1988年に創業した横浜銀行グループのシンクタンク。民間企業向けの経営コンサルティング、国・地方公共団体・公営企業を顧客とした受託事業・経営支援、データベースマーケティング等ビッグデータの分析、マクロ／地域経済調査・金融市場調査・産業調査、ビジネスセミナー・講演会等会員サービスの提供など総合的な事業を実施。
取締役 兼 総務部部長 山腰氏 （左）
総務部／経営コンサルティング部 主任調査役 山本氏 （右）
取締役 兼 総務部部長 山腰氏 （左）
総務部／経営コンサルティング部 主任調査役 山本氏 （右）
導入前の課題
- 改ざんやDDoS攻撃などホームページへのサイバー攻撃対策を行いたい
- 既存のシステム構成を維持したまま対策をしたい
- 負担なく、短期間で対策を行いたい
導入後の効果
- 現有のシステム構成を維持して簡単に導入ができた
- 短期間かつ安価に、改ざん対策・DDoS対策ができた
- 管理画面でリアルタイムに攻撃が遮断されていることを確認できるようになった
横浜銀行グループのシンクタンクとして国・地方公共団体・公営企業・民間企業向けに事業を展開している浜銀総合研究所。今回は、取締役 兼 総務部部長 山腰氏、総務部／経営コンサルティング部 主任調査役 山本氏に、攻撃遮断くんを導入した経緯と効果について詳しく伺いました。
ホームページの改ざん対策・DDoS攻撃対策が課題
攻撃遮断くんの導入背景をお聞かせください。
当社は、業種柄、機密性の高い顧客情報を取り扱っており、サイバーセキュリティ対策は、事業の継続に係る重要なテーマです。
WAFの検討当時は、ホームページへの改ざん、DDoS攻撃（分散型サービス拒否攻撃：Distributed Denial of Service attack）への対策が課題でした。
不正アクセスといっても、特定のパソコンから不正アクセスを行うDoS攻撃（サービス拒否攻撃：Denial of Service attack）であれば、特定のIPアドレスから大量にアクセスされたというログがわかるため、比較的監視しやすいと言えます。一方DDoS攻撃の場合は、不正アクセスをする攻撃者とは直接関係しない無関係な複数のパソコンを踏み台にしてアクセスを行うため、一見しただけでは通常のアクセスなのか不正アクセスなのかがわからない可能性があります。
WAFの検討当時は、ホームページへの改ざん、DDoS攻撃（分散型サービス拒否攻撃：Distributed Denial of Service attack）への対策が課題でした。
不正アクセスといっても、特定のパソコンから不正アクセスを行うDoS攻撃（サービス拒否攻撃：Denial of Service attack）であれば、特定のIPアドレスから大量にアクセスされたというログがわかるため、比較的監視しやすいと言えます。一方DDoS攻撃の場合は、不正アクセスをする攻撃者とは直接関係しない無関係な複数のパソコンを踏み台にしてアクセスを行うため、一見しただけでは通常のアクセスなのか不正アクセスなのかがわからない可能性があります。
当社は、ホームページ上で会員サービスや各種レポート類を提供しているため、ホームページに通常どおりアクセスできなくなったりネットワークが遅延したりするようなトラブルは絶対に防がなければなりません。
そこでWebアプリケーションの脆弱性をついた攻撃からホームページを守るために、WAFを実装してさらに強固なセキュリティ対策を図ることになったのです。
そこでWebアプリケーションの脆弱性をついた攻撃からホームページを守るために、WAFを実装してさらに強固なセキュリティ対策を図ることになったのです。
ホスティングサーバを維持してセキュリティを導入したい
WAFのなかでもクラウド型WAFを選んだ理由を教えてください。
既存のシステムに大きな変更を加えずにWAFを導入したかったためです。ホームページ用のサーバは、社内のネットワークと分離するために、ホスティングサーバを契約していました。この仕組みを変更しようとすると新たに設備投資が必要となり時間もコストもかかります。
クラウド型のWAFであれば、新たな脆弱性や各攻撃の識別ルールを適用するシグネチャの更新やチューニングなどが自動で行われます。またWAFの障害対応やハードウェアやソフトウェアの更改などは、すべてベンダーによる運用となるため、導入後もそれほど手間がかかりません。
クラウド型WAFは現有のシステム構成を維持したまま、サーバを停止させることなくアドオンのように素早く導入できる点が魅力に感じました。
クラウド型のWAFであれば、新たな脆弱性や各攻撃の識別ルールを適用するシグネチャの更新やチューニングなどが自動で行われます。またWAFの障害対応やハードウェアやソフトウェアの更改などは、すべてベンダーによる運用となるため、導入後もそれほど手間がかかりません。
クラウド型WAFは現有のシステム構成を維持したまま、サーバを停止させることなくアドオンのように素早く導入できる点が魅力に感じました。
WAF導入時にはさまざまなサービスを比較検討
御社が求めるWAFの要件をお聞かせください。
利用実績が豊富なこととQCDバランスのよさの2点です。導入にあたってはさまざまなWAFを比較検討しました。
機器購入タイプのWAFの場合、カスタマイズの余地が大きくシステムの柔軟性が高いものの、費用が大きくかかります。またレンタルサーバに付属しているWAFの場合は、システムの柔軟性が低いことと自社である程度システムの知識が必要なことが懸念事項に挙げられました。
一方クラウド型WAFであれば、そこまで費用をかけなくても導入でき、かつサポート体制も充実していることがわかりました。導入時から運用開始後においても人的コストがあまり必要なく、導入までの所要期間も短いため、クラウド型のWAFを中心に検討を行いました。
一方クラウド型WAFであれば、そこまで費用をかけなくても導入でき、かつサポート体制も充実していることがわかりました。導入時から運用開始後においても人的コストがあまり必要なく、導入までの所要期間も短いため、クラウド型のWAFを中心に検討を行いました。
攻撃遮断くんを選んだポイントを教えてください。
＜実績とQCDのバランス＞
さまざまなWAFを総合的に検討した結果、攻撃遮断くんが最も実績豊富でQCDバランスがよいと判断しました。
＜Web改ざんのモニタリングが可能＞
「Web改ざん検知オプション」がわずかな費用で導入できる点も魅力的でした。Webサイトを日々確認して、不正に改ざんされていないことを調べ、改ざんを検知した場合は管理者のメールアドレスに通知をするのと、メンテナンス画面への自動切り換えを行ってくれます。すぐに異常がわかれば万が一の対策もいち早く行えると感じています。
＜迅速かつ丁寧なサポート＞
問い合わせ対応が早くて丁寧なサポートが受けられた点も攻撃遮断くんを選定したポイントのひとつです。電話サポートを受け付けているのも心強いです。
短期間かつ安価に対策でき、安心感も
攻撃遮断くんが本稼働している現在、効果は感じますか。
短期間かつ安価に、ホームページの改ざん対策・DDoS攻撃対策に対応できた点に満足しています。
また、サービス導入開始時に、疑似攻撃をしてみたところ、管理画面にてリアルタイムで検知され、攻撃が遮断されることを直に確認し、安心感が強まりました。
また、サービス導入開始時に、疑似攻撃をしてみたところ、管理画面にてリアルタイムで検知され、攻撃が遮断されることを直に確認し、安心感が強まりました。
最後に、今後のセキュリティ対策の展望を教えてください。
弊社では、予防的・発見的対策は、設備投資し、対応を進めています。その一方で、サイバー攻撃が巧妙化、高度化していますので、今後は、攻撃を受けた後の復旧や事業再開に向けた対応力の強化が重要になってくると思います。グループで連携をとりながら、対応を進めていきたいと考えております。
ありがとうございました。
