セキュリティ意識向上トレーニングとフィッシング対策

ファイアウォール、暗号化、MFAなどの技術的対策は不可欠ですが、多くの侵害では、人的要素が依然として最も悪用されやすい脆弱性です。セキュリティ意識向上トレーニングは、従業員が脅威を認識し、安全な行動に従い、自分の行動がもたらす結果を理解する、セキュリティを重視した文化の構築を目指します。Security+試験では、扱うべきトピックだけでなく、効果的な意識向上プログラムの設計方法と効果測定方法についても問われます。年に一度だけ実施する形だけの確認作業では、効果はほとんどありません。効果的なプログラムは、継続的で、参加しやすく、測定可能なものです。

効果的なセキュリティ意識向上プログラムには、複数の構成要素が連携して含まれます。役割ベースのトレーニングでは、職務に応じて内容を調整します。経営幹部にはホエーリングやBECへの対策、開発者にはセキュアコーディング、財務担当者には電信送金詐欺への対応手順が必要です。フィッシングシミュレーションでは、現実的な訓練を行い、クリック率を測定できます。ジャストインタイムトレーニングでは、シミュレーションに失敗した直後に学習機会を提供します。セキュリティニュースレターや各種の連絡によって、セキュリティへの意識を常に保ちます。シミュレーションのクリック率、トレーニング完了率、報告されたフィッシング試行などの指標により、時間の経過に伴うプログラムの効果を測定できます。

フィッシングシミュレーションでは、現実的な偽のフィッシングメールを使って従業員をテストし、騙されやすさを測定するとともに、トレーニングの必要性を特定します。KnowBe4、Proofpoint Security Awareness、Cofenseなどのプラットフォームでは、テンプレート化されたキャンペーンや分析機能を利用できます。ベストプラクティスには、開始時のクリック率を測定するため、トレーニング前にベースラインテストを行うこと、さまざまな口実（認証情報の窃取、添付ファイル、BEC）を扱うためにフィッシングのテンプレートを変えること、クリックした従業員に直ちにトレーニングを行うこと、リスクの高いグループを特定するために部署別に結果を分類すること、クリック率が時間とともに低下することを確認するために繰り返しテストを行うことが含まれます。シミュレーションを懲罰的な手段として使用してはいけません。

SPF（Sender Policy Framework）は、どのメールサーバーがドメインに代わってメールを送信することを許可されているかを指定する、DNSベースの仕組みです。ドメイン所有者は、許可されたIPアドレスやサーバーのホスト名を記載したSPFレコード（DNS内のTXTレコード）を公開します。受信側のメールサーバーがexample.comから送信されたと主張するメールを受け取ると、DNSでexample.comのSPFレコードを照会し、送信サーバーのIPが許可されているかを確認します。許可されていないサーバーからのメールは、スパムとしてマークされたり、拒否されたりします。SPFだけでは表示上のFromアドレスは保護できず、エンベロープ送信者（Return-Path）のみを保護します。

DKIM（DomainKeys Identified Mail）は、送信メールに暗号学的署名を追加します。送信側のメールサーバーは、ドメインの秘密鍵でメールのヘッダーと本文に署名し、その署名をDKIM-Signatureヘッダーに含めます。受信側のサーバーは、DNS（selector._domainkey.example.com TXT record）から対応する公開鍵を取得して署名を検証します。DKIMにより、メールが転送中に改ざんされていないこと、および秘密鍵にアクセスできる者から送信されたことを証明できます。SPFとは異なり、DKIMはHeader Fromアドレスを保護し、メール転送後も機能します。

DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMを基盤として、メールが両方のチェックに失敗した場合に受信側のメールサーバーが取るべき処置を指定し、レポート機能も提供します。p=rejectのDMARCポリシーを設定すると、受信側に対して、そのドメインのSPFおよびDKIMのアライメントに失敗したメールを破棄するよう指示できます。DMARCではアライメントという概念も導入されます。Header Fromのドメインが、SPFまたはDKIMで検証されたドメインと一致していなければなりません。DMARCの集約レポート（rua）により、自分のドメインを使ってメールを送信している送信者を把握でき、許可されていない送信者や進行中のなりすましキャンペーンを明らかにできます。

セキュアメールゲートウェイ（SEG）は、すべての送受信メールを配信前に検査し、悪意のあるコンテンツを検出します。SEGは、スパム対策フィルタリング、SPF/DKIM/DMARC検証、URL書き換え（安全にスキャンできるようリンクをプロキシ経由のバージョンに変換）、添付ファイルのサンドボックス化（疑わしいファイルを隔離環境で実行して検査）、データ損失防止（送信メールをスキャンして機密データを検出）など、複数の検出技術を組み合わせます。代表的なSEGベンダーには、Proofpoint、Mimecast、Microsoft Defender for Office 365、Cisco Secure Emailがあります。SEGは、メールを介した攻撃に対する最初の技術的防御線となります。

セキュリティ意識向上トレーニングの最も価値ある成果の一つは、従業員が非難や嘲笑を恐れずに、疑わしい活動を安心して報告できる環境を作ることです。従業員がフィッシングリンクをクリックしたことで罰せられると恐れていると、報告せずに隠してしまい、攻撃者がネットワーク内にとどまる時間を長引かせることになります。非難しない報告文化とは、疑わしいメールを報告した従業員に、たとえ誤検知であっても感謝すること、シミュレーションの失敗を罰ではなく学習機会として扱うこと、専用のメールエイリアスやブラウザープラグインを用意して報告を簡単にすることです。目標は、人間に完璧な対応を求めることではなく、迅速に検出することです。

技術的対策は、ユーザーに届いたフィッシングを検出することで、トレーニングを補完します。ブラウザーのフィッシング対策では、リアルタイムのURLレピュテーションデータベース（Google Safe Browsing、Microsoft SmartScreen）を使用し、既知の悪意あるサイトにアクセスする前にユーザーへ警告します。DNSシンクホールでは、悪意のあるドメインをルーティング不可能なアドレスに解決し、クライアント側での操作なしにネットワーク層でアクセスをブロックします。プロキシフィルタリングでは、URLカテゴリに基づくブロックが可能です。ユーザートレーニングとこれらの技術的対策を組み合わせることで、認証情報の侵害やマルウェアのインストールに至る前に、フィッシングの試みを検出できる独立した機会を複数作り出せます。

セキュリティ意識向上プログラムは、投資の正当性を示し、継続的な改善につなげるために測定する必要があります。主要業績評価指標には、フィッシングのクリック率（ベースラインとトレーニング後の比較）、フィッシングメールの平均報告時間、部署別のトレーニング完了率、人的ミスが関係する確認済みインシデントの件数、時間の経過に伴う認証情報を起点とする侵害の減少などがあります。経営層向けの報告では、改善または悪化の傾向を示し、対象を絞った対策が必要な部署を明らかにする必要があります。指標はビジネスリスクと整合させてください。たとえば、財務部門のクリック率5%は、保守部門の5%よりも高いリスクを意味します。

セキュリティ意識向上トレーニングは、強制力のあるポリシーによって裏付けられていなければなりません。許容利用ポリシー（Acceptable Use Policy：AUP）では、従業員が組織のシステム、ネットワーク、データをどのように利用してよいか、またどのように利用してはならないかを定めます。従業員には、毎年、またポリシーが変更された際に、署名した同意書によってAUPを確認してもらう必要があります。AUPは、従業員がセキュリティポリシーに違反した場合に懲戒処分を行う法的根拠となります。たとえば、フィッシングリンクをクリックすることはトレーニングの失敗ですが、認証情報を故意に共有することはポリシー違反です。その他の関連ポリシーには、ソーシャルメディアポリシー（組織について何を共有してよいか）、メディア取り扱いポリシー、クリアデスクポリシーなどがあります。

このレッスンで学んだCompTIA Security+（SY0-701）の概念について理解度を確認します。

このレッスンでは、効果的なセキュリティ意識向上プログラムでは、役割ベースのトレーニング、フィッシングシミュレーション、ジャストインタイム学習、測定可能なKPIを組み合わせて人的要因によるリスクを低減すること、SPF、DKIM、DMARCが連携してメール送信者を認証し、ドメインのなりすましを防止すること、そしてセキュアメールゲートウェイが、受信メールと送信メールに対して、添付ファイルのサンドボックス処理、URLの書き換え、DLPなど多層的な技術的防御を提供することを学びました。次は、マルウェアの種類と動作について詳しく見ていきます。