サイバーセキュリティベンダーのHuntressは、新たなアプリケーション制御機能を全顧客向けに無償で公開しました。同社の最新データによると、リモート監視・管理(RMM)ツールを悪用する攻撃が過去1年間で急増しているといいます。
この機能は「RMM Guard」と呼ばれ、Huntressが現在アーリーアクセス段階で開発中の「Managed Endpoint Security Posture Management(ESPM)」というより広範な製品の一部です。RMM Guardは、顧客環境内で稼働しているすべてのリモートアクセスツールを棚卸しし、明示的に許可されていないツールを自動的にブロックします。これには、ScreenConnectのような正規ツールを攻撃者が悪用して用意した偽の複製版も含まれます。
今回の対応の背景には、RMMを悪用した攻撃が過去1年間で277%増加したというHuntressの報告があります。同社アナリストが今年これまでに確認したインシデントのうち、およそ3分の1は、そもそも未承認のRMMソフトウェアの実行をブロックしていれば防げていた可能性があるとしています。
攻撃者は、被害者環境への足がかりを持続的に確保する手段として、正規のリモートアクセスソフトウェアをますます利用するようになっています。こうしたツールはITチームから広く信頼されており、それ自体が単独で警戒を招くことは少ないためです。Huntressは最近の事例として、「昇給」通知を装ったフィッシングメールによって従業員がLogMeIn Resolveをインストールしてしまい、攻撃者にリモートアクセスを許してしまったケースを挙げています。このケースは、エンドポイント監視と24時間体制のセキュリティオペレーションセンター(SOC)によってようやく検知できたといいます。
アプリケーション制御(アローリストとも呼ばれます)は、既知かつ承認済みのソフトウェアのみ実行を許可し、悪意ある活動を事後的に検知しようとするのではなく未然に防ぐという、以前から確立されたセキュリティ手法です。しかしHuntressは、市場に出回っているアプリケーション制御製品の大半は、専任のセキュリティチームを抱える大企業向けに設計されており、小規模なITチームやマネージドサービスプロバイダー(MSP)が導入するには複雑すぎ、リソース負担も大きすぎると指摘しています。業界標準のフレームワークでは、本格的なアプリケーション制御プログラムを実用段階に持っていくまでに、通常は数ヶ月に及ぶ計画立案・ポリシー策定・段階的展開が求められますが、同社はこのスケジュール感が、他の優先事項に既に手一杯な少人数チームにとっては現実的ではないとしています。
Huntressによれば、すべてのアプリケーションを対象に完全なアローリストポリシーを構築するよう顧客に求めるのではなく、まずは攻撃者に最も悪用されやすいソフトウェアのカテゴリーに焦点を絞るアプローチを採用するとしています。その第一弾がRMMツールであり、今後はAIやファイル共有アプリケーションなど他のカテゴリーにも展開していく方針です。
RMM Guardはこれまで学習モードのみに制限されており、利用にはHuntress Managed SIEMのサブスクリプションが必要でした。今回、これらの制限は撤廃され、エージェントを導入済みのHuntress顧客・パートナーであれば追加費用なしで本機能を利用できるようになりました。一方、Managed ESPMについては、より広範な商用リリースに先立ち、引き続きアーリーアクセス段階にあります。
既存のHuntress顧客は、担当のアカウントマネージャーを通じてESPMアーリーアクセスプログラムへの参加を申請できます。
