概要
SaltTyphoonのような出来事は、企業やユーザが、自分たちのコントロール下にないインフラに依存しているために、侵害を受けやすいということを思い起こさせる素晴らしい出来事です。パブリック・クラウド、SAAS、グローバル・サービス・プロバイダーによるコンピューティング、ストレージ、ネットワークのサービスにより、分散型アプリケーションがますます増加しているため、攻撃対象は企業のコントロールの及ばないところにあります。そして、よく言われるように、侵害は「いつ（When）」対「もし（If）」の問題になっています。このような環境で成功するための最も明白なアプローチは、ゼロ・トラストの原則を使用して外部および内部の攻撃面を減らし、設計によってセキュアにすることです。Unified SASE as a Serviceでセキュアなネットワーク・アクセスを確保することは、ネットワークとセキュリティ・ベンダーの乱立を解消し、運用の簡素化を実現する大きな前進です。侵害が発生した場合、問題を隔離し、爆発範囲を縮小し、ビジネスのニーズを満たし続けることがより重要になります。SASEは、様々なセキュリティ技術の展開を制御し、より迅速な応答時間を提供することで、ネットワーク・ハイジーンに大きく貢献し、攻撃対象領域を削減します。
対象インフラ
スイッチやルーターのような一般的なインフラ製品は、業界で広く使用されています。工場出荷時のデフォルト・パスワードが変更されていないことがあることはよく知られています。Cisco製品が普及していることを考えると、SaltTyphoonがCiscoデバイスを標的にするのは当然のことです。以下にいくつかの理由を説明します：
- そのユビキタス性と市場支配力を考慮すると、シスコは世界最大のネットワーク機器プロバイダーの1つです。そのデバイスは、企業、サービスプロバイダー、および重要なインフラストラクチャに配備されています。シスコの機器の侵害に成功すると、攻撃者は機密性の高い価値の高い情報を含むネットワークにアクセスできるようになります。
- SaltTyphoonは、政府機関、軍事機関、重要なインフラストラクチャなど、Ciscoの機器が広く配備されている場所に焦点を当てることがよくあります。ルーター、スイッチ、ファイアウォールなどのシスコ機器は、ネットワーク・トラフィック管理の中心的存在であり、傍受、データ流出、トラフィック操作の理想的なポイントとなっています。シスコの機器は、政治的または経済的に機密性の高い業務を管理する組織で頻繁に使用されているため、スパイ活動の標的として最適です。これらのデバイスは信頼されたネットワーク・ポジションを保持しているため、侵害されるとセキュリティ対策が迂回され、業務が中断される可能性があります。
- 持続的なアクセスとステルス動作により、Cisco機器はバックドアを埋め込むための強力な足がかりとなります。SaltTyphoonは、侵害されたネットワーク機器がエンドポイント検出システムを頻繁に回避するため、Ciscoデバイスを標的とすることで、永続的な悪意のあるコードをネットワークインフラに直接展開し、グループにステルス性の足がかりを与えます。
- SaltTyphoonは、パッチが適用されていない脆弱性を悪用することで知られており、Ciscoデバイスは、長年にわたり、有名な脆弱性（Cisco Smart Install、VPNの欠陥など）と関連してきました。Cisco システムを標的とした高度なエクスプロイトの開発や入手は簡単です。戦略的な位置にある Cisco の機器を悪用することで、攻撃者はサプライチェーン内の複数の下流組織を侵害することができます。
ITシステムのクリーニングに伴う課題
多くの作業が発生する主な理由は、いくつかの企業がしばしば提供する、つなぎ合わせられた断片的なソリューションです。さらに、可視性が非常に低く、監視システムも利用できないため、マルウェアはインフラストラクチャのどの部分にも潜んでいる可能性があります。つまり、マルウェアはインフラのどの部分にも潜んでいる可能性があるのです。したがって、課題は、すべてのシステムが感染していることを特定し、それを修復する方法を見つけることです。技術的な制約を理解しましょう：
- APTは、ステルス戦術（ファイルレスマルウェア、暗号化、難読化）、持続性メカニズム（隠しレジストリキー、スケジュールされたタスク、ファームウェアレベルの変更）、およびカスタマイズされたツールを使用して、検出とクリーンアップの試みを回避します。
- 多数のエンドポイント、サーバー、クラウドを統合した広大なITシステムなどの複雑な環境のため、可視性が不足しており、監視が困難になっています。多くの組織では、侵害の全容を追跡するのに十分な量のデータをログに記録したり、十分な期間保持したりしていません。
- スキルの格差や対応時間の遅さによる人的制限により、攻撃者はより強固な足場を築くことができます。多くの組織では、APTに対応するための専門的なスキルやリソースが不足しています。さらに、組織はセキュリティよりも運用上のニーズを優先するため、防御に隙が生じます。
- APTは数カ月から数年にわたり検知されないことがあるため、滞留時間による検知の遅れも一因となっています。この間、攻撃者は複数のバックドアを展開し、さまざまなシステムを侵害します。発見されるまでに、攻撃者は深く潜入している可能性があります。
統合保護対策としてのサービスとしての統一SASE
Aryakaの主要ソリューションであるUnified SASE as a Serviceは、SaltTyphoonのような高度な持続的脅威（APT）との戦いに役立ちます。そのプロアクティブおよびリアクティブな防御は、高度な攻撃を凌駕するように設計されており、あらゆる組織のセキュリティ戦略にとって極めて重要です。
- 最小特権の原則を徹底することは、APTとの戦いにおいて重要なステップです。組織は、ZTNAを使用してきめ細かなアクセス制御を実装し、ユーザー、デバイス、およびアプリケーションが、それぞれの役割に必要な特定のリソースとしかやり取りできないようにする必要があります。これにより、APTが広範な被害を引き起こす可能性が大幅に低下するため、重要な防御戦略となります。
- 場所、時間、行動を考慮したアイデンティティとコンテキストを考慮したポリシーは、APTとの戦いにおいて極めて重要です。ユーザーとデバイスの継続的な検証を可能にするこれらのポリシーは、攻撃者が正規ユーザーになりすます可能性を大幅に低減します。これにより、セキュリティ対策に対する信頼が高まり、あらゆる組織の防御戦略にとって不可欠な要素となります。
- Unified SASE as a Serviceは、マイクロセグメンテーションを使用して、ネットワーク内のワークロード、アプリケーション、およびデバイスを隔離する封じ込め機能を提供します。この戦略により、APTの横方向の動きが制限され、攻撃者が最初の足掛かりを得たとしても、さらなるシステムへの侵害を防ぐことができます。
- Unified SASE as a Serviceを利用することで、企業はネットワーキング層とセキュリティ層における監視と可視性を強化し、潜在的なAPT活動を早期に特定して対応するために、異常を検知して指標を関連付けることができます。さらに、SWG、FwaaS、IPS、ファイルスキャンなどのセキュリティ機能により、疑わしい活動に対するリアルタイムのアラートと自動応答が提供されるため、企業はAPTの活動を迅速に検出して封じ込めることができます。
- APTは標的ネットワークから機密データや知的財産を盗むため、攻撃者はその情報を遠隔地に流出させる必要があることは広く理解されています。Unified SASE as a Serviceを使用すると、CASB、DLP、ML/AIを使用した異常検知のためのセキュリティエンジンなどのセキュリティ機能を使用して、プロトコルの不正使用を含む、機密データの流出や流出中のデータ転送の異常を検知することができます。
一般的な推奨事項
このようなプロセスは大きな負担となり、持続的な維持が困難となる可能性があるため、運用の簡素化も重要な検討事項の 1 つです。セキュリティ・ポリシーとセキュリティ手順の作成と管理に関する役割と責任を明確にすることは、非常に有効です。組織は、CISA や FBI が提案した以上のことを行うことができます。以下を参照してください：
- ゼロ・トラスト・アーキテクチャを導入し、社内外を問わず、すべてのアクセス要求に対して認証と承認を義務付けます。組織は、「信頼せず、常に検証する」という原則に従うことで、横の動きを制限し、侵害の影響を軽減することができます。
- APTをいち早く発見するためには、プロアクティブな脅威ハンティングが重要な役割を果たします。悪意のあるIP、ファイルハッシュ、ドメインなど、既知のAPT関連の侵害指標（IOC）を定期的に検索します。また、横の動き、特権の昇格、データの流出など、悪意のある意図や手口を検知するために、攻撃の指標（IOA）にも注目する必要があります。
- 高度なセキュリティとネットワーク・テクノロジーのパワーを活用します。まず、セグメンテーションによってネットワークを小さなゾーンに分割し、脅威を封じ込め、攻撃者の動きを制限します。次に、ハニーポットやおとりなどの欺瞞技術を使用して、攻撃者の行動を検出・調査します。第三に、AIを活用した自動化により、APT活動の検知、トリアージ、対応を迅速に行うことができます。
- 組織は定期的に卓上演習を実施し、APTシミュレーションや一般的な攻撃シナリオの攻撃プレイブックなど、現実的なシナリオでIR計画の有効性を判断する必要があります。さらに、バックアップが機能し、迅速にリストアできることを確認するために、バックアップを頻繁にテストする必要があります。
Unified SASE as a Serviceのパワーを利用することで、企業は自社のネットワークを、偵察から搾取、流出に至るまで、攻撃のライフサイクルのあらゆる段階でAPTが常に障壁に直面する、高度に回復力のある環境に変えることができます。