重要な指標をどのように追跡しているかを解説する、全4回にわたるブログシリーズの最終回となります。 今回の記事では、TaniumのSecOpsエンジニアであるグレッグ・ポティエ氏が、インシデントへの対応方法について解説し、対応までの平均所要時間に関するガイドラインを示するとともに、迅速な対応があらゆる企業にとってなぜ重要なのかを説明しています。
弊社では、セキュリティ管理の実践において、防御体制を強化するため、Taniumを日常的に活用しています。具体的には、パッチ適用を「 」の対策として 、また「 」のプロセスとしてに組み込んでいます。 そうすることで、攻撃対象領域を縮小し、均一な環境を促進することができます。
とはいえ、成果を称え合う前に、引き続き警戒を怠らないことが大切です。 ご存知の通り、攻撃者は創意工夫に富んでいます。また、一度ネットワークに侵入してしまうと、公表された情報漏洩事例からも明らかなように、数ヶ月間も検知されずに潜伏し続けることが可能です。
セキュリティ侵害による影響とコストは、攻撃者がネットワーク内に留まっている時間と直接的に関連しています。 したがって、平均修復時間を可能な限り短縮することを目指すことが極めて重要です。 業務の効率と効果を高めるため、Taniumを活用して、初期の検知およびアラート通知のプロセスを可能な限り自動化しています。 これらの自動検知により、潜在的な悪意のある活動が通知され、その時点で対応時間を計測し始めることができます。
一般的な攻撃のライフサイクルには、大きく分けて3つの段階があります：
- 初期感染。 これは、攻撃者がエンドポイント上で初めて悪意のあるコードの実行に成功し、アクセス権を取得した時点を指します。
- パーシステンス。 これは、攻撃者がエンドポイントへのアクセス権を取得し、システムの再起動後もそのアクセス権を維持できる状態を指します。
- 横方向の移動と目標の達成。 アタッカーが意図した場所に正確に着地することはめったにありません。 したがって、攻撃者は一度アクセス権を獲得すると、通常はそのアクセス権を利用してシステムからシステムへと横方向に移動し、最終的に目的を達成するまで、さらに多くのデータを収集していきます。
以下に、Taniumを活用して攻撃ライフサイクルの各フェーズにおける活動に対処する方法の例と、各フェーズにおける平均対応時間（MTTR）の目標値を示します。
初期感染段階：悪意のある活動の検知
Taniumはプラットフォームであるため、単一のコンソールから、検知やアラート通知から、影響範囲の特定や調査へと即座に切り替えることができます。 Tanium（ ）およびTrace（ ）を使用してエンドポイントに接続し、タイムラインの記録を作成するとともに、エンドポイント上の重要なフォレンジックデータの分析を行うことで、すべての検知結果および潜在的な初期感染を調査いたします。 これらのフォレンジック証拠には、プロセスの実行、ファイルシステムやレジストリの変更、ドライバの読み込み、セキュリティイベントのほか、その他いくつかの関連するユーザーおよびシステムイベントが含まれます。
Tanium Trace は、エンドポイントがオンラインであるかどうかにかかわらず、エンドポイントのアクティビティを継続的に記録します。 Trace を使用することで、複雑な攻撃手法に基づいて、異常や不審な事象に対する攻撃パターンの検出を行うことができます。
よく見られる検出メカニズムの例としては、次のようなものがあります：
- 不審なパスにあるスクリプトファイル；
- Microsoft Office マクロマルウェアを示唆するプロセスおよびファイルイベントのパターン；
- Adobe Acrobat Reader が通常とは異なるファイル形式を作成してしまうこと；および
- 通常とは異なる親アプリケーションによって生成されたコマンドシェル。
Traceから証拠となるアーティファクトを収集する際、Taniumの Detectを使用して、企業全体にわたってこれらの侵害の兆候（IOC）を検索することができます。 Detectは、ローカルの脅威検知リポジトリ、TAXIIストリーム、その他の脅威インテリジェンスフィードなど、さまざまなソースからIOCを取り込みます。 「Detect」機能により、エンドポイントの状態に応じてスキャンをカスタマイズすることができ、エンドポイントのオペレーティングシステム、ユーザーグループ、または特権管理者を持つシステムに基づいて、的確な対象選定が可能になります。
「Detect」については、当社の社内セキュリティチームが、主要なレピュテーション・データベース・サービスをはじめ、 （）、Palo Alto Networks Wildfire（ ）（新しいタブで開きます）、、など、いくつかの外部脅威情報ソースを購読しています。 Tanium 、、Connect （新しいタブで開きます）、、 を通じて、両製品の API をネイティブに活用し、実行中のすべてのプロセス、自動実行プロセス、および読み込まれたドライバのハッシュ値を、数十種類のウイルス対策エンジンと照合して確認することができます。 悪意のあるハッシュが特定されると、直ちに通知が届き、チケットが自動的に作成されます。
「Detect」に加え、Tanium Core を使用して、すべてのエンドポイントを対象に全社規模のアドホック検索を実行するだけで、同様のインジケーターが他の場所にあるかどうかを特定することができます。
Taniumを使用して感染したエンドポイントを修復し、調査結果に応じて、Taniumのアクションを実行して、実行中の悪意のあるプロセスを強制終了したり、不正なアプリケーションをアンインストールしたり、 (新しいタブで開きます) といったパッチをエンドポイントにその場で適用したりすることができます。
多くのインシデント対応調査は、この段階で終了します。 もしそうであれば、最初の検知から是正措置までの時間を計測し、そのプロセスに要した時間を記録することができます。 私たちの目標は、問題の解決にかかる平均時間を可能な限り短縮することです。
粘り強さ：潜伏する攻撃者を見つけ出す
Taniumは、 および に見られる一般的な永続化メカニズムを監視・検出するためのさまざまな手法を提供しており、これにはスタンドアロンの実行ファイル、不正なサービスDLL、ホスト型サービスモジュール、およびCOMコンポーネントなどが含まれます。
Taniumのリアルタイム検索およびスタック機能により、Windows Management Instrumentation（WMI）やスケジュールされたタスクといった一般的な攻撃手法を通じて、 マルウェアの持続化 を検出する際、当社のハンティング業務を効率的かつ効果的に行うことができます。 リアルタイムのスタッキングもまた、脅威ハンティングにおいて極めて重要な要素であり、すべての持続的メカニズムに対する外れ値分析を提供します。
新しい永続化メカニズムについて検証を行い、悪意のあるものと判断された場合は、Taniumを使用して の隔離 アクションを展開し、さらなる分析と修復が完了するまで、感染したエンドポイントを隔離します。
初期の感染は収束しましたので、そもそもどのようにして感染が発生したのかを特定する必要があります。
Tanium Traceは、 を通じてプロセスの実行状況を分析し、関連するプロセスツリーの履歴を提供するとともに、フォレンジック証拠を活用して侵害の兆候（IoC）を作成することで、これらの疑問にお答えできます。これにより、次の疑問「この成功した持続化手法は、他のエンドポイントでも試みられ、成功したのか？」への回答に役立ちます。
Detect を使用して、当社の IOC や Yara ルールを組み込み、企業全体で悪意のある活動の証拠を検索することで、自動検出アクションを作成します。 スコープアラートに対しては、最初の 15 分以内に初期のトリアージを行い、さらに1時間以内に上記の方法を用いてより詳細な情報を収集することを目指しています。
横方向の移動と情報流出：攻撃者の動きをその場で阻止する
「 」の「Lateral Movement」および「Achieve Objective」 フェーズ**において**、Tanium を使用して、攻撃者がよく用いるドメイン偵察手法を検出し、それらに関するアラートを作成しています。 例えば、攻撃者や、場合によっては不正な内部関係者でさえ、net.exe を利用してユーザーアカウントのグループを特定したり、さらには新しいユーザーを追加しようとしたりするなど、悪意のある可能性のある行為を試みた場合、Tanium からアラートが通知されます。
PowerShellは攻撃者にとって主要なツールとなっています。当社ではTaniumを活用し、プロセスツリーやコマンドライン、さらにはHTTPS接続を分析することで、不審なPowerShellの動作を簡単に検索しています。 psexecによるリモートコマンドの実行、WMIによるリモートコマンドの実行、不審な共有のマウント、およびスケジュールされたリモートタスクなど、ネットワークタイプ 3 のログインについて監視を行い、アラートを発信します。 多くの攻撃者は、ステルス性を高めるために主にメモリ上に存在するツールを使用することを好むため、弊社ではTanium Threat Response (新しいタブで開きます) を利用して、企業全体のエンドポイントのメモリを迅速に調査しています。
データの持ち出しを試みる際、攻撃者はファイルの内容やファイル名を暗号化するために、データを圧縮することがよくあります。 弊社では、Taniumの インデックスを使用して、ファイル名、パス、ハッシュ、ヘッダーバイトなど、不審な兆候が見られるファイルを検索しています。 そこで、攻撃者がファイルやその内容を圧縮・暗号化しようとすると、Tanium Indexは、不審なヘッダーバイトシーケンスを含む新規作成されたファイルがある場合に、その旨を通知してくれます。
横方向の移動やデータ流出の可能性がある事態に対応する際、Tanium では、悪意のある活動を是正するための即座の措置を講じるためのいくつかの選択肢が提供されます。 特権が昇格されたローカルアカウントの権限を降格および／または削除し、悪意のあるプロセスを強制終了するためのパッケージを展開し、侵害されたユーザーの認証情報をリセットし、不正な接続やポートを閉じることができます。
企業全体のエンドポイントを詳細に調査する機能に基づいた、数秒単位で大規模に実施されるこの検知ワークフローにより、当社の平均対応時間を目標範囲内に抑えることができ、攻撃者が目的を実行する前に検知・阻止することが可能となります。 Taniumというプラットフォームを活用することで、通常ならインシデント対応チームが数日、数週間、あるいは数ヶ月を要する作業を、数秒、数分、あるいは数時間で完了させることができます。
これは、全4回にわたるシリーズの最終回です。 『 』の第1部では、Tanium社において重要な脆弱性をどのように追跡しているかについてご紹介します。 『 』の第2部では、Taniumを活用して重要なコンプライアンス指標を追跡する方法について解説しています。 『 』の第3部では、TaniumとSplunkを組み合わせてパッチ管理データを提供する方法について解説しています。 Taniumを活用して、お客様の環境においても同様の測定を開始する方法については、 の概念実証（PoC） （新しいタブで開きます） に今すぐお申し込みください。*
続きを読む：
著者について：グレッグ・ポティエ氏は、Tanium社のセキュリティエンジニアであり、セキュリティの自動化、データ分析、侵入テスト、ソフトウェア開発の分野で豊富な経験を有しています。 Taniumに入社する前は、グレッグ氏は米国の複数の情報機関および政府機関でシニアエンジニアを務めていました。 グレッグ氏はジョージ・メイソン大学でコンピュータサイエンスの修士号を取得し、在学中にはNSA情報保証サイバー奨学金を授与されました。