Loading article…
ソフトウェア環境の攻撃対象領域とは、権限のないユーザー（「攻撃者」）が環境内のデバイスや重要なソフトウェアにデータを入力したり、データを抽出したり、制御したりできるさまざまなポイント（「攻撃ベクトル」）の合計です。[1] [2]攻撃対象領域を可能な限り小さく保つことは、基本的なセキュリティ対策です。[3]
攻撃対象領域の要素
世界的なデジタル変革により、組織の攻撃対象領域のサイズ、範囲、構成が加速しています。攻撃対象領域のサイズは、資産やデジタル システム ( Web サイト、ホスト、クラウド、モバイル アプリなど) が増減することで、時間の経過とともに変動する可能性があります。攻撃対象領域のサイズも急速に変化する可能性があります。デジタル資産は、従来のネットワーク デバイス、サーバー、データ センター、オンプレミス ネットワークの物理的な要件を回避します。これにより、組織のニーズと、それを実現するデジタル サービスの可用性に基づいて、攻撃対象領域が急速に変化します。
攻撃対象領域の範囲も組織によって異なります。デジタル サプライ チェーン、相互依存性、グローバル化の進展により、組織の攻撃対象領域はより広範囲にわたる懸念事項 (サイバー攻撃のベクターなど) を抱えています。最後に、組織の攻撃対象領域の構成は、第三者、デジタル サプライ チェーン、さらには敵対的脅威インフラストラクチャの範囲を含む、インターネットと組織のインフラストラクチャの残りの部分とデジタル関係および接続で結び付けられた小さなエンティティで構成されます。
攻撃対象領域の構成は組織によって大きく異なりますが、多くの場合、次のような同じ要素が多数特定されます。
- 自律システム番号 (ASN)
- IP アドレスと IP ブロック
- ドメインとサブドメイン（直接およびサードパーティ）
- SSL 証明書と帰属
- WHOISレコード、連絡先、履歴
- ホストとホストペアのサービスと関係
- インターネットポートとサービス
- ネットフロー
- Web フレームワーク(PHP、Apache、Java など)
- Web サーバーサービス (電子メール、データベース、アプリケーション)
- パブリッククラウドとプライベートクラウド
攻撃対象領域を理解する
各企業が抱える潜在的な脆弱性が無数に増加したことにより、ハッカーや攻撃者にとっては、攻撃を成功させるには1つの脆弱性を見つけるだけでよいという利点が増しています。[4]
攻撃対象領域を理解して視覚化するためには、次の 3 つのステップがあります。
ステップ1：視覚化。企業システムを視覚化することが最初のステップであり、すべてのデバイス、パス、ネットワークをマッピングします。[4]
ステップ 2: 露出の指標を見つける。2番目のステップでは、露出の可能性がある脆弱性の各指標を、前のステップで視覚化されたマップに対応させます。IOE には、「システムとソフトウェアのセキュリティ制御の欠如」が含まれます。[4]
ステップ3: 侵害の兆候を見つける。これは攻撃がすでに成功していることを示す指標です。[4]
表面の縮小
情報セキュリティを向上させるための 1 つのアプローチは、システムまたはソフトウェアの攻撃対象領域を減らすことです。攻撃対象領域を減らすための基本的な戦略には、実行中のコードの量を減らす、信頼できないユーザーが利用できるエントリ ポイントを減らす、比較的少数のユーザーが要求するサービスを排除することなどがあります。権限のないアクターが利用できるコードが少なくなると、障害が少なくなる傾向があります。不要な機能をオフにすると、セキュリティ リスクが減ります。攻撃対象領域を減らすと、セキュリティ障害を防ぐのに役立ちますが、脆弱性が見つかった場合に攻撃者が与える可能性のある損害を軽減することはできません。[5]
参照
参考文献
- ^ 「Attack Surface Analysis Cheat Sheet」。Open Web Application Security Project。2013年10 月 30 日閲覧。
- ^ Manadhata, Pratyusa (2008). 「攻撃対象領域のメトリック」(PDF)。2016 年 2 月 22 日時点のオリジナルよりアーカイブ(PDF) 。2013年 10 月 30 日閲覧。
- ^ Manadhata, Pratyusa; Wing, Jeannette M. 「システムの攻撃対象領域の測定」(PDF)。2017 年 3 月 6 日のオリジナルからアーカイブ(PDF) 。2019 年 8 月 29 日閲覧。
{{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です - ^ abcd Friedman, Jon (2016 年 3 月). 「Attack your Attack Surface」(PDF) . skyboxsecurity.com . 2017 年 3 月 6 日時点のオリジナル(PDF)からアーカイブ。 2017 年3 月 6 日閲覧。
- ^ Michael, Howard. 「信頼できないユーザーに公開するコードを最小限に抑えてセキュリティ リスクを軽減する」。Microsoft。2015 年 4 月 2 日時点のオリジナルよりアーカイブ。2013年10 月 30 日閲覧。