サンドボックスとはどのような仕組みか
課題を判断する前に、何を行う仕組みなのかを押さえておきましょう。従来型の検知方法との違いを理解すると、限界がどこにあるのかも見えてきます。
サンドボックスの基本的な仕組み
サンドボックスとは、実際の業務環境から切り離した検査用の環境でファイルやプログラムを動かし、その挙動を観察して不正かどうかを判断する仕組みです。名称は、砂場のように外部へ影響が及ばない区画という意味に由来します。
従来の対策は、既知の不正プログラムの特徴を記録した定義ファイルと照合する方式が中心でした。この方式では、定義が用意されていない新しい手口を見つけにくいという課題があります。サンドボックスは、動かした結果として何をするかを見る方式のため、定義に頼らない判断ができる点が特徴です。
標的型攻撃対策における位置づけ
標的型攻撃は、特定の企業や組織を狙い、業務に関係があるように見せかけたメールなどで侵入を試みる手口です。使われるファイルはその攻撃のために用意されることもあり、既知の定義との照合では見つけにくい場合があります。
サンドボックスは、こうした未知のファイルを判断する層として位置づけられます。ただし単独ですべてを防ぐものではなく、メールの入口での検査、端末側の監視、外部への通信の制御といった複数の対策と組み合わせて使われるのが一般的です。
サンドボックスのデメリット
ここからは、導入前に把握しておきたい課題を整理します。時間、回避、費用という三つの面から確認します。
判定までに時間がかかる
実際にファイルを動かして挙動を見る方式のため、照合だけで済む方式に比べて判定に時間を要します。ファイルの内容や設定によっては、結果が出るまで数分を要することもあります。
この待ち時間は業務に影響する場合があります。添付ファイル付きのメールが即座に届かない、大きなファイルの受け渡しが滞るといった状況が生じ得ます。判定を待つ間は一時的に保留する運用と、先に配信して後から判定する運用があり、それぞれ利点と課題が異なります。どちらの方式を採るかは、業務への影響を踏まえて選ぶ必要があります。
検知を回避する手口が知られている
検査用の環境で動作していることを見分け、その場合は不正な動きをしないという手口が知られています。一定時間が経過してから動き出す、特定の操作が行われたときだけ動作するといった作りにする方法もあります。
こうした手口に対しては、検査環境を実際の業務環境に近づける、観察する時間を延ばすといった対応が採られます。ただし時間を延ばせば判定はさらに遅くなり、業務への影響と検知の確からしさは両立しにくい関係にあります。この点を理解し、他の対策で補う前提で組み立てる必要があります。
導入と運用の費用が積み上がる
専用の機器を設置する構成では、機器の代金に加えて設置や保守の費用が発生します。クラウド型を利用する場合も、検査するファイルの量に応じた料金がかかることがあります。
あわせて、検知した際の確認作業にも人手が必要です。判定結果を誰が確認し、不正と判断された場合にどう対処するかを決めておかなければ、通知が届くだけで対応が進みません。社内に担当を置けない場合は、監視や対応を委託するサービスの利用も含めて費用を見積もる必要があります。
デメリットを補う対策の組み立て
サンドボックス単独ではなく、複数の層で備える考え方が現実的です。どのように補うかを二つの観点から整理します。
複数の層で防ぐ構成の組み立て
入口での検査に加えて、端末上での監視、外部への通信の制御、権限の管理といった対策を組み合わせる考え方です。一つの層を通過されても、別の層で気づける状態を作ることが目的になります。
メールの送信元を確認する仕組み、添付ファイルの形式を制限する運用、従業員への注意喚起も含まれます。技術的な対策だけに頼らず、不審なメールを受け取った際の報告先を周知しておくことも、早期の把握につながります。どこまで対策を重ねるかは、扱う情報の重要度と費用のバランスで判断しましょう。
侵入された後の検知と対応
入口で止めきれない可能性を前提に、内部での不審な動きを見つける仕組みも必要です。端末の挙動を監視する製品や、通信の記録を確認する仕組みがこの役割を担います。
あわせて、検知した際にどう動くかを決めておきましょう。誰に連絡し、端末をネットワークから切り離すかどうかを誰が判断し、記録をどう残すのかといった手順です。夜間や休日の対応も含めて整理し、担当者一人に判断が集中しない体制にしておくことが望まれます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で標的型攻撃対策ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
導入を検討する前に整理したい点
製品の比較に入る前に、社内で確認しておきたい事項を二つ挙げます。ここが定まっていないと、機能の多さだけで判断してしまいがちです。
守りたい経路と対象の整理
不正なファイルが入ってくる経路は、メールの添付だけではありません。Webサイトからのダウンロード、外部記憶媒体、ファイル共有サービスなど複数の入り口が考えられます。どの経路を優先して守るのかを決めましょう。
あわせて、対象となる端末やサーバの範囲も整理します。全社を対象にするのか、機密情報を扱う部署から始めるのかによって、必要な規模が変わります。事業への影響が大きい情報がどこにあるかを洗い出しておくと、優先順位を判断しやすくなります。
運用を担う体制の確認
製品を導入しても、通知を確認して判断する人がいなければ効果は限られます。誰が日々の確認を行い、判断に迷った際にどこへ相談するのかを決めておく必要があります。
社内に専任の担当を置けない場合は、監視や初動対応を委託するサービスを含めて検討しましょう。委託する場合も、どこまでを任せてどこから自社で判断するのかという線引きが必要です。契約内容と対応時間帯を確認したうえで、社内の連絡体制と結び付けておきましょう。
標的型攻撃対策製品の選び方
製品によって検査の対象も運用の負担も異なります。比較の段階で確認しておきたい基準を三つ挙げます。
検査の対象と処理の流れ
どの経路を通るファイルを検査できるのかを確認します。メールの添付、Webからのダウンロード、ファイル共有など、対応する範囲は製品によって差があります。扱えるファイル形式の種類も確認点です。
判定中のファイルをどう扱うかも重要です。配信を保留する方式か、先に届けて後から判定する方式かによって、業務への影響が変わります。判定にかかる時間の目安と、業務が滞った場合の回避手段について、具体的に確認しておきましょう。
検知後の対応と通知の仕組み
不正と判断された際に、何が起こるのかを確認します。管理者への通知、対象ファイルの隔離、該当端末の切り離しといった処理に対応するかどうかは製品によって異なります。
通知の届け方も運用の実態にあわせて選びます。メールのみか、ビジネスチャットへ送れるかによって気づきやすさが変わります。誤って不正と判断された場合に、解除して再度届ける手順が用意されているかもあわせて確かめておきましょう。
費用体系とサポート範囲の確認
料金は、機器の購入と保守契約、利用者数に応じた月額制、検査するファイル量に応じた従量制など、製品によって考え方が異なります。数年単位の総額で比べると、方式ごとの差が見えやすくなります。
サポートについては、どこまで対応してもらえるのかを具体的に確かめます。操作方法の案内にとどまるのか、初期設定を支援してもらえるのか、検知時の判断を相談できるのかは製品ごとに差があります。緊急時の連絡手段と対応時間帯も確認しておきましょう。
標的型攻撃への備えとなる対策製品
不審なメールへの対策や訓練の実施を含め、比較の候補になる製品を紹介します。
dmt
- 回数無制限で利用でき、初めての訓練サービスに最適！
- Emotetなど最新の攻撃メールに対応する180種以上のシナリオ
- 本文・添付ファイル・リンク先画面・送信元をフルカスタマイズ！
株式会社クオリティアが提供する「dmt」は、従業員向けに疑似的な標的型攻撃メールを配信する訓練サービスです。180種類以上のシナリオから選んで送信でき、開封や添付ファイルの操作状況をダッシュボードで確認できます。自社で運用できるセルフ型のため、繰り返し訓練を行いやすい構成です。
IRONSCALES
- AIでフィッシングメールを用いた標的型攻撃を自動検出
- なりすましを用いたビジネスメール詐欺にも対応
- 40種類のスキャンエンジンでフィッシングメールのリスクを極小化
株式会社アズジェントが提供する「IRONSCALES」は、メールを対象とした脅威の検知と対応を支援するサービスです。従業員が不審なメールを報告できる仕組みを備えており、報告された内容をもとに社内での注意喚起につなげられます。標的型攻撃の手口が変化する状況への対応を目的とした構成です。
株式会社トインクスの標的型攻撃メール対応訓練サービス
- 累計126万人以上の豊富な訓練実績があり、品質や運用面も安心
- 豊富なオプションと組み合わせて、オーダーメイドの訓練を実現
- 大企業や複数企業の合同訓練もOK！集計分析もおまかせください
株式会社トインクスが提供する「株式会社トインクスの標的型攻撃メール対応訓練サービス」は、従業員向けの訓練メールを配信し、不審なメールへの対応力を確認するサービスです。開封や報告の状況を集計でき、社内の教育計画に組み込む使い方ができます。継続的な実施を前提とした運用に対応しています。
標的型メール攻撃訓練サービス （パーソルクロステクノロジー株式会社）
- 最新トレンドや過去事例に基づき訓練メールを提案
- 訓練日時や攻撃種類を柔軟にカスタマイズ可能。
- 訓練・教育時の疑問点に手厚い支援を提供
サンドボックスに関するよくある質問
導入を検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： サンドボックスを入れれば標的型攻撃を防げますか？
- 未知のファイルを判断する層として役立ちますが、これだけですべてを防げるわけではありません。検知を避ける手口も知られています。入口での検査に加えて、端末の監視や通信の制御、従業員への周知を組み合わせて備えることをおすすめします。
- Q2： 業務への影響を抑える方法はありますか？
- 判定中のファイルの扱い方を選べる製品もあります。緊急の連絡が多い部署では先に配信して後から判定する方式、機密性の高い部署では保留する方式といった使い分けも考えられます。実際の業務の流れを伝えたうえで相談しましょう。
- Q3： クラウド型と機器を設置する型のどちらがよいですか？
- 初期費用を抑えたい場合や拠点が分散している場合はクラウド型が候補になり、外部へファイルを送りたくない事情がある場合は自社設置型が検討されます。扱う情報の性質と社内のセキュリティ基準を踏まえて判断しましょう。
- Q4： 導入までにどのくらいの期間がかかりますか？
- 対象とする経路や既存のメール環境との連携範囲によって幅があります。クラウド型でメールの検査から始める場合は短期間で始められるケースもある一方、機器の設置やネットワークの構成変更を伴う場合は検証を含めて時間を要します。具体的な期間はベンダーに確認しましょう。
まとめ
サンドボックスは、検査用の環境でファイルを動かし挙動から不正を判断する仕組みで、未知の手口への備えとして役立ちます。一方で、判定に時間がかかること、検知を避ける手口が知られていること、導入と運用の費用が積み上がることといった課題も伴います。単独で完結させず、多層の防御と侵入後の検知を組み合わせる前提で検討しましょう。守りたい経路と運用体制を整理したうえで、まずは資料請求から比較を進めてみてください。
