「高度持続的脅威（APT）」とは？

「高度持続的脅威（APT）」とは何ですか？

「高度持続的脅威（APT）」とは、高度な技術を持つ攻撃者（通常は国家主体または国家が支援するグループ）が、組織のネットワークに不正にアクセスし、長期間にわたり検知されずに潜伏し、高度な技術的能力と攻撃者の執拗な執念を組み合わせた長期にわたるサイバー攻撃を通じて、機密データを組織的に窃取したり、サイバー諜報活動を行ったり、重要インフラを破壊したり、あるいは戦略的目標を達成したりする、洗練された標的型サイバー攻撃を指す。

迅速な金銭的利益を求めて複数の標的に対して広範囲な攻撃を仕掛ける日和見的なサイバー犯罪者とは異なり、APT攻撃者は、貴重な知的財産、機密情報、あるいは重要インフラを保有する高価値な標的を特定するために綿密な偵察を行い、その後、特定の組織の脆弱性に合わせたカスタムマルウェア、ゼロデイ攻撃、ソーシャルエンジニアリング、フィッシングキャンペーンを用いて、入念に計画された高度で持続的な脅威（APT）攻撃を仕掛けます。こうした執拗な攻撃者は、長期的なコマンド＆コントロール通信を確立・維持することで、継続的なネットワークアクセス、システム間を横断して貴重な資産を発見するラテラルムーブメント、機密情報を盗み出すデータ流出、そして洗練された難読化技術を用いて検知を回避しつつ、数ヶ月から数年にもわたって継続するサイバー脅威作戦を可能にしています。

同義語

「高度持続的脅威（APT）」が重要な理由

高度持続的脅威（APT）は、国家レベルの資源、高度な技術力、戦略的な計画、そして執拗な粘り強さを兼ね備えており、従来の防御策では十分に対処できない脅威を生み出すため、サイバー攻撃の中でも最も危険なカテゴリーに位置づけられます。

国家レベルの資源が高度な攻撃を可能にする：政府の資金や情報機関の支援を受けたAPT（Advanced Persistent Threat）攻撃者は、一般的なサイバー犯罪者をはるかに凌ぐ能力を有している。ゼロデイ攻撃へのアクセス、カスタムマルウェアの開発、広範な偵察能力、そして無制限の資源により、オンプレミスのセキュリティツールでは検出できないほど高度な攻撃が可能となる。
戦略的目標が執拗な持続性を正当化する：一般的なサイバー犯罪者は初期の侵入に成功すると標的から手を引くが、APT攻撃者は、必要な時間がどれほどかかろうとも、組織的な目標を追求するという戦略的焦点を維持し続ける。この持続性により、攻撃者は部分的に検知された後も活動を継続し、防御側が特定の攻撃手法を検知・遮断した場合には、コマンド＆コントロール（C&C）インフラを移転させたり、戦術を適応させたりする。
潜伏期間の長期化が被害を拡大させる：平均的なAPT（高度持続的脅威）の潜伏期間は数ヶ月に及ぶため、攻撃者は発見されるまでに、組織内に持続的な足場を築き、計画的に貴重な資産を特定し、膨大な量のデータを持ち出し、組織のセキュリティ態勢を完全に把握してしまう。検知される頃には、攻撃者はすでに目的を達成しており、再感染を可能にする複数のバックドアを維持していることが多々ある。
標的型ソーシャルエンジニアリングがユーザーの警戒心を無効化する：一般的なフィッシングメールは汎用的なメッセージを使用するのに対し、APTキャンペーンでは、偵察を通じて収集した個人情報を盛り込んだ、特定の個人に合わせた標的型フィッシングを採用しており、メッセージは完全に正当なものに見えます。セキュリティ研修を受けた従業員でさえ、高度なスピアフィッシングと正当な通信を見分けるのに苦労します。
カスタムマルウェアはシグネチャ検出を回避する：APT攻撃者は、ウイルス対策ソフトの検出をトリガーする既製のマルウェアを使用するのではなく、標的のために特別にカスタマイズされた悪意のあるソフトウェアやプログラムを開発します。これらのカスタムツールは、ウイルス対策ベンダーがこれまで見たことのないものであるため、シグネチャベースの検出を回避し、検出には行動分析や脅威インテリジェンスが必要となります。
ゼロデイ攻撃は修正済みの防御を迂回する：APT攻撃者は、組織がその存在に気づいていないためパッチを適用できない、これまで知られていなかった脆弱性（ゼロデイ脆弱性）を悪用する。こうした高度なサイバー脅威は、最新のパッチやセキュリティ更新プログラムが適用され、適切に管理されているネットワークでさえも突破してしまう。
インフラへの妨害行為が長期的な被害をもたらす：電力網、水処理、交通、医療システムなどの重要インフラを標的とした高度持続的脅威（APT）攻撃は、個々の組織の枠をはるかに超えて、広範囲にわたる混乱、人命の損失、経済的損害を引き起こす可能性があります。

高度持続的脅威（APT）の仕組み

高度持続的脅威（APT）を正しく理解するには、持続的な脅威アクターが用いる攻撃の段階や戦術を把握する必要があります：

1. 偵察と標的の選定：

高度持続的脅威（APT）キャンペーンは、従業員名簿、組織構造、セキュリティインフラ、ネットワークアーキテクチャ、貴重な資産など、標的となる組織に関する情報を収集する大規模な偵察から始まります。攻撃者は、LinkedIn、企業ウェブサイト、ソーシャルメディア、オープンソース情報収集などの公開情報源を活用して、標的に関する包括的な理解を深め、その後の攻撃計画の策定に役立てます。

2. 初期侵入と悪用：

偵察の後、攻撃者は複数の攻撃ベクトルを用いて初期侵入を行います。悪意のある添付ファイルやリンクを含むフィッシングメールによるソーシャルエンジニアリングは、従業員を騙してマルウェアをダウンロードさせたり、攻撃者が制御するウェブサイトにアクセスさせたりします。ウォーターホール攻撃は、標的となる従業員が頻繁にアクセスする正規のウェブサイトを乗っ取ります。サプライチェーン攻撃は、信頼されているベンダーを通じてマルウェアを侵入させます。ゼロデイ攻撃は、パッチが適用されていない脆弱性を突いて侵入します。過去の侵害事件で流出した認証情報を利用することで、直接的なアクセスが可能になります。

3. 持続性の確立：

ネットワークに侵入すると、攻撃者は直ちに持続性メカニズムを確立し、初期の侵入経路が発見された場合でも継続的なアクセスを確保します。持続性確保の手法には、リモートアクセスを可能にするバックドアのインストール、隠しユーザーアカウントの作成、システムファイルの改ざん、カーネルレベルのアクセスを可能にするルートキットの展開などが含まれます。複数の持続性メカニズムにより、攻撃者は冗長なバックドアを通じてアクセスを維持します。

4. 横方向の移動と権限昇格：

攻撃者は、最初の侵入ポイントから活動するのではなく、ネットワーク内を横方向に移動して、重要なシステムを特定します。システム間の信頼関係を悪用し、侵害されたアカウントから認証情報を盗み出し、権限を管理者レベルまで昇格させることで、ネットワークのより広範な探索や機密データへのアクセスを可能にします。

5. データの持ち出し：

攻撃者は、知的財産、機密情報、顧客記録、財務データなどの貴重なデータを見つけ出すと、通常のトラフィックに偽装した隠蔽された経路を通じて、検出を回避するために暗号化したり、匿名性を確保する中間システムを経由させたりして、盗んだ情報を持ち出します。

6. コマンド＆コントロール（C&C）インフラ：

攻撃者は作戦全体を通じて、侵害されたシステムを遠隔操作したり、追加のマルウェアをダウンロードしたり、攻撃者からの指示を受け取ったりするためのコマンド＆コントロール通信を維持します。高度な持続的脅威（APT）の攻撃者は、暗号化された通信、プロキシネットワーク、および侵害された正規のサービスを利用し、通常のネットワークトラフィックの中に悪意のあるトラフィックを隠蔽します。

よくある質問

1. 高度持続的脅威（APT）攻撃とは何ですか？

APT攻撃とは、高度な技術と執拗な執念を駆使して、熟練した攻撃者が不正アクセスを獲得し、長期間にわたり検知されずに潜伏し、機密データの窃取、スパイ活動、あるいはインフラへの妨害行為を行う、高度で標的を絞ったサイバー攻撃のことです。

2. 高度持続的脅威（APT）攻撃の主な目的は何ですか？

高度持続的脅威（APT）の主な目的には、知的財産の窃取、政府の利益のためのサイバー諜報活動の実施、重要インフラへの妨害工作、機密情報の取得、持続的なネットワークアクセス権の確立、あるいは長期にわたる戦略的目標の達成などが含まれます。

3. 高度持続的脅威（APT）はどのように機能するのでしょうか？

APTは、標的に関する情報を収集する「偵察」、脆弱性やソーシャルエンジニアリングを悪用して初期アクセスを獲得する「初期アクセス」、隠れたアクセス経路を確立する「持続化」、ネットワーク内を移動する「横方向の移動」、貴重な情報を盗み出す「データ流出」、そして攻撃者の制御を維持する「コマンド＆コントロール」という一連のプロセスを通じて機能します。

4. 高度持続的脅威（APT）に対するSIEMの検知機能をどのようにテストすればよいでしょうか？

高度持続的脅威（APT）の手法を模倣したレッドチーム演習を実施し、テストネットワーク内で合成攻撃シナリオを作成し、既知のAPTインジケーターをログに注入し、検知結果を分析し、特定された検知の死角に基づいて相関ルールを改良することで、SIEMの検知機能をテストします。

5. 高度持続的脅威（APT）をどのように検知するか？

SIEMによる相関分析で不審なパターンを特定すること、EDRによるエンドポイントの動作監視、NDRによるネットワークトラフィックの分析、脅威ハンティングによる隠れた侵害の積極的な探索、脅威インテリジェンスによる既知のAPT指標の特定、およびセキュリティテストによる防御体制の検証を通じて、APTを検知します。

6. ネットワークの文脈において、APTとは何を意味しますか？

ネットワークおよびサイバーセキュリティの文脈において、APTとは「Advanced Persistent Threat（高度持続的脅威）」を指します。これは、高度な技術を持つ国家、あるいは国家が支援する攻撃主体による、洗練された持続的なサイバー攻撃であり、長期にわたるスパイ活動や破壊工作を目的として、ネットワーク内に潜伏し続けるものです。

7. 「永続的な足場」とは何ですか？

「永続的な足場」とは、攻撃者が仕込む隠されたアクセス手段のことで、バックドア、隠しアカウント、ルートキット、改ざんされたシステムファイルなどがこれに含まれます。これにより、初期の侵入経路が発見された場合でも、ネットワークへのアクセスを継続することが可能になります。

8. 以下のうち、高度持続的脅威（APT）を正確に説明しているのはどれか?

APTとは、高度な技術を用い、ネットワーク上に持続的な存在を維持し、長期間にわたり貴重なデータを盗み出し、一般的なセキュリティ防御を回避する、熟練した国家主体の主体による、洗練された標的型サイバー攻撃であると正確に説明される。

9. 高度持続的脅威（APT）は常にデータを盗んでいるのでしょうか？

いいえ、高度持続的脅威（APT）には、サイバー諜報活動、インフラへの妨害工作、競合他社の情報収集、混乱を引き起こすキャンペーン、あるいは将来の作戦に向けた持続的なアクセス権の確立など、複数の目的があり、必ずしもデータの窃取を目的とするわけではありません。

10. なぜ「高度」や「持続的」と呼ばれるのでしょうか？

「高度」とは、洗練された手法、特注のマルウェア、ゼロデイ攻撃、国家レベルの資源などを指します。「持続的」とは、検知の試みにもかかわらず、数か月あるいは数年にもわたってネットワークへのアクセスを維持し、目的を達成しようとする執拗さを表しています。

11. APTは、通常のマルウェアや典型的なサイバー攻撃とどのように異なるのでしょうか？

APTは、特定の組織を標的とする点、高度な技術力、数ヶ月に及ぶ長期にわたる活動、洗練されたソーシャルエンジニアリング、特注のマルウェア、コマンド＆コントロール（C&C）インフラ、そして機会主義的なサイバー犯罪者の利益追求とは対照的な、国家レベルの戦略的目標を掲げている点で、通常のマルウェアやサイバー攻撃とは異なります。

12. APTは通常、どのくらいの期間、検知されずに潜伏し続けるのでしょうか？

APTの平均潜伏期間は200日から300日以上とされ、中には数年もの間検知されずに潜伏し続け、防御措置が講じられる前に大規模なデータ窃取やインフラへの侵害を可能にする高度な攻撃キャンペーンも存在します。

高度持続的脅威（APT)

Related Topics