潜伏型攻撃:攻撃者が「外は頑丈で中はソフト」なネットワークを好む理由TweetPocket組織のセキュリティ対策2014.5.8更新日:2017.9.29「外はパリパリ、中はもちもち」というフレーズは、キャンディー、クッキー、あるいはタコスの宣伝でも企業に使用されています。2014予測レポートに記されている一部の予測と特に関連性があります。Labsの見通しを論じた予測を分かりやすく表しています。2014年に大幅に増加すると考えられる潜伏型攻撃の1つのクラスは、高度な回避技法(AET)を基盤としています。AET攻撃では、犯人は攻撃転送メカニズムの設計および構築に、少なくとも攻撃自体またはペイロードの設計および構築と同じほどの時間を費やします。AETベース攻撃の目的は、標的ネットワークの境界防御を欺いて、外見的には関連性のない転送データセットに含まれているのが良性のデータであると信じ込ませることです。実際には、悪質なウイルス、データを盗み出すトロイの木馬、あるいは標的デバイスの物理的な誤作動を引き起こすように設計されたプログラムが含まれています。Programming)と呼ばれています。この攻撃では、エクスプロイトが既知の良性のアプリケーションの実行スタックに自身を挿入します。この攻撃はここから悪事を開始します。信頼されるアプリケーションに「隠されている」ため、このマルウェアはオペレーティングシステムにも大半のアプリケーション層のセキュリティ防御にも全く検知されずに動作できます。ペイロードは、発見しうる最も重要なデータを利用するために動作するまで、数週間から数ヶ月メモリに休眠状態で潜んでいることもあります。ROP攻撃については別途ブログで紹介することにして、今日はネットワークインフラストラクチャとセキュリティ対策を標的とするAETに焦点を当てます。標準的なAETベースの攻撃では、ペイロードまたはエクスプロイトは侵入ロジックの「シェル」で覆われています。このシェルのおかげで、ファイアウォール、侵入検知システム、さらには最新の実行可能ファイルサンドボックステクノロジにも完全に「良性」に見えるのです。AETシェルは、企業ネットワークの頑丈な外壁を破壊するために特別に設計されています。ほとんどのセキュリティ対策は、この外壁に施されています。以前なら、あるネットワークが偵察攻撃の標的にされた場合、この攻撃はその特定のネットワークに侵入するためだけに設計されたものでした。ネットワークを侵害するこのすべての取り組みが目指しているのは、すべての非常に貴重なもの(データとデバイス)が配置されている企業のソフトな「内部」に居座ることです。ネットワーク内に侵入すると、AETはできる限り検知を逃れるために自身の形跡を隠し続けます。一般的には、自身をメモリの隅にインストールした後、システムのストレージサブシステムの自身の形跡を削除する自己消去型マルウェアなどの技法が使用されています。サイバー犯罪者の視点で見ると、AETのアプローチにはいくつかの明らかなメリットがあります。侵入テクノロジに投資することで、成功を収めるエクスプロイトを開発できる可能性が飛躍的に高まります。Labsは、2013年12月の時点で450を超える異なる回避技法を特定しています。AETのアプローチがもたらす2つ目のメリットは、個々の回避技法を組み合わせることで、現在の検知技法では検知できないまったく新しい回避技法を生み出せる可能性があることです。個別の回避技法を自由に組み合わせることはできませんが、標的ネットワークとその防御方法を熟知していれば、犯人は標的の防御を崩すことを目的とする、回避技法を組み合わせた新しい“包装(された脅威)”を作成できるでしょう。AETのアプローチでは、犯人はエクスプロイトのペイロードに費やす費用を削減できます。一度侵入に成功しさえすれば、未保護のシステムやパッチが適用されていないシステムは以前のエクスプロイトで十分に悪用できるからです。皆さんのネットワークにはパッチが適用されていないシステムはないですよね。Labsが予測する潜伏型攻撃の襲来に直面したとき、経験豊富で信頼できるセキュリティ担当者はどのような行動に出ると思いますか?まず、このような高度な攻撃の犯人のように考えることから始めます。自社のネットワークをハッキングするとしたら、あなたならどこから攻撃しますか?現在のセキュリティ体制で3~4箇所の既知の弱点を特定できるなら、悪質な人物たちも同じように特定できるはずです。新しい脆弱性や攻撃対象を特定するための「攻撃役チーム」ドリルを定期的に実施していない場合は、今すぐ始めてください。次に、インフラストラクチャの保護とデータの保護は、異なるセキュリティポリシー、手順、テクノロジが必要な別々の活動になる場合があることを認識してください。企業の中核の知的財産の保護に使用するポリシー、活動、テクノロジには、最先端の暗号化と組み合わせた非常に強力なアクセスおよび認証が関係する場合があります。製造工場のスマートデバイスの保護には、非常に厳格なアプリケーション制御と、企業ネットワークの他の部分とは「エアーギャップ」された独立した内部ネットワークが必要になることがあります。最後に、AETベースの攻撃を特定して隔離するために特別に設計されたマカフィー製品を紹介します。Firewallは、回避防止セキュリティとエンタープライズクラスの可用性機能、そしてセキュリティ体制の進化に合わせて機能を追加できるモジュール型セキュリティエンジンを組み合わせた唯一の次世代ファイアウォールソリューションです。Platformは、侵入を試みる潜伏型攻撃を特定するために、1秒あたり60ギガバイトのデータトラフィックをスキャニングできます。Defenseは、境界防御を突破するマルウェアを捕獲、分解、分析し、企業ネットワークの「ソフトな(セキュリティが施されていない)」内部を標的とするマルウェアを特定します。Evader(英語ページ)をダウンロードし、Evaderを使用してSANSが実施したことに関するレポート(英語ページ)をお読みください)。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。責任をもって共有するために。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。