セキュリティの
学び場

今回の解説ニュース

国内で発生した標的型攻撃について、攻撃者のグループごとに傾向と可視化のために必要な対策が公開されています。サプライチェーンリスクを巻き込んで発生している標的型攻撃の現状について説明します。

標的型攻撃とは、Advanced Persistent Threatを略してAPT攻撃とも呼ばれる、特定の個人や組織を狙ったサイバー攻撃です。一般的なセキュリティ対策では検出できないマルウェアや攻撃手法を使って、対象となるシステムへ侵入を試みます。

標的型攻撃者グループとして挙げられているのは「Lazarus Group」「menuPass」「BlackTech」「LODEINFO」「KONNI」「Gamaredon Group」とマルウェア「SUNBURST」を用いるグループです。国内で確認された標的型攻撃で、初期潜入の傾向として標的型メール、遠隔攻撃による直接侵入、サプライチェーンの弱点を悪用する攻撃、組織の従業員に対する攻撃が挙げられています。また、自身の隠蔽工作の手口として、正規ツールの悪用や、遠隔操作ツールの実行時にファイル本体を用いない「ファイルレス攻撃」や、攻撃対象の端末のみマルウェアや不正なスクリプトのダウンロードに進む多段構成の攻撃事例も確認されているということです。

経由する踏み台により異なる３つのサプライチェーン攻撃

本レポートで公開されている３つのサプライチェーン攻撃について説明します。標的となる組織へ直接侵入することが難しい場合に経由する踏み台に違いがあるようです。

ソフトウェアサプライチェーン攻撃は、まずソフトウェアを開発する組織のネットワークに侵入し、プログラムの中にマルウェアを混入させ、標的となる組織へ侵入します。2020年12月、ネットワーク監視製品である「SolarWinds Orion プラットフォーム」の開発環境が侵害され、アップデート時にマルウェア「SUNBURST」などが混入したプログラムが配布された事例があります。

サービスサプライチェーン攻撃は、標的となる組織が利用しているサービス事業者へ侵入し、提供されているサービスの仕組みを悪用して、標的となる組織へ侵入します。システムの運用や監視などを請け負っている業者に対して特別なアクセス経路や権限が付与されている場合があり、直接侵入できない組織でもサービス事業者を踏み台にすれば侵入できてしまう可能性があります。

ビジネスサプライチェーン攻撃は、子会社や海外拠点、取引先のネットワークを経由して、標的となる組織へ侵入します。例えば、本社で十分なセキュリティ対策が実施されている組織であっても、子会社のセキュリティの予算が十分ではない場合があります。また、取引先に成りすましたメールにマルウェアを添付して、標的となる組織の端末へ感染を試みます。

サイバー攻撃の抜本的対策「MITRE ATT&CK」とは？

サイバー攻撃情報フレームワーク「MITRE ATT&CK（マイター アタック）」について説明します。
MITRE ATT&CKとは、攻撃者の行動を目的や攻撃手法から分類したナレッジベースです。セキュリティ対策が未然防止から事後対応へ範囲が広がっており、攻撃成立後に着目したMITRE ATT&CKへの注目度が上がっています。

セキュリティ対策に関与するすべての参加者が同じ目線で参照できるものを

今までのセキュリティ対策では、エンジニアが属人的に判断していたことが原因で、対応の品質にバラつきが出てしまう問題が発生していました。MITRE ATT&CKは、共通的なフレームワークを提供することによって妥当性と網羅性を担保することで、セキュリティ対策に関与するすべての参加者が同じ目線で参照できるものにしました。

攻撃者の目的・攻撃手法から、防御側がどこまで対策するかを可視化

具体的に、MITRE ATT&CKは「Groups」「Software」「Technique」「Tactics」の要素で構成されており、それぞれ「攻撃者」「ツール」「攻撃手法」「目的」と置き換えられます。例えば、攻撃者であるmenuPassが、ツールであるCobalt Strikeを使い、攻撃手法としてmenuPassがCobalt Strikeで攻撃に使う技術が、攻撃の目的に関連付けられます。つまり、攻撃者目線で説明すると、攻撃の目的を達成するためには複数の攻撃手法を駆使する必要があり、防御側目線で説明すると、攻撃の目的を達成させないために、攻撃手法についてどこまで対策するかを可視化することができます。攻撃者ごとにTTPs、つまり、目的、攻撃手法、行動を突き合わせて、と言われているのはこのような作業ですね。

ちょっと込み入った内容になってしまいましたが、今回はここまでにします。MITRE ATT&CKはその他にも様々な使い方がありますので、ご興味がある方は公式ホームページをご覧ください。