組織は、今日の脅威から身を守るために、セキュリティに対するより広範な視点が必要です。
以前のブログ記事では、CIOが直面している「ITの攻撃対象領域を保護しつつ、デジタルトランスフォーメーションを推進する」という難しいバランスについて書きました。 。
また、 の組織が攻撃対象領域を保護するために活用できる防御戦略についても記事を書きました。
このシリーズ最後のブログ記事では、セキュリティチームがサイバーキルチェーンを活用して、ネットワークの攻撃対象領域を強化する方法について解説します。 期待される成果は、データや複数のサイバー能力の相乗効果を通じて攻撃対象領域を強化し、ネットワークの脆弱な箇所を特定、軽減、または排除することに重点を置いています。
このアプローチは、敵対者が用いるサイバーキルチェーンに対抗することを目的としています。 キルチェーンとは、望ましい結果を達成するために必要な、相互に関連した一連の活動であることを思い出してください。 キルチェーンを防衛計画のツールとして活用するには、サイバーキルチェーンの各リンクを精査し、そのリンクを断ち切るための防御策を考案する必要があります。
ネットワークの防御担当者は、毎日、一分一秒たりとも完璧でなければなりませんが、悪意のある攻撃者は、サイバーキルチェーン内の1つ以上のリンクを成功裏に攻撃するための攻撃経路を1つ見つけさえすれば、ネットワークを侵害することができます。 サイバーキルチェーンを防御的に適用することは、自社のサイバーセキュリティ・エコシステムにおける能力の不足や死角を特定するためのアプローチです。
本記事の目的は、サイバーキルチェーンの概念を応用し、CIOやCISOがサイバーセキュリティ体制を強化し、ひいてはサイバーセキュリティへの備えを高めるお手伝いをすることです。 キルチェーンは、複雑な問題を、より小さく、扱いやすい問題に分解するのに役立ちます。
サイバーキルチェーンを構成する各リンクに焦点を当てることで、ネットワーク防御担当者は、セキュリティツールの有効性を高め、ネットワーク全体の準備態勢や保護レベルを向上させる相乗効果を生み出すことができます。 逆に、キルチェーンの一環を断ち切れば、攻撃を阻止することができます。 本分析では、ロッキード・マーティンのサイバー攻撃キルチェーンの各リンクを遮断するための手法に焦点を当てます。
偵察への防御
偵察とは、対象となる環境に関する情報を把握することです。 物理的な観点から言えば、これは、視界を確保できる丘や、移動を隠せる谷といった重要な地形を特定することを意味します。 エンドポイントの観点から見ると、ネットワークには、攻撃者が優位に立つことができる重要なサイバー領域が存在します。 重要なサイバー領域には、主に以下の2つのカテゴリーが挙げられます：
- アプリケーションに関する情報を掲載しているサービス
- リモートアクセスを可能にするアプリケーション・プログラミング・インターフェース（API）
Windows Management Instrumentation（WMI）は、重要なサイバー領域の一例です。 サイバーキルチェーンの観点から偵察行為に対抗するには、新しいWMIサブスクリプションを検知することが必要となります。 重要なサイバー領域のもう一つの例としては、sendmail や SNMP MIB 情報といったサービスが挙げられます。
これらのアプリケーションからの情報へのアクセスを拒否することは、長年にわたりベストプラクティスとされてきました。 偵察に対する防御には、重要なサイバー領域を特定した上で、検知、阻止、あるいは防御の手法を用いて、敵の偵察活動を妨害または阻止することが含まれます。 望ましい成果は、情報の遮断と偵察活動の検知を組み合わせたものです。
武器化への対策
サイバーキルチェーンにおける「兵器化」の段階は、偵察段階からの情報に依存しており、サイバーキルチェーンの第3段階（配信）によって制約を受けます。
「武器化」とは、脆弱性を悪用するための一連の行動、ソフトウェアサプライチェーンを侵害するためのソフトウェア成果物の開発、あるいは正常なネットワークへの悪意のあるソフトウェアの侵入などを指します。 武器化という行為やプロセスは、多くの場合、レッドネットワークやグレーネットワーク上で行われますが、その活動は標的となるブルーネットワークに合わせて調整されています。
武器化への防御は、攻撃対象領域の管理、具体的には組織の攻撃対象領域を縮小し、強固にすることに重点が置かれています。 つまり、サイバーキルチェーンにおけるこの段階は、敵対者に機会を与えないようにすることを目的としています。
既知の脆弱性をゲームボードから排除することで、敵対者にかかるコストを増大させると同時に、ブルーサイドのネットワークリスクを低減させることができます。 によると、データ侵害の成功事例のほぼ60％ は、IT部門が認識していたにもかかわらず、適時にパッチを適用しなかったオペレーティングシステムやアプリケーションの脆弱性を悪用したものです。
サイバーキルチェーンにおける「武器化」の段階に対抗する最善の方法の一つは、サイバー衛生管理を通じて高いサイバー対応態勢を確保できる、効果的かつ効率的なパッチ適用作業です。
配信に対する防御
先ごろ発覚した「 Log4j 」の脆弱性は、Webインターフェースを介してこの脆弱性にアクセスすることで、リモートコード実行（RCE）が可能になることを示しています。 悪意のある攻撃者は、悪意のあるコードや動作を実行するために、他にも利用できる手段を持っています。
ファイアウォールやネットワークのセグメンテーションは、攻撃者の経路を限定するのに役立ち、ネットワーク防御担当者が、転送中のデータの送信行為をブロック・検知するためのツールを、どの部分に重点的に投入すべきかを明確にする助けとなります。 悪意のあるコードの配信を防ぐことは、エンドユーザー、コンピュータセキュリティの専門家、および物理的セキュリティの専門家による積極的な関与が不可欠な課題です。
感染したUSBメモリから、不正な形式のブラウザリクエスト、さらには不注意で侵害されたウェブサイトにアクセスしてしまうケースに至るまで、悪意のあるコードの侵入を防ぐことは、ユーザー教育、脅威を踏まえた物理的セキュリティ対策、そしてリスクと回復力の管理を組み合わせた、チームワークが求められる取り組みです。
悪用からの防御
悪用からの防御においては、悪意のあるソフトウェアを特定し、その実行を阻止し、および／または脆弱性を修正することで、悪意のあるソフトウェアがシステムに及ぼしうる影響を最小限に抑えることが中心となります。 これらの概念は、レピュテーション・サービス、アプリケーション制御、およびサイバー・ハイジーンに集約されます。
サイバー衛生管理 （パッチの適用、ソフトウェアの最新状態の維持、およびソフトウェアの適切な設定）は、攻撃者のツールボックスに含まれる「 」の既知の脆弱性 を防ぐための最善の対策です。 CIOやCISOは、「パッチ適用までの平均時間」や「パッチ適用のサイクル期間」といった適切な指標を監視することで、組織内のサイバー衛生管理の実践を統制することができます。
エンドポイントの可視化と管理を、大規模かつ迅速に行うことは、サイバー衛生状態を特徴づける、タイムリーで正確かつ信頼性の高いデータを得るための基盤となります。 レピュテーションサービスやウイルス対策ソフトウェアを活用することは、効果的なサイバー衛生管理を補完するものです。 同様に重要なのは、通常の行動からの逸脱、リスクを伴う事象、および侵害の兆候を特定する能力です。
前者の（サイバー衛生）は成熟度とパフォーマンスの最適化に関するものですが、後者の（ハッシュハンティングおよびIOCの検出）には、機敏性と適応性が求められます。
インストールに対する防御策
セキュリティチームは、あらゆる場所にあるすべてのエンドポイントにおけるソフトウェアのインストール状況や設定の変更について、リアルタイムで把握する必要があります。 サイバーキルチェーンにおける「インストール」段階に対する防御は、リモートコード実行（RCE）の防止に重点が置かれています。
すべてのRCE攻撃を阻止することは、あらゆる犯罪を阻止することに非常に似ています。 RCE攻撃の検知を防止または妨げるために利用可能な一連の対策には、悪意のあるソフトウェアのシグネチャを特定し、侵害のリスクを示す異常を警告する、さまざまなウイルス対策ツールやマルウェア検知ツールが含まれます。
キルチェーン攻撃の「インストール」段階を実施する際には、 の「未知の未知」に焦点を当てるべきです。これには、未知のマルウェア（ポリモーフィックマルウェアの可能性を含む）、未知のファイル攻撃、あるいはサイバー上の死角（自分たちが知らないことに気づいていない事柄）などが含まれます。
CIOやCISOが検討できる対策の一つとして、MicrosoftのAppLockerのようなOS標準のツールを活用した「承認済みソフトウェアリスト」の作成が挙げられます。 さらに、レピュテーションサービスを活用することで、悪意のあるソフトウェアを積極的に特定することができます。
テクノロジーと人材、そしてノウハウを組み合わせることで、CIOやCISOはスパイラル開発アプローチを活用し、リスクのある事象や侵害の兆候を示す異常を検知、警告、または対処するためのサイバーセキュリティ機能を構築することができます。 商用またはオープンソースのインテリジェンス情報源を活用してアラートの検証、カスタマイズ、調整を行うことは、サイバーキルチェーンの「インストール段階」に対する防御策において、組織の取り組みに適応性と機動性をもたらすことにもつながります。
C2 Communicationsへの対策
セキュリティチームには、コマンド＆コントロール通信を検知・遮断するためのさまざまな方法があります。 ファイアウォールやネットワーク監視ツールは、見慣れないDNSサーバーや通常とは異なるリモートホストとの通信など、不審なネットワーク活動を検知することができます。 セキュリティチームは、デフォルトですべての不正な通信を遮断するゼロトラスト対策を導入することで、こうした通信の多くを未然に防ぐことができます。
目標に対する行動への防御
目標に対する攻撃を防ぐには、アクセスを制限し、悪意のある攻撃者が意図する結果を達成する機会を奪うことが中心となります。 簡単に言えば、ここでの目的は、すべての扉を固く閉ざし、悪意のある攻撃者がわずかな成果を得るたびに、その都度多大な労力を費やすようにすることです。
俳優が仕事をするほど、注目される可能性が高くなるという見方があります。 アラートが脅威に関する情報を反映しておらず、インテリジェンスに基づいていない場合、異常な活動に対するアラートの発行は困難になる可能性があります。 、MITRE ATT&CK 、または 、CISAの「Shields Up」 を情報源として活用し、関連するアラートの開発に関するセキュリティチームの会議の指針とすることをご検討ください。 エンドポイントセキュリティは、キルチェーンに対する最終的かつ極めて重要な防御手段となります。
効果を高めるためには、こうした防御機能を提供するすべてのセキュリティツールが、シームレスに連携するようにしておくことが望ましいでしょう。 互いに補完し合うツールは、サイバーキルチェーンの1つまたは複数のリンクに対抗する上で重要な役割を果たすことができます。 データは、意思決定における優位性を生み出すための重要な要素です。他のツールを補完しつつ、大規模かつ迅速に可視化と管理を可能にするデータ対応プラットフォームは、洞察、確信、そして信頼をもたらします。
キルチェーン攻撃を防御するためのTaniumプラットフォーム
Taniumでは、規模や複雑さにかかわらず、完全かつ正確なエンドポイントデータをリアルタイムで提供する、単一の「 」エンドポイントセキュリティプラットフォーム（ ）をご提供しております。 当社のプラットフォームは、高速で柔軟性が高く、拡張性に優れたクラウドサービスとして提供されており、以下のモジュールが含まれています：
- アセットの検出とインベントリ管理 — ITチームがあらゆる拠点のエンドポイントを特定・追跡できるよう支援します
- リスクおよびコンプライアンス管理、 のパッチ管理を含む
- 脅威ハンティング。これには、脅威が業務に支障をきたす前に調査・是正を行うためのツールが含まれています。
- クライアント管理「」には、エンドポイントをリアルタイムで管理・トラブルシューティングするための機能が含まれています。
- 監査やアクセス制御の自動化を含む、機密データの監視
Taniumプラットフォームが、貴社の組織がキルチェーン攻撃から身を守るためにどのように役立つかをご確認いただくには、 をご覧いただくか、 からデモをご予約ください。
組織のIT攻撃対象領域を保護する方法についてさらに詳しく知りたい方は、こちらのシリーズ全編をご覧ください：
