攻撃者視点の非管理 IT 資産調査事例

セガサミーホールディングスは、2004年にゲームメーカーのセガと、遊技機メーカーのサミーが経営統合し誕生した、総合エンターテインメント企業グループだ。現在は、「感動体験を創造し続ける ～ 社会をもっと元気に、カラフルに。 ～ 」というミッションのもと、ゲームコンテンツからトイ ・ 映像に至るまで多種多様な “ 遊び ” を提供する「エンターテインメントコンテンツ事業」、ぱちんこ ・ パチスロの開発から販売までを手がける「遊技機事業」、ホテルの開発 ・ 運営等を行う「リゾート事業」を軸に、さまざまな事業を展開している。

同グループは国内外およそ 60社のグループ会社から構成されている。各グループ会社は、エンターテインメント業種という特性から多数のブランドを保有しているが、そのすべての IT 資産を適切に管理できていたわけではなかったという。ITソリューション本部 プラットフォーム部 グローバルセキュリティ推進室の田辺由嗣氏は「海外や国内グループ会社の中には独自の IT 部門を持っているところもありますが、それ以外は当社のシステム部門で管理を行っていました。しかし、その数はあまりにも多く、全ての IT 資産を正確に把握することは困難でした」と語る。

その中には、グループ会社や部門が独自に設置したため、システム部門が存在を知らない、いわゆる野良サーバーが数多く存在していた。また、プロジェクトが終了した後も、管理の方不在のまま放置されたサーバーやドメインも少なくなかったという。 「管理されていない IT 資産は、サイバー攻撃により乗っ取られ、セガサミーの名前やドメインが悪用されるなど、セキュリティインシデントにつながるおそれがあります」（田辺氏）

同社では過去 IT 資産を調査するサービスを別の調査会社に依頼して取り組んだが、調査結果にノイズ（実際には自社所有ではない IT 資産情報）が多く、自社に関連する IT 資産か、どのグループ会社の IT 資産かを選別する作業にかかる手間やコストが大きな問題となった。そのためグループを挙げての実施にはなかなか踏み切れないでいた。

これを受けて JBS は 2021年夏、同社に上記要件を満たす「Attack Surface Management（以下、ASM）サービス」を提案。これは、マクニカが独自に提供する「Mpression Cyber Security Service」のソリューションのひとつで、マクニカの擁するスペシャリストが、攻撃者と同じ視点やテクニックを用いて外部公開資産の調査を行う点に特徴がある。
「ASM サービスは、マクニカのエキスパートが調査結果を精査することで人間ドックのような高精度な調査ができる点が魅力で、まさに私たちが求めていたサービスでした。採用の決め手は、デモを見せてもらったとき、私たちが提供した情報が大雑把なものだったにも関わらず、ノイズが除去され、当社関連の IT 資産に絞り込んだかなり精度の高い結果を示してくれたことです。これなら作業負荷を大幅に軽減できると考えました。さらに、調査において、既存環境に対して脆弱性診断のような疑似攻撃パケットが送信されないため、サーバーに負荷がかかることがないことも評価しました」（田辺氏）

セガサミーホールディングスは 2022年10月より ASM サービスによる IT 資産の調査を開始。12月にマクニカより最終報告を受けた。
「数年前、同様のサービスを利用した際は、あらかじめグループ各社にヒアリングして回答をもらうなど、事前の準備が大変でした。また調査結果を確認すると、実際は当社所有ではない IT 資産だったということも少なくありませんでした。
今回は準備も不要な上に、膨大な IT 資産があったにも関わらずノイズが除去された高精度な調査ができました。調査結果もグローバルのどの会社のものか整理されていたため、資産の振り分けなどで特に苦労することもなく、グループ各社にも負担をかけずに済みました」（田辺氏）

調査では、脆弱性のある古いバージョンのソフトを使用していたサーバー、古いミドルウェアや証明書を使用しているサーバー、リスクの高いポートや外部公開を控えるべきポートの使用、機器の設定不備なども見つかっているが、中にはクリティカルなリスクもあったという。
「これらについては、急ぎ各社に連絡し対処してもらいました。幸い、これまで悪用されたケースはありませんでしたが、悪意ある攻撃者に利用されていたら、セキュリティインシデントにつながりかねませんでしたね。そういう意味では、これらのリスクある IT 資産を可視化して対処できたことで、グループのガバナンス強化に大きく貢献したと考えています」（佐藤氏）

なお同社では現在、新規で立ち上げるサイトやコンテンツについて脆弱性診断を義務化しているが、既存のものについては担当の方不在などの理由から実施できていなかったという。
「その部分を今回 ASM サービスが埋めてくれたのは助かりました」（佐藤氏）