2021年5月、コロニアル・パイプラインへのランサムウェア攻撃は、乗っ取られたアカウント1つがいかに迅速に国家規模の問題へと発展し得るかを示しました。攻撃者は多要素認証(MFA)が設定されていない休眠状態のVPNアカウントを通じて初期侵入を果たしたとされており、そこから請求システムを含む業務系システムに到達し、最終的にシステム停止に追い込みました。この停止措置により、米国東海岸全域の燃料供給が混乱に陥ったのです。
あれから5年が経ちましたが、コロニアル・パイプライン事件から得られた教訓は、今なお、いやこれまで以上に重要性を増しています。重要インフラが狙われやすいのは、被害組織そのものを超えた広範囲に圧力を及ぼす混乱を引き起こせるためです。
今日、国家の支援を受けた攻撃者たちが重要インフラのネットワーク内に足場を築こうとする動きが強まる中、その圧力はさらに高まっています。狙いはデータの窃取だけにとどまらず、有事の際に利用できるアクセス権を確保しておくことにあります。
初期の侵入経路は目新しいものではなく、脅威アクターは盗まれた認証情報、管理外のデバイス、侵害されたノートパソコン、リモートアクセスツール、そして脆弱なアクセス制御を悪用しています。ゼロトラストは、こうした状況下で重要なサービスを提供する組織にとって、もはや選択肢の一つではなく、運用上の必須事項になりつつあるセキュリティモデルです。
重要インフラが直面するIDの脅威
技術の進歩に伴い、システムの相互接続はますます進んでいます。この変化と新たな課題を反映し、CISAは最近、論文「Adapting Zero Trust Principles to Operational Technology(ゼロトラスト原則の運用技術への適用)」にてガイダンスを公表しました。
この論文は運用技術(OT)環境に焦点を当てたものですが、その根幹にある警告は重要インフラ全般に当てはまります。すなわち、暗黙の信頼は容認できないリスクを生むということです。
OTには、慎重かつきめ細やかな対応が求められます。安全性、稼働継続性、レガシーシステム、そして物理的なプロセスといった要因が絡み合うため、制御環境に一般的なITセキュリティモデルをそのまま適用するのは容易ではありません。CISAのガイダンスもこの現実を踏まえ、資産の可視化、IDおよびアクセス管理、セグメンテーション、モニタリング、サプライチェーンリスクを重視しています。
しかし、重要インフラが脆弱性にさらされているのはOTだけではありません。重要なサービスはITシステム、クラウドプラットフォーム、SaaSアプリケーションにも依存しています。コロニアル・パイプライン事件が示したように、業務上重要なシステムへの侵害は、OTへの侵害と同等の被害をもたらしかねません。
攻撃者はどのように侵入し、身を隠すのか
Volt Typhoonのような脅威アクターの手口を見れば、重要インフラを率いるリーダーたちが「信頼」というものを根本から見直す必要がある理由がわかります。同グループは重要インフラを専門的に標的とし、明白な警告を発するのではなく、通常のネットワーク活動に紛れ込むように設計された手法を用いています。
米当局は、中国政府の支援を受けた攻撃者が重要インフラのネットワークを侵害し、場合によっては数年間にわたってアクセスを維持し続けてきたと警告しています。
手口自体は目新しいものではありませんが、依然として効果的です。攻撃者はルーター、ファイアウォール、VPNアプライアンスといったエッジデバイスの脆弱性を悪用します。
盗んだ管理者権限や正規のアカウントを使い、マルウェアの代わりにシステムに標準搭載されたツールを利用する「環境寄生型(living off the land)」の手法に頼ることで、彼らの活動は一見すると通常の業務のように見えます。
また、侵害したデバイスを経由してトラフィックを迂回させることで、攻撃元の特定や検知をさらに困難にしています。
グアムをはじめとする米国内の各地域において、Microsoftは、通信、製造、公益事業、建設、運輸といった分野の組織に対するVolt Typhoonの活動を報告しています。懸念されているのはスパイ活動そのものだけでなく、持続的なアクセス権が将来の地政学的危機の際に破壊活動を支援する可能性があるという点です。
ゼロトラストの実装:IDだけでは不十分な理由
ゼロトラストは、こうしたタイプの攻撃に対する重要な防御策となります。しかし、IDはゼロトラストの中核をなす要素である一方、それだけですべての負担を担うことはできません。
国家の支援を受けた攻撃者は、認証情報の窃取、ユーザーへのフィッシング、セッションの乗っ取り、そして正規ツールを使ったネットワーク内での静かな水平移動に長けています。
多要素認証(MFA)は依然として不可欠であり、すべての重要インフラ組織が導入すべきものです。しかし、攻撃者がセッションを乗っ取ったり、不正なデバイスを登録したり、信頼されたリモートアクセス経路を悪用したり、管理されていないエンドポイントから正規アカウントを使用したりできる状況では、MFAだけでは万全とは言えません。
重要なサービスを提供する組織には、より強固なアクセス判断の仕組みが求められます。つまり、ユーザー名とパスワードにとどまらず、その他の信頼シグナルにも目を向ける必要があるのです。
従業員のアクセスから着手すべき理由
ほとんどの重要インフラ組織は、OTを一朝一夕に刷新することはできません。すべてのレガシーシステムを迅速に置き換えたり、あらゆるサードパーティ依存を排除したり、何十年にもわたって積み重ねられた運用上の複雑さを新たなリスクを生まずに作り直したりすることは不可能です。しかし、従業員が重要なアプリケーション、データ、システムにアクセスする方法を強化することはできます。
従業員のアクセス制御は、ID、エンドポイントセキュリティ、ポリシー適用が交差する領域に位置しています。これにより、セキュリティチームは「このユーザーは正しいか?」という問いにとどまらず、「このユーザーは、正しいデバイスで、正しい条件下で、この特定のリソースにアクセスしようとしているか?」という問いへと視野を広げることができます。
各IDをデバイスに紐付けることが鍵となります。これにより、パスワード、トークン、承認済みセッションを持っているというだけの理由でアクセスが許可されてしまう事態を防ぐことができます。アクセスを許可する前に、セキュリティチームはそのデバイスが既知のものか、信頼できるか、健全な状態か、暗号化されているか、最新の状態に更新されているか、コンプライアンスに準拠しているかを確認できます。
重要インフラにとって、これはゼロトラストへの実践的な一歩です。つまり、人々が組織の生命線となるシステムに接続する接点において、暗黙の信頼を減らすということです。
ゼロトラストのギャップを埋める
ゼロトラストを実装する上での課題は、従業員がもはや単一の拠点やネットワークに縛られていないという点にあります。オフィス勤務者もリモート勤務者も、いずれも機密性の高いシステムへの確実なアクセスを必要としていますが、リスクとなるのは、彼らが使用するデバイスのセキュリティ状態が大きくばらついていることです。
例えば、あるエンジニアはオフィスで、暗号化が施され、パッチも最新で、エンドポイント保護も導入された管理対象のノートパソコンを使って業務を行っているかもしれません。一方、経理部門の従業員は、個人所有の管理外デバイスを使ってリモートで業務を行っているかもしれません。両者とも同じようにアクセスを必要としていますが、そのリスクプロファイルはまったく異なります。
ゼロトラストの従業員アクセスモデルは、こうした違いを踏まえた上で適用されるべきであり、すべてのデバイスに一定レベルの健全性を求めるポリシーが必要です。アクセスは、デバイスの状態、ユーザーのコンテキスト、そしてリソースの機密性に応じて動的に調整されるべきです。
これにより、信頼シグナルとしてネットワーク上の所在地に依存する度合いを減らすことができます。また、デバイスやアカウントが侵害された場合の被害範囲を限定することにもつながります。
Specopsでアクセス判断を強化する
IDシステムのセキュリティは、レジリエンスの高い重要インフラを実現する上で欠かせない要素であり、そこで役立つのがSpecops Device Trustのような専門ソリューションです。攻撃者は認証情報を盗み出すことはできても、検証済みの物理デバイスを盗み出すのははるかに困難です。
IDを特定のデバイスに紐付けることで、Specops Device Trustはあらゆるアクセスポイントでゼロトラストを徹底することを組織に可能にします。
このソリューションが提供する機能は以下の通りです。
- フィッシング耐性を備えた認証:承認された信頼できるデバイスからのみログインできるようにすることで、アカウント乗っ取りを防止
- ゼロデバイストラスト:アクセス要求のたびにデバイスの状態を検証し、セッション中を通じて有効な脅威、無効化されたセキュリティ制御、古いソフトウェアがないかをチェック
- ネットワークにアクセスするすべてのデバイスの完全な可視化:管理対象の企業デバイスから管理外のシャドーITまでを網羅し、ユーザーを承認済みの特定台数のデバイスに固定する制御機能も搭載
- 修復ツールキット:サービスデスクへの問い合わせを必要とせずにユーザー自身が問題を解決できるほか、生産性を損なうことなくデバイスを更新できる猶予期間も設けられている
重要インフラを担う組織には、ますます高度化する攻撃から身を守るための強固なセキュリティ制御が求められています。
Specopsのソリューションがどのようにより強固なID セキュリティの実現に役立つかを知りたい方は、今すぐお問い合わせください。
