サイバー攻撃プロセスの第1段階 “偵察” から検知したい ～BlueVoyant TPRM Adversarial Threats 活用のすゝめ～
サイバーキルチェーン第1段階、偵察。
インターネットに公開されている情報をもとに、攻撃者が標的に対して公開情報を広く収集し、技術的・組織的な弱点を探るプロセスです。
この段階での検知は「極めて困難」と言われていますが、実はある程度は検知でき、さらに対処まで行える――そんな話をしていきます。
サイバー攻撃のプロセス（サイバーキルチェーン）
サイバーキルチェーンは、攻撃者が目的達成までにたどる一連の段階を「連鎖」として捉える考え方です。
攻撃を工程ごとに分解し、「どの段階で見つけ、止めるか」を考えるために使われます。侵害を1回の出来事ではなく、複数ステップから成るプロセスとして見るためのフレームワークとも言えます。
サイバーキルチェーンは、次の7つのプロセスで進行します。
偵察（Reconnaissance）
武器化（Weaponization）
配送（Delivery）
攻撃実行・悪用（Exploitation）
インストール（Installation）
C2（Command and Control）
目的達成行動（Actions on Objectives）
第1段階である偵察では、公開情報（コーポレートサイト、SNS、求人情報など）や WHOIS などのDNS情報からドメイン・サブドメインを列挙し、公開サーバーの構成情報などを把握していきます。
この「偵察」を把握し、偵察行為を止めることができたなら、非常に効率的です。
しかし、外部からの観察のみで痕跡をほとんど残さないため、この段階での検知は困難と言われてきました。
BlueVoyant とは？
「BlueVoyant活用」と書いている以上、BlueVoyantについて触れないわけにはいきません。
BlueVoyantは2017年に創業した、ニューヨークに本社を置くサイバーセキュリティ企業です。
国家レベルの15種類の脅威情報を含む、約60種類の脅威インテリジェンスを保有しています。「国家レベル」がどういう意味かは、ぜひ直接お話しさせてください。
検知やスコアリングだけを行うソリューションが多い中で、BlueVoyantは「結果」を提供することをコンセプトとしています。
BlueVoyant TPRM “Adversarial Threats” で偵察行為を確認
BlueVoyantには複数のプロダクトがありますが、Third Party Risk Management（以下、BlueVoyant TPRM）は、取引先を含めたサイバーセキュリティリスクを「攻撃者視点」で可視化し、リスク対応の支援まで行うソリューションです。
リスクは5つのカテゴリで評価されますが、この偵察行為がある程度見えてくるのが「Adversarial Threats」です。
Adversarial Threats：第三者を標的とした敵対的攻撃の監視(第三者を標的とした受信側フィッシング攻撃や攻撃者インフラを含む)
実際に検知された画面がこちらです。
画面では見づらいので、文字に起こします。
Title: Evidence of Scanning Activity Targeting Company Assets
Description: An IP (Requesting IP) associated with known exploitation activity was observed making DNS requests for your company’s domains. This finding is based solely on pDNS and BlueVoyant cannot observe any follow-on activity associated with the IP. These server types are designed to exploit any system they interact with, and typically attempt to deploy a backdoor upon successful exploit.
日本語に翻訳します。
タイトル: 貴社の資産を標的としたスキャン活動の証拠
説明: 既知の悪用活動に関連するIPアドレス（リクエスト元IP）が、貴社のドメインに対してDNSリクエストを行っていることが確認されました。この発見はpDNSのみに基づくものであり、BlueVoyantでは当該IPに関連するその後の活動を観測することはできません。この種のサーバーは、通信を行うあらゆるシステムを悪用するように設計されており、通常、攻撃が成功するとバックドアを仕込もうとします。
これを初めて見たとき、驚きました。
「偵察行為が見えるじゃないか」と。
見えたからといって、どう対処すればいい？
画面上の「Action Summary」には、どのような対処を行うべきかが記載されています。
今回のケースでは、以下のような内容です。
Ensure that the requesting IP is blocked at the firewall. Review your connection logs and consider further actions to stop the activity closer to the source, such as discussing the issue with your cloud or Internet service provider, if applicable.
日本語に翻訳します。
ファイアウォールで、リクエスト元のIPアドレスがブロックされていることを確認してください。接続ログを確認し、必要に応じてクラウドプロバイダーやインターネットサービスプロバイダーと相談するなど、発生源に近い場所でこの活動を阻止するためのさらなる対策を検討してください。
この記事では画面をご紹介できませんが、アクセス元IPアドレス、アクセス先（自社資産側）のIPアドレスを確認することができます。
攻撃者のIPアドレスを特定できたら、対象資産の手前にあるファイアウォールで、そのアクセス元IPアドレスをブロックしてください。偵察活動を止めることができます。
もちろん、攻撃者はIPアドレスを変えて偵察を行う可能性が高く、効果は一時的かもしれません。
それでも、偵察行為そのものをブロックできるのは、後続のプロセスに進みづらくするという意味で、十分に効果的です。
さいごに
今回は、サイバーキルチェーンにおいて検知が極めて困難と言われる「偵察」について、BlueVoyant TPRMの Adversarial Threats で可視化できる、というお話をしました。
サイバーセキュリティは簡単ではありません。
「インターネットに面している部分だけを見ても仕方ない」というご意見も、その通りです。
一方で、こちらの記事でも書いたように、インターネットに面している部分は攻撃者の標的となりやすい領域で、セキュリティパッチも3日での適用が求められています。
BlueVoyant TPRM のようなソリューションを活用し、どこまで効率的に対処できるか、一度検討してみてください。
英語にアレルギーがある方もご安心ください。
丸紅I-DIGIOでは日本語化ツールを提供しています。
筆者紹介
稲毛正嗣（Masatsugu Inage）
経歴はクリエイティブ→情報システム部門→コンサルを経て、セキュリティベンダー側に。
興味は、アイデンティティ、デジタルアイデンティティ、プライバシー、データガバナンス、情報システム、F1、LEGO、猫、フォントなど。自宅環境は、Entra ID+Intune+MDEで構成。
