Radware ert report_2014-2015_jan2015_update_japanese
•
0 likes•1,551 views
ラドウェアが発行する『グローバルアプリケーション＆ネットワークセキュリティーレポート2014 - 2015年』から要点を抜き出し紹介した資料です。 フルバージョンは以下のサイトにて配布しています。 http://www.radware.co.jp/product/dp/index.html
Recommended
Recommended
More Related Content
Viewers also liked
Similar to Radware ert report_2014-2015_jan2015_update_japanese
Similar to Radware ert report_2014-2015_jan2015_update_japanese (20)
Radware ert report_2014-2015_jan2015_update_japanese
- 1. 2015年 2月 18日 グローバルアプリケーション &ネットワーク セキュリティレポート2014-2015 主な調査結果 日本ラドウェア株式会社
- 2. 調査方法および情報源
- 4. セキュリティー業界を対象にした調査(定量量的分析) – 全世界で330名の回答者 – うち、39%は⼤大企業 (年年間売上⾼高$500M以上) – 23の業界をカバー（以下を含む）: • 通信/インターネット/クラウドサービスプロバイダー(20.42%) • ⾦金金融関係(13.15%) • コンピューター関連製造業およびサービス業(12.11%)、 製造/⽣生産/物流流 (6.57%) – 40%はワールドワイドでビジネスを展開 セキュリティ担当責任者を対象にした調査(定性的調査) – セキュリティー部⾨門最⾼高責任者11名を選出 – サイバー攻撃を受けた経験の詳細をインタビュー ラドウェア緊急対策チーム（ERT）の対応事例例 調査方法および情報源
- 5. 緊急対策チーム（Emergency Response Team） 主要な攻撃キャンペーンを 防御した実績 緊急対策チーム(ERT)： 攻撃に素早く対処するために組織した 24x7稼働するエキスパート集団 5
- 6. 主な調査結果
- 7. 2014年年はセキュリティー業界にとって転機となった年年でした。 サイバー攻撃は、ボリューム、期間、複雑さ、標的の⾯面でティッピング ポイントに⾄至りました。 定⽯石通りにセキュリティープログラムを 実施している組織でさえ不不意を突かれています。 Key Findings #1 継続的な攻撃が増加 #2 脅威への免疫⼒力力を誰も持ち合わせていない #3 インターネットパイプが＃１障害ポイントに #4 リフレクター攻撃がDDoSに関する最⼤大の頭痛の種に #5 DDoSは最⼤大の懸念念。しかし唯⼀一の懸念念事項ではない #6 ハイブリッド型ソリューションの普及 #7 クラウド/IoT/SDNがゲームのルールを変える #8 経営幹部には眠れぬ夜が続く
- 8. 2014年年は19%の攻撃が“定常的攻撃”と判断 これまでも（2013、2012、2011年年）、1週間および1か⽉月におよぶ攻撃は多く報告され ていたが、定常攻撃を受けたことを報告した組織は6%未満であった 52%の回答者は１⽇日以内しか攻撃に耐えることができなかったと回答 #1 継続的攻撃⼿手法の増加 攻撃が⻑⾧長期化し、より⼤大規模に、また、より洗練されたものに変化しています。 持続的な攻撃が増加しています。 図12：年年ごとの攻撃継続時間 2014年年は, 19%の攻撃が “定常的”と判断された
- 9. 今まで予想もしていなかった対象業界にリスクが – 医療療関係、教育機関 ゲーム、ホスティング、ISPへの攻撃のリスク上昇が⾒見見込まれる ⾦金金融機関のみが、リスク⾼高から中へ移⾏行行 – 前年年までの攻撃により対策が強化されたため #2 脅威への免疫⼒力力を誰も持ち合わせていない 脅威は拡⼤大しており、様々な業界、組織規模、そして技術が標的と されるようになってきました
- 10. #3 インターネットパイプが⼀一番の障害ポントトに 図13：サーバー攻撃の帯域幅 図35：DoS攻撃でボトルネックになる（またはなっていた）サービスまたはネットワークは何ですか 2014年年は約1/7の攻撃が 10Gbps以上。 この様な攻撃は、攻撃 対象のインターネット パイプだけでなく、 ISPの健全性にも影響を 及ぼす 2014年年はインターネットパイプが最もリスクの⾼高い障害点に – 超⼤大規模な攻撃が⽇日々観測されている – 攻撃は全てのタイプの組織におよんでいる – リフレクター攻撃によって攻撃者が⾃自由に使える「より進んだ」 攻撃技術が利利⽤用可能に
- 11. #4 リフレクター攻撃がDDoSに関する最⼤大の頭痛の種に サイバー攻撃はネットワーク攻撃とアプリケーショ ン攻撃に2014年年度度も2分された – Webベース攻撃は、最もよく⾒見見られる攻撃ベクターと して残り、 その4分の１がHTTPS攻撃であった – （NTPやCHARGENなど）リフレクター攻撃の増加に よりUDP攻撃は2013年年の7%から2014年年は16%に増 加した リフレクター攻撃は、2014年年のDDoS攻撃に関する 「最⼤大の頭痛の種」に – ハッカーは次の⼤大きな攻撃に使うためにあらゆるプロ トコルを試しています。 – 帯域幅消費型攻撃の流流⾏行行が⼤大きな懸念念事項に 図10：ネットワーク攻撃と アプリケーション攻撃の割合 -‐‑‒ 2014 「当社のネットワークで最 もよく⾒見見られた攻撃は、NTP とDNS増幅攻撃でした。サ ービスの低下が⾒見見られたた め、結果的に新しい防御策 を講じました。」 ダニー・コームズ （Dannie Combs） CISMシニアマネージャー ネットワークセキュリティー US Cellular
- 14. クラウドへの移⾏行行は継続しており、エンタープラ イズIT消滅の⽅方向へ Internet of Things (IoT：モノのインターネット) はエンドポイントのコントロールを不不可能にし、 今までにない新しい脅威の出現をもたらす SDNはゲームのルールを書き換えている。 ダイナ ミックかつ固有のトラフィックルート全体でダイ ナミックかつユニーク情報を防御する必要に直⾯面 #7 クラウド、 IoT、SDNによってゲームのルールが変わる これらのトレンドやリスクに抵抗したり、 無視をすると時代遅れに 図36：サイバー攻撃環境におけるモノのインターネット（IoT） 図38：SDNのセキュリティー脅威
- 15. 3/4近くのエグゼクティブが、セキュリティーに関する脅威は以下に挙げる理理由などにより、 CEOもしくは取締役会レベルの懸念念事項となっていると述べている – マスコミのネガティブな報道 – ビジネスへの潜在的な影響 – 必要資⾦金金の増加 – サイバー攻撃やその他の脅威に関連して法的責任が増すこと 1/3以上のエグゼクティブは、クラウドとBYODは組織のセキュリティーリスクを⾼高めるも のと考えている 1/4以上のエグゼクティブはIoTを挙げ、 SDNを挙げたエグゼクティブは1/5以下 #8 エグゼクティブクラスは眠れぬ夜が続く 多種多様な業界のCIO、CISO、および副社⻑⾧長レベルのエグゼクティブを対象と したこの調査から、かつてIT部⾨門の範囲であった情報セキュリティーは、今や経 営幹部レベルおよび役員レベルが気にかけるものになっていることが判明した。
- 16. 将来に備える
- 17. 1. ⼈人命に関わる攻撃 – いかなる種類の攻撃も、その攻撃が⼈人命の損失につながる可能性があることを⾒見見てきま した。サイバー攻撃は「もしも」や「いつか」ではなく、疑問の余地無く、殺⼈人的なものになりえます。 2. 切切迫感の低下 – 多くのセキュリティーに関する意志決定者は、継続する攻撃に直⾯面することにより、正しい ことをしても結局は無意味と感じてしまい無関⼼心や疲労感が蓄積してしまっている。私たちは、より効果的 な保護⽅方法を厳格に探求することを放棄する⼈人が増えることを恐れています。 3. より重要度度の⾼高いインフラの停⽌止 – 広範囲なサイバー攻撃によって国の重要なインフラサービスが重⼤大な損 害を被ることが考えられます。世界で最も進んだ国でさえ免れることができません。 4. サイバー⼈人質事件の台頭 – 2014年年はデジタル資産やサービスが⼈人質に取られる事例例がみられました。攻撃 者はある特定の要求（それが⾦金金銭的なものかは関係ない）を満たすまで奪い取ろうとします。 5. 国家主義的な規則も含めサイバー攻撃に関する法律律が⼤大量量に採択 – ⽴立立法者はサイバー攻撃に関する法律律を作 成します。例例えば、ネットワークのトラフィックの流流れや、重要なインフラを提供する企業のセキュリティ レベル、また、データ処理理を⾏行行う場所の条件を指定することが⽬目的となります。 ⼼心配すべき５つのこと 2014年年を振り返り2015年年を⾒見見越すと、以下の５つの重⼤大な懸念念 事項に注⽬目します
- 18. サイバー攻撃の防御 = 攻撃の検知 + 攻撃のミティゲーション（緩和） 防御の成功は、検知とミティゲーションの品質と時間に依存します タイミングがすべて ミゲーションまでの時間を成功への重要な要素と考える必要があります。展開するソ リューションでミティゲーションまでの時間を最短にすべきです ⽳穴を埋める DDoSミティゲーションソリューションは、広範囲にわたって攻撃に対応し、インフラス トラクチャーの様々なレイヤーを攻撃する複数ベクトルの攻撃も検知できる必要がります まとめ: 何ができるのか？ サイバー攻撃への防御を計画する際、”C.H.E.W.” (Cybercrime（サ バー犯罪）, Hacktivism（ハクティビズム）, Espionage（ネットス パイ）, Cyber War（サイバー戦争）)をベンダーへの要求項⽬目とし、 以下の信条を常に意識識しましょう
- 20. Appendix
- 23. Server Central社 犯罪グループがターゲットにした多くの被害者の1 社にプロジェクト管理理⽤用のWebツールを提供する ServerCentral社の顧客が含まれた。このグループ は、⽀支払要求に応じない場合、ネットワークを攻撃 すると脅迫した。 その顧客は、犯罪者との交渉を拒否した後、20GB のDDoS攻撃を受けた。顧客のネットワークセキュ リティーの中でServerCentral社が重要な役割を 担っていることが、このインシデントによって明⽩白 になった すべてを負担するのか：IT基盤ソ リューションプロバイダーによるネット ワーク攻撃を受けた顧客の⽀支援 ネットワークエンジニアリングディレクターのロ ン・ウィンワード（Ron Winward）⽒氏は、 「ServerCentral社は、ミッションクリティカルな アプリケーションやビジネス機能をサポートするイ ンフラストラクチャーを提供できる当社の能⼒力力と同 様に、サービスの実⾏行行や提供ができるお客様の能⼒力力 にも誇りを持っています。当社は、お客様の顧客お よびエンドユーザーに100%の稼働時間を提供する ことにも同等の重点を置いています。」 ケーススタディー #2
Editor's Notes
- The 4th installment of our annual Global Application & Network Security report. The report provides a comprehensive review of 2014 cyber-attacks from both a business and a technical perspective. Gives best practice advice for organizations to consider when planning for 2015
- Data and information for the reports is collected from 3 different sources A major contributor to the report is a quantitative survey that Radware conducts which had over 330 respondents globally from organizations of different size and across various industries. You’ll see that its very different from other threat reports that other vendors are publishing. Those tend to be more Network/ISP focused and more US centric. With our report, we provide a very global analysis that appeals cross industry to both enterprise and carriers, ISPs and hosting providers. Also this year we conducted for the first time a set of interviews with top security officers to gain their perspectives and experiences with cyber attacks And finally we have data and experience gained by our Emergency Response Team. The ERT is a dedicated group of security specialists that actively monitor and mitigate attacks in real time. They are the first responders to cyber-attacks and help customers overcome challenges in dealing with attacks. Imperva, Prolexic – more US Arbor – only carrier provider responses, no insights from Enterprise
- We see cyber attacks getting stronger, longer, more complex and targets are expanding so what we thought was safe before, isn’t anymore. We boiled down a pretty substantial report to 8 key findings. I’ll walk through each one of these in the next slides.
- Attacks are continuing to evolve and getting longer, larger and more complex. And while we still have respondents reporting week-long and month-long attacks as we did in previous years, the new thing this year is that a healthy amount – almost 20% - are reporting that they are continuously under attacks in 2014. There is no start and stop. This trend challenges the traditional concept of incident response, which assumes a normal state without attacks. It also exposes a security gap. When respondents were asked how long they could effectively fight an around-the-clock attack campaign, 52% said they could fight for only a day or less!
- The Cyber-Attack Ring of Fire maps vertical markets based on the likelihood that organizations in these sectors will experience attacks. Organizations closer to the red center more likely to experience DoS/DDoS and other cyber-attacks and to experience them at a higher frequency. Red arrows show which verticals have changed position since last year’s report. This means that the overall number of cyber-attacks, as well as the frequency and intensity of these attacks has increased in 2014. Two new industries were added to the Ring of Fire this year – Healthcare and Education – as we’ve seen organizations in these industries become targets of DDoS attacks this year. Also, likelihood of attacks is also heating up for Gaming, Hosting & ISP companies. Other verticals face consistent levels of threat, expect one – Financial Services – which actually moved from “High” to “Medium” risk. Change from OpAbabil where every financial services company was attacked to a slightly calmer 2014 so reduction in risk profile.
- Now looking at the point of failures in DDoS attacks. Every year, the results have been largely consistent: Points of failure are divided among three main entities – the server that is under direct attack, the Internet pipe itself when it gets saturated, and the firewall which often fails even sooner than the server. In our 2014 survey, we found that the Internet pipe has increased as a point of failure, and for the first time, is the #1 point of failure. This is most likely because of the increase in User Datagram Protocol (UDP) reflected amplification attacks.
- Continuing a four-year trend, cyber-attacks were again split evenly between the network and application levels. That’s because attackers’ “interest” lies in multi-sector blended attacks. Web attacks remain the single most common attack vector; for every four web-based attacks, three target HTTP and one is an HTTPS attack. Reflective attacks started heating up in 2013 and remained a persistent threat throughout 2014. While most of 2013’s reflected attacks targeted DNS, we saw more UDP based (NTP, CHARGEN) reflective attacks in 2014. Which is why we see UDP attacks in general increased from 7% in 2013 to 16% in 2014. What makes reflective attacks effective is the ease with which they can be generated— and the impact they can have on a network. Reflected attacks make it comparatively easy not only to generate an extra-large attack but also to sustain it for an extended period.
- Ddos is the #1 concern – at nearly 50%. Very closely behind were APT and unauthorized access. Yet, with all of the threat types fairly well represented, the threat landscape appears to vary depending on each organization’s industry and business concerns.
- Another trend we are following is the increased momentum with hybrid solutions. Essentially there is an acknowledgment from the market that hybrid solutions have proven themselves. In the survey we see 36% of respondents are already using a hybrid solution and by 2015, nearly half will employ hybrid protection. A big indication from our prospect base that a lot are asking and seeing the benefit in hybrid.
- Security controls and protection is challenged by three macro IT trends. The shift toward cloud computing, the growth in the “Internet of Things,” and the rise of the software-defined network – all these are disrupting longstanding assumptions on how business and customers interact and really challenging the automated systems and security tools designed to protect. Cloud migration continues. This essentially means that the Enterprise perimeter and traditional IT is dissolving and a new approach is required. IoT - The ability to connect to anywhere from almost anything will drive dramatic efficiencies in the way we work and live. Yet, this “Internet of Things” will also introduce new and tremendous risk and threats. Close to 60% of respondents see IoT as increasing the attack surface and close to 50% see the need to increase detection requirements with this trend. SDN – with the virtualization of the network, security professionals will face the need to protect information across unique and dynamic traffic routes. Nearly 50% of respondents believe that the centralized controller is a potential single point of failure during attacks and that the technology is immature and full of software vulnerabilities.
- This year Radware launched our inaugural qualitative study to explore the most pressing problems and persistent challenges facing senior information security and technology executives around the globe. In our qualitative study, nearly three-quarters of executives told us that security threats are now a CEO or board-level concern. C-levels are motivated by negative press coverage and the potential impact on their business. In thinking about the top trends, cloud and BYOD were cited by more than one-third of executives who believe they increase security risks for their organizations. IoT was selected by more than a quarter of executives, while less than one-fifth cited SDN.
- Looking back on 2014 and ahead into 2015, we identified 5 areas of what we call “the fearful five” Attacks that kill – Based on what we’ve seen this year, its not hard to think that future cases will lead to loss of life. In the Boston Children’s Hospital case that we have in the report, some of the attacks they experienced can actually put people lives' at risk. They were in life threatening situations for some of their patients. Reduced sense of urgency - Relaxed urgency – numb to the claim, the problem As we’ve seen the targets expanding, critical infrastructure will also continue to build in terms of outages and with more frequency. Cyber hostage taking will continue – basically taking control of the availability of your data, your systems, your network until certain demands are met. Laws – as government faces an increasingly dissatisfied, frustrated constituency—as well as growing threats around state-sponsored espionage—legislators will begin the process of writing laws on cyber-attacks. So we think there will be major advancement in this area as well.