自治体と住民サービスを守る 不正アクセス検知とリスク監視

近年は従来の不正検出ツールでは発見が困難な、オンライン上の不正取引が増加している。これらに対し、米シアトルに本社を置くF5ネットワークスは、ユーザーの利便性を損なわずにセキュリティを確保できる「Shape Securityソリューション」を提供している。

伊藤 悠紀夫（F5ネットワークスジャパン合同会社 SE本部 ソリューションズアーキテクト）

米シアトルに本社を置くF5ネットワークスは、世界の大手企業やサービスプロバイダ、政府などが、すべてのアプリケーションを安心・安全・自由に活用できるよう、クラウドやセキュリティ・アプリケーション・サービスを提供。2020年10月には、人工知能（AI）を使ったリアルタイムオンライン詐欺検出ソリューション「Shape AI Fraud Engine（SAFE）」も発表した。

万人を脅かす不正アクセス
人が関与する攻撃が脅威に

情報処理推進機構（IPA）がまとめた「情報セキュリティ10大脅威 2021」によれば、個人に対する脅威では、スマホ決済の不正利用（1位）、フィッシングによる個人情報等の搾取（2位）など不正アクセスによる金銭被害が上位を占めた。一方、組織に対する脅威で近年、上位を占めるのはランサムウェアによる被害（1位）や標的型攻撃による機密情報の窃取（2位）だ。さらに、テレワークのようなニューノーマルな働き方を狙う攻撃（3位）が今年度初めてランクインした。

「このうちフィッシングでは、特にカード会社やインターネットバンキングに関する不正が昨年度から急増しています。金融機関を装うショートメッセージを送って偽サイトへ誘導し、不正アクセスや不正送金を行うケースの年間件数は過去最多になっています」。

F5ネットワークスジャパン合同会社SE本部ソリューションズアーキテクトの伊藤悠紀夫氏は、こう指摘する。例えば、不正送金を行う攻撃の1つにMITB（Man-in-the-Browser、別名リアルタイムプロキシ）がある。

攻撃者はまずメールの添付ファイルや不正なリンクを利用して、ユーザーにマルウェアを仕込む。マルウェアに感染したユーザーがオンラインバンキングのサイトにアクセスすると、イベントが発動。以降、ID・パスワードなど入力された様々な情報が、リアルタイムで攻撃者に伝わる。攻撃者はそれらを利用して、不正送金を行う。

住民サービス向けサイトの
不正アクセスにも対応

MITBの検知や防御は従来のセキュリティスタックでは困難だが、F5ネットワークスの「Shape Securityソリューション（Shape）」はこれを可能にしている。Shapeはまず、3つのステップでセキュリティを担保する。ステップ1では、アクセスしているのが本当に人間なのか、あるいはコマンドラインや自動化ツールを使ったボットなのかを判断する。ステップ2では、人である場合、良い人か悪い人かを判断する。特にログイン後のユーザーの振る舞い検知を通じ、不正アクセスではないかを確認する。

ステップ3では、正規ユーザーと確証された場合、より快適なサービスを使ってもらう。例えば、セッションの情報を延ばし、以後30日間はログインせずに、すぐサービスを利用できるようにする。また、本来は２要素認証が必要でも、ID・パスワードの入力だけでアクセスできるようにしてユーザーの利便性を高める。

図　住民向けサイトのセキュリティトレンド

住民サービス向けサイトで必須の3つの質問。ネットワークセキュリティ、アプリケーションセキュリティ、詐欺行為、ID全体のエリアで不正アクセスを避けるために必要となる

出典：F5ネットワークス

近年は自治体の住民サービス向けサイトでも、悪性ボットによるアクセスが増加している。セキュリティを確保するため、従来のID・パスワードに加え、２要素認証を取り入れたり、多要素認証の観点でデバイスをチェックするサイトも増えているが、これらも十分な対策ではない。

他方でサービスを利用するユーザーの視点で考えれば、セキュリティチェックが増えれば入力項目も増え、サービスが使いにくくなる恐れがある。特に、使いやすさが求められる公共サービスでは、この点への配慮が重要だ。このため、セキュリティと利便性のバランスをいかに両立させるかが課題となっている。

北米のオンラインバンキングでは
不正検知率が276%向上

このような課題に対し、Shapeのプラットフォームはユーザーの利便性や操作性を損なわずに、より高いセキュリティを実現する。このうち、リアルタイムオンライン詐欺検出ソリューションのSAFEは、「どのようなネットワークからアクセスがあったか」「端末でどのようなOSが動いているか」「キーボードやマウスはどのように動かされたか」といった様々なシグナルを収集。そのシグナルをShapeのAIクラウドに送ってリスクを判定する。そのリスクスコアが高ければ不正アクセスとしてブロックし、低ければ正規ユーザーとしてサービスに転送する。

「SAFEは不正アクセス者の情報だけでなく、正規ユーザーの動作に関する情報も集め、あわせてデータベースを作成します。双方を集めて相関分析を行うことで、より誤検知を少なくした形で不正アクセスかどうかを判断します。他人のアカウントを利用した不正ログイン対策のほか、ログイン後のサービスを利用した機密情報の漏洩や不正なオンライン送金の検知・ブロックにも利用できることが特長です」。

SAFEは顧客のサイトにおける不正アクセスの特徴に合わせた機械学習モデルを作成し、誤検知率を低下させる。また、クラウドのフルマネージドサービスであるため、顧客側がAI、機械学習モデルのメンテナンスを行う必要はない。さらに、過去の行動も踏まえてチェックを行う場合は、既存のクラウドシステムや、セキュリティ情報イベント管理を行う「SIEM製品」にSAFEの判断結果をログとして提供できる。このため、既存のSIEM製品などを加えた相関分析も可能で、投資保護に活用できる。

例えば、北米の大手銀行のオンラインバンキングではコロナ禍の2020年5月、詐欺被害発生件数が過去最悪を記録。多額の不正送金が発生し、既存のリスクベース認証だけでは対処しきれないという問題が顕在化した。このような中、SAFEと既存リスク判定システムの併用を通じ、0.1%の誤検知率で177％、0.5％の誤検知率で276％の不正検知率向上が達成された。

Shapeは自治体の住民サービス向けサイトでも簡単に導入でき、住民の利便性を損なわずに高いセキュリティを実現できる。これによって不正アクセスの情報を速やかに検知し、リスク監視を行なうことが可能になる。

お問い合わせ

F5ネットワークスジャパン合同会社
https://www.f5.com/ja_jp/ContactFormJPingprograms/government/contact.html

この記事に関するお問い合わせは以下のフォームより送信してください。