CISAが指摘、2件のレッドチーム演習で結果を分けたセキュリティ上の課題

組織間の縦割り、技術基盤の乱立、そしてクラウドプラットフォームにおける監視の死角が、サイバー攻撃の検知と撃退を妨げる深刻な問題であると、米サイバーセキュリティ・インフラセキュリティ庁(CISA)が新たな報告書で警告しました。

これらは、CISAのレッドチームが最近実施したシミュレーション攻撃において、匿名の提携先2組織(一方は政府機関、もう一方は水道事業者)のネットワークへの侵入を可能にした主な要因の一部です。ただし、レッドチームはいずれの侵入にも成功したものの、片方の攻撃はもう片方よりもはるかに難航しました。CISAはこの違いを、対象組織の運用手順と技術活用における重要な差異によるものだと分析しています。

「一方の組織(組織A)では、チームは複数のワークステーションへの初期アクセスを獲得し、ドメイン上で権限を昇格させ、検知されることなく機密性の高い業務システムやクラウドリソースへと横展開しました」とCISAは火曜日に公表した報告書で述べています。「もう一方の組織(組織B)では、ネットワーク防御担当者が侵害の初期段階を速やかに検知し、影響を受けたシステムを隔離しました」

組織Aは、CISAのレッドチームによる侵入を阻止できたはずでした。複数のセキュリティオペレーションセンター(SOC)のアナリストたちは、エンドポイント検知・対応(EDR)ソフトウェアから不審な活動に関するアラートを受け取っていました。しかし、それらのアラートが「低」または「中」の深刻度に分類されていたため、SOCアナリストは誤検知アラートの多さに圧倒されていた状況の中で、一部は「高」の深刻度に分類されていたにもかかわらず、警告に対応しませんでした。

同組織が複数のSOCとEDRプログラムを併存させていたことも、対応の妨げになったとCISAは指摘しています。「担当者は他のSOCの担当者と連携しておらず、他部門の検知ツールを可視化できていませんでした。SOC担当者とシステム所有者の間でも意思疎通が図られていませんでした」

組織Bでは事情が異なっていました。CISAのレッドチームによる侵入は複数のアラートを発生させ、防御担当者はこれに迅速に対応しました。あるケースでは、この対応により、レッドチームが侵害したコンピューター上に設置していたコマンド&コントロール(C2)サーバーからデータを受信することを阻止しました。別のケースでは、防御担当者がレッドチームによって使用されていた侵害済みのMicrosoft Azureアカウントをブロックしました。

「これらの対応は、成熟した積極的なセキュリティ態勢を示すものであり、被害の拡大防止に役立ちました」とCISAは述べています。

それでも、組織BのMicrosoftクラウドサービスには脆弱性が残っていました。CISAのレッドチームは最終的に、多要素認証(MFA)の要件が設定されておらず過剰な権限を持つアカウントでログインすることで、同組織のMicrosoft Entra IDプラットフォームへの侵入に成功しました。CISAは報告書の中で、この見落としが「クラウドセキュリティプロセスの一層の成熟が必要であること」を浮き彫りにしたと述べています。

組織Bはまた、一部のMicrosoft Active Directoryアカウントに対する権限を適切に制限できていませんでした。これにより、レッドチームがデータへのアクセスや変更を行う能力をさらに高める結果となりました。

CISAは今回の調査結果を踏まえ、各組織に対して6つの重要な課題を警告しています。すなわち、調整が不十分な侵入検知ツールが警告の見落としにつながっていること、官僚的な障壁と連携不足が組織間の協力を阻んでいること、見落とされがちなクラウドIDのリスクが目に見えない侵入口を生み出していること、ユーザー認証情報が無期限に設定されていること、アプリケーションに対して過剰かつ画一的な権限が付与されていること、そして侵害されたクラウドアクセストークンを交換する手順が整備されていないこと、の6点です。