テクノロジー

宮本久仁男氏が語る 知っておきたい「ゼロ・デイ脆弱性」

(みやもと・くにお)
1969年東京生まれ。電気通信大学通信工学科を卒業後、NTTデータ通信(当時)に入社。コンピューターのオペレーティング・システム(OS)や電子商取引実験システム、情報セキュリティー関連技術の研究開発と社内技術支援、所属部門における情報セキュリティー推進管理業務などを担当。在職中に情報セキュリティ大学院大学情報セキュリティ専攻科博士後期課程に入学、2011年に修了。博士(情報学)。現在はNTTデータ品質保証部情報セキュリティ推進室に設置されている「NTTDATA︲CERT」のメンバーである。社内ではエグゼクティブITスペシャリスト(セキュリティー)にも認定されている。
 独立行政法人・情報処理推進機構の「脅威と対策」研究会メンバーや、サイバー・セキュリティー面の若手の人材発掘・育成を目的とした民間団体「セキュリティ・キャンプ実施協議会」の企画・実行委員なども務めている。監訳書に『欠陥ソフトウェアの経済学』(オーム社)、共同監訳書に『実践Metasploit』(オライリージャパン)などがある。

 今回は、株式会社NTTデータ(東京都江東区)品質保証部情報セキュリティ推進室の「NTTDATA︱CERT(Computer Emergency Response Team) 」シニアエキスパートである宮本久仁男氏に登場いただいた。

 同氏は、サイバーセキュリティーの実務者としてNTTデータ社内およびグループ企業約210社でセキュリティー事故が起きた際、即座に出動し、復旧を支援する業務に従事。また事故対応や防止のため研究・開発も担当している。このほか社外活動として、サイバーセキュリティーに従事することのできる人材の発掘や育成活動にも取り組んでいる。同氏は、現在、各地で行われているサイバー攻撃は「ゼロ・デイ脆弱性」を悪用したものだと指摘した。

ーー宮本さんがサイバー攻撃問題に取り組み始めたきっかけは?

宮本 私は20年以上前からOS(Operating System=コンピュータを動作させるための基本的な機能を備えたソフトウェア)などの基盤ソフトウエアや通信ネットワークに強い興味を持ち、その技術を調べたり、自分でシステムを作ったりしてきました。それだけだと単なる〝ソフト屋〟ですが、私の場合は自宅のサーバーに不正侵入されたり、普段使っていたコンピューターがウイルスに感染したりという被害を受けたことがありました。それに対応した際、大変に痛い目に遭ったことも手伝って、サイバーセキュリティー問題に取り組み始めました。

攻撃と被害との因果関係を特定することは困難と語る宮本久仁男氏

 ーー現在、各地で起きているサイバー攻撃の実態についてどう見ていますか。

宮本 攻撃というと、まず物理的な攻撃を思い浮かべますが、物理的な攻撃については、人が傷ついたり、ものが壊れたりと攻撃の結果をすぐに確認することができます。

 他方、サイバー攻撃を受けると、コンピューターが誤動作したり、コンピューター内に保管しているデータが外部に漏れたり、改ざんされたりすることがあります。しかし、攻撃された側は、何が起きたのかについて、すぐに目に見える形で実感できないことが多く、攻撃と、攻撃による被害の因果関係をすぐに特定することが困難という特徴があります。

 コンピューターやインターネットの利用が当たり前になった現在、サイバー攻撃を受けて困らない人は少ないと考えます。攻撃された跡が見えないうえに困ったことになってしまうわけですから、一般の人たちは「何?それ怖い」と、未知なるものに対して恐怖心を持ってしまうのではないでしょうか。

ーー恐怖心を除去する方法は?

宮本 第一にサイバー攻撃のことをよく知ることです。未知のものでなくなれば、ある程度、怖くなくなります。第二にサイバー攻撃を仕掛けてきた相手を完全に解明するのは通常、困難だと割切ることです。第三に因果関係を推しはかり、攻撃者が使う攻撃の〝道具〟を知っておく必要があるということです。

宮本久仁男氏の見解 中央省庁攻撃には「ゼロ・デイ脆弱性」も使用された

ーー その道具とは?

宮本 道具とは攻撃に使われる手法や、狙われる脆弱性のことを指しますが、私が持った印象は、以前から知られている攻撃手法や脆弱性をはじめとして、使い古された道具が多いのでは、ということです。もちろん、そんなものばかりではなく、真に恐れるべき道具もあります。その代表例の1つが「ゼロ・デイ(zero‒day)脆弱性」と呼ばれるものです。これは「0‒day脆弱性」と表記されたり、「ゼロ・デイ攻撃」と言われたりもしますが、その意味は「まだ解決方法や対処方法が公知になっていない、つまり一般的に知られていない脆弱性(セキュリティーホールとも呼ばれる。ソフトウェアのバグ=誤り=に起因するものが多いが、仕様により引き起こされることもある)を使って攻撃する」というものです。

「ゼロ・デイ」とはまさに「対処するいとまもない」「猶予期間もない」「時間がない」という状況を指しています。「ゼロ・デイ」は対処が難しいとされていますが、それを攻撃側が効果的に使おうとした場合、費用がかかります。このため、多くの攻撃では使い古された道具が使用される傾向にあるようです。もちろん、使い古されているからといって油断してはなりませんが。

ーー 「ソフトウエアには脆弱性がある」ということは知っていましたが、「ゼロ・デイ脆弱性」という用語は初めて聞きました。

宮本 サイバーセキュリティーの世界では「ゼロ・デイ脆弱性を使って攻撃された」と聞けば、「それはまずい」という声が出るほどの共通認知を得ています。

ーー そうですか。では具体的な攻撃例は? 

宮本 今年8月から9月にかけて日本の中央省庁などがウィルス感染を試みるような攻撃を受けました。その攻撃の中には「ゼロ・デイ脆弱性」が使われた部分もありました。このように対象を特定の範囲に絞った攻撃は「標的型攻撃」と呼ばれますが、攻撃者がその攻撃によってもくろんだ効果次第では「ゼロ・デイ脆弱性」を投入することも十分ありえます。

ーー ソフトウエアが持つ脆弱性の実情や、それへの対処方法は次回に伺いましょう。

関連記事

好評連載

エネルギーフォーカス

一覧へ

緑の経済成長とエネルギー

[連載] エネルギーフォーカス

Energy Focus

[連載] エネルギーフォーカス

今後、10年後の電力業界の様相(2)

[連載] エネルギーフォーカス

発電単価から既存原発の経済性を考える

テクノロジー潮流

一覧へ

科学技術開発とチームプレー

[連載] テクノロジー潮流

テクノロジー潮流

[連載] テクノロジー潮流

エボラ出血熱と情報セキュリティー

[連載] テクノロジー潮流

21世紀の日本のかたち 農電業と漁電業

[連載] テクノロジー潮流

工学システムの安全について

[連載] テクノロジー潮流

エネルギー移行と国民の価値観の変化

ビジネストレンド新着記事

注目企業

一覧へ

不動産のノウハウや技術を生かしサステナブルインフラへ―いちご

現存の不動産に新しい価値を創造する「心築(しんちく)事業」とJ‐REIT運用、太陽光などのクリーンエネルギー事業が主力。社名の「いちご」は一期一会に由来しており、サステナブルインフラを通じて日本の社会を豊かにすることを目指している。文=榎本正義(『経済界』2019年9月号より転載) 長谷川拓…

次世代車向け先進技術を応用する日本発プラットフォーマー ―イーソル

社員に奨学金を提供―ミツバファクトリーが実践する中小企業が勝つための福利厚生とは

新社長登場

一覧へ

「若者需要の開拓でビール市場を盛り上げていく」塩澤賢一(アサヒビール社長)

アサヒグループ食品の副社長から、この3月にアサヒビールの社長に就任した塩澤賢一氏。長年、ビール営業畑を歩み、マーケティングを兼ねた繁華街歩きを趣味にしている。街の変化から世の中の流れを読む塩澤新社長が挑むのは低迷するビール市場の活性化。若者需要を伸ばしつつ、スポーツイベントを商機として攻勢をかけていく。聞き手…

「事業部門の連携を活性化させ営業利益100億円を目指す」 内藤宏治(ウシオ電機社長 )

地域に根差した証券会社が迎えた創業100周年―藍澤卓弥(アイザワ証券社長)

イノベーターズ

一覧へ

シリコンバレーへの挑戦が生んだ「起業家と投資家が待ち望んだサービス」― 戸村光・ハックジャパンCEO

起業家のスタンスとして、画期的な技術やビジネスモデルを社会で活かすことを目的としたイノベーション先行型もあれば、社会課題解決を最優先とし、そこに必要な技術やノウハウを当てはめていくやり方もある。ハックジャパンCEOの戸村光氏の場合は後者。対象となる課題は「身の周りの気付いたことすべて」だ。(取材・文=吉田浩)…

「測量美術」が起こす道路工事のイノベーション―草木茂雄・エムアールサポート社長

IT化で変革する産業廃棄物処理の世界―福田隆(トライシクルCEO)

大学の挑戦

一覧へ

専門分野に特化した“差別化戦略”で新設大学ながら知名度・ブランド力向上を実現――了徳寺大学・了徳寺健二理事長・学長

2000年設立で、了徳寺大学が母体のグループ法人。医療法人社団了徳寺会をグループ内に持つ。大学名の「了」は悟る、了解する、「徳」は精神の修養により、その身に得た優れた品性、人格を指す。「了徳寺」は人間としての品性、道を論す館の意味を込めた大学名だ。 聞き手=本誌/榎本正義 、写真/佐々木 伸 …

大学の挑戦

創立100周年、西南学院大学・K.J.シャフナー学長「世界に貢献しインパクトを与える人材を育てる」〜国際交流・就職支援・インターネット出願〜 

「“STAND BY YOU”のスローガンの下、学生一人ひとりに寄り添う教育を」――中央学院大学・佐藤英明学長

経済界からのお知らせ

最新号のご案内

経済界2019年9月号
[特集] 東京五輪以降──ニッポンの未来
  • ・2度目の東京五輪 今度はどんなレガシーが生まれるのか
  • ・高岡浩三 ネスレ日本社長兼CEO
  • ・脱CO2の切り札となる水素活用のスマートシティ
  • ・五輪契機にテレワーク普及へ「柔軟な働き方でハッピーに」
  • ・ワーケーション=仕事×余暇 地域とつながる新しい働き方
  • ・「ピッ」と一瞬で決済完了! QRしのぐタッチ決済の潜在力
  • ・東京五輪で懸念される調達リスク
  • ・フェアウッド100%使用にこだわる佐藤岳利(ワイス・ワイス社長)の挑戦
[Special Interview]

 原田義昭(環境大臣・内閣府特命担当大臣)

 世界の脱炭素化、SDGs「環境」が社会を牽引する

[NEWS REPORT]

◆フェイスブックの「リブラ」で仮想通貨も「GAFA」が支配

◆脱炭素社会へ 鉄リサイクルという光明

◆PBの扱いを巡り業界二分 ビール商戦「夏の陣」に異変あり

◆中国の次は日本に矛先? トランプに脅える自動車業界の前途

[特集2]

 北の大地の幕開け 北海道新時代

・ 鈴木直道(北海道知事)

・ 岩田圭剛(北海道商工会議所連合会会頭)

・ 安田光春(北洋銀行頭取)

・ 笹原晶博(北海道銀行頭取)

・ 佐々木康行(北海道コカ・コーラボトリング社長)

・ 會澤祥弘(會澤高圧コンクリート社長)

・ 佐藤仁志(北海道共伸特機社長)

・ 内間木義勝(ムラタ社長)

ページ上部へ戻る