんな話をしておきながら私ときたらこの1週間、忙しさにかまけて全く手つかずの無更新状態。　そこで今年もIPAから2016年2月15日に「情報セキュリティ10大脅威 2016」が発表されたので情報セキュリティしばりで先ずは１週間限定「毎日ブログ1500」に挑戦してみることにする（ちなみに今回は1900字は超えている、笑）

内容的には通常の業務を行う上で当然知っておくべき情報セキュリティのイロハの「イ」を中心に書く予定だが、セキュリティ初心者用になるべく注釈を入れるつもりだ。　自分が被害者にならないための情報なども織り交ぜていくのでお付き合いのほどよろしくお願いしたい。

最初の出合いは25年前だった

以前の投稿でも触れたが私と情報セキュリティとの最初の出合いは1991年にさかのぼる。　この年に出版されたクリフォード・ストール 著の「カッコーはコンピュータに卵を産む」だ。

コンピュータのメインユーザがまだ技術者だった頃の話で、巧妙な手口を使うハッカーを次第に追い詰めていく実話に基づいた大作で下手なSF映画よりはるかに臨場感があり、この時の驚きと興奮は今でも覚えている。

Operation Auroraで目が覚めた？

ただ、それ以降の多忙な開発業務の中で私の中ではその時のショックは次第に薄らいでいった。　発生するセキュリティインシデントが愉快犯、小銭稼ぎ、ハクティビスト（特定の主義主張ををする人）等が大勢を占めていたということもあったように思う。

その「セキュリティ春眠」から目を覚ましてくれた（？）のが、その20年後に起こる中国のサイトで発見されたOperation Aurora(*1)だ。　国家が支援するセキュリティのプロ集団による犯行の時代を予感する大変ショッキングなインシデント(*2)だった。

特定の社員に業務を装いメールを送信しPDFを開かせてバックドア（トロイの木馬(*4)プログラム”Trojan.Hydraq”）を仕掛けるという手口はまさに標的型攻撃だ。

この攻撃によりIT、金融、メディア、化学系等の企業33社以上(*3)からソースコードなど膨大な量の知的財産が盗まれるなど大きな被害をもたらした。

写真公開したFBI

それから3年後の2013年2月、米国情報セキュリティ会社マンディアント社（今はファイア・アイ社の傘下）が中国人民解放軍のサイバーテロ部隊の存在を明らかにしている。

更に2014年5月には確たる証拠をつかんだ米司法省が動き出し「米企業に対するサイバー攻撃で商取引上の秘密を盗むスパイ行為をした」として中国人民解放軍「61398部隊」に所属する将校5人を身柄未拘束のまま刑事訴追した。

勿論、中国側はいつものように(?)どんな証拠を突き付けられようが(?)未だにその事実を一切認めていない(ばかりか、自分たちは被害者だと言ってますよね）

FBIが公開した起訴された5人の将校

次回は情報セキュリティの歴史を軽くおさらいしてから「情報セキュリティ10大脅威 2016」の話題に移っていきたい。

(*1) Operation Auroraは、中華人民共和国のElderwoodグループ等によって遂行された一連のサイバー攻撃（APT攻撃）である。当時、Internet Explorerについて未公表であった脆弱性が攻略され、いわゆるゼロデイ（Zero-day）の状況にあった(Wikipeidaから抜粋）

(*2)インシデントとは、出来事、事件、事故、事案、事象、事例などを指す。情報セキュリティでは単なる兆候から実際の事件発生に至るまで幅広い意味で使われることが多い。

(*3)GoogleをはじめAdobe Systems、Symantec、Yahoo等も含まれる

(*4)トロイの木馬とは、その名の通り正しいプログラムと思わせてインストールさせ破壊活動を行うプログラム。他のファイルに寄生したり自分自身で増殖したりしないためでウイルスには分類されない。
様々なタイプがあるが、自分自身のサイズは小さいが、外部から指令を受けて諜報、窃取、破壊活動を行うバックドア型が最も危険だと言われている。

(*5)SEO対策とは、YahooやGoogleで検索をしているユーザーに向け、ページを最適化し検索結果で多く露出をすることでアクセスを集める一連の流れのことを指します。（Ferrentから抜粋。https://ferret-plus.com/1733）

2016年3月29日