実際のサイバー攻撃調査から得られたインシデント対応の教訓

はじめに  

インシデント対応において最も有益な教訓は、理論的な枠組みではなく、実際のサイバー攻撃の調査から得られるものです。サイバーセキュリティ・インシデント対応チームは、現実世界の攻撃者と対峙することで、かけがえのない経験を積み重ねていきます。現場でのサイバーセキュリティ・インシデント対応では、正式なインシデント対応プログラムでは完全に見落とされてしまうようなパターンが絶えず明らかになっています。このブログでは、軍事、ゲーム、銀行、重要インフラの各セクターにおける、記録されたサイバー攻撃の調査結果を直接引用しています。ここで紹介するインシデント対応の教訓はすべて、証拠に基づいています。サイバーセキュリティインシデント対応に関する推奨事項はすべて、実際に効果があった手法を反映しています。 

これらの調査対象には、EUの軍事組織を標的としたAPT28の活動、ゲーム会社を標的とした長期にわたるランサムウェア攻撃キャンペーン、そして長年にわたるDFIR（デジタルフォレンジックおよびインシデント対応）の経験から構築された複合的な事例が含まれます。それぞれの事例には違いがあるものの、インシデント対応から得られる教訓は驚くほど一貫しています。 

サイバー攻撃の調査が明らかにした、攻撃者が実際にどれほど長く潜伏し続けるか 

サイバー攻撃の調査において最も一貫して見られる事実は、攻撃者が忍耐強いということだ。APT28（ロシアのGRU第26165部隊）が関与した軍事セクターの事例では、攻撃者は、セグメント化されたアーキテクチャ、スマートカードによるアクセス制御、物理的に分離された機密ネットワークと標準ネットワーク、そして定期的なパッチ適用が行われているネットワーク内で、5か月以上にわたり検知されることなく活動していた。サイバーセキュリティインシデント対応チームは、5か月間にわたって環境情報を蓄積してきた、根を張った攻撃者を排除しなければならなかった。 

この攻撃は、MS Wordの脆弱性CVE-2015-2424を悪用したスピアフィッシングキャンペーンから始まり、航空ショーの参加者7人を標的とし、そのうち2人のアカウントを乗っ取った。その後、攻撃者は盗んだOWAの認証情報を使用してさらなる被害者を特定し、内部のカレンダーや会議データにアクセスし、組織の境界内においてマルウェアを拡散させた。 

今回のケースで脅威の検知および対応能力が機能しなかったのは、ツールが不足していたからではなく、内部ネットワークの可視性が限られていたためである。攻撃者は、内部プロキシがどの接続をブロックしているかを観察した後、ドロッパーを修正するなどして、絶えず対応を適応させていった。そして、環境が許す範囲に応じて、CORESHELL、EVILTOSS、CHOPSTICK、Mimikatzを順次展開した。 

この種のサイバー攻撃調査から得られるインシデント対応の教訓は明確です。可視性に関するインシデント対応の教訓は一貫して、脅威の検知と対応は境界だけでなく、ネットワーク内部でも継続的に行われなければならないことを示しています。境界制御やエッジでの脅威検知・対応だけでは、すでに内部の信頼関係を「高速道路」として利用している攻撃者を捕捉することはできません。脅威検知・対応には、境界の監視だけでなく、内部のテレメトリが必要です。これこそが、攻撃者を早期に封じ込める組織と、5ヶ月も経ってから発見してしまう組織とを分けるインシデント対応の教訓なのです。 

ランサムウェアインシデント対応：なぜ45日もかかるのか 

ランサムウェアのインシデント対応が迅速に進むことはめったにありません。このゲーム業界におけるランサムウェアの事例は、攻撃者の持続性について、インシデント対応における具体的な教訓を示しています。これは、ランサムウェアのインシデント対応が組織の予想をはるかに上回る時間を要する理由を最も明確に示す事例の一つです。 ランサムウェアのタイムラインを左右する要因を理解することは、組織の準備の在り方を再構築することにつながります。この事例では、12月に下請け業者の認証情報が悪用され、ExchangeサーバーのCVE-2021-42321を介して侵害が始まりました。ランサムウェアが実際に発動したのは4月でしたが、対応と復旧には依然として45日を要しました。  

ランサムウェアインシデントへの対応が開始された時点で、攻撃者は別のランサムウェア亜種を用いてバックアップサーバーを暗号化し、SSH経由で50台のESXiサーバーに感染させ、約2,000台の仮想マシンをダウンさせていました。インシデント対応チームは、何層にもわたる持続的侵入の手口を発見しました。このようなケースにおけるランサムウェアインシデント対応は、単なる復号化にとどまりません。数ヶ月にわたって構築された運用インフラを解体することこそが課題なのです。 

• Exchangeサーバー上に2つのウェブシェルが確認された。1つはw3wp.exeを介してPowerShellを起動し、もう1つはcadataKeyパラメータを介して任意のコマンド実行をサポートしており、パラメータが指定されていない場合は404エラーページにリダイレクトしていた 
• 複数のドメインコントローラー上に、悪意のあるlsass.dll認証情報収集ツールが確認された。このツールは、数百件の平文パスワードをC:\windows\temp\tmpQWER.tmpに収集し、その後、ドメインコントローラーを含む他のサーバーに拡散していた  
• EDRやアンチウイルスソフトの検知を回避するためにインストールされたAtera IT管理エージェントおよびSplashtopリモートデスクトップ。これは、サイバーセキュリティインシデント対応ツールの作動を意図的に回避するための手法である 
• 2月18日から始まった第2段階の攻撃では、Exchangeおよびドメインコントローラーシステムに対し、認証情報収集ツールやリモートアクセスツールを体系的にアップロードしていた  

ランサムウェアインシデント対応から得られる教訓：攻撃者が正規のツールを使用するのは、まさにサイバーセキュリティのインシデント対応ツールがそれらを「クリーン」と見なしてしまうからである。ランサムウェアのインシデント対応では、ランサムウェアのバイナリだけでなく、すべてのパーシステンス層を特定する必要がある。ランサムウェアのインシデント対応においてこの手順を省略すると、数か月以内に再び同じ攻撃に直面することになる。パーシステンスの追跡に関するこれらのインシデント対応の教訓は、あらゆるランサムウェア事案において、運用上最も重要なものの一つである。 

セキュリティインシデント対応マニュアルに見落とされている点 

多くの組織では、単純で直線的な侵害を想定して作成されたサイバーセキュリティインシデント対応マニュアルを採用しています。実際のサイバー攻撃の調査からは、標準的なセキュリティインシデント対応マニュアルのテンプレートが一貫して見落としている4つの教訓が明らかになっています。これらの教訓は、現場で観察された課題から直接導き出されたものです。 

• アウト・オブ・バンド通信: データ侵害を伴うサイバー攻撃の調査において、攻撃者は日常的に内部メールへのアクセス権限を持っています。調査について内部チャネルを使用して議論するセキュリティインシデント対応プレイブックは、攻撃者に「発見された」ことを知らせることになります。直ちにアウトオブバンドの安全な通信手段に移行してください。  
• 段階的な封じ込め: 直感的には直ちに隔離したくなるものですが、高度な調査において時期尚早な行動をとると、攻撃者に気づかれてしまい、証拠が損なわれる恐れがあります。より適切なアプローチは、まず状況認識を確立すること（侵入経路、持続性、タイムラインの把握）であり、その後、すべてのアクセスポイントにわたって協調的かつ同時並行的に攻撃者を排除することです。 
• 「排除日」プロトコル: 効果的なサイバーセキュリティインシデント対応とは、既知のすべてのアクセスポイントを同時に遮断する、単一の調整されたイベントに向けて構築されるものです。セキュリティインシデント対応プレイブックには、単に封じ込めのチェックリストだけでなく、「排除」プロトコルも盛り込む必要があります。 
• 法執行機関との連携: サイバースパイ活動やサイバー攻撃の調査においては、インシデント対応サービスに加え、法執行機関が関与することがよくあります。セキュリティインシデント対応プレイブックには、現地の法律に準拠し、法的手続きのために証拠の完全性を維持するための証拠保全基準を明記する必要があります。 

これらは、実際のサイバー攻撃調査から得られたインシデント対応の教訓です。それぞれの教訓は、セキュリティインシデント対応プレイブックが通常どのように作成されているかにおける具体的な課題を浮き彫りにしました。 

デジタルフォレンジックとインシデント対応：調査担当者がタイムラインを構築する方法 

デジタルフォレンジックとインシデント対応は、疑惑を証拠へと転換します。ゲーム業界の事例では、デジタルフォレンジックとインシデント対応の調査により、異なるディレクトリに数ミリ秒の間隔で作成された2つのウェブシェルが発見され、手動でのアップロードではなく、連鎖的なエクスプロイトが行われたことが確認されました。この1つのデジタルフォレンジックとインシデント対応による発見が、是正戦略全体を一変させたのです。  

サイバー攻撃の調査におけるDFIR（デジタルフォレンジックおよびインシデント対応）は、以下の点に重点を置いています：  

1. 実用的なIOC。NetWitness IRチームのデジタルフォレンジックおよびインシデント対応手法では、ネットワーク、ホスト、ログ、マルウェアの各データからAIOCを同時に構築します。単一の指標とは異なり、AIOCは攻撃者の行動パターンを捉えており、今後のサイバー攻撃調査で再利用されることで、攻撃元の特定を迅速化します。 
2. 横方向の移動のマッピング。攻撃者が接触したすべてのシステム、その順序、および発生時刻。これは、デジタルフォレンジックおよびインシデント対応作業の中核となる成果物であり、あらゆる攻撃タイムラインの基盤となります。 
3. 認証情報の悪用状況の再構築。どのアカウントが侵害されたか、特権昇格がいつ発生したか、そしてその方法。APT28の事例では、フォレンジック分析により、攻撃者が制御手段に遭遇するたびに、それを回避するためにツールをリアルタイムで適応させていたことが追跡されました。 
4. データ流出の範囲。ゲーム業界への攻撃の第3段階において、データ流出が証拠によって確認されました。DFIR（デジタルフォレンジックおよびインシデント対応）の取り組みは、ネットワークから何が、どの経路を通じて、いつ流出していたのかを特定することに重点が置かれました。これらは、是正措置や規制上の義務を果たす上で不可欠な情報です。 

脅威の検知と対応の有効性は、その基盤となるフォレンジック調査の質に左右されます。デジタルフォレンジックとインシデント対応こそが、その基盤を築くものです。これがなければ、チームは不完全な可視性のもとで対応を迫られ、十分な証拠に基づかずに意思決定を行わざるを得なくなります。検知と対応の精度は、最終的にはフォレンジック調査の基礎作業の深さと質に依存するのです。 

インシデント対応は排除で終わりではない――脅威ハンティングが必要 

排除が行われた時点で、進行中のインシデントは終了します。しかし、リスクが解消されるわけではありません。高度なサイバー攻撃の調査から得られる一貫したインシデント対応の教訓として、高度な攻撃者は再び戻ってくることが分かっています。これは、APTレベルの事例から得られる最も重要なインシデント対応の教訓の一つです。排除後の脅威ハンティング調査こそが、攻撃者が再びアクセスを確立する前に彼らを捕捉する方法なのです。 

インシデント後の段階における脅威ハンティング調査では、異常なデバイスの接続、攻撃者の過去の行動と一致するトラフィックパターン、不正なアカウントやポリシーの変更、および既知のマルウェアファミリーが新たな場所で再出現していないかなどを探します。脅威ハンティングには、受動的なアラート通知ではなく、能動的で人間主導の分析が必要です。 

サイバースパイ活動の場合、洗練された攻撃者は一度排除されても再侵入を試みるため、脅威ハンティングによる調査は、正式なインシデントの終結後も相当期間にわたって継続されます。ネットワークの監視と継続的な脅威ハンティングは、これを検知するための主要な手段です。国連機関への侵入や大規模なサプライチェーン攻撃といった重大な侵害事件の後、再侵入の試みを検知できたのは積極的な脅威ハンティングのみであり、自動アラート機能では検知できませんでした。 

ここから得られるインシデント対応の教訓は明白である。高度なサイバーセキュリティインシデント対応において、脅威ハンティング調査は必須である。これは、インシデント対応の教訓の中でも、最も頻繁に「手遅れになってから」学ばれるものの一つだ。高度なサイバー攻撃の調査において、脅威ハンティング調査は、明らかなアラートへの対応にとどまらず、環境が実際にクリーンであることを確認するための手段なのである。