新たな多国間勧告は、国家に支援された攻撃者が旧式のプロトコルやデフォルト認証情報、放置されたネットワーク機器を悪用し、重要インフラへの侵害を続けていると警告しています。
ロシア政府に支援された攻撃者がルーターの脆弱性を悪用していることを受け、各国のセキュリティ機関は企業に対策の徹底を求めています。
新たな多国間サイバーセキュリティ勧告によると、サイバー攻撃者は保護が不十分だったり設定に不備があるネットワーク機器を、昔ながらの手口で今なお悪用し続けています。北米、英国、欧州、オーストラリアの19の連邦機関による公表文によれば、脅威アクターは脆弱な機器、主にルーターを探索し、重要インフラのネットワークを「日和見的に」侵害しているといいます。
攻撃者はその後、設定ファイルを自らが管理するサーバーへ転送します。これらのファイルには認証情報や組織のネットワークに関する詳細情報が平文または弱い符号化のまま含まれていることが多く、Info-Tech Research Groupのシニアリサーチアナリスト、Seva Ioussoufovitch氏はこの点に最大の価値があると指摘しています。
「単純な手口に聞こえるかもしれませんが、この手法は10年以上にわたって悪用され続けており、いまだに効果を発揮しているのは明らかです」と同氏は述べています。
SNMP攻撃の仕組み
国家に支援されたサイバー犯罪者は、攻撃の第一段階として、機器とネットワーク間の情報交換をサポートする標準的なSimple Network Management Protocol(SNMP)フレームワーク経由でリクエストを送信します。これにより、旧式のSNMPv1やSNMPv2プロトコルをいまだ使用し、一般的あるいはデフォルトの「コミュニティ文字列」を認証に受け入れてしまう脆弱で安全性の低い機器を探索できるのです。こうした文字列は共有パスワードの一種で、管理者が変更せずに放置しがちな、推測可能な公開デフォルト値であることが一般的です。さらに、これらの機器の多くは基本的なルーター設定のまま運用されている場合があります。
脅威アクターはスプーフィングしたIPアドレスを使い、これらの機器上で稼働するSNMPエージェントに対し、設定情報をファイル(通常は「config.bkp」や「output.txt」)にコピーするよう指示し、そのファイルを自らが管理する仮想プライベートサーバー(VPS)へ転送します。加えて、サイバー犯罪者はCiscoデバイスや、Ciscoの既知の脆弱性(CVE)、Smart Install(SMI)ツールも悪用しています。
公表文によれば、攻撃者は少なくともCVE-2018-0171(2018年公開)とCVE-2008-4128(2008年公開)を悪用しています。いずれもCiscoルーターを標的としたもので、リモートの未認証攻撃者に任意コード実行や不正操作、サービス拒否(DoS)を引き起こす権限を与えてしまいます。
この手法を使う著名なグループとしては、セキュリティコミュニティで「Berserk Bear」「Crouching Yeti」「Dragonfly」「Energetic Bear」「Ghost Blizzard」「Static Tundra」として知られる集団が挙げられます。公表文によると、ロシアの国家支援型サイバーアクターに対して最も脆弱な業界には、通信、エネルギー、金融サービス、防衛産業基盤、医療・公衆衛生施設、そして政府機関・施設が含まれます。
2026年になっても続く「設定放置」の姿勢
ルーターの運用管理における問題点は、セキュリティ運用の実践において機器が「企業にありがちな不備の重なり合い」にさらされやすいことだと、Info-Tech社のIoussoufovitch氏は指摘しています。
「多くの組織は今なおルーターに対して設定したまま放置する姿勢を取っており、エンドポイントのようには管理・追跡していません」と同氏は述べています。
さらに、ルーターは事業継続にとって重要な役割を担っていることが多いため、セキュリティを常に最新の状態に保つ必要性は一層高まります。悪いことに、機器のセキュリティ管理の責任者が誰なのか不明確なケースもあります。「セキュリティ部門はネットワークチームを指し示し、ネットワークチームはセキュリティ部門を指し示す、といった具合です」とIoussoufovitch氏は指摘しています。
加えて、多くの組織は今なおサポートが終了している可能性のあるレガシーハードウェアに依存し続けており、事業側がその置き換えに難色を示すケースも少なくありません。
結局のところ、「ネットワークセキュリティは、エンドポイントのような従来からの重点領域と同じだけの注目を集めているとは言い難い」とIoussoufovitch氏は述べています。
具体的には、各機関はセキュリティチームおよびネットワーク管理者に対し、SNMPv3へのアップグレード、強固なパスワードの徹底、Cisco Smart Installの無効化、そして「ファイアウォールで」SNMPおよび一般的なファイル転送手段をブロックするよう強く求めています。
企業は「現行の機器ではもはや必要ないはずのレガシープロトコル」であるSNMPv1およびSNMPv2を直ちに無効化すべきです。どうしても必要と判断される場合には、デフォルト設定から読み取り専用アクセス(読み書きアクセスは不可)への切り替えを行うべきとされています。
公表文では、SNMPv3を利用する際はauthPrivを「最新の暗号化基準」に設定すべきだとしています。SNMPv3は、従来のバージョンにはなかった強力な認証とデータ暗号化を追加し、認証・暗号化のためのパラメータもより安全に符号化されています。
「より強固な認証と暗号化を提供するSNMPv3への移行は、セキュリティチームが今すぐ優先すべき明確で実行可能なステップです」とIoussoufovitch氏も同意しています。
各国政府機関は企業に対し、ネットワーク機器のローカルアカウントに強固で一意なパスワードを使用すること、また標準の命名規則に合致しない不審な認証情報や、ログ・侵入検知システム(IDS)における設定不備を監視することを求めています。ネットワークは多要素認証(MFA)をサポートすべきであり、管理者はSNMPなどの管理プロトコルに対して許可リストを徹底すべきだとしています。
さらに企業は、ネットワーク機器のソフトウェアを更新し、サポート終了(EOL)機器を退役させ、初期設定完了後はすべての機器でCisco Smart Installを無効化すべきだと各機関は述べています。これは、誤って有効なまま残された場合に深刻なセキュリティ問題を招くためです。
ネットワークセキュリティは全面的な改善が必要
今回の勧告は、企業がネットワークセキュリティへの投資を怠っている可能性を示すシグナルだと、Ioussoufovitch氏は指摘しています。管理者やセキュリティ責任者は、以下のような問いを自らに投げかけるべきだといいます。
- 十分なネットワーク検知・対応能力を備えているか
- ネットワークトラフィックのパターンに対して分析や異常検知を適用しているか
- 個々のルーターがもたらすリスクを抑えるため、企業環境全体にマイクロセグメンテーションを導入しているか
「こうした予防的措置の少なくとも一部を導入しつつ、EOL機器の追跡と置き換えに対してより規律あるアプローチを取ることで、セキュリティチームとネットワークチームは、ようやくこの種の脅威に対して前進を始められるでしょう」とIoussoufovitch氏は述べています。
Beauceron SecurityのDavid Shipley氏も、企業のネットワーク機器のセキュリティは改善されるべきだという点には同意していますが、その責任は重要インフラ事業者よりもむしろベンダー側にあると述べています。ベンダーはデフォルトで安全な製品を出荷すべきであり、顧客がこうした機能をわざわざ後から有効化しなければならない状況はあるべきではありません。
同氏はさらに、Salt Typhoonにも耐えうるレベルの機器セキュリティと認証が実現されることを望むと付け加えました。「現状、彼らにとってネットワーク機器を乗っ取ることは造作もないことになっています」と同氏は述べています。
今回のガイダンスは重要であり、有益ではあるものの、Shipley氏は「より良い製品を作り、デフォルトで安全な状態で出荷することの方が、さらに大きな効果をもたらすだろう」と述べています。
