特定の組織に狙いを定めて用意周到な準備の上で攻撃を仕掛けるため、緻密な調査を事前に実施するのが特徴のひとつですが、攻撃者は、この調査にあたり、一般に公開されている情報を利用します。■事前調査:公開情報が狙われる。今日、どの業種の企業も、円滑な事業運営を維持しつつ同業他社に競い勝つためには、自社Webサイトでの広報活動やサービス・製品の紹介、ソーシャルメディアを活用したマーケティング活動など、いわゆるインターネットを活用した事業活動が不可欠となっています。した状況のなか、各企業は、以下のような形で企業情報を一般に公開しています。自社および従業員のソーシャル・ネットワーク・サービス(SNS)のアカウント攻撃者は、特定の組織を標的とする際、まずこういった公開情報の収集から着手します。集めた情報を元にソーシャルエンジニアリングの手法を利用して、さらなる情報を収集するのです。Explorer(IE)の機能が利用される場合もあります。この機能は、IEのバージョン4.0以降から搭載されています。攻撃者は、このresプロトコルで記述されたリンクをユーザにクリックさせるだけで、そのユーザのシステム環境上で使用されているソフトウェアに関する情報を取得することができるのです。どのようなファイル共有プログラムやWebブラウザ、メールクライアント、リモート管理ツールなどを使用しているのかを特定することが可能となります。取得したソフトウェアが抱える不具合や脆弱性を突き止めます。ソーシャルエンジニアリングやresプロトコルで得られた情報を把握した上で、攻撃者は、攻撃を確実にするための準備をこの事前調査の段階で進めるのです。単発で仕掛けられることは稀で、実際には、継続して何度も仕掛けられます。トレンドマイクロでは、こうした一定の期間に標的のネットワーク内部に侵入しようとして成功と失敗を繰り返す一連の試みを「作戦活動(キャンペーン)」と呼んでいます。このキャンペーンのことである」と捉えると理解しやすくなるでしょう。キャンペーンを継続して調査しており、こうした調査の結果から、標的とする組織のネットワークに侵入する際、多くの場合、不正なファイルを添付した標的型メールが発端となっていることを確認しています。Excelなどのファイルが利用されています。インドや日本を狙うキャンペーン「Luckycat」および電気通信事業や政府機関を狙うキャンペーン「IXESHE」では、狙われた組織の従業員に即した標的型メールが巧妙に作成されており、彼らが思わず開封してしまうような内容のメッセージが記述されていました。した標的型メールだけではありません。トレンドマイクロでは、インスタントメッセンジャ(IM)やソーシャル・ネットワーキング・サービス(SNS)を介して、「ドライブバイ・ダウンロード」を引き起こす不正なWebサイトに誘導する事例も確認しています。Player:CVE-2011-0609CVE-2011-0611上記の表から、標的とされる産業が攻撃者の意図に応じて異なっており、また、必ずしもゼロデイ脆弱性が利用されているわけではないことがわかります。攻撃者が標的とする組織を定め、その上で攻撃者自身が周到な調査をしていることが理解できます。■従来のセキュリティ教育+実践的な演習の導入の検討を持続的標的型キャンペーンの場合、一旦、狙われた組織のネットワークが侵入されると、攻撃者は内部事情に精通しているため、その検知は極めて困難となります。攻撃者側は、侵入したネットワーク内を縦横無尽に動き回り、ネットワークや組織内の状況に応じて容易に軌道修正することも可能です。した状況を考慮すると、標的型攻撃に対する総合的なセキュリティ戦略の一環として各企業が取り組むべきは、セキュリティに関する教育・トレーニングなどの見直しだといえます。社員に試験的に標的型メールを送るなどの訓練や実践的な演習を実施することで、攻撃者からの狡猾な手法に対して適切に対応することができるでしょう。「演習などを通じて訓練された社員は、潜在的な脅威を報告することができ、企業内のセキュリティ対策に対する貴重な”スレットインテリジェンス”の情報源となります。した”教育”は、企業内のセキュリティ意識を高める重要な対策となります。攻撃の流れの第3段階の「C&C通信」および第4段階の「情報探索」に焦点をあててご説明します。