横浜銀行、サイバー攻撃対象資産の把握にULTRA REDを採用

　横浜銀行は、サイバー攻撃の対象となりうるIT資産の把握や脆弱性などのリスクを検出、評価するためのASM（Attack Surface Management）刷新プロジェクトにおいて、ULTRA REDのソリューションを採用した。2024年12月3日、ULTRA REDが発表した。

　近年、各事業部門が独自に新たなクラウドサービスやアプリの提供などを展開するようになり、セキュリティ統括部門が把握、管理できていないIT資産が増加している。横浜銀行では以前から脅威インテリジェンスを導入し、それに含まれるASM機能を利用していた。しかし、手動で登録する必要があるため把握していないアセットは管理できず、過検知、誤検知によるアラートが多く、脆弱性の根拠があいまいで改善活動に結びつかない課題があった。

　そこで、横浜銀行はドメインやIPアドレスをベースにアセットを自動的かつ網羅的に発見でき、発見されたアセットに対しどれだけリスクを精度よく発見できるかとの観点で、新たなASMを選定。PoCで最も検知精度が高く、脆弱性情報が検証済みのULTRA REDを採用した。ULTRA REDのパートナーであるマクニカが提案とサポートを担当し、同社が提供する「ULTRA REDドメイン調査サービス」と組み合わせることで、IT資産把握の網羅性と精度をさらに高めている。

　ULTRA RED導入後は、自動的にアセットを把握し、脆弱性のアラートは緊急度が5段階でスコアリングされている。緊急性の高いものについては、アセット管理者に対処するよう通知し改善につなげる運用を継続している。

　脆弱性のアラートはULTRA RED側で検証されているため、実際に届くアラートは多くても週1件程度の頻度で、多くのアラートは緊急度2～3と低い。運用開始から半年間で対処が必要だったものは2件だった。緊急度4～5のアラートは、ULTRA RED側で実際に攻撃コードを用いた場合に得られたレスポンスの情報も添え通知されるため、セキュリティ統括部門にとって安心材料になっている。

　勘定系や融資をはじめとする旧来的な銀行業務は、セキュリティ統括部門で把握しているが、アプリやキャッシュレス決済など新たなサービスを構築するようなプロジェクトは、IT部門が関与できていないケースも多い。ULTRA REDとドメイン調査サービスを導入したことで、スピード感をもって市場にサービス展開しなければならないビジネス部門の活動を止めずに、IT資産を確実に把握できる。その上で脆弱性などのセキュリティ情報を、確実な裏付けをもって的確に提供できる体制を確立した。

ニュースリリース