サイバーセキュリティー

公的機関での完全にカプセル化されたブラウジング

公的機関や自治体がプロのサイバー犯罪者に対する防御策としてR&S®Browser in the Boxを使用する理由

マルウェアに感染した場合、被害額は数十億に達します。主なゲートウェイの1つは、ウェブブラウザーです。従来のウイルス対策ソフトウェアは、プロのデータ泥棒、スパイ、妨害工作者の手法にほとんど太刀打ちできません。そのため、ザクセン州の州都ドレスデンなどの公的機関や自治体は、厳格なサイバーセキュリティー要件を満たすため、ローデ・シュワルツ・サイバーセキュリティーの仮想ブラウザーを使用しています。

マルウェアの主要ターゲット：Windows

連邦情報セキュリティー庁（BSI）が、2019年のドイツでのITセキュリティー状況を80ページに及ぶ文書にまとめています。端的に言うと、状況は深刻です。攻撃は、数の急増と同時に、巧妙化も進んでいます。BSIによると、1年で114の新しいマルウェア亜種が登録され、その亜種が標的にしたWindowsオペレーティングシステムは6,500万に及びました。平均して、BSIが毎月特定した攻撃のうち6,100件は、インストールされた民生用セキュリティー対策製品では検出またはブロックできないものでした。

ギャングは革新的なテクノロジーを使用

業界団体BITKOMの最近の試算によると、被害額はドイツだけでも年間約1,000億ユーロに達します。米国のシンクタンクである戦略国際問題研究所（CSIS）が発表したレポート「Economic Impact of Cybercrime - No Slowing Down」（衰えを知らないサイバー犯罪の経済的影響）では、世界全体の被害額を約6,000億米ドルと推定しています。2014年に比べて1,550億米ドル増加したことになります。レポートでは、この増加を加速させる原因として、サイバーギャングによる新しいテクノロジーの使用と、「サービスとしてのサイバー犯罪」ビジネスモデルの継続的な拡大を挙げています。

Emotetを阻止することのできないファイアウォール

BSIの専門家は、最近のサイバー犯罪者の専門知識が拡大している顕著な例として、Emotetと呼ばれる新たなマルウェアプロダクトを挙げています。このマルウェアは長年にわたって知られていますが、2018年11月に悪意のあるOffice文書が原因で突如大規模に拡散しました。Emotetの進化は、特にOutlook Harvestingなどの新機能に見られます。この機能により、驚くほどリアルに見えるスパムメールの送信が可能になります。

このマルウェアは、連絡先の詳細に加えて、最近では、感染したシステムのメールボックス内の電子メールメッセージも読み取ります。犯罪者はこの情報を使用して、その後のスパムキャンペーンでマルウェアのさらなる拡散を図ります。つまり、受信者には、最近連絡した送信者から偽のメールが届くことになります。BSIは、この種の自動化されたソーシャルエンジニアリング攻撃の一層の拡大を予測しており、受信者がそれを見分けることはほぼ不可能です。「スピアフィッシング」攻撃の場合、メッセージの内容が、特に価値のある標的に合わせてカスタマイズされています。そのため、このマルウェアを含むメールは最も頻繁に検出される攻撃の1つとなっており、例としてドイツ連邦政府機関に対する攻撃があります。

ファイアウォールとウイルス対策ソフトウェア（従来のソリューション）は、最新のトロイの木馬、ワームや、その他のマルウェアには歯が立ちません。通常のブラックリスト方法でブロックできるのは、既知の危険のみだからです。オペレーティングシステムのメーカーのセキュリティー対策も、適切な防御策とはなりません。一部の公的機関では依然として、ブラウジングに使用するコンピューターを自分たちのオペレーティングシステムやイントラネットから完全に分離するというセキュリティー対策をとっています。そのため必然的に、外部のデジタル世界とのトランザクションが大幅に制限されます。

「世界で最もセキュアなブラウザー」

ローデ・シュワルツ・サイバーセキュリティーのデスクトップ・セキュリティー・ディレクター、Clemens Schulzは、外部のデジタル世界へのユーザーアクセスを制限することなく、ユーザー自身のブラウザーを周囲から切り離して完全にカプセル化するソフトウェア、R&S®Browser in the Boxの開発の一翼を担いました。Schulzは、「ゲートウェイは依然として人間です」と述べています。そのため、社内でのユーザー教育のみに頼らず、マルウェアの偶発的で意図しないインポートを防止できる、最高のテクノロジーを使用することも非常に重要です。マルウェアに対処するのではなく、マルウェアの侵入をプロアクティブに防ぐ必要があります。最近では、単にウェブサイトを開いただけで、バナー経由などの、ドライブバイダウンロードがアクティブになります。

R&S®Browser in the Boxの開発は、自動車業界で起こったことと同様の、1つのパラダイムシフトを表します。早くも1950年代には、運転者や同乗者に与える事故の影響をエアバッグによって軽減できるようになりました。数年後、電子安定性制御（ESC）が導入され、事故の回避に大きく貢献しました。車両のESCと同様に、R&S®Browser in the Boxはマルウェアの感染を防ぎます。これは、セキュリティー・バイ・デザインと呼ばれます。さらに、テレメトリサービスはブラウザーのデータを手に入れることができず、添付ファイルからマルウェアをダウンロードすることも同様に不可能です。業界誌CHIPは、R&S®Browser in the Boxを「世界で最もセキュアなブラウザー」と形容しています。

公的機関のトータルなセキュリティー向けにこの種のソフトウェアを開発する際、イニシアチブをとったのがBSIでした。最初のユーザーとなったのは、ドイツのバーデン・ヴュルテンベルク州のほぼすべての警察署です。EU一般データ保護規則（GDPR）が導入されるはるか以前から、ドイツの地方自治体には、データ記憶媒体上の市民のデータを保護する義務がありました。そして、EUでGDPRが施行されるかなり前に、ドイツのザクセン州ドレスデン市は、R&S®Browser in the Boxでコンピューターのセキュリティーを保護するため、機器のアップグレードを行っています。

保健局が調査を行う場合......

1つの例は、保健局です。Kay Hirschfeldは、ドレスデン市の市政でサイバーセキュリティーを担当する管理者として、従業員がセキュリティー保護された状態で調査を行えるようにする必要がある、機密性の高い領域を特定しています。例えば、従業員には、情報キャンペーンを実施するため、セックスワーカーに連絡できることが必要です。無料で匿名のエイズ検査が受けられることを知らせるといった目的で、同性パートナーのフォーラムにアクセスできる必要があります。どの場合でも、個人データは暗号化／仮名化する必要があり、データの保護および削除期限を遵守することが求められます。特に、オンライン調査業務を内部システムから分離し、個人情報が処理されるオペレーティングシステムに、誰もブラウザーからアクセスできないようにすることが不可欠です。

武器登録の状況も同様です。最近まで、武器登録事務所（合計で約550）では、データ管理にさまざまなシステムが使用されており、デジタルではなくインデックスカードを使用していた場合もありました。関連するEU指令により、全事務所のデータを統合すると（統一し、1つの中央システムに保存すると）、リスクが増大しました。Hirschfeldは、次のように説明しています。「これで、ハッカーは単一のゲートウェイからまったく品質の異なるデータにアクセスできるようになり、おそらくアクセスできるデータの量もこれまでとは桁違いになりました」。ITセキュリティーの専門家にとって重要な点は、独自のオペレーティングシステムのカプセル化にもかかわらず、インターネットでのトランザクションの実行速度が通常保護のシステムとほぼ変わらないことです。適切な構成により、Windowsの起動時に目立たないようにロードすることもできます。

鍵となる多層セキュリティー

アプリケーションの実行中は、オペレーティングシステムとイントラネットはウェブブラウザーから完全に分離されたままです。テレメトリデータがプロデューサーに送信されなくなります。これは、ドキュメント、関連するクライアント、その利用量に関するメタデータです。この情報と一緒に、機密データも気付かれることなく取得される可能性がありました。ブラウザーは、完全に仮想化されたプラットフォーム上で、ユーザーへの顕著な影響なしに動作します。これは、ブラウザーが期待どおりに動作するためです。また、「Docs in the Box」機能により、ウイルスを含む可能性のある電子メールの添付ファイルを仮想化環境のプレビューウィンドウで安全に確認できます。

その鍵となるのが、強化されたLinuxシステムです。Schulzは、次のように説明しています。「オープンソースのオペレーティングシステムの機能が最小限に制限されており、そこで実行できるのはブラウザーのみです」。さらに、データトラフィックは、R&S®Trusted VPNゲートウェイを使用したVPNトンネルによってエンドツーエンドで暗号化されます。Schulzが指摘するように、この種の完全なネットワークとブラウザーのカプセル化を、フル機能を保持した状態で提供しているメーカーは、世界でただ1つです。

人的要因

R&S®Browser in the Boxを使用すると、個々の許可されたユーザーは、各単一サイトを個別にチェックする責任から解放されます。そうは言うものの、ドレスデンのKay Hirschfeldは、「最も危険な人物は、ハッカーではなく、適切なアクセス権を持つ不注意な、おそらく不機嫌な従業員です」と警告しています。技術ソリューションは、会社の外にデータを持ち出すスパイに対しては無力です。しかし技術ソリューションがなければ、何も始めない前にデータを失なうことになります。