セキュリティ対策としてのWebフィルタリング

セキュリティ対策として注目されるWebフィルタリング

従来、フィルタリングは、業務中の不要なサイトの閲覧を制限するために用いられていました。フィルタリングは、業務の生産性改善の役割を担ってきたのです。

しかし、近年悪意のあるWebサイトが蔓延し、閲覧するだけでマルウェアに感染するような危険なサイトが増えてきました。Webフィルタリングソフトも悪意のあるWebサイトの閲覧によるマルウェア感染を防ぐセキュリティの「入口対策」として、生産性改善だけではなくセキュリティソフトの役割も担うようになりました。

更に現在、特定の企業を狙う標的型攻撃が大きな脅威になっています。大手旅行会社JTBのグループ会社である株式会社 i.JTBが、巧妙な標的型メールが送りつけられ、793万人分の個人情報流出の可能性がある事案が発生しました。実在する取引先になりすまし、添付ファイルに航空券を偽装したPDFファイルがあり、これを開封したことによってマルウェアに感染したことが直接の原因です。

メールの件名や本文にも疑わしい内容はなく、開封はやむを得ないとも言われています。

出典：ジェイティービー「不正アクセスによる個人情報流出の可能性について」
https://www.jtbcorp.jp/jp/160824.html　　

このような情報漏洩を防ぐためのセキュリティの「出口対策」として、次世代型のWebフィルタリングが注目されています。「出口対策」とは、機密情報を外部に持ち出させないための対策のことを指します。

万が一、マルウェアに感染し、PCを乗っ取られても悪意のあるサイトへのアクセスを制限することで、機密データをアップロードさせない仕組みを次世代型のWebフィルタリングによって作れるのです。対策が難しいとされていた標的型攻撃を防ぐ有効な手段として注目されています。

サイト閲覧によるセキュリティの脅威

インターネット上にはウィルスを忍ばせてターゲットを招き寄せたり、たとえ悪意はなくても情報漏えいの危険性のあるサイトが数多くあります。それらを紹介しましょう。

■SNSや掲示板

交流やコミュニケーションがなされるサイトを禁じている企業が多くあります。具体的には、掲示板、SNS、チャットなどのサイトです。ここからうっかり企業情報が漏えいしてしまう危険性があります。ただし、マーケティングや広報担当だけは制限外と設定する企業もあります。これら担当者は、業務の一環として社外との交流が必要とされるためです。

■フィッシングサイト

フィッシングとは、金融機関（銀行やクレジットカード会社）などを装った電子メールを送り、住所、氏名、銀行口座番号、クレジットカード番号などの個人情報を詐取する行為です。その犯行に利用されるのがフィッシングサイトという偽サイトで、ここで個人情報を入力させます。不正送金被害が膨大な金額にのぼっており、社会問題になっているほどです。

■標的型攻撃

現在最も悪質とされているのが標的型攻撃です。標的と定めた企業に巧妙ななりすましメールを送り、ウィルス配布サイトへ誘導します。極めて対策が難しいとされている標的型攻撃ですが、ウィルス配布サイトへのアクセスを制限することで、被害を未然に防ぐことができます。

■水飲み場攻撃

これもウィルス配布サイトを利用した攻撃です。特定の個人や組織が利用しているまたは利用する可能性のあるサイトを改ざんし、ウィルスを忍ばせておきます。肉食獣が、サバンナの水飲み場に現れる草食獣をまちぶせして襲うことになぞらえて、水飲み場攻撃と呼ばれています。

次世代型のWebフィルタリングが防ぐことができる攻撃

標的型攻撃のベースとなるC&Cサーバ

標的型攻撃とは、標的とされた企業に対して巧妙になりすましメールを送り、外部サイトにアクセスを誘導する攻撃で、愉快犯ではなくプロによる犯行が多いです。攻撃者がウイルス感染や機密情報の搾取のために利用しているサーバを総称してC＆Cサーバといいます。

C＆Cサーバ(Comand and Control Server)とは、サイバー攻撃によりマルウェアに感染したPCをコントロールし、スパムメールを送る等の操作により2次的に感染PCを増やすことを命令するサーバになります。

コントロールできるようになってしまったPC群をボットネットと呼びます。ボットネットを使用して、金融機関を装ったメールによりクレジットカード番号などの情報を盗み取るフィッシング詐欺やネットバンキングの不正送金を同時多発的に起こします。

C&Cサーバをあぶり出す

このC＆Cサーバの【リスト更新】と【通信のブロック】に対応し、フィルタリングを行うソフトが、次世代型のWebフィルタリングと言われています。次世代型Webフィルタリングを用いれば、C＆Cサーバへのアクセスを制限し、機密情報が持ち出されることを防ぐことができるのです。

ここで重要なポイントは、C&CサーバのIPアドレス/URLのリスト更新頻度です。ベンダーによって違いますが、数時間、数十分単位で更新されています。更新頻度が高いほど、リスクを軽減できますが、リスト自体の精度や網羅率の高さも重要になります。

各ベンダーが独自の方法でC&Cサーバの情報収集をしています。複数の専門期間の協力を得たり、発見されたマルウェアを実際に動作させるなどして増え続けるC&CサーバのIPアドレスを突き止めています。しかし、攻撃者側も巧妙にC&Cサーバの存在を隠そうとします。中には数分単位で出現したり、隠したりを繰り返すケースもあります。

情報漏えいの出口対策となるWebフィルタリングは「リストの更新頻度」「網羅率」「情報の精度」が高いものに注目して提供ベンダーを選びましょう。

フィルタリングの方式

フィルタリングの方式にはURLフィルタリングとコンテンツフィルタリングの2種類が用意されています。多くはこの2種類を併用できます。

URLフィルタリング

特定のキーワードによって、アクセスを禁止するサイトのリストをつくり、そのリストにのっとってアクセスを制限します。 また、サイトの安全性を格付けする第三者リストを元に設定することもできます。

●ホワイトリスト式

自社にとって有益な業務に関わるWebサイトを登録し、そのWebサイトのみアクセスできるようにします。

【メリット】

• 不適切なサイトを確実に遮断

【デメリット】

• ネット上にあるその他の有益な情報も遮断

●ブラックリスト式

不適切なWebサイトを登録し、登録したところにはアクセスできないようにします。

【メリット】

• ネット上の閲覧の自由性がある

【デメリット】

• 新しい不適切なサイトを継続的に発見していく必要がある

●レイティング式

自社でよく使用するWebサイトをリスト化し、格付けします。格付けした結果、自社に合わないWebサイトはアクセスを遮断します。

【メリット】

• 第三者機関を利用することもでき、合理的に格付けすることが可能

【デメリット】

• 新しい不適切なサイトの格付けに時間がかかる

●カテゴリフィルタリング式

事前の設定により不適切なカテゴリのURLをチェックし、アクセスを遮断します。例えば交流やコミュニケーションがなされるSNSや掲示板などのカテゴリは、企業の機密情報の漏洩につながる恐れがあることから遮断する企業が多いです。

【メリット】

• 設定次第で、規制対象をコントロールできるため、その他の手法と併用しやすい

【デメリット】

• 遮断かけなくてもよいWebサイトまで遮断されてしまう可能性がある

コンテンツフィルタリング

ソフトウェアがサイトの内容をリアルタイムに監視し、内容に問題があればアクセスを禁止します。

●キーワード/フレーズ式

不適切なキーワード/フレーズをピックアップし、その言葉が多く記載されたサイトのアクセスを遮断します。

【メリット】

• アクセス時にチェックされるため、新しい不適切なサイトの適用力がある

【デメリット】

• 文字のみのチェックであるため、画像はチェックされない

フィルタリングソフトの３つの選定ポイント

数多くのフィルタリングソフトの中から、自社の環境に適した製品を選定することは簡単ではありません。 フィルタリングソフト導入のためには、自社のセキュリティ対策を事前に分析することが必要でしょう。分析によって自社の弱点となる部分が判明した場合、ソフトを選定しやすくなります。フィルタリングソフト導入のための3つのチェックポイントをご説明します。

選定ポイント１．自社の規模にあった価格設定

価格の面でチェックすべき部分は、製品ごとにその設定が異なる点です。

家庭向けの製品であれば1台単位でサービスを提供していますが、規模の小さい企業向けとなれば最初から複数のユーザーを対象とする形態となります。例えば、最大で5人のユーザーを対象としてフィルタリングサービスを提供するような形態です。これが大企業向けともなれば、最低でも数百ユーザーを対象としているような製品が多くなります。

サービスの提供期間については、家庭向けの一部の製品を除いて、ほとんどのサービスが年間契約となっています。これはサービスの性質から、短期間だけ利用する可能性が低い点を考慮した対応であると思われます。

価格の違いが、そのままフィルタリングを行う際に使用するURLデータベースの精度を反映しているわけではありません。例えば、フィルタリング以外のセキュリティ対策に対応しているかどうかという点も価格に反映します。また、フィルタリング機能のなかに、ユーザーの利用環境に合わせた細かい設定項目が用意されているかなどの点を総合的に判断して評価すべきです。

選定ポイント２．URLデータベースの精度と提供形態

フィルタリングソフトはURLのデータベースを参照して、フィルターにかけるかけないを判断しますが、URLデータベースの精度については、基準やURLの収集方法が海外の文化や風習を基準にしているのか、または日本国内を基準にしているのかによって差がでてしまうのは当然です。その他にも、細かい設定を希望する場合には、できるだけ多数のカテゴリに分けて管理できるソフトが良いでしょう。

さらに、フィルタリング以外のセキュリティ対策にも対応することを希望する場合は、不正プログラム（マルウェア）対策、不正侵入対策、電子メールのセキュリティ対策などの機能を組み合わせたサービスもあります。

サービスの提供形態に関しては、専用のソフトウェアを通信端末にインストール方法と、社内のネットワーク機器に専用のフィルタリング装置を接続する方法が一般的です。最近ではインターネット上のクラウドサービスとして提供する方法も利用されるようになりました。

選定ポイント３．設定項目とセキュリティ機能

フィルタリングのシステムを導入する際、すでに他の手段で対応しているセキュリティ対策をフィルタリングソフトの追加機能で行う必要はありません。そのためには自社のフィルタリング製品で実現したいセキュリティ対策の詳細を確定した後で、導入を検討しているフィルタリング製品の機能を細かく検討することをおすすめします。

このように考えると、フィルタリング対策を除いた部分では、すでに有効なセキュリティ対策をとっている企業では選定の基準は明確です。この場合は、フィルタリング機能が自社の必要としている精度を実現できるかのみを判断の基準にして製品を選定すべきであり、その他の機能の優劣を考慮する必要はありません。

まとめ　～ フィルタリングの慎重な選定を！ ～

いかがでしょうか。ここまで、Webフィルタリングをセキュリティ対策の側面から、その有効性と選定ポイントまでを紹介しました。

サイバー攻撃は、経済的メリットを得る手段となり、組織的な活動として行われています。活動資金も潤沢になり、活動が活発化した結果、もはや、これらの侵入や感染を防ぐことは不可能ともいわれています。

今回、紹介したWebフィルタリングの活用は、そうした中で侵入や感染を前提とした「侵入後」「感染後」に情報漏えいなどの実質的な被害に発展させない「出口対策」として注目されているのです。

情報漏洩の1事件あたり、損害賠償額は1億を超えるとされています。フィルタリングソフトの有用性を改めて、理解していただき「出口対策」を検討されることをおすすめします。