スコーディス氏によると、攻撃者は不正に入手した資格情報、ユーザー名、パスワードを使ってDNSプロバイダーとドメインネーム登録機関にログインし、被害組織のDNSレコードがその組織のインフラストラクチャとは別の場所を指すように書き換えるという。

　「これにより攻撃者は、メール交換レコードを改ざんして被害組織宛てのメールを攻撃者のメールサーバにリダイレクトさせ、メールを傍受する」と同氏は語る。

　攻撃者はTLS証明書と認証局（CA）も悪用する。この場合、企業のドメインの所有権は、電子メールで受け取ったリンクをクリックするだけで確認できる。

　「攻撃者はComodoやLet's Encryptなどに証明書を申請する。これらのCAは被害企業に電子メールを送信するが、そのメールは攻撃者のメールサーバに届く。攻撃者はドメインの所有権を確認するリンクをクリックするだけで証明書の発行を受けることができる」（スコーディス氏）

　スコーディス氏はある特定の企業と政府機関を標的とした、最近の大規模なDNS攻撃に言及した。この攻撃は「DNSpionage」と呼ばれ、その後の調査ではイランの攻撃者の関与が示唆されている。FireEyeのMandiant部門でヨーロッパ・中東・アフリカ担当バイスプレジデントを務めるスチュアート・マッケンジー氏も、RSACの別のパネルディスカッションでDNS攻撃について語った。今回のDNSpionageは入念な計画と幾つかの段階に基づいているものの、DNSレコードを書き換えてトラフィックをリダイレクトすること自体はそう難しいことではないと述べた。この種のDNS不正操作は素早く実行されるため、検知は困難を極めるという。

　「脅威の監視でDNSレコードの改ざんを検知することができたとしても、その通知を受けるのに1時間かかるとしたら、その間に1時間分のトラフィックが攻撃者の手に渡ってしまう」（マッケンジー氏）

　スコーディス氏はDNS攻撃の防御策として、DNSインフラストラクチャに変更を加える際に、必ず2要素以上の多要素認証を取り入れることが有効だという。DNSレコードに関連する変更や組織に関連付けられるデジタル証明書も監視する必要があると付け加えた。

　さらに公開鍵暗号と電子署名でDNS認証を強化する「DNS Security Extensions（DNSSEC）」の導入をスコーディス氏は推奨する。「DNSSECを導入する場合、署名付きのDNSレコードとDNSレコードの検証の両方が必要だ。どちらか一方だけではDNSSECを導入したことにならない」（スコーディス氏）

ドメインフロンティング

　スコーディス氏によると、ドメインフロンティングとは、攻撃者の居場所やコマンド＆コントロールの攻撃元、データの不正送信先を分からなくする手法だという。これはコンテンツ配信ネットワーク（CDN）やクラウドサービスプロバイダーがトラフィックをリダイレクトする仕組みを悪用する。

　「まずマルウェアが侵入したマシンから、信頼されたWebサイトにDNS要求を送信する。攻撃者は、そのWebサイトをホストするCDNのアカウントを持っている」とスコーディス氏は説明する。「次にマルウェアはHTTP 1.1要求を送信する。この要求のホストヘッダでは信頼されたサイトではなく攻撃者のサイトを要求する。ところが、これはTLS接続内にあり、暗号化されているため、セキュリティ担当者はその内容を認識できない」

　CDNのフロントエンドは、攻撃者がそのCDNで管理しているWebサーバのインスタンスに要求を送信する。そこから攻撃者のサーバに要求が転送される。

　ドメインフロンティングは攻撃者がクラウドサービスのホスティングを使って、多くの組織を攻撃できることを示している。「クラウドサービスを利用する組織はクラウドプロバイダーを自社のインフラストラクチャ同然に信頼しがちであり、攻撃者はそれを悪用する」とスコーディス氏は語った。

　こうした攻撃の防御策には、TLSインターセプトが有効だと同氏は話す。また、無料ツール「Real Intelligence Threat Analytics」はドメインフロンティングマルウェアやネットワーク上のその他の不正なビーコンアクティビティーを検知するのに役立つという。

DNSトラフィックの傍受

　ウルリッヒ氏によると、DNSログを監視することはネットワーク上の不審な動きを見つけるのに役立つが、攻撃者はDNS攻撃を使ってトラフィックログも入手するという。

　「プライバシーの観点から見ると、再帰DNSサーバとの接続は非常に危険だ。攻撃者はこうした接続からトラフィックをインターセプトしてさまざまな情報を傍受できる。ユーザーが何をしようとしてどのWebサイトを閲覧しようとしているかが分かってしまう」（ウルリッヒ氏）

　「DNS over HTTPS」でDNSトラフィックを暗号化すれば、この攻撃に対する防御策にはなる。しかしネットワーク上の有害なものを見つけられなくなるというデメリットがあることをウルリッヒ氏は付け加えた。

CPU脆弱性の悪用

　ウルリッヒ氏はコンピュータシステムが単一のCPUでできているわけではなく、演算やメモリ、コード実行のための各種チップで構成されている点に言及し、次のように述べた。

　「攻撃者がサーバの構成要素のどれか1つを掌握するだけで、広範なシステムに被害が及ぶ」

　例えばベースボード管理コントローラー（BMC）を使えば、攻撃者はシステムへの持続的なアクセスを入手することが可能だという。

　「クラウドでサーバをレンタルするとき、BMCが何者かによって改変されていないか、前の利用者が何か仕掛けていないか、確認しているだろうか」（ウルリッヒ氏）

　BMCはシステムの再起動などに使用するため、管理ネットワークに接続することが多い。BMCがコントロール可能になると、攻撃者はそうした管理ネットワークへのアクセスを入手できる。

　管理ネットワークは物理的に隔離されているわけではないため、パッシブ監視が必要であることを忘れてはならない、とウルリッヒ氏は警告する。

　「このような管理ネットワークには、外部接続ネットワークの場合と同様のネットワーク監視が必要だ。こうしたBMCに組み込まれているログインだけに依存してはいけない。それに対するアクセスも攻撃者が入手している可能性があり、悪用される可能性があるからだ」（同氏）

個人情報を狙う標的型クラウド攻撃

　ManTechのフォレンジックエンジニアリングディレクターを務めるヘザー・マハリク氏も、RSACでパネリストとして登壇した。同氏は企業を標的とする攻撃手法の話題を離れ、個人を標的とする攻撃について語った。

　マハリク氏によると、現在は個人情報を不正に入手することが非常にたやすくなっているという。

　「クラウドで追跡することにより、ユーザーが今いる場所だけでなく、どこへ移動しようとしているかも把握できる。一度1つのクラウドに侵入してしまえば、そこからユーザーに関するさまざまな情報を追い続けることができる」

　こうした攻撃はどこでも発生する可能性があり、メールアドレスとパスワードの入力を求める「Android」マルウェアや、Appleのデジタル著作権管理（DRM）である「FairPlay」を悪用する「iOS」マルウェアなどが侵入口になる。

　マハリク氏は、ユーザーが誕生日やペットの名前などあまりにも多くの個人情報をオンラインで共有していることも問題だと指摘した。「こうした情報も悪用される可能性がある」と同氏は警告する。

　多要素認証に対応していないアプリケーションや、クラウドサービスの利用は考え直す必要がある。マハリク氏はセキュリティチェックを頻繁に実行することを推奨し、クラウド設定を見直したり、個人情報を取り扱うサードパーティー製アプリを調べたりすることを勧めた。

　「どのような情報へのアクセスを許可するかを検討し、強度の高いパスワードを設定すべきだ。それができない場合は、パスワードを自動的に管理するツールを使ってパスワードの安全性をしっかりと確保する必要がある」（マハリク氏）