クラッカーはシステム管理者の端末を狙っている

公共系の人々は注目していて、メディアもぼちぼち取り上げてはいる^*1のだが、SNSの目立つキラキラ系ソフトウェアエンジニア（風味のインフルエンサー/動画配信者）が見過ごしている、クラッカーの攻撃対象領域があるので指摘しておきたい。

1. システム管理者のクレデンシャル漏洩が多発

昨年10月のアスクルRansomhouse事件、10月2日の大阪公立大学ランサムウェア事件、10月6日の楽天ドライブ不正アクセス事件には、共通点がある。どれもシステムの運用保守を担当する者のクレデンシャル^*2が漏洩し、そこから業務システム全体がランサムウェアに汚染された。

アスクル社の場合は「業務委託先に対して付与していた管理者アカウントの ID とパスワードが何らかの方法で漏洩し不正利用され」、大阪公立大学は「再委託先の事業者が先月下旬にサイバー攻撃を受け、そのアカウントを使って大学のシステムに不正アクセスされ」、「第三者が「楽天ドライブ」にて使用する一部システムの管理用アカウントの認証情報を不正に取得し、システムにアクセス」した。

2. 相対的に攻撃しやすく成果の大きい目標

意外性はない。管理者アカウントは一般ユーザーよりもアクセス権が広く、奪取できればより重大な被害を及ぼすことができる。運用上の都合により、システム監視も甘い。一方で、業s務などのアプリケーションのシステム自体からは管理者権限を奪取するための攻撃の糸口は減っている。相次ぐ不正侵入事件などにより、ソフトウェアの脆弱性は早急にパッチが当てられるようになっており、また脆弱性を突かれても被害が限定的になるような工夫がされるようになった。

3. （意外なことに）対策は容易

どのようにシステム管理者のクレデンシャルが盗まれたのかは、上の三つの事件ではそこは不明もしくは非公開となっている。システム管理者を標的としたフィッシング攻撃が行われたか、システム管理者の端末が属するネットワークが攻略され、そのときにシステム管理者のクレデンシャルも漏洩したのか。システム管理者がプログラムの作成を行う場合は、サプライチェーン攻撃の被害にあった可能性もある。

もっとも対策は難しくはない。システム管理者が、クレデンシャルが入ったシステム管理用の端末と、それ以外のメールや文書作成などの業務に用いる端末を分けるだけで、攻撃は困難になる^*3。物理的な端末は一台で、日常作業を行う仮想マシンとデータベース管理などを行う仮想マシンを分けるのも有効^*4。

*1企業への不正アクセス、4つの侵入経路　アプリ経由や管理者乗っ取り - 日本経済新聞

*2パスワードや秘密鍵など、システムへのログインに必要な秘密情報をさす。

*3ハードウェアが物理的に盗まれる可能性は、ドライブ暗号化や盗難防止装置などで対策できる。

システム管理者がログインに用いるIPアドレスの範囲を絞る対策は、システム管理者の端末自体がクラッカーの支配下に置かれると、システム管理者の端末を遠隔操作してマルウェアを設置されたりするので無意味になる。2012年のパソコン遠隔操作事件では、PC自体が支配下に置かれた。

*4ただし、仮想マシンをホストするOSの堅牢であり、ホストで何かの作業をしてしまわないようにする自制心が必要。