QNETのセキュリティオペレーションセンター(SOC)は、Microsoft Defenderが侵害されたエンドポイントを自動的に隔離したことで、多段階のランサムウェア関連攻撃をわずか128秒で封じ込めました。
この対応により、攻撃者が第2段階のペイロードを展開して永続化を確立したり、認証情報を窃取したり、他システムへ横展開したりする前に攻撃を阻止しました。
今回のインシデントは、現代のセキュリティチームにとってエンドポイントレベルでの封じ込めがいかに重要になっているかを示しています。攻撃者は正規のWindowsツールを悪用し、通常の活動に紛れ込ませる手口を増やしており、これは「環境寄生型攻撃(Living-off-the-Land、LOL)」と呼ばれる手法です。
今回のケースでは、攻撃者は悪意のあるコードの実行によく悪用される信頼済みWindowsユーティリティ、mshta.exeを悪用しました。攻撃は、ユーザーが悪意のあるファイルを開いたことから始まりました。このファイルはおそらく電子メールで受信されたか、ブラウザ経由でダウンロードされたものとみられます。
このファイルがmshta.exeを起動し、攻撃者が管理するURLに接続してリモートのペイロードをダウンロードしました。これにより、攻撃者はエンドポイント上で直接コードを実行できるようになりました。
Microsoft Defenderは09:23:20に、不審なコマンド活動と異常なRunMRUレジストリの挙動を検知しました。
これと同時に2つの検知エンジンが作動しました。一方は不審な実行挙動を特定し、もう一方はその活動を既知の悪意ある攻撃パターンと照合しました。
アナリストによる調査と手動対応を待つのではなく、Microsoft Defenderの攻撃阻止機能がこのイベントを自動的に評価しました。
その結果、悪意のあるコードがすでに1台のデバイス上で実行されていると判断し、最も効果的な封じ込め策としてデバイスの隔離を選択しました。
09:25:16、Defenderは自動化されたIsolateDevice対応プレイブックを起動しました。その12秒後、09:25:28にエンドポイントは隔離されました。
この対応により、Microsoft Defenderのセキュリティサービスとの通信は維持したまま、内部・外部ネットワークとの接続がブロックされました。
これにより、デバイスと攻撃者が管理するインフラとの接続は即座に遮断されました。
第2段階のペイロードは、追加のコンポーネントを取得することも、永続化を確立することも、コマンド&コントロール(C2)サーバーと通信することも、環境内に拡散することもできませんでした。
隔離後、横展開やそれに続く悪意ある活動は一切確認されていません。
従来のセキュリティ対応は、アナリストがアラートを確認し、脅威を検証したうえで、手動で封じ込め策を発動するプロセスに依存することが多いのが実情です。このプロセスには数分、あるいはそれ以上の時間がかかることもあり、特に複数のアラートを同時に処理する小規模なSOCチームにとっては負担となります。
動きの速いランサムウェア攻撃では、わずかな遅れが原因で、脅威アクターに認証情報を窃取されたり、ファイルを暗号化されたり、ネットワーク内を横展開されたりする恐れがあります。
Microsoft Defenderの新しい自動デバイス隔離機能は、こうしたギャップを埋めることを目的として設計されています。
Defenderがデバイスの侵害について高い確度で判断を下した場合、エンドポイントを自動的に隔離できます。
Microsoftによると、同社の攻撃阻止パイプラインはこの種の対応を実行する前に99%の精度基準を満たすよう運用されています。隔離中、当該デバイスは内部・外部両方のネットワークリソースへのアクセスを失います。
ただし、必要なDefenderサービスは利用可能な状態が保たれるため、アナリストはインシデントの調査、証拠の収集、修復作業を行うことができます。
組織側では、承認済みサービス向けに選択的な隔離ルールや除外設定を構成することも可能です。
この対応は影響を受けたデバイスのみに限定され、監査ログも記録されるため、セキュリティチームは対応が発動した理由を把握できます。アナリストは主導権を保持しており、安全性を確認した後にデバイスを隔離状態から解除することができます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/qnet-soc-stops-ransomware/
