わずか1回のペネトレーションテストが、攻撃者がどれほど速く、どれほど深くシステムを侵害できるかを浮き彫りにしました。
あるヘルスケア向けソフトウェアプロバイダーは、自社のセグメント化された環境は十分に安全だと考えていました。同社は分散型の従業員体制に対して多層的な統制に多額の投資を行い、開発環境の分離、クラウドインフラのセグメント化、管理者アクセスの厳格な管理を実施していました。多要素認証(MFA)は広範に義務付けられ、脆弱性スキャンは日常的に実施され、年次のペネトレーションテストも組織全体のセキュリティおよびコンプライアンス対策の一環として組み込まれていました。
ところが、NodeZero® を用いたインサイダー脅威を想定したペネトレーションテスト(ペンテスト)により、開発者の認証情報が1つ侵害されるだけで、いかに素早く環境内を横方向に移動し、ソフトウェア配信を支えるクラウドインフラへと迫れるかが明らかになりました。
「わずか数分でネットワークを完全に掌握されました」と、同社のIT運用責任者は語っています。
この結果は、議論の流れを即座に変えました。これは単にヘルスケア組織がエンドポイントやサーバーを保護するという話ではありませんでした。同社は下流の信頼を担う立場にあり、侵害が発生すれば顧客やヘルスケア業務、そして自社のソフトウェアに依存するシステムにまで影響が及びかねない状況だったのです。
同社は、年次のペンテストやスキャナーの出力だけでは、本当に重要な問いに答えられないことに気づきました。その問いとは、「攻撃者が環境内に侵入した場合、実際には何ができてしまうのか」というものです。
この気づきが同社を、継続的な検証、繰り返しのテスト、そしてよりオペレーショナルなエクスポージャー管理へと押し進めることになりました。
概要:得られた成果
- 4台のホストを侵害しAWS侵害と機密データ漏えいにつながっていた16件の弱点に起因する内部エクスポージャーを解消
- 重大なビジネス影響につながっていたAWSへのエクスポージャーを、単独では連鎖してもビジネス影響に至らない低深刻度の弱点2件にまで縮小
- NodeZeroが迅速な横方向移動と権限昇格を実証したことを受け、環境全体で過度に許可されていたローカル管理者アクセスを解消
- 特権アクセスの承認ワークフローを導入し、MFAの適用範囲を拡大
- テスト、修復、検証を毎月繰り返す反復可能な運用サイクルを確立
画像1:初回の内部テストでは、4台のホストを侵害し、AWS侵害と機密データ漏えいにつながる16件の弱点が特定されました。
影響
セキュリティチームは、自社のネットワークは安全だと信じていました。しかし、攻撃者が一度内部に侵入した場合に何ができてしまうのかを理解するまでは、その認識は正しくありませんでした。本当に問われるべきだったのは、個々の弱点が存在するかどうかではなく、それらの弱点が実際の環境で連鎖した場合に攻撃者が何を成し遂げられるかという点でした。
多くのソフトウェアプロバイダーと同様、同社も広く分散した従業員体制、大規模な開発者アクセス要件、ハイブリッドインフラ、そして拡大を続けるクラウド依存という条件のもとで運営されていました。
NodeZeroを導入する以前、同社は従来型の脆弱性スキャンと年次のペネトレーションテストに大きく依存していました。NodeZeroを初めて実行した直後、チームはその限界を即座に理解しました。インサイダー脅威を想定したペンテストによって、それまでの前提がいかに早く崩れ去るかが露呈したためです。
「年次のペネトレーションテストというものを考えてみると、それはある瞬間を切り取ったスナップショットに過ぎません」とIT運用責任者は述べています。「技術は止まることがなく、変化し続けるものです」
同社はまず、Microsoft 365環境と組み合わせたフィッシング影響ペンテストを試みましたが、この演習では従業員が認証情報を入力することはありませんでした。そこで終わらせて「従業員がフィッシングに引っかかることはないだろう」と信じるのではなく、同社はより現実的な侵害シナリオをモデル化することを決断しました。開発者、人事担当者、サポート担当者という3人の従業員に対し、あえてフィッシングペンテストに認証情報を入力させ、異なるアクセスレベルにおいて攻撃者が実際に何をできるのかをチームが観察できるようにしたのです。
この判断により、実際のリスクがどこに存在するのかがすぐに明らかになりました。
人事担当者とサポート担当者のアカウントは実質的に封じ込められましたが、NodeZeroが開発者のアカウントになりすました途端、攻撃経路は急速に拡大しました。同プラットフォームはパスワードハッシュを解読し、権限を昇格させ、セグメント化された環境間を横方向に移動し、AWSに接続されたリソースへの到達を試みました。
「私たちの環境は完全にセグメント化されています」と運用責任者は語っています。「サイロ化さえしていれば大丈夫だと考えていました。しかしNodeZeroはそのセグメントを飛び越えてしまったのです」
侵害の速さはチームを驚かせましたが、それ以上に重要だったのは、その経路そのものでした。昇格したアクセス権を持つ1台の開発者用システムが、攻撃者が環境内を移動するための実質的なピボットポイントと化していたのです。
この瞬間、問題の捉え方は根本から変わりました。同社が向き合っていたのは、もはや個別の脆弱性ではなく、エクスポージャーであり、攻撃の連鎖であり、そして1つの侵害された開発者用認証情報が、はるかに大きな事態へと発展しかねないという現実だったのです。
画像2:NodeZeroは、侵害された開発者経路がセグメント化された環境をまたいで横方向に移動し、ホスト侵害に至る様子を実証しました。
緩和策および修復対応の詳細については、こちらをクリックしてご覧ください。
結論
「最終的に私たちの目標は、従業員が毎日安心して出社できる職場を守ることにあります」とIT運用責任者は述べています。
この視点は、問題の捉え方そのものを一新しました。コンプライアンスや脆弱性管理としてではなく、実際の攻撃者が自社の環境内を横断することなど不可能であると継続的に検証し続ける、終わりのない責務として捉え直したのです。
