実践的な緩和策を構築する

攻撃を知ることは仕事の半分にすぎません。残りの半分はmitigationsを適用することです。mitigationとは、脅威が発生する可能性や、発生した場合の影響を低減する対策を指します。1つの制御ですべてを防ぐことはできないため、複数の対策を重ねて全体的なリスクを下げます。

このレッスンでは、これまで学んだ攻撃からネットワークを強化するために、技術者が日常的に適用する実践的な防御策をまとめます。

Patch managementは、最も効果的な防御策の1つです。多くの攻撃は、すでに修正プログラムが提供されている既知の脆弱性を悪用します。オペレーティングシステム、アプリケーション、ネットワーク機器にセキュリティ更新プログラムを速やかに適用することで、こうした弱点を塞げます。

自動パッチ適用と定期的な更新スケジュールによってシステムを最新の状態に保つと、攻撃者が既知のエクスプロイトを利用できる期間を大幅に短縮できます。

脆弱なパスワードや使い回しのパスワードは、数え切れないほどの情報漏えいを引き起こします。強力で一意のパスワードを必須とし、パスワード以外に電話に届くコードなどの2つ目の証明を要求するMFA（Multi-Factor Authentication）を追加してください。

MFAは、利用できる防御策の中でも非常に価値の高いものです。攻撃者がフィッシングによってパスワードを盗んだとしても、2つ目の要素がなければログインできません。

principle of least privilegeを適用し、各ユーザーとサービスには必要なアクセス権だけを与えてください。アカウントが侵害されても、権限を制限していれば被害を抑え、ラテラルムーブメントを封じ込められます。

権限を定期的に見直し、使われていないアカウントは速やかに削除してください。また、管理者アカウントを日常利用するアカウントから分離し、通常のアカウントが侵害されても管理者権限を奪われないようにします。

firewallsはデフォルト拒否の方針で運用し、必要な通信だけを許可してください。また、ネットワークをsegmentして、ある領域で発生した侵害が自由に拡大できないようにします。ゲスト、IoTデバイス、機密システムは、それぞれ別のセグメントに隔離してください。

こうしたネットワーク制御によってインシデントを封じ込められます。ネットワーク全体の侵害につながり得る事態を、1つのセグメント内に限定された問題へと抑えられるのです。

データはin transit（HTTPS、VPN、暗号化Wi-Fi）とat rest（暗号化されたドライブやデータベース）の両方で暗号化してください。暗号化により、盗聴やオンパス攻撃を防ぎ、鍵がなければ盗まれたデータを利用できなくします。

どこでも暗号化をデフォルトにすると、通信を傍受されたりディスクを盗まれたりしても、攻撃者が得られるのは判読不能で価値のないデータだけになります。

デバイスにはantivirus or EDR（Endpoint Detection and Response）を導入してマルウェアを検出し、email filteringによってフィッシングや悪意のある添付ファイルが受信トレイに届く前にブロックしてください。

メールは攻撃の主な侵入経路であるため、強力なスパム・フィッシングフィルターとエンドポイント保護を組み合わせることで、ユーザーが目にする前に多くの脅威を自動的に阻止できます。

見えないものを止めることはできません。IDS/IPS（Intrusion Detection/Prevention Systems）、集中ログ、SIEM（Security Information and Event Management）を利用して、不審な活動をすばやく見つけてください。

通常時のベースラインを確立すると、監視によって異常を検出できます。検出が速いほど、攻撃者が阻止されるまでに与えられる被害を抑えられます。

信頼できるbackupsは、ランサムウェアやデータ損失に対する究極の防御策です。3-2-1 ruleに従い、2種類の媒体に3つのコピーを保存し、そのうち1つはオフサイトまたはオフラインにしてください。

復元テストは定期的に実施してください。テストされていないバックアップは、最も必要なときに失敗する可能性があります。適切なバックアップがあれば、攻撃に成功されても、災害ではなく復旧可能なインシデントにできます。

攻撃の対象が人である場合、技術的な制御だけでは不十分です。継続的なsecurity awareness training、明確なpolicies、incident response planによって、ユーザーを防御層の一部にし、問題が起きたときに迅速で組織的な対応を確実に行えるようにします。

不審な活動を見つけて報告する方法を知っている、訓練された従業員は、最も費用対効果の高い防御策の1つです。

効果的なセキュリティでは、patching、MFA、least privilege、firewalls and segmentation、encryption、エンドポイントとメールの保護、monitoring、backups、trainingといった実践的な対策を重ねます。1つの対策だけでは不十分ですが、組み合わせることで攻撃の開始、拡大、成功をはるかに困難にできます。

mitigationに関する知識を確認しましょう。

実践的なmitigationを重ねることで、リスクを低減できます。具体的には、patch management、MFAと強力な認証、least privilege、firewalls and segmentation、あらゆる場所でのencryption、エンドポイントとメールの保護、monitoring (IDS/IPS, SIEM)、テスト済みのbackups (3-2-1)、ユーザーtrainingです。どの制御も単独では十分ではありません。