Salesforceにおける多層防御：なぜエンドポイントセキュリティだけではマルウェアを阻止できないのか

これらのフレームワークにSalesforceのセキュリティを整合させることで、組織はエンドポイントセキュリティのような最終防衛ラインに単に依存するだけでなく、サイバーリスクを管理・軽減するための予防的な層を積極的に構築できるようになります。

クラウドセキュリティの複雑性

クラウドセキュリティは、依然として曖昧さや誤解に満ちた複雑な領域です。クラウドベンダーとユーザー間の責任分担についてはしばしば混乱が生じ、それが重大なセキュリティ上の脆弱性につながる可能性があります。この中で重要な要素となるのがクラウドアプリケーションのセキュリティですが、徹底した監査体制がなければ、サイバーセキュリティ戦略において見落とされがちです。Snowflakeの顧客を巻き込んだ大規模なデータ侵害事件が示すように、この領域を軽視することは深刻な結果を招く恐れがあります。

しかし、すでにエンドポイント保護は導入しています…

エンドポイントセキュリティソリューションは、コンピュータ上のファイル、プロセス、システムアクティビティを監視し、不審な動作や有害な動作の兆候を特定します。これにより、潜在的なセキュリティ脅威を検知し、防止します。

Salesforceのお客様からよく耳にする誤解の一つに、社内ユーザーのコンピュータにエンドポイント保護ソフトウェア（EPP）を導入していれば、マルウェア対策として十分だという考えがあります。従業員のデバイスでEPPソリューションを実行することは有益であり、弊社も強く推奨していますが、EPPがマルウェアやランサムウェアに関連するすべての問題を解決する究極のツールではないことを理解することが重要です。それは決して万能薬ではありません。

EPPは、Salesforce内に存在する悪意のあるコンテンツを検知しません。もし悪意のあるコンテンツが実際にエンドポイントに到達してしまった場合、それはすでに御社のIT環境内に存在していることになります。マルウェアが実際にインシデントを引き起こし、EDRソリューションによって検知されたとしても、その時点で既に被害が生じている可能性があります。被害の規模は、攻撃者が環境内で活動できた時間によって左右されます…

攻撃者にとってマルウェアを配布する最も簡単な手段はメールです。御社では、エンドポイント保護に加え、メールセキュリティによって悪意のあるコンテンツをフィルタリングしていることでしょう……

最も重要なビジネスプラットフォームが、サプライチェーン攻撃を仕掛けるための足がかりとして悪用される可能性があります……

大企業の顧客が新しいSalesforceのユースケースを構築し、リリース直前にセキュリティ上の脆弱性を導入していることに気づき、サイバー犯罪者に門戸を開いてしまっているというケースを頻繁に目にします。セキュリティチームが土壇場でこれに気づき、リスクが軽減されるまでプロジェクト全体を保留にすることもあります。これにより、数週間から数ヶ月の遅延が生じる可能性があります。また、この時点で既に環境内に悪意のあるコンテンツが存在していることに気づくケースもあります。

Salesforce 特有のセキュリティ上の課題

フィッシングの温床およびマルウェアの侵入経路

Salesforceは、世界中のあらゆる業界においてビジネスを推進する重要なツールである一方、エンドポイント保護のみに依存するだけでは不十分となる、特有のセキュリティ上の課題に直面しています。

Salesforceユーザーは、クラウドの認証情報を盗んだりマルウェアを配布したりすることを目的としたフィッシング攻撃の標的となることが頻繁にあります。攻撃者はSalesforceを活用することで、従来のエンドポイント防御を迂回することができます。このマルウェアは、従来の攻撃手法とは異なり、クラウドベースの性質上、Salesforce内で検知されずに潜伏し続け、パートナーエコシステムのサプライチェーン全体に広範囲に拡散する可能性があります。

部門間の分断がもたらすセキュリティの隙間

多くの場合、ITチームやセキュリティチームは、Salesforce管理チームとは別個に運用されています。このような部門間の分断構造は、Salesforce環境のセキュリティやリスクに対する理解や管理に隙間を生じさせる可能性があります。外部ユーザーによってSalesforceにマルウェアがアップロードされ、内部ユーザーがそれにアクセスしても、即座に検出されないことがあります。あるいは、そもそもセキュリティチームがそのリスクを認識していない場合もあります。時間が経つにつれ、これは組織内だけでなく、Salesforceを通じて接続されたパートナーへも悪意のあるコンテンツが拡散する原因となり得ます。ベンダーとユーザー間のセキュリティ責任の分担は、明確ではありません。

セキュリティ可視性とフォレンジックトレイルの欠如

Salesforce環境では、デフォルトでは、マルウェアに感染したファイルやフィッシングメッセージなどのセキュリティ脅威に対する可視性がありません。この可視性の欠如は、ユーザーがこれらの脅威とやり取りする状況にも及び、効果的な検知とタイムリーな対応を妨げます。エンドポイント保護プラットフォーム（EPP）はエンドポイントデバイスの防御に優れていますが、クラウドベースの脅威を監視することはできません。その結果、インシデントが発生した場合、誰がマルウェアを含むファイルをアップロードしたか、どのユーザーがそれに関与したか、外部ユーザーに影響が及んだか、そしてこれらの事象がいつ発生したかを特定するなど、詳細を把握することは、直接的なセキュリティ可視性なしでは不可能となります。

エンドポイントセキュリティは、マルウェアやランサムウェアに対する「最後の防衛線」として捉えるべきであり、「唯一の防衛線」ではありません。脅威インテリジェンスの古さ、設定ミス、あるいはサービス停止などにより、エンドポイントセキュリティソリューションがすべての脅威を検知できない可能性があるというリスクを認識することが極めて重要です。100%完璧な防御メカニズムなど存在しないのです。

多層防御

前述の通り、エンドポイントセキュリティは最終的な防御層に過ぎません。では、他の層についてはどうでしょうか？

「多層防御（Defense in Depth）」や「NISTサイバーセキュリティフレームワーク」など、広く採用されているセキュリティフレームワークについて少し掘り下げてみましょう。これらのフレームワークの詳細をすでに熟知している場合は、この先をスキップして構いません。さらに詳しく知りたい方のために、これらの人気フレームワークを解説し、多層セキュリティのパラダイムをどのように支えているかを説明しています。

多層防御戦略

多層セキュリティは、多層防御と同義とされることもあります。多層防御とは、組織のITインフラ全体に複数の保護層を実装するセキュリティ戦略です。このアプローチは、物理的、技術的、管理的な制御を統合して多種多様な脅威を防御するという、多層セキュリティの原則に基づいています。インフラ全体に多様な防御手段を分散させることで、多層防御は、ある層が機能しなくなっても、他の層がシステムを保護し続けられるようにします。

この戦略には、監視などの物理的セキュリティ対策から、ウイルス対策プログラムなどのサイバーセキュリティツールに至るまで、様々な防御メカニズムが組み込まれています。

冗長性も重要な要素の一つであり、同一のセキュリティ対策を複数展開します。これにより、ある要素が機能しなくなった場合でも別の要素がその役割を引き継ぐことができ、システム全体が侵害されるリスクを低減します。

防御の層：

物理的セキュリティは第一の防御線であり、アクセス制御ポイントや監視措置を通じて、組織の施設やデバイスを保護します。

ネットワークセキュリティがこれに続き、ファイアウォール、侵入検知・防止システム、セキュアなWi-Fiネットワークなどのツールが、転送中のデータを保護する上で重要な役割を果たします。

デバイスレベルでは、エンドポイントセキュリティにおいて、ネットワークに接続する個々のデバイスを保護するために、ウイルス対策およびマルウェア対策ソフトウェアに加え、パーソナルファイアウォールを導入します。

アプリケーションセキュリティも極めて重要です。定期的な更新、セキュアコーディングの実践、および専用のアプリケーションレベルファイアウォールを通じて、アプリケーションを外部の脅威から守ります。

データセキュリティは、データそのものの保護に焦点を当て、暗号化と厳格なアクセス制御を活用して、機密情報へのアクセスを権限のある担当者のみに限定します。

アイデンティティおよびアクセス管理（IAM）システムは、ユーザーの権限を管理し、機密性の高いシステムやデータへのアクセスが厳格に制御され、多要素認証および定期的な監査の対象となることを保証します。

セキュリティのベストプラクティスや脅威の認識についてユーザーを教育することで、組織は従業員がフィッシングなどの攻撃に対する「人間のファイアウォール」として機能できるようにします。

NISTサイバーセキュリティフレームワーク（CSF）

NISTサイバーセキュリティフレームワーク2.0（CSF2）は、セキュリティ態勢と説明責任を向上させるためのツールを提供します。また、サイバーセキュリティ投資の正当化にも役立ちます。このフレームワークは、セキュリティ専門家と企業の取締役会の双方が、複雑なサイバーセキュリティ環境を適切に管理できるよう支援することを目的としています。

NISTサイバーセキュリティフレームワーク（CSF）は、中核機能に分類されています。CSFの中核機能である「GOVERN（統治）」「IDENTIFY（特定）」「PROTECT（保護）」「DETECT（検知）」「RESPOND（対応）」「RECOVER（復旧）」は、サイバーセキュリティの成果に向けた高レベルの組織構造を提供します。これらの機能は、組織内におけるサイバーセキュリティリスクの管理と軽減に向けた包括的なアプローチの枠組みを構成しています。これらは、組織が現在のサイバーセキュリティプロファイルを作成し、それを目標とする状態と整合させるのに役立ちます。

各機能は、特定の役割を果たすように設計されています：

• ガバナンス（GV）機能は、サイバーセキュリティポリシーや戦略の策定、伝達、監視を包括し、サイバーセキュリティリスク管理の基盤を築きます。役割、責任、ポリシーの監督、および組織的背景の理解に焦点を当て、サイバーセキュリティを企業全体のリスク管理に統合するのに役立ちます。
• 特定（ID）機能は、データ、システム、施設など、組織のリソースに関連するサイバーセキュリティリスクが何であるかに焦点を当てます。資産とそれに関連するリスクを特定することは、組織のリスク管理戦略や運用上のニーズに沿ったセキュリティ対策の優先順位付けに役立ちます。
• Protect (PR) 機能は、特定され優先順位付けされたリスクを管理するための保護策を実施し、サイバーセキュリティインシデントの影響を防止または軽減することを目的としています。これには、サイバー脅威に対する防御を強化するための、ID管理、データセキュリティ、インフラのレジリエンスなどの対策が含まれます。
• 検知（DE）は、潜在的なサイバーセキュリティ脅威のタイムリーな発見と分析に焦点を当てています。これにより、組織は異常、侵害の兆候、およびその他の潜在的なセキュリティ侵害の兆候を特定し、効果的なインシデント対応を促進することができます。
• 対応（RS）機能は、インシデントの影響を軽減するための適切な措置を講じることを扱います。これには、インシデントの影響を封じ込め、再発を防止するために、インシデントの管理、分析、軽減、および情報伝達が含まれます。
• 復旧（RC）： この機能は、インシデントの影響を受けた業務や資産を復旧するために不可欠です。影響を受けたサービスやプロセスを迅速に復旧し、プロセス全体を通じて明確なコミュニケーションを確保することで、ダウンタイムと損害を最小限に抑えることを目的としています。

NISTおよび多層防御戦略におけるSalesforceのアンチウイルス対策

エンドポイント保護ソフトウェアは不可欠ですが、Salesforceユーザーのコンピュータをマルウェアやランサムウェアから保護するための完全なソリューションであると誤解されることがよくあります。これは重大なセキュリティの隙間を見落とし、Salesforceアプリケーションを高度なサイバー脅威による重大なリスクにさらすことになります。クラウドベースのプラットフォームであるSalesforceには、サイバー攻撃者の格好の標的となる機密データや業務が含まれており、攻撃者はエンドポイント保護のような従来のセキュリティを回避するために、その手法を絶えず進化させています。これは、多層防御戦略やNISTサイバーセキュリティフレームワークが推奨する、多層的なセキュリティアプローチの重要性を浮き彫りにしています。このアプローチでは、様々な脅威から保護するために複数の防御手段を採用し、追加の保護措置によってエンドポイントセキュリティを強化します。

例えば、アプリケーションセキュリティ層のアンチウイルスソフトウェアは、マルウェアがエンドポイントやエンドユーザーに到達するのを未然に防ぎ、人的ミスによるリスクを低減し、感染したコンテンツがサプライチェーンを通じて拡散するのを阻止します。マルウェアおよびランサムウェア対策の2層構造を構築することで、一方の防御が機能しなくなった場合でもエンドユーザーを保護できます。これはNISTサイバーセキュリティフレームワークの原則に沿ったものであり、Salesforceを利用する組織の全体的なセキュリティ態勢を強化します。

サイバーセキュリティ戦略において、Salesforceを電子メールと同様に捉えることが役立つ場合もあります。

アンチウイルス、フィッシング対策、セキュリティ可視化 – わずか数分で

適切なセキュリティ対策を講じることで、データ漏洩を心配することなく、Salesforceのあらゆるメリットを安心して享受できます。WithSecure™は、市場をリードするSalesforce向けアンチウイルスおよびフィッシング対策ソリューションを提供します。WithSecure™ Cloud Protection for Salesforceは、厳格な規制を受ける企業や政府機関のニーズを念頭に置き、Salesforceと共同で設計されました。脅威防御レイヤーは、マルウェア、ランサムウェア、ウイルス、フィッシング攻撃に対するリアルタイムの保護を提供します。また、環境に対するリアルタイムの可視性も提供するため、脅威ハンターはインシデントに効果的に対応し、攻撃を調査することができます。このSalesforceネイティブの統合ソリューションは迅速に導入でき、既存のワークフローを妨げることなく包括的なセキュリティカバレッジを確保します。

実践的な Salesforce セキュリティにおける NIST サイバーセキュリティフレームワーク

多層的な脅威防御ソリューションを活用するだけで、多様な脅威をブロックし、NIST の各機能要件を満たすことができます。以下に、Salesforce のセキュリティを NIST フレームワークに整合させ、多層的なアプローチでリスクを管理するための追加手法を示します：

1. ガバナンス (GV): Salesforce 向けの包括的なサイバーセキュリティ戦略を策定し、コンプライアンスおよびビジネスニーズに沿った明確なポリシーを確立します。役割、責任、および具体的なポリシーを定義します。
2. 特定 (ID)：Salesforce内に保存・処理されるデータを把握・文書化し、その利用状況を評価して、関連するサイバーセキュリティリスクを特定します。これには、データ、攻撃ベクトル、および統合機能のマッピングが含まれます。
3. 保護 (PR)：堅牢なアクセス制御、データ暗号化、および適切な設定により、Salesforceのセキュリティを強化します。従業員にセキュリティのベストプラクティスを教育し、多要素認証を導入してリスクを低減します。
4. 検知 (DE): Salesforce 内の脅威、ユーザー活動、監査ログを継続的に監視し、異常を検知します。マルウェアの検出、異常なユーザー行動、フィッシング攻撃に対して自動アラートを設定します。
5. 対応 (RS): Salesforce をインシデント対応計画に組み込むか、侵害の封じ込めや被害の軽減手順を含む Salesforce 専用の計画を作成します。脅威に自動的に対応するツールを導入し、調査などのインシデント対応手順を支援します。
6. 復旧 (RC)：バックアップや統合機能の修復を活用し、セキュリティインシデント発生後に業務とデータを復旧させます。