ハッキングとクラッキングの概念と違い
まず「ハッキング」についてですが、本来はコンピュータやネットワークに対して高い知識を持ち、開発や設計などに活用することを指します。
一方で、技術を悪用してコンピュータやネットワークに侵入し、情報の窃取などを行うことを「クラッキング」と呼びます。
このように、ハッキングとクラッキングはもともと別物なのですが、いつの間にか混同されて呼ばれております。
また、ハッキングを行う攻撃者を「ハッカー」、クラッキングを仕掛ける攻撃者を「クラッカー」という呼び方もされ、「ハッカー＝クラッカー」という総じて悪意のある存在として認識されている現状です。
現在では、これらの悪意ある攻撃者に対となる「ホワイトハッカー」と呼ばれる言葉ができており、いわば善意ある高いレベルの専門知識を持ったIT技術者を指します。
少々話がそれましたが、クラッキングがどのような手口で行われるのか、それに対してどのような対策を講じるべきかを順次述べていきます。
クラッキングの手口と被害例
・Webサイトの改ざん
Webサイトに掲載されている文章や画像を書き換えられることももちろんですが、マルウェアに感染させる目的でスクリプトを埋め込まれることもあります。
外部からWebサイトを改ざんする場合、Webサイトの脆弱性を悪用して侵入するケースがほとんどです。
・サーバの停止
サービス拒否攻撃（DoS攻撃）と呼ばれる攻撃により、Webサーバに大量のリクエストを送りつけて処理能力の限界を超えさせることで、Webサーバが停止します。
最近では、分散型DoS攻撃（DDoS攻撃）といって、リクエストの種類を工夫してパケットを増幅させたり、大量のIoT機器をボットに感染させて大量のリクエストを送りつけたりする手法もあります。
・別のネットワークへの攻撃の踏み台
Webサイトが改ざんされ、マルウェアが仕込まれてしまった場合、そのWebサイトにアクセスしてきたコンピュータがマルウェアに感染し、さらに別のコンピュータやネットワークに感染が拡大するといった、別の攻撃への踏み台としてWebサイトが悪用されることも多く報告されています。
・情報漏洩
SQLインジェクション攻撃では、通常Webサーバから閲覧することができないデータベースに侵入することが可能になります。つまり、データベースに保存されている顧客データなどが窃取されることがあり得るということです。
クラッキングへの対策方法の確立
・脆弱性対策
Webサーバへの侵入の多くは、サーバのOSやインストールされているアプリケーションに存在する脆弱性を利用します。
脆弱性が発見された際に配布される更新プログラムを迅速に適用することはもちろん重要なのですが、それらを適用することでその他のシステムに影響を与えてしまい、結果として業務が停止する可能性もあります。
そこで、WAF（Web Application Firewall）などで、脆弱性を悪用する攻撃を防御しておき、その間に更新プログラムがシステムに与える影響などを検証するという方法が広がっています。
・不正侵入の検知
クラッキングの特徴として、ネットワークに侵入することに成功すると、サーバなど重要な情報を保持しているコンピュータを探して通信を行います。
通常、このような振る舞いは企業のシステム内ではほとんどありえないものなので、こうした不審な通信を検出することで、不正アクセスが行われていることを認識することができます。
また、ネットワーク内部のデータを外部に送信する際には、ネットワークの出入り口にあるゲートウェイを通過します。
このゲートウェイに内部システムの通信状況を可視化できるシステムを導入しておくことも有効です。
・ネットワーク機器の設定確認
ルータやWi-Fiなどのネットワーク機器のパスワードなどの設定を初期設定のまま運用しているケースが意外と多いのです。
特にルータやWi-Fiはインターネットからアクセス可能な機器なので、そのパスワードを変更し、ファームウェアのバージョンをチェックして最新の状態にアップデートすることが重要です。
IoT機器の導入が増えたことは、クラッキングの侵入経路が増えたことにもなるので、初期設定のまま使用することは絶対に避けましょう。
・パスワードを強固にする
パスワードの管理は面倒なものです。しかし、全てのシステムやWebサイトでパスワードを使い回すことは非常に危険です。一般的には次のようなパスワード設定が推奨されています。
1．文字数は最小でも8文字以上
2．大文字、小文字、数字、記号全てを含むもの
3．名前、誕生日など個人情報から推察可能なものは使わない
4．地名などの固有名詞も避ける
また、二段階認証といって一般的なパスワードを入力した後に、携帯端末等にSMSでランダムな4桁の数字を送り、二段階目の認証を行うという方法もあります。
最近では、インターネットバンキングで多く利用されているワンタイムパスワードもあり、一度きり有効なパスワードのことを指します。一定時間が経てば、新しいパスワードに変更されますので、マルウェアなどに感染しても不正アクセスされる可能性が低くなります。
パスワードに対する攻撃は、かなりの回数のパスワードを試すことで、ネットワークを突破します。そこでログインの失敗回数による制限を加えておき、ログインできなくすることも有効です。
・データログの重要性
最後にログの記録は必ず取っておきましょう。誰が、いつ、どの情報にアクセスしたかをユーザー単位と端末単位で把握しておけば、不正アクセスに気がつくタイミングが早くなり、すぐに対応することができます。
クラッキングは悪意を持って企業のサーバを攻撃してきます。その目的や手口も様々で、日々進化しています。
それに対抗するためには、情報資産の重要性を改めて認識し、情報セキュリティを専門に扱う人材の育成や確保に積極的に投資することが求められます。