(BSS)IT運用管理と情報セキュリティの専門家であるブロードが、次世代のビジネスプラットフォームに欠かせないセキュリティの最新情報をお届けします。ランサムウェアグループのYanluowangによって侵害を受けたことを確認しました。GB分のCiscoのデータを詐取したと主張しました。侵害を認めたCiscoは調査はしたものの、製品、サービス、機密性の高い顧客データが影響を受けたとは考えていない点は注目に値することです。侵害に対してのCiscoの公式の対応の中で彼らは次のように述べました。チェーンの運用など、このインシデントの結果としての当社のビジネスへの影響は識別しませんでした。8月10日、悪意のある人物はファイルのリストを公開しました。システムを保護するための追加の対策を実装して、さらにより広いセキュリティ・コミュニティを保護するために技術的な詳細情報を共有しています。」ただし、他の侵害と同様に、何が起こったのかを理解して、自分自身のセキュリティ対策に反映させることは役に立ちます。(および失敗)を調べて、学ぶことができる教訓を考察してみましょう。侵害された個人アカウント(Google)を通して資格情報を取得この侵害は、Ciscoの従業員の個人的なGoogleアカウントが侵害されたことから始まりました。これがどのように発生したかの詳細は共有されていませんが、これが起きる一般的なシナリオが複数あります。今回起きた可能性がある一般的な方法をいくつか示します。Ciscoの資格情報を保存していました。セキュリティ面の教訓ここで学ぶべき教訓がいくつかあります。偶発的な漏洩を防ぐために、企業用と個人用のアカウントとデータは分離することが重要です。二点目に、企業でのパスワードはアカウントごとに重複のないユニークな状態である必要があり、企業向けのパスワード管理ツールによって保存と管理がなされることで、適切な管理が保証されます。使用してローカルで暗号化されます。この実践によって他のユーザーが資格情報に容易にアクセスはできなくなりますが、ユーザーのコンテキストで実行されているコードは、プレーンテキストで保存されているパスワードに簡単にアクセスできます。Chromeにログインできないようにすることは可能ですが、これを個人のデバイスに強制することは容易ではありません。セキュリティ設定もあります。VPNに対して認証を行うには、MFA(多要素認証)プッシュをユーザーのモバイルデバイスに送信して承認する必要がありました。これをクリアするため、攻撃者は2つの手法を使用しました。攻撃者はMFAの承認と認証の取得に成功すると、MFAに使用する新しいデバイスを自分の制御下に登録しました。これが完了すると攻撃者は先々の認証プロセスを簡素化できます。セキュリティ面の教訓MFA(多要素認証)はそれ自体だけでユーザーアカウントを完全に保護するわけではなく、また、すべてのMFA手法が平等に作られているわけでもない多くの組織では、(装置を用いる)所有ベースのMFAではなく、知識ベースのMFAを使用して認証を行っています。コードを電話に送信することは、ユーザー名とパスワードのみよりも優れていますが、それでもフィッシングは可能です。認証が非常に重要である理由も示しています。SIMカードの複製やボイスメールの傍受から、従来のソーシャルエンジニアリングやMFA疲弊まで、知識ベースの資格情報を悪用する方法は複数あります。これらはユーザーをデバイスにリンクしていないからです。基本的な携帯電話ベースのMFAから、FIDO2のようなより安全な所有物ベースの認証に可能であれば移行することを検討する必要があります。MFA攻撃の手法とその防止方法を理解することも重要です。ボイスフィッシング、ソーシャルエンジニアリングの試み、未承諾のMFAイベントの報告に注意するよう従業員をトレーニングすることは重要ですが、多くの場合忘れられています。MFAロギングを有効にし監視して、予期しないアクティビティの急増、通常とは異なる時間のアクティビティ、新しいデバイスの登録などを特定する必要もあります。究極的にはMFAは完璧ではなく、正しく実装する必要があることを留意することが重要です。経由でCiscoの内部ネットワークに接続すると、盗んだ資格情報を悪用して内部システムに接続しました。LogMeInやTeamViewerなどの多くのツールを持ち込み、リモートアクセスと活動の持続性を確保することができました。Mimikatzが、エクスプロイト(脆弱性などセキュリティ上の欠陥を悪用するコード)、クレデンシャルハーベスティング(悪用のための資格情報収集)、ラテラルムーブメント(システム内の水平移動、横展開)のために投下されました。インシデント対応チームに最初に警告を発したのは、これらのツールの存在でした。landと呼ばれるIT環境内に既存の正当なソフトウェアを悪用したファイルレス手法を使用するのではなく、環境に複数のツールを導入することによって、異常に「うるさい」ように見せたことです。したのかは不明ですが、この行為者が音声フィッシング技術を使用して、初期アクセスに重点を置いていることを示している可能性があります。多くの場合、攻撃者は特定の領域に特化しており、次の段階に向けて別の攻撃者にアクセスを売却しますが、Ciscoへのアクセスは魅力的すぎて売れないことが判明した可能性もあります。攻撃者が権限をどのように昇格させたかは正確な詳細は共有されていませんが、攻撃者がマシンアカウントを含む、環境内のいくつかの特権アカウントを悪用したことは明らかです。これらの権限は、横方向に移動してシステムに新しいローカル管理者アカウントを確立するために使用され、”z”というローカル管理者アカウントを作成して、既存のローカル管理者ユーザーアカウントのパスワードをリセットしました。実行して追加の資格情報を取得したり、侵害されたシステムでSAMデータベースとLSASSメモリをダンプしたりするために使用されました。keys”と呼ばれるトリックを使用して、Windowsロック画面のバイパスを確立しました。keyに接続し、ログインすることなしに、ログオン画面からSYSTEMコマンドプロンプトを起動できるようにしました。トリック」を実行するために使用されるコマンドこの方法は、使用していた資格情報が取り消された場合に役立ちます。攻撃者は、確立されたリモートアクセスツールとこのロック画面バイパスを使用して、ローカル管理者アカウントをリセットしたり、特権コマンドを実行したりすることができます。この手法は一般的にAVやEDR製品で検出できるにも関わらず使用されたことは注目に値します。セキュリティ面の教訓VPNは従業員だけを許可するのではありませんこれは、多くの組織が、通常は広範なネットワークアクセスを提供するVPNから移行している理由の良い例です。アプローチでは、従業員が必要とするアプリケーションやツールのみ、きめ細かくアクセスできるようにすることで、より制御された安全なシステム使用を提供します。このようなゼロトラストセキュリティ制御は、そもそも侵害が発生する可能性を減らすだけでなく、侵害が発生した場合の影響範囲も制限します。VPNを使用している場合でも、ネットワークの分離、アクセスログ、およびトラフィックの監視に関して取り入れられるベストプラクティスがあり、侵害を封じ込めて検出できるようにします。このケースでは、制御および制限された可能性のある広範なアクセスのために、攻撃者が侵入して拡大するのが確認されました。最小権限の原則は新しいものではありませんが、有効ですここでの脅威の行為者の手口は、堅牢なアプリケーション許可リストと権限管理が根本的に重要で、かつ強力な防御手段である理由も浮き彫りにしています。未知のアプリケーションが実行されるのを防ぐ機能、または少なくとも権限への簡単なアクセスを制限して、攻撃者が資格情報をダンプするのを防ぐ機能は、攻撃者やマルウェアが攻撃を実行、または展開させる能力を最小限に抑えます。特権アカウントは、ローカルとドメインの両方で、注意深く監視し管理する必要があります。ユーザーの管理者権限を検出して削除できること、そしてマシンアカウントとサービスアカウントを管理できることは、攻撃対象領域を縮小して、攻撃者がネットワーク内を移動する能力を制限するのに非常に役立ちます。コントローラーとCitrixサーバーに侵入することができました。アカウントにリンクされたBoxフォルダの内容であると考えています。アクセスの試みがあり、組織の幹部に連絡を取ろうとしました。電子メールの連絡先には、加害者がCiscoのデータにアクセスしたことを示すファイルのスクリーンショットが含まれていました。IDの侵害を起点に断固たる攻撃者が企業を侵害する可能性があることを新たに思い出させるものでした。今回の侵害から得られた重要なポイントは次のとおりです。従業員の個人アカウントが企業の境界を越える可能性があり、攻撃者が足場を固めることができる弱点を引き起こします。MFAはそれ自体でユーザーアカウントを完全に保護するわけではなく、すべてのMFA手法が同等に作られているわけではありません。使用が、セキュリティリスクを軽減する上で重要です。VPNは、攻撃者に対して開かれたドアを提供するべきではありません。侵害を想定して、それに応じた防御を構築すべきです。被害の影響「半径」を制限するZTNAアプローチを検討してください。多くの特権は、より多くの問題につながります。侵害は問題ですが、それが特権IDである場合は問題が指数関数的に増加します。権限に、最小権限の原則を適用することが不可欠です。ログをとり、耳を澄ます。Ciscoの侵害では攻撃者は騒々しくて、これが攻撃の貴重な指標を提供しました。ツールのインストール、MFAに登録された新しいデバイスはすべて、監査および制御できる操作です。この攻撃全体において、特権IDとアクセスが侵害されました。これらは攻撃者が展開するために不可欠でした。お問い合わせください。PAM(特権アクセス管理)に対する当社の包括的なアプローチは、外部からの攻撃と内部関係者の脅威に対する強力な複合的な保護を提供すると同時に、ゼロトラストのセキュリティ原則を実現します。Maudeは、BeyondTrustの英国マンチェスターオフィスのサイバーセキュリティ主任研究者です。セキュリティ研究において幅広い経験を持ち、進化するセキュリティ環境における攻撃ベクトルと傾向を特定するために、マルウェアとサイバー脅威の詳細な分析を行っています。フォレンジックコンピューティングのバックグラウンドと、セキュリティリサーチコミュニティへの積極的な関与でサイバーセキュリティの専門家としての発信をしています。彼は定期的に国際イベントに出席して、ウェビナーを通して脅威と防御戦略について議論しています。サイバーセキュリティ研究者です。特権パスワード管理とは、特権を持つアカウントやサービス、システム、アプリケーション、マシン、その他もろもろに関する資格情報を安全に制御する手順と手法を指します。特権パスワード管理の最終目標は、昇格したアクセス権を与えるあらゆる資格情報を特定し、安全に保管し、一元管理して、リスクを軽減することです。今回は特権アカウントと資格情報の管理をもっと進化させるために注目すべき8つの基本領域についてのベストプラクティスを含む解説です。“人間”という脆弱性を忘れると砂上の楼閣になる特権管理の必要性は理解しつ、その重要性はよくわからないという声も聞かれます。今回は不充分な特権管理で起こりえる問題やシステムへの影響を考察します。ホストがインターネットがないため安全と思われがちでしたが、z/OSシステムもリモート作業が増加しておりオープン系同様に脆弱なネットワーク環境となっています。記事を読むオープンポートとは何か?セキュリティとの関わりは?ポートの構成不備や脆弱性があると危険な入口になってしまいます。セキュリティ強化は、ポートがどのように使われているか、そしてどのように保護されているかを理解することにかかっています。ポートの概要と、その使われ方、留意すべき重大なリスク、環境全体でポート関連のサイバーセキュリティのリスクを軽減する方法などについて述べています。Sedlackと対談します。ADでのベストプラクティスを考察します。記事を読むサイバー攻撃者が悪用する、変わりつつある「最も楽な道」にどう対処すべきかデータや資産への攻撃として最も楽な道(POLR)は変わりつつあり、ITリスク管理の計算方法や保護についての優先順位も変化が必要です。攻撃の対象領域がどう変化し、これにより、なぜPOLRが変化しつつあるのか、物理的・サイバーセキュリティの見直しはどうなるか、ベストプラクティスがどう進化するかを探ります。アーキテクチャに優れたサーバーとデスクトップOSのペアを成功させたベンダーは他にありません。3.11以降、悩ましい1つの欠陥があります。Report)の第9版ができました。これまで同様、今回の2022年版でも、2021年中のMicrosoft社による「パッチチューズデー」の12か月間の統合ビューと分析内容を提供します。記事を読むTrickBotの攻撃チェーン:分析と軽減TrickBot(トリックボット)は今、いちばん世間に出回っていて、効果を見せているマルウェア脅威です。ATT&CK技術を特定し、こうした攻撃をいかに軽減するかについて解説します。解説ガイド脅威情報(TI)とは、脅威の実行者や、の手法と手口といったデータや情報を集めることです。TIは、脅威を予測して攻撃を検出するのに役立ち、情報セキュリティの世界で働くチームや個々のメンバーに貴重なデータを与え、上手く使えば、核となる大切なセキュリティ情報を得るための効果的なプロセスを構築するのに役立ちます。アプリケーション、クラウドサービスなどの隔離を行い、水平方向に移動する脅威を軽減し、境界をまたぐ境界線を減らします。コンプライアンス戦略の多くが、データや他のリソースを保護する主な制御方法としてセグメンテーションを義務付けており、セキュリティのためのネットワークセグメンテーション、マイクロセグメンテーション、ゾーン手法は、その場のセキュリティを無条件に信用しないゼロトラストの環境とアーキテクチャを実現するための基本原則です。