Intelligenceの面白い講演があったので共有します。Intelligenceの専門家です。Attributionに関する難しさについて議論していました。Attributionという技術になります。Intelligence分野には重要な要素になります。Hackerが攻撃をしてくるであろう金融・インフラ・軍事産業などでは非常に重要な技術となります。Techniqueも多数存在すると述べています。攻殻機動隊のアニメでよく出てくる台詞「あるいは、我々にそう思わせたい第三者の意図が介在している」ってケースです。具体的な技術として以下を挙げています。前の章にでてきたDisinformation技術とは、意図的に広められる虚偽・不正確な情報を意味します。要するに、偽の情報を流すことで異なる攻撃者がやったように思わせる技術です。Mark氏はDisinformationの技術を中心にAnti-Attributionを実現しながら攻撃を行うオペレーション・フローとして以下を紹介しています。同時に、攻撃の容疑を擦り付ける相手(Mimic)に関する情報も収集します。Mimicその後、Attribution分析をしたときに、その対象がMimicにいくように仕向けます。以下の技術が紹介されていました。C&CサーバをMimicの国のIPアドレスを使うファイル名・パスワードにMimicを示唆する文字列を入れるバイナリファイル・マルウェアの中に、Mimicを示唆する特定の文字列を入れる。言語IDを入れておく。Mimicその後、Mimic用の攻撃インフラストラクチャを構築します。スピーカーは中国をMimicとする事例を挙げていましたが、その場合は以下のようなことをするそうです。AttributionではOSINT技術が使われますが、そこで誤った情報に誘導されるようにインターネット上の情報に汚染された情報を流していきます。Feed(VirusTotal・AlianVault・OpenPhish)にも汚染されるような状態までの状態を目指します。(例えば、まずは偽装円ウェアを作成して、VirusTotalにアップロードしてMimicにつながるようになどです。Attack準備が終わったら、攻撃を実施します。Mimic最後の段階として、Mimicに非難が集中するように仕向けます。Deniabilityを利用するMimicとなる国を非難するよにシフトする望むべき結論がでるよう、「独立性のある」第三者と協力する全てのインフラストラクチャを削除する結論...最後にMark氏はこのように述べています。Attributionは、抑止力のための基礎であり、正しいAttributionなしに抑止力はなしえない。Intelligenceにおいて大きな問題を投げかけており、間違ったAttributionをもとに特定の国に攻撃的な態度をとった場合、政治的にも大きな問題になりえる。Attributionの正確さを確かめるためには、物理的に攻撃者のマシンを調べるほかにはなく、それ以外の分析は全て"ベストエフォートによる推測"に過ぎず、「大筋正しい」という結論でしかない。そのため、ソースの正確性については常に気をつける必要がある。まとめ・所感まるでスパイ映画を見ているような話で非常に面白い話でした。Intelligenceとあわせて有名になっている技術ですが、やはりNation-Stateレベルの攻撃を警戒する技術であり、成熟度の高い企業、もしくは国家的にも大きな損害をこうむる組織は身につけるべき技術だと思います。Attributionの意義を否定する専門家も存在します。少なくても今後追いかけていくべき技術であるため、今後も紹介していきたいと思います。一部内容を更新しました。Security』を再考するAnti-Intelligence技術について考えてみるスポンサーリンクはてなブログをはじめよう!security_consultantさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。