攻撃者がエンドポイントを乗っ取っても、その喜びは長くは続きません。 チェスのゲームと同様に、ハッカーたちは次の手を打つための態勢を整えます。つまり、企業のシステムにさらに深く侵入し、最終的に狙っている人物やデータにアクセスするために利用できる他のエンドポイントを侵害するのです。
国際海運・物流大手である マースク（ ）において、2017台のエンドポイントのうち1台が侵害された後、攻撃者は最終的に同社のすべてのエンドポイントを侵害することに成功しました。 その後、サイバー犯罪者たちはランサムウェア攻撃を行い、マースク社のエンドポイントの大部分にアクセスできなくしました。 It cost Maersk some $300 million, two weeks of disrupted operations, and forced it to reinstall 4,000 servers.
最近の SolarWindsへのハッキング事件（）に比べれば、それは些細なことのように思えます。この事件は、今もなお米国の企業や政府に甚大な被害をもたらし続けています。 いわゆるソフトウェアの「サプライチェーン」攻撃は、IT管理を行うために同じサードパーティ製ソフトウェアを更新していた数万の組織を標的としたものでした。
ロシアの諜報機関とみられるハッカーたちは、SolarWindsを標的とし、マルウェアを用いてデジタル認証情報を盗み出し、偽造しました。これにより、彼らや他のサイバー犯罪者たちは、エンドポイントからエンドポイントへと次々と移動し、感染したソフトウェアをダウンロードした推定 18,000 の組織へのアクセス権を獲得しました。
「適切な認証情報さえあれば、攻撃者はどこへでも侵入できてしまいます。」広告およびコンテンツ配信プロバイダー「Tapad」のシニア情報セキュリティマネージャー、ベン・ロスケ氏
被害者には、テクノロジー業界や医療分野の大手企業、 連邦政府などが含まれています。 The estimated cost to both American businesses and the government: $100 billion. これほど重大な事態である以上、侵害されたネットワーク内でこの種の「横方向の移動」を特定し、阻止することは、いかなる企業にとっても防御上不可欠です。
「攻撃者は常に認証情報を狙ってきます。なぜなら、適切な認証情報さえあれば、どこへでも自由に行き着くことができるからです」と、広告およびコンテンツ配信プロバイダーであるTapadのシニア情報セキュリティマネージャー、ベン・ロスキー氏は述べています。
この目的のため、ハッカーは通常、キーストロークロガーやその他の専用ツールを使用して、ユーザーのアクセス認証情報を盗み出します。 「行きたい場所ならどこへでも行ける航空券を偽造できると想像してみてください」とロスキー氏は言います。 「攻撃者は認証情報をこのように悪用しますが、その目的は、ネットワークやアプリケーション、あるいは管理者が使用するクラウドコンソールへのアクセス権を取得することにあります。」
[関連記事：Taniumがサイバー攻撃におけるラテラルムーブメントの防御にどのように役立つか]
攻撃者が狙うのは、認証情報だけではありません。 彼らは、ツールを使用して、同じネットワーク上の他のサーバーやエンドポイントへアクセスします。 また、古いソフトウェアを実行しているエンドポイントも、格好の標的となります。 幸いなことに、横方向の動きを防ぐため、あるいはそれが発生した際にそれを察知して食い止めるために、いくつかできることがあります。
成功にかかるコストを引き上げる
フォーチュン 100 社にランクインするリバティ・ミューチュアルのオフェンシブ・セキュリティ担当ディレクター、クリス・ブロー氏は、IT環境を保護するための鍵は、攻撃者が横方向への移動をできるだけ困難にすることにあると述べています。 彼のチームは、エンドポイント上で定期的にシミュレーションを実行し、横方向の移動が可能かどうかを確認しています。 「私たちは常に、エンドポイントが確実に保護されるよう注力しています」とブロー氏は述べています。
S&Pグローバル・マーケット・インテリジェンス傘下の 451 リサーチで、エンタープライズセキュリティチームの主席アナリストを務めるフェルナンド・モンテネグロ氏は、「最善の防御策とは、攻撃の経済的合理性を変えることにある」と述べています。 「重要なのは、攻撃者にとっての成功コストを高めることです」と彼は言います。 「攻撃者の行動を極めて困難にするような防御策を構築したいものです。」
そのために、セキュリティの専門家たちは次のような対策を提案しています：
エンドポイントの適切な管理を行ってください。 効果的な実践は、資産管理（ ）、、構成管理（ ）、、およびパッチ管理（ ）といった基本事項から始まります。 「衛生管理を徹底しただけでは、執念深い敵を阻止することはできませんが、彼らの活動をはるかに困難にすることはできます」とモンテネグロ氏は述べています。
IDを管理します。 特定のアプリケーションやネットワークリソースにアクセスするための認証情報を持っているのが誰なのかを把握しておくことは不可欠です。 「最小権限の原則」は、攻撃対象領域を縮小し、ユーザーが業務を行う上で絶対に必要なリソースのみにアクセスできるようにします。 管理者アカウントの数を制限することも極めて重要です。 「アイデンティティこそが新たなファイアウォールであり、特に特権アカウントについては、アイデンティティを効果的に管理しなければなりません」とブロー氏は述べています。
「あなたのアイデンティティこそが、新たなファイアウォールです。」リバティ・ミューチュアルの攻撃的セキュリティ担当ディレクター、クリス・ブロー氏
強力な認証を導入してください。 認証により、適切なユーザーのみが適切なアプリケーションにアクセスできるようになります。 「絶対的な対策とは言えませんが、多要素認証を義務付けることは、ラテラルムーブメントを遅らせる上で有効な手段となり得ます」とロスキー氏は述べています。 ハッカーが、 でのフィッシング攻撃、ユーザーセッション、またはメモリダンプ（アプリケーションのクラッシュ時にメモリがバックアップされた場合）から認証情報を入手した場合でも、強力な認証技術を用いることで、サイバー犯罪者がその認証情報を利用してネットワーク上の他のリソースへ横方向に移動することをより困難にすることができます。
ネットワークトラフィックをセグメント化します。 セキュリティをさらに強化するには、ネットワークを明確なゾーンに分割してください。 例えば、すべてのオフィス機器や関連機器を1つのネットワークに接続し、特定のユーザーグループをそれぞれのネットワークセグメントに分割することができます。 ロスキー氏によると、各ゾーンに適切なセキュリティ対策を講じることで、攻撃者が横方向に移動できる範囲を大幅に制限できるとのことです。
ゼロトラストアーキテクチャを構築してください。 強力なID管理、認証技術、およびネットワークのセグメンテーションにより、組織はすでにゼロトラストアーキテクチャの構築に向けて着実に前進しています。 「優れたゼロトラストアーキテクチャは、攻撃者がシステム内を移動するのを阻止する上で、大きな役割を果たすことになるでしょう」とブロー氏は述べています。 「問題は、ほとんどの企業がゼロトラストを本来あるべきほどしっかりと確立できていないことです。」
[関連記事：Googleのアントン・チュヴァキン氏が語る、ネットワークセキュリティの再考の必要性]
異常を検出します。 攻撃者は、発見されないようあらゆる手段を講じます。 偽の認証情報を使えば、彼らは正規のユーザーであるかのように見せかけることができます。 セキュリティ担当者は、ネットワークやアプリケーション全体にわたる不審な活動を検知する方法を学ぶことはできますが、それは言うほど簡単なことではありません。 「攻撃者は、周囲に溶け込むためにあらゆる手段を講じてくるため、非常に難しいのです」とロスケー氏は述べています。
のエンドポイント検出・対応（EDR）ソリューション「」を導入してください。 企業がエンドポイントの侵害を示す兆候を検知した場合は、関連するすべてのデータを収集し、分析と対応のためにセキュリティチームに送信する必要があります。 攻撃が発生している最中にこれを封じ込めることで、データ漏洩やシステムへの被害を最小限に抑え、横方向の移動を未然に防ぐことができます。 「この2年間で、エンドポイントの検知・対応は以前よりもはるかに効果的になりました」とブロー氏は述べています。 「効果的なシステムを導入している組織は、攻撃者の活動を非常に困難なものにします。結局のところ、こうした多層的な防御体制の真の目的は、まさにそこにあるのです。」
こうした対策を講じることで、組織は、企業のシステム全体に侵入するために悪用できる脆弱な箇所を探しているハッカーにとって、自社が依然として侵入しにくい環境であることを確保できます。
