日経225企業のセキュリティスキャン結果 | ScanNetSecurity
2021.01.21(木)

日経225企業のセキュリティスキャン結果

ラピッドセブン・ジャパンでは、NEIの分析をもとに国内日経平均株価を構成する225社への攻撃状況について、業種別の分析も行っている。業種分類は、技術、金融、消費、素材、資本財・その他、運輸・公共の6つだ。

研修・セミナー・カンファレンス セミナー・イベント
ラピッドセブン・ジャパン シニアセキュリティコンサルタントの富田隆一氏
ラピッドセブン・ジャパン シニアセキュリティコンサルタントの富田隆一氏 全 11 枚 拡大写真
 業界標準のペネトレーションテストツール「Metasploit」などを生んだMetasploitプロジェクトを推進するRAPID7社は毎年「National Exposure Index」というセキュリティ調査レポートを発行している。ライトウェイトスキャンや公開情報をベースに業種ごとのセキュリティ対策の実態を調査するものだ。

 JPタワーホール&カンファレンス4階でSecurity Days Fall 2020が昨日10月7日から明日9日まで開催されているが、このNational Exposure Indexに関する講演は、Security Days Spring 2020 で今春行われた。本稿は、お蔵出しでこの講演の模様をお伝えしよう。

●NEIとは?

 この調査は、2013年から実施されており、日本以外では、米国、オーストラリア、英国、ドイツでも報告書が作られている。米国では大統領の経済顧問委員会で利用された実績もある。

 National Exposure Index(NEI)の調査方法は、IPv4アドレスの空間に対するポートスキャンと、250か所に設置されたハニーポットから得られた情報を利用する。事前に決めた37種類のポートに対して、Syn-Ackのみのスキャンを行い、どのポートがオープンになっているのかを調べる。ポートスキャンはグローバルで展開されているSonarプロジェクトもあるが、このデータも利用する。もちろん、調査はクローラーやロボットと同じレベルのライトウェイトスキャンと呼ばれるもので、相手サーバーに過大な負荷をかけることはない。

 NEIでは、37のどれかのポートでアクセスできたデバイスが、全世界で1憶2,450万台検知された。そのうち日本国内のものは600万台ほどだったと、ラピッドセブン・ジャパン株式会社 シニアセキュリティコンサルタントの富田隆一氏はいう。

 富田氏は「たとえばWebサーバーのレスポンスヘッダーを見れば、セキュリティ対策がどの程度か、情報も得られる。DNSのTXTレコードを調べるだけでもサーバー構成やメールセキュリティの状況(セキュアプロトコルの利用状況など)もわかる。攻撃者へのヒントになる情報もあるが、なにより企業にとって、弱点がわかりどこに対策投資を行えばいいかもわかる。」と、モニタリングと脆弱性診断の効果と意味を語る。

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 世界ではじめて脆弱性診断士資格「セキュリスト(SecuriST)」を作った三人の男

    世界ではじめて脆弱性診断士資格「セキュリスト(SecuriST)」を作った三人の男PR

  2. カプコンへのランサムウェア攻撃、新たに16,406人の情報流出を確認

    カプコンへのランサムウェア攻撃、新たに16,406人の情報流出を確認

  3. 神奈川県と富士通リースがHDD盗難のクリスマス和解 ~ 賠償 4,097 万円 再発防止策差し引き和解金 2,369 万円で合意

    神奈川県と富士通リースがHDD盗難のクリスマス和解 ~ 賠償 4,097 万円 再発防止策差し引き和解金 2,369 万円で合意

  4. kintoneに連携「kMailer」で不具合、送信ログとして別顧客の情報が流出

    kintoneに連携「kMailer」で不具合、送信ログとして別顧客の情報が流出

  5. 一体どうバランスを取るか?  高度なサイバー攻撃対策 & 日々のセキュリティ運用

    一体どうバランスを取るか? 高度なサイバー攻撃対策 & 日々のセキュリティ運用PR

  6. ソフトバンク元社員 不正競争防止法違反容疑で逮捕、楽天モバイルに技術情報持ち出し疑い

    ソフトバンク元社員 不正競争防止法違反容疑で逮捕、楽天モバイルに技術情報持ち出し疑い

  7. #NoMoreFake 第3回「ファクトチェック」

    #NoMoreFake 第3回「ファクトチェック」

  8. マイクロソフトが1月のセキュリティ情報を公開、一部脆弱性については悪用の事実を確認済み

    マイクロソフトが1月のセキュリティ情報を公開、一部脆弱性については悪用の事実を確認済み

  9. Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法(Scan Tech Report)

    Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法(Scan Tech Report)

  10. IDC予測、2024年までのセキュリティ製品サービス市場規模

    IDC予測、2024年までのセキュリティ製品サービス市場規模

ランキングをもっと見る