セキュリティの仕組みにAIが利用されるのと同じように、攻撃する側もAIを利用するケースが増えています。そのため、2019年にはAIによる脅威がさらに増すと予想されているのです。 AIを利用した代表的な脅威を紹介します。

AIファジングとは

『AIファジング』は、AI技術の普及によって実用的になった攻撃方法です。 ファジングはテスト手法の1つで、ソフト設計時に想定されていないデータをあえて入力し、誤作動を引き起こさないか確認します。膨大な試行を専用ツールでするのです。 手間も時間もかかるファジングは、攻撃手法としては効率的ではないと考えられてきました。 しかし、AI技術により全自動でファジングから脆弱性の発見までできるようになったため、有効な攻撃手法としての認識が広まってきています。

機械学習ポイズニングとは

機械学習する機能に誤った学習データを与えて誤作動を起こす攻撃手法を『機械学習ポイズニング』といいます。 セキュリティソフトにも機械学習の機能があるものが増えています。しかし、機械学習ポイズニングが行われると、特定の攻撃を見逃してしまう、という本来とは違う行動をするのです。 機械学習ポイズニングは、攻撃されていること自体に気付きにくいという特徴があります。AIによる判断はブラックボックス化しやすく、どのように行われているかが不明瞭だからです。

ディープフェイクとは

高度なAI技術を使って人間をだます『ディープフェイク』という攻撃手法もあります。例えば、AIにより大量生成された偽情報によって、人間が誤った判断・行動をするよう促すのです。 偽のチャットツールやSNSのなりすましにより行われるフィッシング攻撃も行われています。 ディープフェイクの手法によって、社員の使っているパソコンから企業の情報を抜き取られる、という危険性もあるのです。

AIによる攻撃の他にも、さまざまな脅威があります。企業への攻撃には、どのような種類があるのでしょうか？近年よく見られる代表的な攻撃方法について解説します。

テレワーク関連の標的化

企業に所属していても、オフィスではなく自宅やその他の場所で仕事をする『テレワーク』が広がってきています。 テレワークは、ホームネットワークやクラウドサービスを利用して行われるケースが多いため、そうしたサービスを通じて企業を攻撃する手法が増えているのです。 例えば、クラウドサービスの認証情報を狙うフィッシング詐欺や、ホームネットワークの脆弱性を狙った攻撃などが考えられます。テレワークに代表される自由な働き方が増えれば増えるほど、社員の使う端末から攻撃されるリスクは増加するでしょう。

ソーシャルエンジニアリングの標的化

『ソーシャルエンジニアリング』とは、人間の弱みや心理につけこみ、情報を奪う方法です。ソーシャルエンジニアリングの代表はフィッシング詐欺ですが、近年、フィッシング詐欺サイトへのアクセスが増加傾向にあります。 一見、個人への攻撃にも見えるソーシャルエンジニアリングですが、個人への攻撃を足がかりに、企業への攻撃が始まるのです。 例えば、企業の管理者になりすまし、重要なIDやパスワードを社員から盗み出される、といったことが起こります。管理職や重要な業務についていない社員であっても、そうした社内情報を得るための手段として攻撃対象になるのです。

サイバー攻撃が巧妙化している中、それに対抗するためのセキュリティにはどのような方法があるのでしょうか？2019年にセキュリティのトレンドとなるのはどんな方法か、解説します。

エンドポイントセキュリティ

キーワードとしてあげられるのが『エンドポイントセキュリティ』です。エンドポイントは、社員が使っているパソコンやスマホなどの端末のことをいいます。 エンドポイントセキュリティは、パソコンに侵入してきたマルウェアやウイルスに、その端末上で対策しようとする方法です。 既にあるマルウェアやウイルスが侵入しないように防ぐ『EPP』と、万一侵入されたときに素早く対応するための『EDR』の2種類があります。 EPPとEDRは、両方をうまく組み合わせて使うことで、お互いの弱い部分を補完し合えます。

クラウドにおけるセキュリティ

クラウドのセキュリティは、サービス側が全てを担っているわけではなく、企業側も責任を持ってセキュリティに取り組まなければいけません。企業側は、例えば『IAM』や『CASB』といった方法で、対策することが大切です。 IAMは、アクセス権を一元管理する方法で、権限によってアクセスできる範囲を設定できます。 CASBは、複数のクラウドサービスとの間に、単一のコントロールポイントを置く仕組みです。複数のクラウドで利用権限を設定したり、個人アカウントと混同することを避けたりできます。 IAMでアイデンティティ情報管理を、IAMでは対応できなかった部分をCASBで管理させるなど、企業側もセキュリティ対策をとるようにしましょう。

2019年はサイバー攻撃にもAIの利用が進む可能性が示されています。そのため、これまでとは違ったアプローチで攻撃されることも増えるというのです。 セキュリティ対策では、社員が利用するパソコンやスマホといった端末を守るエンドポイントセキュリティが重視されています。 こうした脅威やセキュリティのトレンドについて知り、自社の状況に合った適切な対策をしましょう。