攻撃対象領域――組織内のIT資産に対するすべての攻撃ベクトルの総和――は、エンドポイントがイノベーションのスピードに合わせて進化するにつれて、拡大し続けています。 CIOは、ビジネスの成長やデジタルトランスフォーメーションを支援するために、新しいクラウドサービスを導入したり、エンドポイントを追加したりするたびに、攻撃対象領域を拡大させてしまいます。 彼らは現在、事業を拡大しつつも、その攻撃対象領域を防御するという課題に直面しています。
以前のブログ記事では、CIOがイノベーションとITセキュリティ を同時に推進する上で直面する 課題について書きました。 ここでは、CIOが、クラウドファーストの現代的なIT環境における攻撃対象領域を保護するために採用できる防御戦略について、さらに詳しく説明したいと思います。
Kill chain 101
具体的には、「キルチェーン」と呼ばれる重要な攻撃モデルについて取り上げたいと思います。 米軍は当初、運用データセットを用いて能力のギャップを分析するために、数十年前このモデルを開発しました。 キルチェーンとは、特定の標的に対して兵器を効果的に運用するために必要な、一連の任務や機能の総称です。 キルチェーンは、個別の能力を組み合わせることで相乗効果を生み出し、成果の達成に重点を置いています。 米海軍が航空戦能力を評価するために用いるキルチェーンは、以下の任務または機能で構成されています。すなわち、探知、位置特定、識別、追跡、攻撃、および評価です。 目標とする結果は、指定された空域内の脅威を排除することです。
2009年、ロッキード・マーティン社の技術論文において、数名のサイバーセキュリティ専門家が、当時新たな攻撃形態であった「高度持続的脅威（APT）」に対する防御という課題に、キルチェーン・モデルを適用しました。 その論文が執筆されてから多くの変化がありましたが、「キルチェーン」という概念は今でも有用です。 その理由は次のとおりです。
APTが登場する前は、IT業界の多くの人々が、サイバー防衛は単純な対策のチェックリストに要約できると考えていました。 ウイルスをブロックしたい場合は、ウイルス対策ソフトを導入していました。 ただし、監視されていないポートを経由してネットワークに侵入しようとする侵入者を阻止したい場合は、ファイアウォールと侵入検知システム（IDS）を導入しました。 といった具合です。 これらのソリューションはそれぞれ、情報ネットワークの特定の領域を保護するために、サイロ化された状態で独立して稼働していました。
こうした簡単なセキュリティ対策は、決して間違っているわけではありません。 それだけでは、やはり不完全なのです。 APTの台頭により、このことが明らかになりました。
APT攻撃では、侵入者は時間をかけて攻撃を行います。 彼らはネットワークをくまなく調べ、隙を見つけ出し、マルウェアを仕掛けます。 次に、彼らはコマンド＆コントロール接続を確立し、地球の反対側にいる攻撃者が、インストールされたマルウェアを直接制御できるようにします。 そうすれば、彼らは自分のペースでネットワークを探索することになるでしょう。 目的によっては、盗んだり妨害したりする価値のある資産を見つけるのに、数日、数週間、あるいは数ヶ月かかる場合もあります。
このような攻撃を、単純なセキュリティ対策のチェックリストだけで阻止することは、せいぜい困難であり、脅威によって限られたITリソースが急速に消費されてしまうため、拡張性に乏しいのです。 この攻撃のさまざまな要素が、いかに微妙な形で連携して機能しているかを理解するには、全体像を把握する必要があります。 そうして初めて、その攻撃を検知し、それを阻止するための措置を講じることができます。
キルチェーンと現代のサイバー攻撃対象領域
今日、組織が直面している脅威を考慮すると、セキュリティに対するより広範な視点を持つことの重要性は、さらに高まっています。
これに対し、 2009年には、CIOやCISOは、比較的制約が多く、均質なIT環境のセキュリティ確保にあたっていました。 ほぼすべての従業員が現場で勤務していました。 彼らのデスクトップパソコンやノートパソコンのほぼすべては、従業員が個人用に購入したものではなく、IT部門によって配備されたものでした。
クラウドの導入はまだ始まったばかりでした。 データセンターでは、現地の管理者の厳重な監視の下、ほとんどのアプリケーションがホストされていました。 ネットワークファイアウォールは、保護が必要なIT資産の大部分を実際にカバーすることができました。 CIOの「王国」は、まさに城のようでした。貴重なものはすべて一か所に集められ、その周囲は堅固な壁で囲まれ、見張りがトラブルに備えて警戒していました。
今日に至ると、攻撃対象領域ははるかに広くなり、多様化が進み、より脆弱なものとなっています。 一般的なITインフラストラクチャは、複数のクラウドプロバイダーにまたがるほか、ノートパソコン、タブレット、スマートフォンなどが混在する無数の在宅勤務環境も網羅しています。
その他のエンドポイントには、IoTデバイスやオペレーショナルテクノロジー（OT）デバイスが含まれます。 以前は、各組織の製造現場にはコントローラーなどのOT機器が設置されていましたが、現在では、事実上あらゆるもののデジタル化の恩恵を受けるために、それらがインターネットに接続されています。
もう一つの違いとして、昨年発覚した Log4j の深刻な脆弱性（ ）は、購入済みの商用アプリケーションに使用されているソフトウェアの構成要素からもリスクが生じ得ることを、CIOの皆様に改めて認識させています。 そして、同社が自ら開発しているアプリケーションやデジタルサービスにも、同様のソフトウェア上のリスクが存在します。
要するに、今日のIT環境は複雑で多様であり、絶えず変化し続けています。 もし「 2009」の時点で、単純なチェックボックス式のセキュリティ対策が多少不十分だったとすれば、現在では完全に不十分となっています。
だからこそ、キルチェーン分析に立ち返ることが非常に有用だと私は考えています。 これは、CIOの皆様に対し、今日の脅威が高度かつ複雑であることを改めて認識させるとともに、サイバー攻撃のライフサイクルのあらゆる段階に対して防御策を講じることの重要性を指摘しています。
サイバーセキュリティにおけるキルチェーンの理解
では、キルチェーンとは何でしょうか？ これは一連の出来事、つまり「連鎖」であり、これらが相まって、サイバー犯罪者や国家による攻撃の有効性を高めます。 ロッキード・マーティンの論文で述べられているように、サイバー攻撃のキルチェーンには、以下の7つの段階が含まれます：
- 偵察
攻撃者は、標的を監視・調査し、脆弱性を探し、ハードウェア、ソフトウェア、ID、メールアドレス、あるいは既知または未知の脆弱性を探り、侵入し、悪用するための手法や方法論の参考となり得る情報ネットワークに関するその他の情報を収集します。 - 武器化
攻撃者は、攻撃を開始するために配信可能な形で、マルウェアやRCEコードを何らかの方法でパッケージ化します。 例えば、攻撃者は、Microsoft OfficeファイルやAdobe PDFファイルにリモートアクセス型トロイの木馬を埋め込む可能性があります。 - 配信
攻撃者は、悪用可能なアーティファクトを標的のネットワークに配信します。 彼らは、 フィッシングキャンペーン（）において、そのファイルをメールの添付ファイルとして送信してくる可能性があります。 あるいは、何も疑わない従業員が、ウェブサイトからそのファイルをダウンロードしたり、破損したUSBメモリからうっかりそのファイルをコピーしたりしてしまう可能性もあります。 - 悪用
ユーザーの操作やその他の何らかの事象によって、マルウェアの実行が引き起こされます。 このマルウェアは、オペレーティングシステムやアプリケーションの脆弱性を悪用します。 いずれにせよ、エンドポイントの防御の隙間をすり抜けてしまいます。 - インストール
このマルウェアは、ユーザーのエンドポイントまたはアプリケーションのエンドポイントに自身をインストールします。 これで、攻撃者は内部ネットワークに侵入することに成功しました。 事実上、強盗たちは家の中にいるのです。 - コマンド＆コントロール (C2)
ほとんどのAPT攻撃において、侵害されたエンドポイント上のマルウェアは、攻撃の制御拠点となるリモートシステムへと接続を確立します。 このコマンド＆コントロール（C2）接続により、数千マイルも離れた場所にいる遠隔地の犯罪者が、被害者のネットワーク上のマルウェアの動作を制御することが可能になります。 - 目標に対するアクション
これで、攻撃者は思い描いているあらゆる攻撃を実行できるようになります。 彼らは、ユーザーのシステムからデータを盗み出すこともあれば、ネットワーク内を横方向に移動してランサムウェアをインストールしたり、他のシステムを探索して悪用できる貴重な資産を探し出したりすることもあります。 C2 番ポートへの接続が確立されると、攻撃者は基本的に好きなことを行うことができ、データの窃取や暗号化、PowerShellスクリプトの実行などが可能になります。
この一連の手順は複雑に、あるいは手間がかかるように聞こえるかもしれませんが、手順 3 ～7 はほんの数分で完了します。 しかし、APT攻撃の多くは、決して迅速なものではありません。 攻撃者は、しばらく目立たないようにしてネットワーク内に潜伏し、システムを調査したり、さらにマルウェアをインストールしたり、あるいは数ヶ月、あるいは数年にもわたって少しずつデータを持ち出したりすることを選ぶ可能性があります。
次回の記事では、最新のセキュリティツールを活用して、攻撃者のキルチェーンの行動を検知し、その影響を軽減する方法について解説します。
それまでの間、 をご覧いただくか、当社のウェブサイト へアクセスしていただくか、 からデモをご予約いただくことで、 組織の攻撃対象領域を保護するための Tanium ソリューションについて、さらに詳しくご確認いただけます。
