高度な永続的脅威 (APT) とは何ですか?

APT の攻撃者は強い動機を持っており、多くの場合、多額の資金援助を受けています。攻撃者は、時間を掛けて対象のインフラストラクチャを調べ、弱点を特定し、それを悪用するための独自の戦略を開発します。侵入後は、システム間を横方向に移動しながら検出を回避し、データを収集したり、より広範な妨害を準備したりすることを狙います。このようなレベルのステルス性により、早期の検出と応答は特に困難になります。

APT は、影響を最大化し検出を回避するよう設計された、調整された段階を踏んで進行します。
 

• 偵察と計画: APT グループは、攻撃を開始する前に、標的について広範な調査を行います。これには、システム、担当者、ベンダー、潜在的な脆弱性に関する詳細情報の収集が含まれており、多くの場合、オープンソース インテリジェンスやスキャン ツールが使用されます。
  
  
• 初期侵害: 攻撃者は、フィッシング メール、既知または未知の (ゼロデイ) 脆弱性の悪用、盗んだ資格情報の悪用などの手法で、ネットワークに侵入します。目的は、最初の侵入地点を確立することです。
  
  
• 足場の確立: 侵入後、攻撃者は、カスタム マルウェアの展開、バックドアのインストール、継続的なアクセスを確保するための新しいユーザー アカウントの作成を実行します。これにより、たとえ 1 つのアクセス ポイントが閉じられても戻ることができます。
  
  
• 特権の昇格: 機密性の高いシステムやデータにアクセスするために、APT の攻撃者は特権の昇格を試みます。多くの場合、システムの構成の誤りの悪用、管理者資格情報の窃盗、特権昇格の脆弱性の悪用が使用されます。
  
  
• ラテラル ムーブメント: 攻撃者は、システムからシステムへと移りながらネットワーク全体を移動し、環境をマップ化し、データを収集し、価値の高い資産を特定します。この段階には、多くの場合、内部の防御策やセキュリティ ツールの回避が含まれます。
  
  
• データ流出または妨害: APT グループは、居場所を確保した後で、知的財産、財務記録、機密通信などの機密データを密かに盗み出すことがあります。また、ランサムウェアの展開や分散型サービス拒否 (DDoS) 攻撃の開始など、より破壊的なアクティビティに向けて準備する場合もあります。
  
  
• ステルス性と永続性の維持: 攻撃者は、プロセス全体を通して、隠れ続けるために手法を継続的に適応させます。コマンド アンド コントロール (C2) サーバーを切り替えたり、暗号化された通信を使用したり、検出を避けるためにマルウェアを更新したりすることがあります。

APT グループは、これらの段階を実行するために、次のようなさまざまな攻撃ベクトルを利用します。
 

• 特定の従業員を標的にしたスピア フィッシング メール。
• 特定の環境向けに作成されたカスタム マルウェア。
• 攻撃プロセスの一部を自動化するエクスプロイト キット。
• 未修正の脆弱性を狙うゼロデイ攻撃。
• リモート管理用のコマンドおよび制御サーバー。
• 内部関係者を操作するためのソーシャル エンジニアリング手法。
• 信頼された第三者を侵害するサプライ チェーン攻撃。

APT サイバー攻撃は、通常のネットワーク アクティビティに紛れ込むように設計されているため、標準的なセキュリティ ツールでは検出が困難です。しかし、注目すべき点を知っていれば警告サインはあります。

侵害インジケーター (IoC)
IoC は、悪意のあるアクティビティで残された痕跡です。APT 攻撃に関しては、これには次のようなものが含まれます。
 

• 予期しない場所からのアクセスや、不自然な時間帯のアクセスなど、通常とは異なるサインイン パターン。
• 内部システムと外部サーバーの間での、予期しないネットワーク トラフィック。
• 未知であるか疑わしいファイル、スクリプト、ユーザー アカウントの存在。 
• 資格情報ダンプ ツールやラテラル ムーブメント フレームワークなど、通常は攻撃者に関連付けられるツールの使用。
• 大量の送信や説明のつかない送信を含む、データの持ち出しの兆候。

これらのシグナルを早期に把握できれば、攻撃者が環境内にとどまる時間を短縮し、潜在的な被害を抑えられます。

APT アクティビティを検出するための戦略
APT の検出には、テクノロジ、プロセス、人の組み合わせが必要です。効果的な戦略には、次のようなものがあります。
 

• 異常検出: データ アクセスの急増や通常とは異なる管理操作など、確立されたベースラインから外れるアクティビティを監視します。
  
  
• サイバー脅威インテリジェンス: 最新の脅威インテリジェンス フィードを使用して、最新の攻撃手法、ツール、脅威アクターのプロファイルを把握します。
  
  
• エンドポイントとネットワークの監視: エンドポイント、クラウド サービス、ネットワーク トラフィックにわたって可視性を提供するツールを展開し、侵害の兆候をリアルタイムに検出できるようにします。
  
  
• プロアクティブなサイバー脅威の追求: アラートが出されていなくても、環境内に隠れた脅威をアクティブに探します。

これらのアプローチを組み合わせることで、永続的な被害が発生する前に APT のアクティビティを早期に把握する能力が高まります。

APT 攻撃への応答
APT サイバー攻撃が検出された場合は、迅速に対応し、適切な手順に従って制御を回復する必要があります。また、セキュリティ ギャップを解消し、その事象から学んで、より強固なセキュリティ態勢を構築することが重要です。
 

• 封じ込め: 影響を受けたシステムやアカウントを隔離し、さらなる拡大を防ぎます。
  
  
• 調査: ログ、トラフィック、システムの動作を分析し、攻撃者の動き、目的、手法を把握します。
  
  
• 修復: 悪意のあるツールを削除し、悪用された脆弱性にパッチを適用し、影響を受けたシステムを復旧します。
  
  
• 復旧と見直し: 通常の運用を再開しながら、事後レビューを徹底して行い、防御を強化し、再発を防ぎます。

APT グループは常に進化しています。防御側がツールとプロセスを改善すると、攻撃者は手法を適応させ、セキュリティ制御を回避してアクセスを維持する新しい方法を探します。

新たな APT の手法
最新の APT 攻撃者は、技術的な脆弱性の悪用とソーシャル エンジニアリング、サプライ チェーン攻撃を組み合わせて標的に到達するなど、手口をますます巧妙に組み合わせています。新たな傾向には、次のようなものがあります。
 

• 詳細な個人データや組織データを使って説得力のある誘い文句を作成する、より高度なフィッシング キャンペーン。
  
  
• 環境寄生型の手法では、攻撃者は、環境内に既に存在する正規のツールやプロセスを使って検出を回避します。
   
• サードパーティのベンダーやソフトウェア更新プログラムが初期侵入の起点となる、サプライ チェーン侵害への依存度の高まり。

こうした変化により、ウイルス対策ソフトウェアや境界ベースのセキュリティなど、従来の防御だけに頼ることが難しくなっています。

新しいテクノロジによる検出と防止
新しいテクノロジは、攻撃と防御の両方で役割を果たします。
 

• 量子コンピューティングは、実用化の初期段階にあります。これにより暗号化の基準が揺らぐ可能性があり、将来的には APT 攻撃者のデータ窃取やシステム侵害へのアプローチにも影響する可能性があります。
  
  
• 統合 SecOps ソリューション では、セキュリティ情報イベント管理 (SIEM) と拡張検出と応答 (XDR) ソリューションを組み合わせて、強化された脅威の検出と応答を 1 つのプラットフォームで実行できるようにします。
  
  
• AI と機械学習によって、既に APT の検出と防止が改善されつつあります。サイバーセキュリティのための AI を活用することで、パターンの特定、異常の検出、脅威へのより迅速な応答に役立てることができます。ただし、キャンペーンの一部を自動化したり、より説得力のあるフィッシング コンテンツを生成したりするなどの新しい機能を攻撃者にも提供する面もあります。

両サイドでテクノロジが進化し続ける中でも、攻撃に対抗するうえで中心となるのは人です。セキュリティ チームは、進化する脅威に遅れをとらないために、常に最新情報を把握し、適応力を高める必要があります。

モノのインターネット (IoT) やクラウド環境を標的とする APT
APT の攻撃面は拡大しています。IoT デバイスやクラウドベースのサービスを採用する組織が増えるにつれて、攻撃者も標的を広げています。
 

• IoT デバイス: 強力なセキュリティ制御を備えていないことが多く、より大規模なネットワークへの侵入口となりやすいデバイスです。
  
  
• クラウド環境: ワークロードとデータがクラウドに移行するにつれて、APT 攻撃者は、クラウド ID、構成に誤りがあるリソース、SaaS プラットフォームを侵害する新しい手法を開発しています。

こうしたトレンドに対する防御は、オンプレミス システムだけでなくデジタル エコシステムのすべての部分を網羅するように、セキュリティ態勢を広げることを意味します。