IT業界の注目が、新たなゼロデイ攻撃に関する速報に再び集まっています。 今回は、Windowsのプリントスプーラーに影響が出ています。 報道の大半は、エクスプロイトコードが誤って公開されるに至った一連のドタバタ劇に焦点が当てられていますが、この事件からは、それ以上のことが読み取れます。
セキュリティ担当の責任者やIT部門の責任者は、この点に留意すべきです。 自社の資産とその状況を把握することは、攻撃対象領域を縮小し、サイバーレジリエンスを向上させ、インシデント対応を迅速化するための第一歩となります。
この短いデモをご覧いただき、Taniumが「PrintNightmare」の脆弱性をどのように特定し、修正するかをご確認ください。
https://youtu.be/m8cP2HhT48w
これまでのあらすじ
この話は、マイクロソフトが6月の「パッチチューズデー」に、当初「深刻度の高い権限昇格の脆弱性」と説明されていたWindowsプリントスプーラーの脆弱性に対する修正プログラムを公開したことから始まります： CVE-2021-1675。
その後、マイクロソフトは、この脆弱性がリモートコード実行（RCE）も可能にする可能性があることを発見し、その深刻度を「重大」に再分類しました。 1週間後、 6月28日において、中国のセキュリティベンダーであるQiAnXinは、 CVE-2021-1675のローカル特権昇格およびリモートコード実行の両方に対するエクスプロイトを開発したと発表し、その動作を実証する動画を公開しました。
残念ながら、深センに拠点を置くSangfor Technologiesの研究者たちは、このニュースを誤解してしまいました。 このバグが、彼らがプリントスプーラーで発見した重大な脆弱性と同じものであると想定し、彼らは独自の概念実証（PoC）エクスプロイトを公開することに決めました。これは当初、8月の「Black Hat USA」で初公開される予定でした。 その理屈は単純でした。そのバグはマイクロソフトによってすでに修正されていた（と彼らは考えていた）のですから、何の問題があるというのでしょうか？
その質問に対する答えは、おそらく今後数日中に明らかになるでしょう。 この脆弱性を悪用すると、認証済みの攻撃者が、ドメインコントローラーを含め、プリントスプーラーサービスが有効になっている任意のマシン上で、特権を昇格させた状態でコードを実行することが可能になります。 それにより、深刻な影響が生じる可能性があります。 脅威アクターに関するこれまでの知見を踏まえると、このエクスプロイトは、すでに、脆弱性が露呈しているシステムに対してこれを利用しようとする者たちの手に渡っていることは間違いありません。
これが貴組織にとってどのような意味を持つか
この事態を緩和するための対策は、非常に簡単です。 組織では、プリントスプーラーが実行されているすべてのコンピュータを特定し、ドメインコントローラーの役割がインストールされていることを確認した上で、そのサービスが必要ないドメインコントローラーについては、そのサービスを無効にする必要があります。 パッチが利用可能になった際は、影響を受けるすべてのエンドポイントに、できるだけ早く適用する必要があります。
しかし、ここにはもっと大きな視点があります。 エンドポイント、ワークロード、構成、およびパッチ適用状況の状況を把握できていなければ、常に火消しに追われることになってしまいます。 例えば、多くの組織では、重要なインフラ上で「プリントスプーラー」のようなサービスやアプリケーションが実行されていますが、本来はそこに存在すべきではありません。
多くの場合、IT部門は、個別の専用サービスとしてスケールアウトさせるのではなく、管理下にあるサーバーやVMの数を統合しようとしてきました。 つまり、保守すべきデバイスの数は減る一方で、本来は分離すべき複数のサービスが重要インフラ上で稼働していることから、攻撃対象領域は広がることになります。 エンドポイントの状況を把握できていない場合、そのITチームは自らがさらされているリスクに気づいていない可能性があります。
これにより、同時に修正が必要な重大な問題が複数発生する可能性があり、インシデント対応が遅れることになります。 別の言い方をすれば、常に全力疾走し続けることの問題点は、それ以上速く走ることができないということです。 ですから、常に 適切なサイバー衛生管理 を最優先にすべきです。 エンドポイントへのパッチ適用、システムのセキュリティ強化、必要に応じてネットワークアクセス権限の制限を行い、コンプライアンスを確実に遵守します。
そうすることで、攻撃対象領域を縮小し、組織が再び「PrintNightmare」のような攻撃を受ける可能性を最小限に抑えることができます。
主体的に行動する
歴史を学ばない者は、同じ過ちを繰り返す運命にあるのです。 そこで、この機会を利用して、行動計画を見直し、得られた教訓を反映させてください。 これには、以下のような確認が含まれる可能性があります：
- 自社のセキュリティ強化基準が適切な水準にあるかどうかを確認するためです。 プリントスプーラーに関する問題が報告されるのは、今回が初めてではありません。例えば、
- システムの導入、セキュリティ強化、および継続的なコンプライアンス遵守のプロセスを通じて、セキュリティ強化基準が満たされているかどうかを確認します
- サードパーティによるリスクについては、組織内で管理できないサードパーティの資産については、すべてファイアウォールで遮断してください
朗報なのは、Taniumが、エンドポイント環境に関する重要な疑問に答えられるよう設計されているという点です。 その情報を基に、迅速かつ大規模な是正措置を講じることができます。
問題が発生したことを把握次第、現在の環境の設定状況をほぼリアルタイムで確認し、適切な変更を加えることができます。 これらすべてが、数週間ではなく、ほんの数分で完了します。 また、Taniumは、コンプライアンスのベストプラクティスから逸脱している場合にも警告を表示することができます。
自分が何を所有しているのか、その構成がどうなっているのか、そしてそこで何が実行されているのかが分からなければ、そのセキュリティを確保することはできません。 PrintNightmareの修正が完了しましたら、 から、Taniumの無料リスク評価 を利用して、ご自身の環境を確認してください。 今すぐご登録ください。
