56％の企業はインシデントレスポンスが遅れて撃沈、カスペルスキーが激白

対応が遅れて、金銭の窃取につながることも―ーインシデントレスポンスの7カ条

　一般にインシデントレスポンスは、サイバー攻撃による損害を被った後に、原因など詳細を調査をする際に必要なものと思われがちだ。カスペルスキーは、同社のセキュリティ専門チームが関わった複数のインシデントレスポンス事案を分析した結果、インシデントレスポンスは被害の詳細調査のためだけでなく、サイバー攻撃の初期段階で攻撃の種類を特定して損害を阻止するための手段にもなると主張する。

　例えば、2018年に同社が依頼を受けたインシデントレスポンス事案のうち、「ネットワーク内で脅威となりそうな活動を検知した」後に、インシデントレスポンスを開始した事案と、「ネットワーク内で悪意のあるファイルが発見された」後に開始した事案が、それぞれ22％ずつだった。同社によれば侵害を示す形跡がない場合、これら2つのケースは現在攻撃を受けていることを示している恐れがあるという。

　しかし、上記で挙げた2つのケースのような「攻撃の初期段階」において、企業のセキュリティチームは、自動セキュリティツールが既に悪意のある活動を検知して阻止したのか、それともより大規模な検知できない悪意のある攻撃がネットワーク内で始まっていて外部の専門家が必要なのかを判断できない場合があると同社は説明する。

　実際に、2018年のインシデントレスポンスのうち「依頼が遅い」ケースの26％は暗号化型マルウェアの感染によるもので、そのうち11％は金銭を窃取された。また、「依頼が遅い」ケースの19％は企業のメールアカウントからスパムを検知したものや、サービス提供不能状態を検知したもの、セキュリティ侵害を検知したものだった。

　カスペルスキーのセキュリティエキスパートであるアイマン・シャーバン（Ayman Shaaban）氏は、多くの企業で検知手法やインシデントレスポンス手順を改善する余地があるとして、「攻撃を早く特定できれば、被害はより小さくできる。しかし当社の経験によれば、企業は重大な攻撃がもたらすものに対して十分に注意できていないことが多く、当社のインシデントレスポンスチームが連絡を受けた段階では、遅すぎて被害を阻止できないことも多々ある」と述べる。

　一方で、ネットワーク内の重大なサイバー攻撃の形跡に対する判断について知識のある企業による依頼では、深刻なインシデントにつながる事態を阻止できたとも話す。

　カスペルスキーは、インシデントに対して効果的に対応するために、以下のことを推奨する。