今日のサイバー脅威の状況は、極めて不安定な状況にあります。 多くの人々にとって、現在の状況の最大の要因は、ロシアとウクライナ間の紛争と、それに伴うサイバー活動であると考えられています。 Deep Instinct社のパートナーである 氏は、 において、一連の出来事や、それらが脅威情勢にどのような影響を与えているかについて、綿密に報告を続けています。
地政学的な状況を考慮せずにサイバー脅威情勢について語ることは不可能です。ただし、現在の出来事に伴う不確実性を理解した上で論じるのであれば、それは当然のことと言えるでしょう。 こうした状況がいつまで続くのか、また、複雑な地政学的状況が長期的にどのような影響をもたらすのかは、現時点では不明です。
脅威の状況はどのように変化しているのでしょうか
Taniumの目標は、主要なトレンドを常に把握し、実用的な知見を導き出すことで、皆様のお役に立てるようにすることです。 以下は、サイバー脅威の状況における主な動向の概要です：
- 経済不安を背景にランサムウェア攻撃が増加する可能性：ロシアの侵攻に対する主な対応として、米国がロシアの利益を対象とした厳しい制裁措置を選択したことを受け、その結果生じる経済不安により、米国の利益を標的としたランサムウェア攻撃が増加する可能性があります。 FBIはロシアを「サイバー犯罪者にとって活動しやすい環境」と評し、ロシアの支援を受けて活動するハッカーによる「サイバー脅威活動の増加の可能性」が米国で生じる恐れがあると警告しました。
- 新たな破壊型マルウェア「」の出現： に記載されている通り、Deep Instinct（）による最近の記事によると、侵攻に先立つ数週間にわたり、「ウクライナの政府および軍事機関内に混乱を招き、通信を妨害することを目的とした」ロシアのサイバー活動には、HermeticWiperと呼ばれる新たなディスク消去型マルウェアの展開が含まれていました（これに加え、広範囲にわたるDDoS攻撃やウェブサイトの改ざんも行われました）。 それ以来の数週間の間に、この紛争を背景として、少なくとも2つの新たな破壊的なマルウェアの亜種が出現しました。これらは、新たな感染経路を伴い、破壊的なペイロードを確実に配信するための支援マルウェアも併せて確認されています。
- 「」をめぐる紛争を悪用したフィッシングやその他の詐欺：注目度の高い世界的な出来事（サイバー攻撃を含む）と同様に、脅威アクターは入手可能な情報や世間の不安を素早く利用し、説得力のあるフィッシングの餌やソーシャルエンジニアリング攻撃を仕掛けてきます。 こうしたキャンペーンの背後にある動機は、スパイ活動、認証情報の盗用、および金銭をだまし取る詐欺など、さまざまです。
- 米国の標的に影響を及ぼすサイバー活動の潜在的な「波及」：サイバーセキュリティ・インフラセキュリティ庁（CISA）は、他の多国籍サイバー機関とともに、ロシアとウクライナの情勢において確認されているサイバー活動が、紛争地域外へと波及し、米国、EU、あるいは西側諸国の組織に影響を及ぼす可能性があることについて、繰り返し懸念を表明しています。
- ハクティビストの関与により事態は深刻化しています：地政学的紛争のさなかに起こるハクティビズムの行為は、双方によって誤って帰属され、国家が支援する敵対的活動と解釈され、意図せずして緊張をエスカレートさせるリスクがあります。 ハクティビズムは（その意図がいかに善意に基づくものであっても）、戦場における実戦的な活動を激化させ、サイバー空間におけるリスクを高めてしまう可能性があります。この現実により、人命が失われたり、重要インフラが破壊されたり、あるいは米国や米国と同盟関係にある国々を標的とした報復措置が講じられたりする恐れがあります。 このパラダイムを如実に示す最近の事例として、ランサムウェアグループ「Conti」が紛争においてロシアを支持すると公に表明したことを受け、ウクライナのハクティビストが同グループからデータを盗み出し、そのデータ（ソースコードを含む）が流出した事件が挙げられます。 ランサムウェアのコードが漏洩した事例は以前にもあり、 の「Babuk」ランサムウェアがその一例です。その結果、新たな脅威アクターによって、そのランサムウェアが再利用・改変される事態となりました。 ここでも、これは現実的なリスクとなります。
上記で述べた内容の多くは、ある特定の地政学的紛争がもたらすサイバー上の影響に関するものですが、専門家たちは、近い将来、サイバー脅威の状況に影響を与えると予想されるいくつかの脅威を予測しており、その多くはすでにその存在を現し始めています。 各組織におかれましては、以下の点にご注意いただくようお願いいたします：
- 国家が支援する主体による継続的な影響工作や、 を排除しようとする試み、および を通じて 通信を確保しようとする試みは、信頼できる報道を に依存している一般市民にとって不可欠なものです。
- 重要インフラ が攻撃の標的となっています
- CISA（米国サイバーセキュリティ・インフラセキュリティ庁）による、米国の組織や重要インフラを標的とした外国勢力の攻撃が差し迫っているという警告（ ）が引き続き発出されています。
- 燃料・エネルギー価格の高騰、経済の不安定化、そして サイバー保険会社が補償範囲を狭め、保険料を引き上げていること
- のオープンソースライブラリやパッケージ、およびサプライチェーンを構成するその他の技術に対するセキュリティ侵害が増加しています
- ランサムウェア：
- ランサムウェア「 」の活動が全体的に活発化しており、特にが、一般消費者、中小企業、および中堅企業を標的とする動きに再び注力しています。
- サイバー犯罪者によるSaaSおよびクラウド技術への注目が高まっています（特に、「 」ランサムウェア（ ）や「」BEC（ ）が先導しています）。
- Contiのソースコードが公開されると、Babukランサムウェアのコードが流出した際と同様に、新たな攻撃者によって悪用される新たな亜種が出現する可能性があります。
- ロシア・ウクライナ戦争において確認されたように、 のような、緩やかな連携関係にある新たなハッカー集団の台頭
- 紛争で使用されたマルウェアが、サイバー犯罪者の手に「波及」する可能性が高く、彼らはそれを自由に改変し、思いのままに転用することができます――その逆もまた然りです。
- における、ランサムウェア攻撃と影響力行使キャンペーンを組み合わせたもの、DDoS、破壊的なマルウェア、 偽旗作戦 など、多面的なサイバー 攻撃の増加が見られます。
このように急速に変化する状況下において、万が一攻撃を受けた際の備えや対応能力を確立するためには、今日どのような対策を講じるかが極めて重要です。 業界を問わず、すべての組織は、リスクと攻撃対象領域の低減を念頭に置いて、自社の環境に監視体制を整備すべきです。
エンドポイントのセキュリティ強化と準備がなぜ重要なのか
のアセット管理ツール およびパッチ適用ワークフローを最適化すべき最適な時期は、実は昨日でした。 2番目に良い時期は、今日です。 現在、多くの攻撃者は、活発な軍事紛争が繰り広げられている国々にある標的となるシステムに注力していますが、研究者や脅威インテリジェンスの専門家らは、こうした紛争に関連する制裁の影響により世界各地で経済的な不確実性が高まるにつれ、サイバー犯罪の活動が増加する可能性が高いと指摘しています。 本日は、この時間を活用して、 のパッチ管理（ ）におけるオペレーティングシステムや、のサードパーティ製ツール（）の不備を解消し、ポリシーを調整して攻撃対象領域を縮小することが不可欠です。
カバレッジや可視性のギャップの解消、パッチ適用失敗の是正、およびサードパーティ製ソフトウェアの更新を最優先にしてください。 現在の脅威の状況では、コンプライアンス違反が 30日、 60日、あるいは 90 日続いているエンドポイントに対しては、容認の余地がありません。 この機会を利用して、サーバーやワークステーションを含め、すべてのシステムのOSパッチおよびサードパーティ製ソフトウェアを最新の状態に更新してください。
当面の間は、以下の対応を優先して行ってください：
- 適用し忘れていたパッチや期限切れのパッチを早急に適用するため、緊急変更承認を申請してください
- パッチ管理ソリューションを導入するか、パッチ適用に失敗した場合の是正措置を講じる
- オペレーティングシステムのパッチへの対応
- サードパーティ製ソフトウェアの更新
- 許可されていない、使用されていない、またはサポート対象外のソフトウェアを削除してください
- 攻撃対象領域を縮小するための方針を適用してください
- インシデント対応計画が、環境内のツールによって確実にサポートされるようにしてください
- サイバー攻撃のリスクを軽減するため、CISAの「Shields Up」イニシアチブ（）の一環として、同機関からの推奨事項をご確認ください。また、CISAは各組織に対し、攻撃の兆候が見られた場合は同機関へ報告するよう求めています。
- CISAの「 」既知の悪用済み脆弱性カタログ（）をご確認ください。このカタログには、ロシアのサイバー脅威アクターによって悪用された脆弱性の分析結果に基づき、新たに 95 件の脆弱性が追加されています。
Taniumがどのように役立つか
Taniumは、以下の取り組みを通じて、組織がこれらの緊急の推奨事項に対処できるよう支援いたします：
Tanium Patchは、パッチの適用、メンテナンス期間の調整、およびパッチ適用状況に関する正確かつリアルタイムなレポート作成を実現するソリューションです。 新規および既存のお客様は、Tanium Patchを導入し、数日や数週間ではなく、わずか数時間でパッチ適用状況に関する実用的なデータの取得を開始することができます。
攻撃者による初期侵入や横方向の移動は、多くの場合、脆弱性のある、あるいは更新されていないソフトウェアが侵害されることによって行われます。 組織は、サードパーティ製アプリケーションの更新を、インターネットに接続されているシステムだけに限定すべきではありません。 環境内に侵入すると、脅威アクターは、これらの脆弱性のあるサードパーティ製アプリケーションを利用して、内部システムを侵害する可能性があります。 さらに、「シャドーIT」（IT部門の認識やサポートなしに導入されたソフトウェア）は、環境に予期せぬ脆弱性をもたらす可能性があります。 Tanium Deploy を使用すると、承認されていないソフトウェアを自動的にアンインストールし、環境から許可されていないアプリケーションを排除することができます。
攻撃の最中、攻撃者は環境全体において、攻撃の範囲、権限、およびアクセス権を絶えず拡大しようと試みます。 ソフトウェアやオペレーティングシステムのセキュリティ更新プログラムを適用するほか、エンドポイントを積極的に強化することで、ネットワーク内の悪意のある攻撃者が利用できる手段を制限することができます。
Tanium Enforceは、攻撃対象領域を縮小できる設定を含め、Windowsのポリシー設定を管理するためのソリューションです。 AppLocker 監査によるスクリプト、実行ファイル、および Windows インストーラーの監査や、PowerShell の実行ポリシーの管理などは、Tanium Enforce で利用可能な 5,000 以上のデバイスセキュリティおよび構成設定のほんの一例にすぎません。 Deep Instinctが指摘しているように、組織内のほとんどのユーザーには、スクリプトを実行する必要はありません。 その他の強化策としては、次のようなものがあります：
- スクリプトの実行を制限するポリシーを作成します
- ワークステーション間の通信（RDP、PowerShell リモート処理、SMB）の削減
- 管理用共有を無効にする
- 安全でないプロトコルを無効にする (SMBv1)
- サービスアカウントおよびローカルアカウントによるリモートログオンを禁止する
- Windows システムにマルウェア対策および攻撃対象領域の縮小に関するルールを適用する
今後の手順
サイバー戦争への備え方については、Endpointの最新記事「 」で詳しくお読みいただけます。
実践的なサポートが必要な場合は、弊社にお任せください。 既存のお客様は、担当のアカウント担当者までご連絡ください。 現在、弊社のお客様でない場合は、 こちらからお問い合わせいただき、ご利用を開始してください。。
