セキュリティ強化術 | 新しい Office によるドキュメントの脆弱性対策とセキュリティ強化

急増するサイバー攻撃と標的型攻撃

政府機関や企業からの機密情報の流出、Web サイトの改ざん、大量のデータを送ってサービス不能に陥らせるサービス不能攻撃など、セキュリティの事件、事故は後を絶ちません。中でもシステムの脆弱性を悪用し、複数の既存攻撃を組み合わせ、特定企業や個人を狙って執拗に行われる「標的型攻撃」の脅威が深刻化しています。

主なサイバー攻撃と標的型攻撃

2010 年: 多数の米国企業に対する高度なサイバー攻撃スタックスネット (W 32/Stuxnet) というウイルスが、イランの核施設で核燃料を作るために使用する遠心分離機を稼働不能に
2012 年: 世界的に著名な家電企業グループに対してハッカー集団「Anonymous」によるサイバー攻撃が行われ、7,700 万件に上る個人情報が盗み出される。
2013 年: 日本の銀行を含む 20 か国以上の金融機関から計 4,500 万ドル (約 45 億円) が不正に引き出された事件を、米司法省が摘発。

産経デジタル、「ルーマニア人関与かすでに出国、日本の被害突出 10 億
http://sankei.jp.msn.com/affairs/news/130621/crm13062113040005-n1.htm
Google、「A new approach to China」
http://googleblog.blogspot.com/2010/01/new-approach-to-china.html
日経BP社、『「オーロラ攻撃」の詳細』
http://itpro.nikkeibp.co.jp/article/COLUMN/20100127/343753/

標的型攻撃の対策は、ドキュメントの脆弱性対策から

標的型攻撃の場合、企業のシステムの「窓口」でもあるメールや Web を経由して、添付されたドキュメントファイルを読み込ませたり、Java や Flash などの脆弱性を突くコードの埋め込まれた Web ページを表示させたりして、コンピューターをマルウェアに感染させ、社内ネットワーク内に侵入します。

通常の「窓口」である Web アクセスやメールを介して攻撃が仕込まれるため、標的型攻撃では、従来のファイアウォールやウイルス対策ソフトだけでは防ぎきれません。

標的型攻撃では、ドキュメントの脆弱性が利用されます。このため、ドキュメントを扱うアプリケーションの脆弱性をなくし、アプリケーションそのもののセキュリティを高めることが重要となります。ドキュメントセキュリティは、設計、メンテナンス、運用それぞれのポイントで対応することが重要となります。

ドキュメントセキュリティ強化のポイント

新しい Office の徹底したセキュリティ

設計フェーズ: アプリケーションそのもののセキュリティ強化

Office 365 ProPlus では標的型攻撃に備える、最新のセキュリティ機能が実装されていますが、こうした新しい脅威への対策は、マンションの防犯対策に例えると理解がしやすくなります。ここでは、Office 365 ProPlus の設計フェーズでのセキュリティのポイントを、マンションのセキュリティと対比させながらご紹介しましょう。

Office 365 マンションのセキュリティ (Point をチェックすると対策を確認できます)

Point 1
Point 2
Point 3
Point 4
Point 5

宅配物は管理人がチェックし、
怪しいものはシャットアウト

送られてきた宅配便に怪しいもの、たとえば盗聴器などが含まれていたら危険です。しかし、マンションの管理人が事前にチェックしてくれたら安心でしょう。
Office 2007 から採用されたファイル形式 OpenXML 形式では、文字や書式のデータがテキスト形式で保存され、通常の形式のファイルにはマクロを埋め込むことができません。このため、従来のバイナリ形式とはちがって、悪質なコードを埋め込むことも困難です。

敷地に入れるには事前登録が必要
(ファイル制限)

怪しい人物が宅配業者を装って侵入してきたら危険です。それを防ぐには、マンションの敷地内に入れる業者を登録制にしておけばよいでしょう。未登録の業者は中に入れないため、怪しい人物をシャットアウトすることができます。
同様に Office 365 ProPlus では、信頼できるアプリケーションやアドイン、ActiveX などを登録できます。登録されていないプログラムは実行されないため、悪質なコードを実行させて社内ネットワークに侵入しようとする攻撃を防ぐことができます。

ホテルのカードキーのように、
利用するたびに専用のカギを作成

ホテルで利用されるカードキーは、チェックインの際に新たなカギ情報が部屋のカードキーに書き込まれます。従来の物理的な鍵とは違い、以前に宿泊した際の鍵を複製しても、部屋に侵入することはできません。
ASLR (Address Space Layout Randomization) は、Windows Vista から採用された Windows の機能で、脆弱性を悪用した不正コードの実行を難しくする機能です。Windows の特定の機能を常にメモリ上の同じ場所に配置するのではなく、Windows 起動時にランダムに変更します。これにより、不正なコードが Windows の機能を呼び出すことを難しくします。Office 365 ProPlus はこの ASLR に対応したため、攻撃者による不正コードの実行がより困難になっています。

暗証番号を忘れても信頼できる
管理人が常駐しているから安心

暗証番号を忘れてしまうこともあるでしょう。しかし、最新式のマンションでは、信頼できる管理人が常駐し、暗証番号は管理会社が厳重に管理。部屋の住人であることが確認できれば、スピーディに暗証番号を再発行してくれます。そのため、「忘れそうだから」と暗証番号によるロックを忌避することなく、安心して徹底できます。
Office 2013 から搭載されたエスクローキーも、これと似た機能です。Office 2013 では、ドキュメントの作成者がドキュメントを暗号化できます。しかし、作成者自身が暗号化のパスワードを忘れてしまったり、組織を離れたりした場合は、ドキュメントを元に戻せなくなります。しかし、Office 2013 のエスクローキーを利用すると、IT 管理者がドキュメントを元に戻すことが可能です。

万が一敷地内に侵入されても、
部屋の中には入れさせない

入り口のセキュリティがしっかりしていても、遠くから窓ガラスを通じて部屋をのぞき込み、重要な情報を盗み見されてしまっては意味がありません。最新式の防犯ガラスでは、部屋の中からは外が見えても、外からは中が見えない、のぞき見防止機能を搭載しています。
Office 2010 から用意された「保護されたビュー」は、「ローボックス」と呼ばれる制限された環境でファイルを開く機能です。これによりファイルの悪用を防ぎ、ファイルが編集される前に検査できます。Office 2013 ではこの機能がさらに強化され、万が一、危険なファイルを開いてしまったとしても、PC に影響がおよぶ前にブロックするだけでなく、情報を読み取ることも防ぎます。

メンテナンスフェーズ～日々進化する脅威への対応

多くの標的型攻撃は、ドキュメントファイルを使ってアプリケーションの脆弱性を突いてきます。このため、脆弱性を修正するセキュリティ更新プログラムを公開されたら、できるだけ早期に適用することが重要です。しかしながら今日のマルチデバイス環境では、社内で分散するデバイスに対して、一律かつタイムラグなく、セキュリティ更新プログラムを適用することが難しくなっています。

Office 365 ProPlus では、セキュリティ更新プログラムは自動かつタイムリーに適応されるため、こうした手間はかかりません。メンテナンスフェーズにおいて標的型攻撃を防ぐという点でも、Office 365 ProPlus は理想的なアプリケーションの実行方法となっています。

運用フェーズ～行動パターンを変えてセキュリティを高める

従来セキュリティと利便性はトレードオフとされてきましたが、最新のテクノロジを活用して、利便性とセキュリティを高いレベルで適切にバランスさせるとともに、常に運用方法をチェックし、バランスが崩れていれば柔軟に変更していくことが重要です。Office 365 ProPlus では強固なセキュリティと利便性を両立し、運用フェーズでも安心してお使いいただける機能が実装されています。運用フェーズにおいて、Office 365 ProPlus は以下のようなポイントで、標的型攻撃から企業の IT を守ります。