水道セクターはCISAの模擬攻撃を検知・阻止、政府セクターは失敗

サイバーセキュリティ・インフラセキュリティ庁(CISA)が政府セクターと水道セクターの2つの標的組織を対象に防御力をテストしたところ、レッドチームはいずれの組織のシステムにも侵入に成功しましたが、水道系組織は模擬攻撃を検知して防御対応を取ったのに対し、政府系組織はどちらも実行できませんでした。

CISAは火曜日、自らのレッドチーム活動について異例の公開報告となる詳細分析を公表しました。米国内の水道施設を狙った攻撃が過去1カ月で明らかになったほか、複数の攻撃事例や政府による警告が相次ぐなど、水道セクターへの攻撃が一段と注目を集めているタイミングでの公表となります。

CISAは、任意参加かつ依頼制で行われるこのプロセスでテスト対象となった組織名は明らかにしていません。

CISAの分析には次のように記されています。「一方の組織(組織A)では、レッドチームは複数のワークステーションへの初期アクセスを獲得し、ドメイン上で権限を昇格させ、[機密性の高い業務システム]およびクラウドリソースへ検知されることなく横展開しました」「もう一方の組織(組織B)では、ネットワーク防御担当者が初期侵害を迅速に検知し、影響を受けたシステムを隔離しました」

政府系組織である「組織A」に対しては、CISAは内部のメールアドレスを使ってフィッシングメールを送信し、ワークステーションへのアクセスを獲得しました。その後さらに探索を進めて権限を昇格させ、組織内を移動しながら標的とした機密性の高い業務システムを侵害しました。レッドチームは、セキュリティオペレーションセンター(SOC)の担当者のメールにアクセスして観察したところ、同組織が「レッドチームの活動に効果的に対応できていなかった」ことを確認しています。担当者は中・低深刻度のエンドポイント検知・対応(EDR)アラートを受信していたものの、これに対応していませんでした。

CISAによれば、より深刻度の高いものを含む数千件もの誤検知アラートが「レッドチームの活動によって発生したアラートを覆い隠して」いました。また同庁は「組織内の縦割り構造」も問題点として指摘しています。

一方、水道系組織である「組織B」に対しては、CISAはスピアフィッシングキャンペーンを通じてアクセスを獲得しました。3名のユーザーを悪意あるリンクのクリックへと誘導し、ワークステーションへのアクセスを得ています。しかし今回は、SOCがアラートをトリアージし、それぞれ2分、10分、20分という短時間でワークステーションを隔離しました。

レッドチームは、活動を把握していた同組織のIT担当者の協力を得て別のアプローチも試みましたが、後続の試みは阻止されました。

CISAは次のように記しています。「組織Bは初期侵害を検知したため、レッドチームは『侵害を前提とする』モデルに移行しました。これは、防御側が活動を検知していなかった場合にレッドチームが得ていたであろうアクセスレベルを再現したホストへ、組織Bの信頼できるエージェント(TA)がアクセスを提供するというものです」「そこからレッドチームは権限を昇格させ、[機密性の高い業務システム]、クラウドリソース、そしてOT(運用技術)の非武装地帯(DMZ)内にある踏み台ホストへと横展開しましたが、ここでも防御側が再び活動を検知し、システムを隔離しました」

それでもなお、CISAは両組織の防御に共通する弱点も指摘しています。両組織ともクラウドリスクを過小評価していたこと、ワークロードIDに対してMicrosoftのセキュリティツールである条件付きアクセスを導入していなかったこと、そして侵害されたアクセス・更新トークンを失効させる仕組みが整備されていなかったことです。

CISAが自らのレッドチーム活動に関する報告を初めて公表したのは2023年のことですが、それ以降こうした報告はごくまれにしか行われていません。同庁は、レッドチームのメンバーを含む契約社員の離職を報じる記事が出た後、レッドチームを「解雇していない」と昨年表明していました。