まず最初に、ドラゴンブリッジとみられる組織による最新のキャンペーンの詳細について解説します。同組織は、中国が支援していると疑われる高度な持続的脅威（APT）アクターであり、現在、中間選挙を控え、米国を標的とした集中的な影響工作を展開し、荒唐無稽で悪質な主張を流布しています。 次は、ソフトウェアのサプライチェーン管理に焦点を当てた、Googleの新しいオープンソースのセキュリティプロジェクトの概要をご紹介します。 さらに、業界のリーダーや政策立案者たちが、パスワードの有効期限を義務化することが、パスワードのセキュリティにとってプラスになるのか、それともマイナスになるのかについて意見を述べています。
1. 親中派による偽情報キャンペーンが、米国の選挙を標的にしています
サイバーセキュリティおよび脅威インテリジェンスのリーディングカンパニーであるマンディアント社は先週、 が展開した中華人民共和国（PRC）支持の 影響工作に関する詳細な報告書を発表しました。同社の研究者らは、この影響工作において、攻撃者が中間選挙を含む米国の国益を標的とした積極的な作戦を支援するために、新たな戦術・技術・手順（TTPs）を活用していることを確認しました。
マンディアント社は、このキャンペーンを、同社が「ドラゴンブリッジ」として追跡しているグループによるものと特定しました。 マンディアートの研究者たちは、このグループが長年にわたり、主に台湾や香港の政治に影響を与えることを目的とした偽の草の根ソーシャルメディアキャンペーンを通じて、中国の国益を推進している様子を観察してきたと報じられています。
今回、ドラゴンブリッジは、米国を標的とした、荒唐無稽な虚偽の物語を多岐にわたって盛り込んだ、一連の集中的な影響工作キャンペーンを行ったとされています。
「ドラゴンブリッジ」とは何ですか？
Cyware社によると、 Dragonbridgeは、少なくとも 2019年以降、 で活動しているとのことです。 Cywareは最近の投稿で、このグループを、中国にとって戦略的に重要な組織を標的とする、国家の支援を受けたハッカー集団であると特徴づけました。
ドラゴンブリッジによる影響工作には、将来的に中国が世界において支配的な地位を確保できるよう設計された誤情報を拡散するソーシャルメディア・キャンペーンが含まれています（中華人民共和国の政府構造上、高位の役職には事実上任期制限がないため、国家の将来的な成功を確保することを目的とした長期的な活動は一般的です）。 中国が支援する膨大な数のハッカーたちは、この目標を達成するために必要なあらゆる手段を講じるでしょう。その中には、アメリカ国民の間で荒唐無稽な説を広めることも含まれます。
や、中国と関連のある多くの APT、Dragonbridge の活動と同様に、Dragonbridge の活動も長期にわたって行われています（前述の内容を踏まえると、これはさほど驚くことではありません）。 とはいえ、中国と関連を持つ多くのAPTとは異なり、ドラゴンブリッジによる最新の選挙干渉活動については、 『WIRED』誌 が、「驚くほど拙劣」であると評しています。これは、同グループが中国の膨大なリソースや共通のツールセットを利用できた可能性が高いにもかかわらずのことです。
参考までに、Mandiantの提供による、Dragonbridgeが最近流布している、とりわけ突飛な主張や偽情報の一部をご紹介します：
- の中国系脅威グループ「APT41」（ ）は、実際には米国政府の支援を受ける主体であるとの主張があります。
- Aggressive attempts to discredit the US. democratic process, including attempts to discourage Americans from voting in the 2022 U.S. midterm elections.
- 「ノルドストリーム」ガスパイプラインの爆発について、米国が関与したとする疑惑。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この話から、いくつかの重要な結論を導き出すことができます。 「何よりもまず、ドラゴンブリッジの技術的な洗練度の低さや成功の限られた点について、 を、米国が偽情報や外国による影響工作に対して無防備であるという考えと同一視すべきではありません。」
「さらに、マンディアント社のインテリジェンス分析担当副社長であるジョン・ハルトクイスト氏（ ）と、ジョンズ・ホプキンス大学の戦略学教授であり、偽情報に関する歴史書を執筆したトーマス・リッド氏は、いずれも、現在のアメリカ社会に蔓延する分断的な雰囲気が、同国を外国による影響工作の格好の標的にしかねないと指摘しています。」 ドラゴンブリッジは、アメリカ人の間に感じられる分断を利用し、自らの主張を押し進めるだけでなく、自国が取り返しのつかないほど敵対的な派閥に分裂しているというアメリカ人の認識を強めるためにも、懸命に取り組んできました。 「ドラゴンブリッジは、（時折見せる）鋭い洞察力の好例として、米国をまるで自国の風刺画のような存在として描くために多大な努力を払っており、自国の現状を懸念するすべてのアメリカ人の心の中に、ある程度は存在する不安や恐怖を巧みに利用しているのです。」
2。 Googleは、ソフトウェアのサプライチェーンに関するオープンソースプロジェクト「GUAC」を発表しました。
先週、Googleの による発表で、ソフトウェア・サプライチェーン管理を中核とする新しいオープンソースのセキュリティプロジェクトが明らかになりました。
このプロジェクトは「Graph for Understanding Artifact Composition（GUAC）」と呼ばれており、その主な目的は、ソフトウェアのビルド、セキュリティ、および依存関係に関するデータセットを作成することにあります。 簡単に言えば、GUACはソフトウェアのセキュリティメタデータを大規模に集約・統合し、それを有意義かつ実用的なものに変えるのです。
GUACの概要
GUACは、さまざまなソースからのソフトウェアセキュリティメタデータを一元化するために設計された無料のオープンソースツールです（ ）。これは、ソフトウェアサプライチェーン攻撃の急増（）に対処することを目的として開発されました（）。 Googleは、パデュー大学、シティバンク、およびKusariと協力してGUACを開発し、このプロジェクトを支援するため、 の技術諮問委員会のメンバー を招集しました。
GUACはまだ発展の初期段階にあり、現時点では概念実証（PoC）としてのみ存在していますが、Googleはこのプロジェクトが、業界におけるソフトウェア・サプライチェーンに対する理解の在り方を変えるものになると考えています。 「世界の情報を整理し、誰もが利用できるようにし、役立つものにする」というGoogleのミッションに沿い、GUACの目的は、セキュリティやITへの予算がある組織だけでなく、あらゆる組織がセキュリティ情報にアクセスできるようにすることで、その利用機会を広く普及させることにあります。
GUACはどのような課題を解決するのでしょうか？
GUACは、基本的にソフトウェアのセキュリティメタデータを集約・統合し、より包括的な全体像を把握できるようにします。 さらに、GUACを活用することで、ソフトウェア・サプライチェーン・エコシステムにおいて最も重要な構成要素や、そのエコシステム内に存在するセキュリティ上の脆弱性・リスクの高い依存関係を特定することが可能になります。
Googleは、GUACが、ソフトウェア・サプライチェーンのセキュリティにおける「予防的」「運用」「事後対応」という3つの重要な段階において、課題の解決に役立つと述べています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「SolarWindsや Log4Shellといったサイバー攻撃が示すように、サプライチェーンは依然として脅威アクターにとって魅力的な攻撃経路となっています。最近ニュースで報じられているソフトウェアのサプライチェーン攻撃の件数を考えれば（オープンソースプラットフォームにおけるゼロデイ脆弱性の発見をめぐる業界の熱狂は言うまでもありませんが）、GUACのようなものが開発されるのはまさに時宜を得たことと言えます。」
「Taniumのエンドポイントセキュリティ研究担当ディレクター、メリッサ・ビショピング氏によると、 というオープンソースソフトウェア（ ）が、共有ライブラリ、依存関係、および統合機能として、企業のツールや独自開発プロジェクトに広く利用されていることが、リポジトリハイジャック攻撃につながる恐れがあり、攻撃が成功した場合、その被害は急速に拡大する可能性があります。」 Bischoping社は、サードパーティ製品の利用者に対し、依存関係やリスクを把握できるよう、SBOMソリューション（ ）を活用して、 に準拠した正確な在庫管理を行うことを推奨しています。 「これらの提言は、Googleが現在進めているGUACの取り組みと相まって、世界中のチームの立場を強化し、その能力を高めることにつながるでしょう。」
「このニュースが報じられた時期は、オープンソースのOpenSSLライブラリにおいて当初『重大（Critical）』と分類された脆弱性が公表された時期と重なりました。この件は、研究者たちがリスクの程度や潜在的な攻撃対象範囲の規模を把握しようと奔走したため、業界内で大きな話題となりました （OpenSSLは、その約1週間後にこのセキュリティ問題の技術的詳細を開示しました。この「Critical」とされた欠陥は、実際には CVE-2022-3786 およびCVE-2022-3602（）という2つの脆弱性であり、これらはバッファオーバーフローのバグでしたが、その後、深刻度が「High」に引き下げられました）。」
「業界の専門家の間で明らかに懸念されていたのは、OpenSSLライブラリが極めて広く普及しているという点でした。このライブラリは、多くのOS、クライアントサイドのソフトウェア、Web／電子メールソフトウェア、ネットワーク機器、ICSなどに組み込まれています。」 このライブラリを活用しているサービスやリソースの多さを踏まえ、依存関係の問題やサプライチェーンに関する懸念が指摘されました。そのため、Taniumは、OpenSSLが脆弱性の存在を発表してから、1週間半後に技術的な詳細やCVE番号が公開されるまでの短い期間において、影響を受けるシステムを特定し、 を通じて、できるだけ早くその影響を軽減するための 適切なガイダンスを顧客に提供するという、先を見越した取り組みを行いました。」
3。 業界の専門家たちはこう問いかけます。「パスワードの有効期限を強制することは、パスワードのセキュリティにとってプラスになるのでしょうか、それともマイナスになるのでしょうか？」
物議を醸すこと間違いのない動きとして、米国国立標準技術研究所（NIST）や マイクロソフト（ ）といった、信頼性の高いサイバーセキュリティ機関が、セキュリティのベストプラクティスとしてのパスワード有効期限の強制設定に、積極的に反対の立場を表明しています。
マイクロソフトのパスワードポリシーに関する推奨事項によると、組織が定期的にパスワードの有効期限を設定する慣行を廃止すべき主な理由は、少なくとも2つあります。
- マイクロソフトは、こうした要件では、悪意のあるサイバー攻撃者が被害者のネットワークにアクセスすることを防ぐ効果はほとんどないと主張しています。 これは、サイバー犯罪者の間で、入手したパスワードを即座に悪用するという手法がますます一般的になっていることが大きな要因です。こうしたパスワードは決して不足することはありません。 The Account Takeover in 2022 report found more than 24 billion username and password combinations for sale on the dark web, up from 15 billion in 2020.
- また、マイクロソフトは、ユーザーに定期的なパスワードの変更を強制すると、予測されやすく、セキュリティの低い認証情報が作成されることにつながりやすいと主張しています。 例えば、認証情報の更新を求められた際、ユーザーは以前のパスワードに新しい数字や特殊文字を1つ追加するだけで済む場合があります。
パスワードの有効期限設定の義務化について、研究ではどのようなことが示されているのでしょうか
ある調査（ 2009 ）において、UNCチャペルヒル校の研究者たちは、同大学の元学生、教職員が所有していた、すでに利用停止となっているアカウント 10,000 件以上のパスワードを入手しました。。 ユーザーは、これらのアカウントのパスワードを3か月ごとに変更することが求められていました。 UNCの研究者たちは、オフライン攻撃でパスワード解読ツールを使用し、最終的にパスワードの約 60％を解読することに成功しました。 7,752 件のアカウントについて、研究者たちは、そのアカウントのユーザーが最後に設定したパスワードではないパスワードを、少なくとも1つは解読することに成功しました。 研究者たちは、この一連のアカウントのパスワードを用いて、残りの研究を行いました。その研究内容は、ユーザーが過去に選択したパスワードに基づいて推測を行うクラッキング手法を開発することでした。
さらに最近では、カールトン大学の研究者たちが、パスワード有効期限ポリシーが及ぼす影響を定量的に測定する「 」という指標を開発した論文を発表しました。 本研究において、カールトン大学の研究者たちは、攻撃者が成功するまで、考えられるすべてのパスワードを体系的に試そうとするだろうと想定しています。
結局のところ、カールトン大学の研究者たちは、UNCの研究で導き出された結論と一致するいくつかの結論を導き出すことができました。 要するに、頻繁にパスワードを変更しても、こうした攻撃者に対する抑止効果はごくわずかであり、おそらくユーザーに与える不便さを相殺するには不十分でしょう。 さらに、すでにユーザーのパスワードを知っている攻撃者にとっては、パスワードの変更によって阻止される可能性は低いでしょう。
誰もが納得しているわけではありません
パスワードの有効期限を強制することに対する妥当な反論が数多く存在しているにもかかわらず、依然として納得していない組織や業界分野が存在します。
決済カード業界はその一例であり、クレジットカード決済を受け付けるすべての組織に対し、 が決めた「決済カード業界データセキュリティ基準（Payment Card Industry Data Security Standard、 ）」（PCI DSS）への準拠を義務付けています。これは、クレジットカード、デビットカード、キャッシュカードの取引のセキュリティを最適化し、カード保有者の個人情報が悪用されるのを防ぐことを目的とした、広く受け入れられている一連の方針および手順です。 PCI DSS 4.0 は、2024 年にPCI DSSバージョン3.2.1 が廃止された時点で発効し、定期的なパスワード変更が義務付けられます。 PCI DSS規格のバージョン 4.0 （）では、 に準拠する組織に対し、パスワードの長さを少なくとも12 文字以上（一部の例外を除く）とし、パスワードの有効期限を90 日ごとに設定することが求められています。
今後、どのような道筋が最善でしょうか？
サイバーセキュリティ業界では、パスワードの有効期限を義務付けることについて、まだ合意には至っていません。
特筆すべき点として、サイバーセキュリティ企業の Specopsが提供する、企業向けのパスワードポリシーソリューション「 」は、「長さに基づくパスワードの有効期限管理」と呼ばれる興味深い概念に対応しています。 この戦略により、組織は、強固なパスワードを設定したユーザーに対して、パスワードの強制変更頻度を低くすることで実質的なインセンティブを与えるような形で、アクセス管理を設定することができます。
一見すると、これは縫合が必要な問題に対して、ちょっとその場しのぎの対処法のように思えるかもしれません。 結局のところ、強固なパスワードを設定したユーザーであっても、一定期間ごとにパスワードの変更が求められるため、その状況によって、ユーザーは最終的に、まったく新しい強固なパスワードを作成するのではなく、既存のパスワードを一部変更する手段に頼ってしまう可能性があります。
このような解決策だけでは、このジレンマを解決するには不十分かもしれませんが、他のパスワードセキュリティ機能と組み合わせて使用することで、特定の組み合わせが効果的であることが判明するかもしれません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「マイクロソフトが、『パスワードのリセット頻度が高いユーザーほど、脆弱なパスワードを使用したり、その脆弱なパスワードを複数のアカウントで使い回したりする傾向が強い』と主張しているのは、まさに的を射ています。」
「多要素認証 — 万能の解決策ではなく、独自の制限やセキュリティ上の脆弱性はあるものの — 攻撃者がパスワードを入手してしまった場合でも、ユーザーアカウントを攻撃者から守るのに役立ちます。 パスワードの審査は、ユーザーが推測されにくい強固なパスワードを作成するのにも役立ちます。 NISTは、上記のすべてに加え、パスワードの入力失敗回数に制限を設けることや、パスワードにソルトを付与してハッシュ化することを推奨しています。 「 NIST-800-63b件の提言の完全なリストは、こちらからご覧いただけます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
