CIS Control 9：電子メールとWebブラウザの保護

Center for Internet Security（CIS）は、組織がサイバーセキュリティを改善するのに役立つ Critical Security Controls を公開しています。CIS Control 9 では、電子メールと Web ブラウザーの保護を扱います。

攻撃者は、さまざまな種類の攻撃で電子メールとWebブラウザーを狙います。中でも特に人気があるのは ソーシャルエンジニアリング攻撃 で、たとえばフィッシングなどです。ソーシャルエンジニアリングは、人を操作して、機密データを公開させたり、制限されたシステムへのアクセスを提供させたり、マルウェアを拡散させたりしようとする試みです。手口には、信頼できる組織からのものだと装ったメールにランサムウェアを含むファイルを添付する方法や、正当なWebサイトのためのリンクのように見せつつ、実際にはハッカーがユーザーのアカウント認証情報などの貴重な情報を収集できる悪意のあるサイトへ誘導するリンクを含める方法があります。電子メールクライアントの特定の機能によっては、特に脆弱になってしまうことがあり、攻撃が成功すると、ハッカーがあなたのネットワークに侵入し、システム、アプリケーション、データを侵害する可能性があります。

CIS がバージョン 8 でコントロールを再番号付けしたことに注意してください。以前のバージョンでは、メールと Web ブラウザの保護は Control 7 に含まれていましたが、現在は Control 9 にあります。

この記事では、CIS Control 9 の7つのセーフガード（保護策）を説明します。

9.1 完全にサポートされているブラウザとメールクライアントのみを使用することを徹底する

セキュリティ インシデントのリスクを低減するため、組織全体で完全にサポートされているブラウザーとメール クライアントのみを使用してください。さらに、ブラウザーおよびメール クライアントのソフトウェアは、古いバージョンにはセキュリティ上のギャップがあり、侵害のリスクを高める可能性があるため、最新バージョンへ速やかに更新する必要があります。また、ブラウザーとメール クライアントには、最大限の保護を目的として設計された安全な構成になっていることを確認してください。

これらの取り組みは、セキュリティおよびテクノロジー ポリシーに含めるべきです。

9.2 DNS フィルタリング サービスの利用

ドメイン ネーム システム（DNS）により、Web ユーザーは複雑な数値 IP アドレスの代わりに、分かりやすいドメイン名（www.name.com）を指定できるようになります。DNS フィルタリング サービスは、ユーザーがウイルスやマルウェアによってネットワークを感染させる可能性のある悪意のあるドメインまたは Web サイトを見つけてアクセスすることを防ぐのに役立ちます。提供される保護の例として、フィッシング メール内の悪意あるリンク、またはユーザーがブラウザーで読むブログ記事内の悪意あるリンクがあります。フィルタリング サービスは、ビジネスを守るために、フィルタリング リストに載っているあらゆる Web サイトを自動的にブロックします。

DNS フィルタリングは、仕事に不適切な Web サイトもブロックできるため、生産性を向上させ、ユーザーがダウンロードしてしまう可能性のある役に立たない、または危険なファイルを保存せずに済み、法的責任のリスクも低減できます。

DNS フィルタリングはルーターのレベルで実行できます。あるいは ISP 経由、またはクラウド サービス プロバイダーのような第三者の Web フィルタリング サービスを通じて実施することも可能です。DNS フィルタリングは、個々の IP アドレス、または IP アドレス全体のブロックに適用できます。

9.3 ネットワークベースの URL フィルターを維持し、適用する

ネットワークベースの URL フィルターで DNS フィルタリングを補完し、企業の資産が悪意のある、またはその他の望ましくない Web サイトに接続するのをさらに防ぎます。最大限の保護のため、すべての企業資産に対してフィルターを実装してください。

ネットワークベースの URL フィルタリングは、サーバーとデバイスの間で行われます。組織は、許可またはブロックするトラフィックに応じて、URL プロファイルやカテゴリを作成することで、この制御を実装できます。最も一般的に使用されるフィルターは、Web サイトのカテゴリ、評判（レピュテーション）、またはブロックリストに基づいています。

9.4 不必要または無許可のブラウザーおよびメールクライアント拡張機能を制限する

サイバー犯罪者が企業システムへのアクセスを得るために、ブラウザーやメールクライアント向けの不必要または未承認の拡張機能、プラグイン、アドオンを悪用することが多いため、ユーザーによるそれらのインストールを防止してください。加えて、ネットワーク内でこれらの項目を定期的に確認し、速やかにアンインストールまたは無効化してください。

9.5 DMARC を実装する

ドメインベースのメッセージ認証、レポート、および準拠（DMARC）は、メール送信者と受信者が、そのメールメッセージが実際に「表示上の送信者」から発信されたものかどうかを判断するのに役立ち、不正なメールの取り扱い方法に関する指示も提供できます。

DMARC は、DomainKeys Identified Mail（DKIM）および Sender Policy Framework（SPF）の標準を使用して、メールが適切に認証されるようにすることで、組織を保護します。とくに、メールヘッダー内の From アドレスのなりすましを防ぐのに役立ち、ユーザーが悪意のあるメールを受信することを防止します。

DMARC は、金融機関などのようにフィッシング攻撃で特に深刻な被害を受けている分野で、特に有効です。受信者が送信者をより信頼できるため、消費者の信頼を高めるのに役立ちます。また、マーケティングやコミュニケーションにメールを活用している組織では、配信率の向上も期待できます。

9.6 不要なファイル形式をブロックする

組織が使用していないファイル形式をブロックすることで、ビジネスをさらに保護できます。ブロックすべきファイル形式は、チームが通常どのようなファイルを使っているかによって異なります。実行ファイルは、有害なコードを含む可能性があるため最もリスクが高くなります。ファイル形式には exe、xml、js、docm、xps などがあります。

承認済みのファイル形式のみを列挙した allowlist（許可リスト）を使用すると、リストに載っていないあらゆるファイル形式をブロックできます。最良の保護のためには、不要なファイル形式の添付が付いたメールが受信トレイに届く前に阻止するブロック手法を使ってください。これにより、ユーザーがファイルを開いて悪意のあるコードが実行される機会自体を与えません。

9.7 メールサーバーのアンチマルウェア保護を導入し、維持する

メールサーバーにアンチマルウェア保護を導入し、サーバー側でメールに対する追加のセキュリティ層を設けます。もし悪意のある添付ファイルが何らかの形でファイル形式のブロックやドメインのフィルタリングをすり抜けてしまっても、サーバーで停止できます。

企業が導入できる電子メールサーバーのマルウェア対策（anti-malware）には、複数の保護方法があります。たとえば、しばしばアンチウイルス／アンチマルウェアソフトウェアによって提供される添付ファイルのスキャンでは、すべてのメールのファイル添付を検査し、そのファイルに悪意のあるコンテンツが含まれている場合にユーザーへ通知します。サンドボックス（Sandboxing）では、URL またはファイルが安全かどうかを確認するためのテスト環境を作成します。この戦略は、新たな脅威への防御に特に有効です。その他の保護策としては、Webホスティング事業者やインターネットサービスプロバイダー（ISP）が提供するソリューションがあります。

もちろん、組織は電子メールサーバーの保護ソリューションを最新の状態に保ち、パッチを適用し更新し続けるべきです。

要約

電子メールクライアントとWebブラウザは、多くのビジネス運用に不可欠ですが、サイバー脅威に対してかなり脆弱です。CIS Control 9 では、増え続ける Webサイトやメールを狙う悪意のある攻撃 から自分たちを守るために、どの組織でも実装できる保護策が示されています。主な手順は、悪意のあるURLやファイルの種類などをブロックするフィルターで電子メールサーバーとWebブラウザを確実に保護し、これらの制御を効果的に管理することです。これらの対策を実装することで、より良いサイバーセキュリティを確保するのに役立ちます。

さらに、ユーザーにはセキュリティのベストプラクティスに関するトレーニングを行うべきです。フィッシング攻撃はより頻繁かつ巧妙になっているため、組織全体での教育は防御を大幅に強化するのに役立ちます。