[論文レビュー] Countering Social Engineering through Social Media: An Enterprise Security Perspective

Heidi Wilcox, Maumita Bhattacharya|arXiv (Cornell University)|Nov 21, 2015

Information and Cyber Security参考文献 14被引用数 3

ひとこと要約

この論文は、企業環境におけるソーシャルメディアを介したソーシャル・エンジニアリングの脅威を検討し、より良いセキュリティポリシーと意識向上を通じてこれらのリスクを軽減するためのフレームワークを提案する。公共および民間セクターの既存ポリシーを分析し、ギャップを特定した上で、ソーシャルメディアプラットフォームを活用したソーシャル・エンジニアリング攻撃に対する組織のレジリエンスを強化するための実行可能な対策を提示する。

ABSTRACT

The increasing threat of social engineers targeting social media channels to advance their attack effectiveness on company data has seen many organizations introducing initiatives to better understand these vulnerabilities. This paper examines concerns of social engineering through social media within the enterprise and explores countermeasures undertaken to stem ensuing risk. Also included is an analysis of existing social media security policies and guidelines within the public and private sectors.

研究の動機と目的

• ソーシャルメディアプラットフォームがどのようにして企業のデータを標的とするソーシャル・エンジニアに利用されているかを調査すること。
• 公共および民間セクターの組織における既存のソーシャルメディアセキュリティポリシーおよびガイドラインを分析すること。
• ソーシャル・エンジニアリング脅威に関連する現在のポリシーにおけるギャップと弱みを同定すること。
• 改善されたセキュリティポリシーと従業員の意識向上を通じて、ソーシャル・エンジニアリングに対抗する包括的なフレームワークを提言すること。
• 企業がソーシャルメディアにおけるソーシャル・エンジニアリング攻撃に対して、能動的でポリシーに基づいた防御を構築するのを支援すること。

提案手法

• 公共および民間セクターの組織におけるソーシャルメディアセキュリティポリシーの比較分析を実施する。
• ソーシャルメディアを通じたソーシャル・エンジニアリングで使用される一般的な脆弱性と攻撃ベクトルを同定する。
• ポリシー開発、従業員トレーニング、技術的制御を統合した構造化されたフレームワークを提言する。
• 既存の文献および事実上の事例研究を活用して、ポリシー提言を裏付ける。
• 組織文化および継続的な意識向上プログラムの役割がリスク低減に与える影響を強調する。
• コンピュータサイエンスおよび社会的セキュリティの知見を統合し、人間中心の攻撃ベクトルに対処する。

実験結果

リサーチクエスチョン

• RQ1 ソーシャルメディアプラットフォームは、どのようにしてソーシャル・エンジニアが企業のデータを侵害するために利用されているか？
• RQ2 公共および民間セクターにおける現在のソーシャルメディアセキュリティポリシーにおける主な弱みは何か？
• RQ3 ソーシャル・エンジニアリング攻撃のリスクを効果的に低減するためのポリシーおよび手順の改善策は何か？
• RQ4 組織は、ソーシャルメディアでのオープンさと強固なセキュリティ制御の両立をどのように果たすべきか？
• RQ5 従業員の意識は、ソーシャルメディア上のソーシャル・エンジニアリング脅威を軽減するために果たす役割は何か？

主な発見

• 多くの組織が、ソーシャル・エンジニアリングリスクに特化した包括的なソーシャルメディアセキュリティポリシーを欠いている。
• 既存のポリシーは、LinkedIn や Twitter などのプラットフォームで使われる進化するソーシャル・エンジニアリング戦術を十分にカバーしていない。
• 企業環境において、ポリシーの策定と実装の間に顕著なギャップが存在する。
• ポリシーの強化と継続的な従業員トレーニングを組み合わせた組織は、ソーシャル・エンジニアリングへの感受性が低くなる傾向にある。
• ソーシャルメディア利用および脅威対応を統制するための標準化された、企業全体に適用可能なフレームワークの導入が求められる。
• 提言されたフレームワークは、ポリシー、トレーニング、技術的保護措置を統合することで、組織のレジリエンスを向上させる。