コロナ問題で在宅勤務が急増中。BromiumブログBromiumブログ米国Bromium社の技術陣が発信した記事を中心に、最新の情報をご紹介いたします。Topホーム優位性・テクノロジーコロナ問題で在宅勤務が急増中。セキュリティの一貫性とビジネスの継続、その両方を保つためのテレワーカーおよびリモートアクセスに関連するベストプラクティスの情報がHPにはあります。テレワーキング自体は企業にとっては新しいものではありません。リモート社員が利用しているソリューションも多くあります。リモート環境でのユーザ層が拡大することでのリスクの増加し、テレワークの必要性の影響に注目が集まる中、サイバー攻撃者は標的型のフィッシング攻撃活動を仕掛け出しており、いくつかのケースでは攻撃に成功しています。信頼できるインターネット接続や、ネットワーク境界、多層型セキュリティ、またエッジからエンドポイントにいたるデバイスの現況の脅威インテリジェンスセンサーなど、企業内で使用されている保護をしないままユーザをオフサイトに移動させることは、企業にとって解決しなければならない以下のような課題が出ています。侵害されたホストからの深刻な脅威の(マルウェア、ハッキング、悪意あるコードなど)横展開による、企業の重要IT資産への直接的なVPN接続経由の攻撃リモートネットワークへつながるデバイスの保護は、対象となるデバイスがオフサイトであり、モバイルや自宅、その他の公共ネットワークを利用することから、企業にとっては難しい条件となります。これらのデバイスは中央管理で制御されたサービスやネットワークプロキシ、その他のエンタープライズソリューションに常に容易に繋がるとは限りません。現在米国の政府機関のテレワーカーは、増加するフィッシング攻撃のかっこうのターゲットになっています。Platform)はリモートデバイスまたは管理されていないネットワークに不定期につながるようなデバイスに効果的な保護を実現します。SCEのマイクロVMは、保護を実装するためのネットワーク接続は必須ではありません。SCEを実行しているデバイスは中央管理サーバから切り離されている時も、あるいは数週間、数ヶ月も「電話回線」すらないような過酷な環境であっても保護されます。SCEが実行されている環境はどのようなネットワーク(悪意あるネットワークであっても)に接続している間でも、完全に保護されます。対象のデバイス上で実行される以下のような操作は、どのようなネットワーク条件配下で実行されていても完全に隔離されます。Office文書や、OSに標準で実装されているPowerShellだけで成り立つ攻撃手法は、マルウェアとして検知することが大変困難です。●今回は、こうした種類の実際のマルウェアの一つを実例に、解析手順をご説明しながら、その中にみられる作成者の手法を具体例としてご紹介します。記事を読む文書ファイルを開かなくてもプレビューでマルウェアが動き出すマクロを悪用した手口は古く多数の対策も施されていますが、攻撃する側もセキュリティ機構の隙をつく新たな手口を次々と編み出します。ユーザのセキュリティ意識や成熟度に依存しない手口は特に脅威です。ファイルを開かなくてもマクロを開始させる手口を実在する検体をもとに解説します。洗練されたフィッシング攻撃が、正当な取引先企業で起きたメールアカウントの侵害に起因している事があります。最近のセキュリティに関する「ベストプラクティス」の勧告いわく、予期せぬ添付ファイルが到着する都度、「送信者に電話で確認する」(!)...だそうです。Bromiumは、ユーザーが生産性を損なわないよう、個々のメール添付ファイルを隔離することで、安心してクリックできるようにします。脆弱なアプリケーションやブラウザは、これらこそがデータ侵害の永続的なエントリポイントです。セキュリティにおいて一般に関心が払われるファイル類は、主役ではありません。カーネルレベルの攻撃経路やマルウェアのすり抜けを絶対的に排除する唯一の方法は、隔離することです。報セキュリティの防衛を、より少なく、賢く、より効果的な階層での実現を再考する時期です。思っているより多くのエンドポイントが存在します。Sharpshooterがソーシャルエンジニアリングで企業組織内に侵入しています。out、「見逃してしまうこと」や「取り残されるかもしれない」ことへの恐れ)があります。単純でありふれた攻撃手口であっても人の性質上、避けきれるものではありません。プロセスDoppelganging(ドッペルゲンジング)は、大半のセキュリティツールをバイパスし、すべてのWindowsバージョンで動作してしまう、新しいコードインジェクション技術である。検出に依存したセキュリティソリューション頼りでは、プロセスDoppelgangingに対して脆弱になる。Bromiumは、信頼できないタスクをハードウェア的に隔離した仮想マシンで実行するため、ゼロデイや新たな検出不可能な手口からも常に保護することが可能になる。Officeに標準で実装されている機構の範囲で処理されるマルウェアが存在し、独立した実行ファイル類を持たないことから「ファイルレス」と呼ばれる分類になります。●こうしたマルウェアは従来の検知型のセキュリティでは問題の有無の判別が著しく難しくなります。●今回はBromiumで確保した実際の検体を分析することで、その構造を解き明かしていきます。Emotetは、指定されたタスクを実行するのに適切なディシジョンツリーベースのアルゴリズムを持った、高度にモジュール化されたバンキング狙いのトロイの木馬です。難読化されたペイロードを配信し、自己アップグレード可能なモジュールを介してその機能を拡張する能力から、Emotetは組織への標的型攻撃で一般的に使用されるペイロードランチャーになりました。Emotetが複数の段階と、複数の経路での攻撃に使用されていることから悪名を上げています。TeslaCryptに遭遇しました。実際、これが認識されたのは2016年3月7日でした。信頼できない各タスクをハードウェア的に隔離するBromiumのおかげで、マルウェアが組織ネットワークの境界防御やマルウェア対策をすり抜けたにも関わらず、このエンドポイントはまったく侵害は発生しませんでした。