一覧はこちら悪意のある攻撃者にとって、クラウドにおけるリソースは、攻撃を行うための「武器」として価値が高まっており、クラウド利用者のリソースが悪用されるケースが増えています。攻撃では、ターゲットに対して一斉に攻撃を仕掛けるリソースとして、第三者のリソースを踏み台として悪用するなどのケースがあります。自動的に環境内のリソースのログを収集して分析します。重要度に合わせて表示することで、対処しなければならない緊急のものがすぐに分かるようになっています。環境で発生している被害の流れとしては、大きく3つのフェーズで行われています。ブルートフォース攻撃を仕掛け、侵入が可能な環境を探します。SSHが有効化されています。攻撃者は、こうしたリモート管理を行う際の認証にて、弱いパスワードや二要素認証を利用していないなど、管理の甘い環境を狙い、総当たり攻撃(ブルートフォース)などにより認証を突破し、環境を乗っ取ります。接続の認証失敗が連続して発生していないかをモニターします。異なるIPアドレスから、同時にRDP接続要求があるなど、不審な点が見られる場合にもアラートを上げます。攻撃者は、乗っ取り後に、遠隔操作を容易にするため、いくつかの管理アカウントを作成することが多くあります。した不審なRDP接続要求の後に、RDP接続成功が出ている場合、次に、攻撃者によって新たなアカウント作られていないかを確認します。DDoS攻撃を行うためのツールをインストールします。セキュリティセンターでは、攻撃者が作業を行う際によく見られる以下のような操作を検出します。RDP接続のネットワークレベル認証の値を変更し、乗っ取った環境が他の攻撃によって邪魔されることを防ぐ。接続時に表示される警告を表示しない設定へ変更する。リクエストやクエリをオープンリゾルバに送付します。応答が一斉にターゲットに返され、機能不全に陥ってしまいます。セキュリティチームは、顧客環境が踏み台被害を受けて他環境を攻撃していると判断し、緊急性などに応じて、顧客に連絡し、対処、調査など適切な対応を行います。いま一度、以下のポイントを確認/検討して、踏み台となってしまう被害を未然に防ぎましょう。被害を防ぐためにはこのように、自身のAzure環境が乗っ取られ、踏み台として他の攻撃に利用されてしまうケースが後を絶ちません。「検証環境なので設定が甘い」「共有利用するためにパスワードを簡易なものにしている」など、セキュリティ設定が甘くなっている環境が多く被害を受けています。環境で利用するリモート接続における認証管理を強固にする_攻撃者はまず踏み台とするVMに不正侵入するために、さまざまなツールを利用し認証を突破しようとしています。パスワードを強固なものにし、二要素認証を有効にするなど、設定を強固にしておきましょう。エンドポイントの適切な管理_Azure環境でVMを作成した場合、リモートデスクトップとPowershellによるリモート管理のためのエンドポイントが既定で作成されます。不要なエンドポイントは削除し、利用するエンドポイントについてはパブリックポートから変更するなどの対応を取ります。Azureなどを参考にしてください。利用してVMへの接続を、IPアドレスなどにより制限するなどの管理を行うことができます。設定を有効化し、攻撃者による攻撃の糸口を最小限に防ぎましょう。groups」を参照してください。Azureセキュリティセンターによるアラートを確認し対応する_Azureセキュリティセンターを活用し、今回ご紹介したアラートが出ている際には素早く対応することが重要です。エンジニアを経て現職。セキュリティの意識向上活動、インシデント対応に従事。CRYPTREC委員。本記事は掲載時点の情報であり、最新のものとは異なる場合がございます。人気記事をお届けしますダウンロードBOXに入れる記事をダウンロードBOXに追加します。よろしいですか?ブックマーク記事をブックマークに追加します。Corporation。