第3段階「侵入」の対策

　アタックライフサイクルの第3段階は、攻撃対象へのマルウェアの「侵入」である。攻撃者が侵入成功後に取る行動としてまず挙げられるのが、攻撃対象のエンドポイント（クライアント端末やサーバ）に送り込んだエクスプロイトを使い、OSやアプリケーションの持つ脆弱性を突いて、悪意のあるマルウェアをダウンロードさせることだ。前段階の「感染」において、通常のファイルに偽装したマルウェアを配信済みの場合には、このステップは省略されることもある。

　マルウェアのダウンロードを防ぐ主要な方法は、以下の5種類である。

1. 脆弱性を保護するパッチを適用
2. クライアント端末にエクスプロイトやマルウェア対策用のソフトウェアを導入
3. 悪意のあるファイルの配布サイトへのDNS参照をブロック
4. 悪意のあるファイルの配布サイトへのアクセスをブロック
5. 第2段階と同じようにダウンロードされてくるファイルをブロック

　1つ目の「脆弱性を保護するパッチを適用」に関しては、本連載では触れていないものの、IT資産管理製品をはじめエンドポイントにパッチを適用したり、適用済みパッチを確認したりする製品が複数存在する。ただし、新しい脆弱性の場合には、パッチがリリースされていないケースもあるので注意が必要だ。

　2つ目の「クライアント端末にエクスプロイトやマルウェア対策用のソフトウェアを導入」は、連載第3回「丸分かり『標的型攻撃対策』：“社内なら絶対安全”は幻想、『内部対策』基礎の基礎」で内部対策の具体策として紹介した「振る舞い検知型」「テクニック型」のエンドポイントセキュリティ製品、つまりパターンファイルに頼らないエンドポイントセキュリティ製品が有効となる。

　3つ目の「悪意のあるファイルの配布サイトへのDNS参照をブロック」と4つ目の「悪意のあるファイルの配布サイトへのアクセスをブロック」に関しては、連載第4回「丸分かり『標的型攻撃対策』：“ファイアウォール万能論”は危険、『出口対策』基礎の基礎」で出口対策として紹介した「URLフィルタリング」「DNSシンクホール」などを利用し、感染した端末が悪意のあるWebサイトへアクセスするのを止める必要がある。

　マルウェアのダウンロードが済んだ後の攻撃は、当然ながらそのマルウェアのインストールと実行だ。攻撃用ツールが自動的にマルウェアをインストールして実行するケースに加え、従業員が偽装ファイルを実行してマルウェアを間違ってインストールしてしまうケースがある。

　マルウェアのインストールや実行についても上記と同様、パターンファイルに頼らないエンドポイントセキュリティ製品で対処するのが有効だ。例えば、テンポラリーフォルダからのファイル実行を阻止したり、署名の付いていない実行形式ファイルの起動を阻止したりするといった対策を施す。

第4段階「潜伏」の対策

　アタックライフサイクルの第4段階は、侵入後の「潜伏」中のマルウェアによる、感染端末と攻撃者との制御チャネルの確立だ。標的型攻撃の場合には、攻撃対象に侵入したマルウェアが単体で動作することは基本的にない。マルウェアは攻撃者の制御用サーバ（C＆Cサーバ）と通信し、次の行動に関する指示を仰ぐ。

　このC＆Cサーバ通信をブロックする最も効果的な方法は、URLフィルタリングやDNSシンクホールなどでC＆Cサーバへのアクセスを止めることだ。これは第3段階の「侵入」における、悪意のあるファイルの配布サイトへのDNS参照やアクセスのブロックへの対策と基本的に同じである。仮にC＆Cサーバへのアクセスを許可してしまった場合でも、侵入防止システム（IPS）やスパイウェア対策などにより、既知のスパイウェア通信をブロックできる。

　ただし、未知の脅威の場合にはURLフィルタリングやDNSシンクホールのブロックリストに登録されていなかったり、スパイウェア対策のシグネチャが存在しない場合もある。このような状況にいち早く対処するには、サンドボックス製品でのチェック結果を基に新しいシグネチャを作成し、IPSやスパイウェア対策に展開して通信を止める必要がある。

最終段階「データの盗聴」の対策

　アタックライフサイクルの最終段階は、目的の実行すなわち「データの盗聴」である。盗聴の目的はデータの奪取だけでなく、データのやりとりの妨害やデータ破壊などさまざまな目的が考えられる。ただし、制御を奪ったエンドポイントから目的のデータが存在しているエンドポイントに対して攻撃を仕掛けるといった基本的な動作は同じだ。

　この段階で対処すべきこととして、以下が挙げられる。

1. 目的のエンドポイントにたどり着くための内部拡散を阻止
2. 社外へのデータ送信を防止

　1つ目の「目的のエンドポイントにたどり着くための内部拡散を阻止」に関しては、連載第3回で内部対策として紹介したネットワークのセグメント化やトラフィックの可視化、内部分割ファイアウォールの設置といったネットワーク側からの対策はもちろん必要だ。それに加え、エンドポイントセキュリティ製品やファイル暗号化製品などエンドポイント側での対策も求められる。

　2つ目の「社外へのデータ送信を防止」に関しては、前述の「侵入」や「潜伏」と同じようにURLフィルタリングやDNS通信のブロックなどによる出口対策が有効だ。それ以外の対策としては、次世代ファイアウォールを使って未知のプロトコルや非標準ポートでのHTTP通信をブロックしたり、特定のアプリケーションに対して特定のファイル種別のファイル送信だけを許可するルールを作成したりすることで、不正な通信をブロックできる可能性が高まる。

　連載第1回でも説明した通り、ほとんどの標的型攻撃の目的はデータの奪取にある。つまり、この最終段階の防御に成功すれば攻撃は失敗したことになる。この段階の対策に使用される内部対策と出口対策の重要性は言うまでもない。

標的型攻撃対策の現実解は「多層防御」と「自動連係」

　以上、アタックライフサイクルに合わせて、標的型攻撃対策に役立つセキュリティ製品分野の代表例を紹介してきた。この通り、標的型攻撃に対抗するには、さまざまな製品／技術が必要になる。ただし連載中に何度も触れてきた通り、各セキュリティ製品を単独で運用しているだけでは、日々進化を続けるサイバー攻撃に迅速に対処することは難しい。マルウェアの新しい検体が1日に3万件以上も見つかっている現在、未知の脅威に対する速やかな対策が取れる環境作りが急務だといえる。

　サンドボックス製品が「マルウェアだ」と判定したファイルに対するパターンファイルを迅速に作成したり、マルウェアに感染した端末がアクセスするC＆CサーバのDNS名（ドメイン名やホスト名）参照やC＆Cサーバとの通信を即座にブロックしたり、感染端末を自動的に隔離したりするには、多様なセキュリティ製品が複雑かつ自動で連係していく必要がある。これからは、セキュリティベンダー各社が連係機能を拡充させ、これからのサイバー攻撃に対処できる次世代のセキュリティ基盤を協力して構築しなければならない時代が訪れているのではないだろうか。