サイバーインテリジェンス活用によるセキュリティ課題の解決－ウェブアプリケーション開発におけるサイバーインテリジェンスの活用

ウェブアプリケーション開発におけるサイバーインテリジェンスの活用

図表1で示したようなウェブアプリケーション開発プロセスにおいて、サイバーインテリジェンスの活用方法を3つの観点から述べます。

リスク分析範囲の拡大

サービスおよび業務の企画段階でセキュリティ対応方針を検討する際には、まずは開発するウェブアプリケーションのリスク分析を行い、その結果に基づいてセキュリティ対応方針を策定する必要があります。

リスク分析を行う場合、一般的にはウェブアプリケーションに対するサイバー脅威（OWASP Top10など）と、ウェブアプリケーションで取り扱う情報などを踏まえた上で、脅威の発生可能性と被害時の影響度合いを算出し、想定されるリスクの種別と度合いを特定します。

しかしながら、このリスク分析による評価結果は、開発したウェブアプリケーションがサイバー攻撃の被害にあわない（被害を最小化する）ためのセキュリティ対応方針を検討する際の材料でしかありません。

開発したウェブアプリケーションがサイバー攻撃の被害を受けた後に、その被害が他のシステムなどに拡大するケースもあるため、ウェブアプリケーションリリース後のビジネスへの潜在的なリスクを特定するためには、自社のIT環境全体を考慮したリスク分析が必要です。他方、ウェブアプリケーションが被害を受けた後のリスク（2次／3次被害リスク）を網羅的に分析することは、対象範囲が広範となることから現実的ではありません。

この点において、サイバーインテリジェンスが活用できると考えます。

具体的には、開発するウェブアプリケーションと同様の特性（取り扱う情報や利用用途など）を持つウェブアプリケーションで発生したサイバーインシデントの事例を基に、2次／3次被害が発生するケースや、2次／3次被害により生じうるビジネスへの影響を特定します。

これにより、ウェブアプリケーションの開発にあたって生じる自社のビジネスへの潜在的なリスクを可視化することができ、ウェブアプリケーションの開発を承認する際の判断材料として活用することも期待できます。

運用からのフィードバック

前述のリスク分析結果に基づくセキュリティ対応方針に従い、次工程ではウェブアプリケーションに実装するセキュリティ要件を定義することになります。

セキュリティ運用設計での手戻りを減らすため、セキュリティ要件を定義する段階で運用チームにも参画してもらうことが望ましいです。

運用チームが参画することで、既存のセキュリティ運用体制やプロセスをもとに、平時での対応（脆弱性情報収集やパッチ適用など）や、有事での対応（インシデント対応など）に関わるフィードバックを得ることができます。これに加え、サイバー脅威の攻撃手法とサイバー脅威に対する自社の検知体制・プロセスをサイバーインテリジェンスとして活用した際、以下の2つの観点からフィードバックを得ることもでき、セキュリティ運用設計段階での手戻りを削減させることが期待できます。

• リスク分析時に識別したサイバー脅威に対し、MITRE ATT&CKのフレームワークで定義された攻撃ステップごとに検知できるか（検知できない攻撃手法はないか）。
  
• 攻撃検知後に被害状況を特定するためには、どのような証跡（ログ）をウェブアプリケーション側で取得する必要があるのか。

コンポーネント選定への活用

アプリケーション開発においては、OSSなどさまざまなコンポーネントが利用されており、コンポーネントの選定基準は各企業が定めています。

選定基準にはセキュリティ対応に関わる要件も含まれており、特にOSS選定に際しては最も重要視される要件です。そこで選定候補となるOSSの開発コミュニティ分析といったサイバーインテリジェンスを活用することで、脆弱性発覚後の対応品質などを製品ごとに比較評価することができ、より品質の高いOSSの選定が可能となります。