サイバー攻撃の仕組みを理解し、脅威の特定と阻止を迅速化

NetFlow・sFlow対応フローコレクター

ManageEngine > NetFlow・sFlow対応フローコレクター NetFlow Analyzer > 機能 > サイバー攻撃の仕組みを理解し、脅威の特定と阻止を迅速化

サイバー攻撃の仕組みを理解し、脅威の特定と阻止を迅速化

近年のサイバー攻撃は、従来の防御をすり抜けて静かに進行します。MITREは、セキュリティ体制を強化し、脅威の可視性を向上させるため、MITRE ATT&CK®フレームワークを開発しました。このフレームワークは、現実世界の攻撃者の戦術、技術、挙動を文書化したものです。

NetFlow Analyzerの機械学習ベースのセキュリティ分析はMITRE ATT&CKと連携し、セキュリティチームが脅威の予兆を検知し、実際の攻撃者の挙動と検知および対応の方針を整合させ、説得力のある意思決定を通じて迅速に防御を強化できるように支援します。

攻撃者の手法を紐解くMITRE ATT&CK

MITRE ATT&CKは、攻撃者の挙動を示す設計図のようなものです。現在起きている事象を示すだけでなく、次に何が起きるかを予測するのに役立ちます。攻撃者がシステム内をどのように移動し、どのような手法を使い、防御の盲点がどこにあるかをマッピングします。

このフレームワークでは、以下の対応を支援します。

  • 従来のツールが見逃す脅威も、行動から検知
  • アクティビティを既知の攻撃者グループに紐付け、攻撃者を特定
  • 脅威検知のギャップの特定と解消
  • キルチェーンにおける攻撃者の現在位置の特定と、対応の優先順位付け

攻撃の背後にある仕組みを理解することで、先回りした防御体制を構築し、的確に対応できるようになります。

脅威検知におけるMITRE ATT&CKの活用

サーバー侵害シナリオを用いて、脅威検知と対応のステップを解説します。

1. 挙動ベースの検知

従来のアンチウイルスやファイアウォールでは、活動そのものは見えているものの、既知のマルウェアやシグネチャーが使われていないため、警告として検出されません。

  • MITRE ATT&CKが該当の活動を警告対象として特定
  • 「正規アカウント（Valid Accounts）」（T1078）：攻撃者が実在するユーザー名／パスワードでログイン中
  • 「リモートデスクトッププロトコル（Remote Desktop Protocol）」(T1021.001)：攻撃者が横展開している状態
ポイント

MITRE ATT&CKでは、マルウェアが使われていなくても、ツールではなく攻撃手法そのものを検出できます。

2. 脅威の帰属特定

検知した攻撃手法を、ツールがMITREの脅威グループにマッピングします。

  • 検知された手法は、エンタープライズネットワークにおいて認証情報を悪用した横展開で知られる攻撃者グループAPT29（Cozy Bear）またはFIN7の手口と一致
  • セキュリティチームは、無差別なマルウェア攻撃ではなく、標的型攻撃の可能性が高いインシデントとしてタグ付け
ポイント

誰が攻撃者である可能性が高いか、その動機は何か、次に何を仕掛けてくる可能性があるかを把握できます。

3. ギャップ分析

続いて、MITRE ATT&CKを用いて攻撃チェーン全体にわたる検知カバレッジを確認します。

  • 横展開と実行フェーズは検知できていた
  • 認証情報のダンプ（T1003）や権限昇格（T1068）に対する検知カバレッジが存在しないことが判明
ポイント

やみくもに対応するのではなく、検知体制を戦略的に強化できます。

4. 優先順位付けされた対応

ATT&CKを活用することで、攻撃ライフサイクルのどの段階に攻撃者がいるかを把握できます。

  • 攻撃者はすでに有効な認証情報を持ち、内部サーバーに侵入しているため、「横展開（Lateral Movement）」および「実行（Execution）」フェーズにあると判断できる
  • 対応チームは中盤フェーズの侵害と分類し、緊急の封じ込めが必要と判断。ここで、影響を受けたマシンの隔離と認証情報のローテーションを実施すべき
ポイント

時間を無駄にせず、単に監視を続けるべきか、隔離すべきか、危機対応にエスカレーションすべきかを判断できるようになります。

MITRE ATT&CKを活用するメリット

  • セキュリティチーム、ベンダー、研究者が脅威を一貫して記述・分析するための共通フレームワークを獲得できます。
  • セキュリティイベントや異常を既知の攻撃手法にマッピングすることで、脅威の検出をより有意義かつ実用可能なものにすることができます。
  • アナリストが攻撃者の視点で考えることで、侵害の兆候を先回りして探すのを支援します。
  • 対応担当者が、攻撃者が環境内をどのように移動したか、次に何を調査すべきかの理解を支援します。
  • セキュリティツール、SIEM、SOAR、NDRなどにおいて、セキュリティイベントを手法にマッピングし、攻撃経路を可視化します。

NetFlow AnalyzerにおけるMITRE ATT&CKの活用方法

NetFlow Analyzerは、検出した異常やイベント、フローを、対応するMITRE ATT&CKの手法にシームレスにマッピングし、以下の対応を支援します。

  • インタラクティブなATT&CKマトリクス上での脅威の可視化
  • 手法の詳細、関連するアセット、影響を受けたユーザーへのドリルダウン
  • 不審な挙動が既知の攻撃戦術と一致した場合の特定
  • 環境内で検知できる手法と、対応が必要な手法を把握するためのカバレッジの追跡

例：LDAPトラフィックの急増が「T1018-リモートシステム検出」にマッピングされた場合、内部ネットワークの偵察活動を示している可能性があります。NetFlow Analyzerは、このMITRE手法がタグ付けされたセキュリティイベントを、デバイスのコンテキストや推奨される対応策と併せて提供します。

※セキュリティ機能を利用する場合は、セキュリティ機能有効化のシステム要件に準拠している必要があります。詳細はセキュリティ分析機能の有効化方法のヘルプページをご覧ください。