キヨさん67歳、守りの前に「ズレ」を突き合わせる

Transcript

1. IT資産管理 × セキュリティ × 昭和のSE物語 キヨさん67歳、 清 守りの前に 「ズレ」を突き合わせる アンマッチこそ、手がかりだ 情報漏洩のニュースが続く秋。AIを使った攻撃の可能性も報じられる。 だがキヨさんは言う。守りの前に、自分の持ち物を数えられているか、と。 棚卸し ズレ EDR・MDM ID・APIキー シャドーIT Active Directory ※この物語はフィクションです。登場人物・企業・事件はすべて架空であり、実在の人物・団体・事件とは関係ありません。 NIST CSF CIS Controls
2. 人 登場人物 キヨさんと、棚卸しに巻き込まれる3人（＋AI） ※登場人物はすべて架空の人物です 清 ハ 相 ミ 山田 清之（67） 孫・ハルト（21） AI「相棒」 南 ミナミ（29） 元メインフレームSE。COBOL とアセンブラで年金業務システ ムを40年。マスタ突合せのマ ッチング処理は十八番 情報系の大学生。セキュリティ の最新事情に詳しいが、つい横 文字で話す キヨさんのAIコーディングエ ージェント。突き合わせのスク リプトを書くのが速い 中堅企業の情シス兼Webエン ジニア。社長から「うちは大丈 夫か」と聞かれ、答えに詰まる 「アンマッチこそ、手がかりだ」 「それ、シャドーITってやつ」 「突合せ、30秒で書けます」 「全部把握してる……はずです」 キヨさん67歳、守りの前に「ズレ」を突き合わせる 2
3. 「うちは大丈夫か？」に、答えられない 序 プロローグ｜10月、ミナミの会社の会議室 今月のニュース（キヨさんのスクラップ帳） ミ 社長に「うちは大丈夫か」と聞かれて……。ファイアウォールもEDRも入れ てます、としか言えませんでした 清 攻める側は、穴を一つ見つければいい。守る側は、全部を守らにゃならん。 守るほうが、ずっと難しい 清 だから聞く。防御の前に——会社の資源を、全部数えられとるか？ ミ ……全部把握してる、はずです。たぶん 顧客情報、外部に流出の疑い 攻撃にAIが使われた可能性 侵入口は、放置されたアカウント 目標 会社のIT資産を棚卸しし、「どこに何があるか」 に答えられるようにする キヨさん67歳、守りの前に「ズレ」を突き合わせる キヨさんの直感：「たぶん」の中に、穴がある 3
4. 1 侵入者は、正門から堂々と入ってくる 第1章｜攻撃はソフトの弱点を突くだけではない。管理の抜けを突いてくる 攻める側 守る側 管理の抜けを1つ見つければ勝ち 知らない資産は、守れない • 放置されたID・パスワードで、正門からログイン • • 清 VS • パッチもEDRも監視も、入れた所にしか効かない 台帳にない端末は、パッチ漏れのおそれ • 数え漏れた資産が、そのまま入口になる AIで偽メールや探索が速く・安くなる • 業務を止めずに、毎日守り続ける 派手な攻撃より怖いのは、誰も知らんIDだ。持ち主のおらん合 鍵ほど危ないものはない だから順番は ハ 鍵を全部かけても、合鍵が1本どこかに落ちてたら意味ない もんね システム的な防御の前に、ITリソースがきちんと管理されているか キヨさん67歳、守りの前に「ズレ」を突き合わせる 4
5. 2 方眼紙に4つの問いを書く 第2章｜キヨさん、棚卸しの議論を4つの問いに整理する 問1 問2 問3 問4 資産を漏れなく洗い出す には、どうするか 棚卸しで企業の何が分か るか ズレはそのままセキュリ ティリスクか サイバー攻撃対策に使え るか 答え 答え 答え 答え 既にある複数の情報源を突き 合わせれば、網羅できる 「建前上の管理状態」と「実 際の状態」のズレが見える リスクの候補。多くの場合リ スクに直結する 使える。ただし対策そのもの ではなく「土台」 清 答えを先に書いておく。設計書と同じだ。結論が分からん資料は 、読む気がせん ミ 棚卸しって、ただの事務作業だと思ってました。攻撃対策の 土台なんですね 右上の「▲ いまの問い」で、物語がどの問いを歩いているかを示します キヨさん67歳、守りの前に「ズレ」を突き合わせる 5
6. 3 資産は、8つの場所に「痕跡」を残す 問1 問2 問3 問4 ▲ いまの問い 第3章｜特別なツールは要らない。情シスの通常業務で触れるデータで足りる 分野 主な情報源 分かること お金 カード明細・経費精算・契約一覧・固定資産台帳・ベンダー 買ったもの の購入履歴 ID SSOアプリ一覧・OAuth同意アプリ・APIキー・ゲスト／退 ログインして使うもの 職者アカウント メール・ドメイン CASB/SWG・DNSクエリログ（ルーターではない） 端末 購入・MDM登録・EDR導入の差分、DHCP・MACアドレス 管理漏れ端末・プリンタ・ IoT 表 データ 人 棚卸しに使えそうなのは、会計システム とEDR、ルーターのログくらいしか…… 相 ルーターのログは資産把握にはほぼ役に 立ちません。見るならDNSのクエリログ です 清 1か所にまとめんでもいい。大事な順に 、要るときに引ければ十分だ 「Welcome to」メール検索・DNSのTXT/SPF・証明書透 勝手に入ったSaaS・忘れら れたサブドメイン 明性ログ 通信 クラウド・開発 ミ 実際に使うサービス クラウドの資産一覧・GitHub・RPA・ノーコード・AIエー 正式システム外の資産 ジェント ストレージの管理レポート・DLPスキャン 機密ファイルの所在 ヘルプデスク履歴・引き継ぎ書・予算申請・ヒアリング 業務で使い続けている ツール キヨさん67歳、守りの前に「ズレ」を突き合わせる お金で「買ったもの」、IDで「使っているもの」 が分かる 6
7. 4 突き合わせならCOBOLで40年やってきた 問1 問2 問3 問4 ▲ いまの問い 第4章｜肝は「ズレ」から未把握の資産をあぶり出すこと 購入端末 MDM登録端末 ズレ 清 マスタとトランザクションを突き合わせて、アンマッチリストを出 す。わしの十八番だ 相 購入・MDM・EDRの3つのCSVを突き合わせるスクリプト、書きま した 一致 ズレ ズレ アンマッチリスト（ミナミの会社・初回） 買ったのにEDRが入っていない端末 EDR導入端末 キヨさん67歳、守りの前に「ズレ」を突き合わせる 14台 MDMにしか載っていない端末 6台 EDRにしか載っていない端末 3台 1つの情報源で完璧を目指さない 載っている「差分」を追う どれも単独では抜けがある。どこかにだけ 7
8. 5 棚卸しで見えたのは、台帳ではなく「実態」 問1 問2 問3 問4 ▲ いまの問い 第5章｜突き合わせで分かった7つのこと 実際に持っているもの 管理の抜け漏れ 外部からの攻撃面 機密データの所在 台帳ではなく、実態としての資産 の全体像 管理外端末・退職者アカウント・ 私物端末・シャドーIT 忘れられたサブドメインやサーバ ・外部共有ファイル・期限切れ間 近の証明書 顧客情報やマイナンバーがどこに あり、誰に見えているか ミナミの会社：退職者のアカウント 9件 ミナミの会社：旧キャンペーンのサ ブドメイン ミナミの会社：顧客名簿が全社共有 に お金の無駄 統制と組織文化 業務の実態 重複契約・使われていないライセ ンス 情シスを通さない導入の多さ・ア カウントの個人所有化 RPA・GAS・AIエージェントなど 正式システム外で回る仕事 ミナミの会社：同じSaaSを3部署で 契約 ミナミの会社：営業部のAIエージェ ント 一言でいえば、「建前上の管理状態」と「実際の状態」のズレが見える キヨさん67歳、守りの前に「ズレ」を突き合わせる 8
9. 6 ズレは、そのままリスクか？ 問1 問2 問3 問4 ▲ いまの問い 第6章｜答え：ズレは「リスクの候補」。多くの場合リスクに直結する 把握していないものは守れない ただし、重さは同じではない • 管理外端末にはパッチも監視も届かず、侵害に気づけない • 台帳にない古いモニター程度なら、実害はほぼない • 退職者アカウントや放置APIキーは、乗っ取られても気づかれにく い • 機密データを扱わない無料ツールなら、影響は小さい • 台帳に載っていても、設定が甘ければリスクは残る • 忘れられたサブドメインやサーバは攻撃の入口になる（サブドメイ ン乗っ取りなど） • 情シスが知らないSaaSに顧客データがあると、漏えいしても検知 ・報告できない ズレがなければ、安全ってことですよね？ 清 それは違う。台帳と実機が合っていても、鍵が開いとったら同じことだ。ズレがない＝安全、ではない キヨさん67歳、守りの前に「ズレ」を突き合わせる 相 例：AD上に、廃棄済みのWindows 7が大量に残っていました （→第8章） ミ 9
10. 見つけたズレは、3つの軸で重みづけする 7 問1 問2 問3 問4 ▲ いまの問い 第7章｜全部は一度に直せない。重い順に潰す 1 何のデータに触れるか 2 顧客情報や機密データに触れる資産ほど、漏え い時の影響が大きい 外部から到達できるか 3 インターネットから見えるサーバや共有リンク は、攻撃の入口になりうる 持ち主不在の資産は、更新も削除もされず放置 されやすい ミナミの会社のズレ ①データ ②外部到達 ③責任者 優先度 ADに残るWindows 7の残骸 高（権限） 低（侵入後は狙 われる） 不在 最優先 営業部AIエージェントのAPIキー 高（顧客情報） 高 あいまい 最優先 旧キャンペーンのサブドメイン 低 高 不在 高 台帳にない古いモニター なし なし 総務 低 キヨさん67歳、守りの前に「ズレ」を突き合わせる 誰が責任を持っているか 清 昔の障害対応も同じだ。本番の業 務に響くものから先に直した ADの残骸は「データ（権限）」と「責 任者不在」が高い。優先して片づける べき 10
11. 8 端末は捨てたのにADの上では「まだ在籍中」 問1 問2 問3 問4 ▲ いまの問い 第8章｜現場の事例：Active Directoryに残るWindows 7の残骸 相 ミ 清 ADのコンピュータオブジェクトを調べたら、Windows 7が大量 に残っていました なぜ残るのか 1 端末の廃棄とADの削除が、連動していない 2 PCを捨てても、ADのオブジェクトは自動では消えない 3 使われていないデータは目立たず、後回しにされやすい えっ、Windows 7はもう全部捨てたはずです…… メインフレームのアクセス制御に、退職者のIDが残っとるのと同 じだ。人はおらんのに、名簿にだけ在籍しとる ここが「ズレ」 • • • 実物の端末は、すでに破棄済み Windows 7は2020年1月にサポート終了。本来はすべて退役してい るはず 「今、何台が現役か」がADからは分からない 昭和でいえば 磁気テープは倉庫から廃棄したのに、カタログには 登録が残っている状態。台帳と実物の突合せを、廃棄の手順に入れ ていなかった ※ メインフレームのアクセス制御： 利用者IDを登録し、誰がどのデータやプログラムに触れるかを管理し、アクセスの記録も残す機能。IBMのRACF、 日立のVOS3の総合利用者管理機能など。役割はADに近い キヨさん67歳、守りの前に「ズレ」を突き合わせる 11
12. 9 残骸が危ない4つの理由 問1 問2 問3 問4 ▲ いまの問い 第9章｜「使っていないデータが残っているだけ」では済まない 01 02 03 04 侵入の足がかりになる 委任設定が悪用される 監視の死角になる 実態が分からなくなる 侵入した攻撃者が、誰も使って いないアカウントを悪用して、 なりすましや潜伏に使う 危険な委任の設定が残っている と、ドメイン管理者の権限を奪 う踏み台になる 不審な認証があっても「古い残 骸だろう」と見過ごされ、アラ ートに引っかかりにくい 本当に全台廃棄したか確かめら れず、サポート切れ端末が生き 残っていても気づけない 攻撃者から見れば 清 「警備員が巡回しない、鍵のかかっていない通用口」 侵入されたら、こういう通用口は真っ先に探される。AIを使えば、なおさら速い キヨさん67歳、守りの前に「ズレ」を突き合わせる ハ 侵入した後の下調べも、AIで速くなるってことか 12
13. 10 ズレは、定期的に掃除する 問1 問2 問3 問4 ▲ いまの問い 第10章｜廃棄・退職・解約の流れと連動させる 1 洗い出す 情報源を突き合わせ、一定期間使われていな い端末・アカウント・サーバ・SaaSを抽出 する 例（AD） 最終ログオン日時が90日以上前のコンピュー タを抽出 清 2 止めてから削除 3 いきなり消さずに、無効化・停止して様子を 見る。問題がなければ削除・解約する → 手順に組み込む 端末の廃棄・社員の退職・サービスの解約の 手順に、台帳とIDからの削除を入れる → 例（AD） 無効化して専用のOUに移し、問い合わせが なければ削除 本番のデータセットも、いきなり消したことはない。まず退避して、ひと月待 って、それから消した 例（AD） PCの廃棄手順に、ADオブジェクトの削除を 追加 ミ 端末もアカウントもSaaSも、同じ手順でいけ ますね ※ 最終ログオン日時（lastLogonTimestamp）：放置アカウントの洗い出し用の記録。既定で9〜14日遅れて更新されるが、90日での抽出には十分 キヨさん67歳、守りの前に「ズレ」を突き合わせる 13
14. 11 棚卸しは、攻撃対策の「土台」 問1 問2 問3 問4 ▲ いまの問い 第11章｜パッチもEDRも監視も、「どこに何があるか」が分かって初めて効く 主要なフレームワークでも、資産把握は基本の項目 パッチ適用 EDR導入 権限管理 ログ監視 NIST CSF 2.0 資産把握 どこに何があるか 「識別（Identify）」に資産管理が含まれる。2.0で新設された「統 治（Govern）」に次ぐ2番目の機能 攻撃者は、管理の届かない資産を狙う CIS Controls v8.1 予防 未管理端末にEDRを入れ、不要なアカウントやサーバを削除して入口 を減らす 例（AD）廃棄済み端末のオブジェクトを消す 検知 全資産を監視対象に含め、侵入に気づける範囲を広げる 例（AD）「古いPCのログだろう」と見過ごす余地をなくす 対応 インシデント時に、影響範囲や漏えいしうるデータをすぐ判断できる 例（AD）ADと実機が一致していれば、影響範囲をすぐ絞れる キヨさん67歳、守りの前に「ズレ」を突き合わせる 1番目が企業資産（端末・サーバ・ネットワーク機器・IoTなど）、2 番目がソフトウェア資産の棚卸し 清 防御の製品を並べる前に、台帳だ。基礎のない家に、立派 な鍵をつけても仕方がない 攻撃を受けなくても役立つ：ライセンス削減・退職時の情報持ち出し防止・監査 対応 14
15. 12 AIエージェントも棚卸しの対象だ 第12章｜キヨさん、自分の「相棒」を台帳に載せる 同じ3つの軸で重みづけする ハ 清 相 じいちゃんの相棒も、資産だよね。APIキーもあるし 1 何のデータに触れるか 2 外部から到達できるか 3 誰が責任を持っているか ……そうだな。わしのPCで動く、新しい「利用者」だ。台帳に載 せんとな 営業部のエージェントも、私と同じく台帳に載せてください。持 ち主と、触れるデータも 顧客情報・社内文書を読めるエージェントほど重い 外部のサービスと連携し、外へ送れるか 作った人が異動・退職しても動き続けていないか AIエージェントの痕跡が残る場所（第3章の8分野から） • • • • お金：AIサービスのカード明細・契約 ID：APIキー・OAuth同意アプリ クラウド・開発：AIエージェント・GitHub・ノーコード 通信：DNSクエリログに残るAIサービスの利用 キヨさん67歳、守りの前に「ズレ」を突き合わせる AIエージェント時代の棚卸し 作るのが簡単になるほど、台帳にない資産は増える。だから突き 合わせを、たまのイベントではなく通常業務にする 15
16. 結 「うちは大丈夫か？」に今度は答えられる エピローグ｜11月、ミナミの社長報告 ミ 社長、IT資産を棚卸ししました。ズレは重い順に、もう半分片づけてい ます 大事なのは3つだけ 1 ミ ADの残骸は無効化してOUに移しました。PCの廃棄手順にも、ADの削除 を入れました 2 清 特別なツールは不要。お金・ID・端末などの痕跡を集め る ズレは重い順に潰す データ・外部到達性・責任者の3軸で優先順位をつける 上出来だ。守りは派手さではない。持ち物を知っておること、ズレを放っ ておかんことだ 3 相 既存の情報源を突き合わせる 棚卸しは攻撃対策の土台 予防・検知・対応のすべてが「どこに何があるか」から 始まる 突き合わせのスクリプトは、毎月自動で回すようにしました 一文でいうと ハ じいちゃんのマッチング処理、令和でも現役だね キヨさん67歳、守りの前に「ズレ」を突き合わせる 防御の前に、台帳と実態を突き合わせる。ズレこそが 、攻撃者の入口だ 16
17. 完 攻める側は、穴を一つ探せばいい。 守る側は、まず自分の持ち物を知らねばならん。 台帳と実態のズレ――そこに、穴がある。 ―― キヨさん おしまい
18. 付 付録：キヨさんの方眼紙・対応表 令和の言葉が何を指し、昭和なら何にあたるか 令和の言葉 ひとことで キヨさんの言葉 棚卸し・ズレ（差分） 複数の情報源を突き合わせ、どこかにだけ載っている資産を探す マッチング処理・アンマッチリスト EDR PCやサーバの不審な挙動を検知し、隔離などを行う製品 端末ごとの監視員 MDM 会社の端末を登録し、設定配布や紛失時ロックを一元管理する 端末の貸出台帳 SSO・OAuth同意アプリ 1回のログインで複数サービスを使う仕組み／社員がアクセスを許可した外部アプリ 共通の通行証／又貸しの許可 DNSクエリログ 端末が問い合わせたドメイン名の記録。実際に使うサービスが分かる 交換台の通話記録 シャドーIT 情シスの承認を経ずに現場が導入・利用しているIT 部署の机の中の私製ツール Active Directory（AD） 社内のPCやユーザーのアカウント・権限を一元管理する仕組み アクセス制御・利用者名簿 メインフレームのアクセス制御 利用者IDとアクセス権を管理し、記録を残す機能（IBMのRACFなど） （昭和の言葉そのもの） コンピュータアカウント ADに参加したPCごとのアカウント。PCを廃棄しても自動では消えない カタログに残る廃棄テープ 放置アカウント・最終ログオン日時 長期間使われていないアカウント／その洗い出しに使う記録 退職者ID・最終使用日 OU ADの中でオブジェクトを整理するフォルダのような単位 退避用ライブラリ NIST CSF 2.0・CIS Controls v8.1 資産把握を基本に置くセキュリティの枠組み・対策集 社内のシステム監査基準 キヨさん67歳、守りの前に「ズレ」を突き合わせる 18