ISR09:2024 – リソースおよび管理コンポーネントへの安全でないアクセス (Insecure Access to Ressources and Management Components)

説明

適切なアクセス制御とパーミッションがないと、認可されていない個人やプログラムが機密性の高いデータ、システム、物理的な場所にアクセスすることが可能になります。この脆弱性はアクセスポリシーの構成ミス、過度に許容的な設定、不適切な認証メカニズムとして現れます。

リスク

リスクは多面的であり、企業のセキュリティと業務の完全性に広範な影響を与える可能性があります。

1. 重要データ、機密情報、プロプライエタリリソースが認可されていないアクセスにさらされ、その結果、データ侵害、知的財産の盗難、機密情報の侵害が発生します。

2. システムや設定を認可されずに操作される可能性があるため、悪意のある従業員 (や侵害されたクライアントを介した外部の攻撃者) が重要なサービスを妨害したり、ネットワークトラフィックを操作したり、悪意のあるコードを注入して、システムの停止や業務継続性の喪失につながるシナリオが生まれます。

3. 管理コンポーネントが侵害されると、攻撃者に組織のインフラストラクチャ内に足がかりを与え、攻撃者が軸足を移してアクセスを拡大できるようになります。

直接的なセキュリティの影響だけでなく、このような脆弱性は組織の評判を損ねたり、法令順守違反を引き起こしたり、インシデント対応、修復、潜在的な法的影響に関連するコストによって経済的損失を被る可能性があります。したがって、組織の IT インフラストラクチャの全体的な耐性とセキュリティを確保するには、リソースや管理コンポーネントへの安全でアクセスのリスクに対処することが最重要です。

対策

インフラストラクチャ全体に堅牢なアクセス制御メカニズムを導入し、最小権限の原則を遵守し、必要最小限の権限のみをユーザーとシステムに付与します。アクセス権を定期的にレビュー、監査、更新して、アクセスが Need To Know に基づいて付与されるようにします。この原則では、すべての従業員は目的の業務を遂行するために 必要とされる すべての情報にアクセスする権限を持たなければなりませんが、そのタスクを遂行するために必要な情報を超えてはいけません。多要素認証などの強力な認証と認可のプロトコルを採用して、認可されていないアクセスから保護します。従業員に対するセキュリティ意識向上トレーニングは意図しないアクセス設定ミスの可能性を減らすために極めて重要です。ハードウェアとソフトウェアを含むすべての管理コンポーネントをセキュリティパッチや設定で最新の状態に保ち、絵供養に対する堅牢な防御を維持します。

攻撃シナリオの例

シナリオ #1: ファイル共有アクセス 攻撃者はファイル共有の安全でないアクセス制御を悪用して、機密性の高いドキュメントへの認可されていないアクセスを獲得する可能性があります。この攻撃を可能にするよくある理由は、Need To Know の原則でアクセス権限を管理していないことです。この脅威に対抗するには、組織はファイル共有のアクセス権を注意深く設定し、厳格なパーミッションを適用し、強力なアクセス制御と認証手段を備えたサーバー管理コンポーネントに更新する必要があります。

シナリオ #2: ネットワークデバイス管理 ルーター、スイッチ、ファイアウォールなどのネットワークデバイス管理コンポーネントへの安全でないアクセスは重大な脅威をもたらします。たとえば、内部攻撃者がルーター管理インタフェースにアクセスすると、ルーティングテーブルを改変したり、ネットワークトラフィックを傍受したり、サービス拒否攻撃を仕掛けたりする可能性があります。このリスクに対処するには、組織は強力な認証とアクセス制御でネットワークデバイス管理インタフェースを保護し、デバイスファームウェアを最新の状態に保ち、ネットワークセグメンテーションを採用して管理トラフィックをパブリックネットワークから分離する必要があります。不審なアクセスや設定変更を迅速に検出して対応するには、ネットワークデバイスのアクティビティを定期的に監視してログ記録することが不可欠です。