米国企業は、それぞれ性質の異なるキャンペーンや脅威、手口に直面しています。しかし、変化し続けるインフラや攻撃手法の裏側で、これらの攻撃には共通点があります。それはSOC運用のどこに弱点があるのかということです。
では、セキュリティチームはどうすればそのギャップを埋め、ビジネスのレジリエンスを強化できるのでしょうか。
このキャンペーンが浮き彫りにしたのは、可視性のギャップの拡大です。攻撃者が認証済みセッションを盗み取れる以上、認証情報だけに着目した防御では十分とは言えません。SOCには、進行中のフィッシング脅威とそれに関連するインフラをより広く可視化する仕組みが必要です。
最新のインジケーターとコンテキストをANY.RUN Threat Intelligence Feeds（TI Feeds）を使ってSIEM/SOARのワークフローに直接取り込みましょう。
TI Feedsは、16,000以上の組織にまたがる70万人超のセキュリティ専門家による実際の調査から収集された、悪意のあるIPアドレス・ドメイン・URLを継続的に配信します。この集合知により、個々のSOCがこれまでに遭遇したことのある脅威の枠を超えて、可視性を拡張できます。
フィードが一致した際にさらに詳しい調査が必要な場合、アナリストは関連するインタラクティブサンドボックスのセッションに切り替え、攻撃チェーン全体にわたる挙動証拠を確認できます。
16,000以上の組織からの最新インテリジェンスにより、脅威検知数を58%向上。TI Feedsを導入する
新たに確認されたフィッシングキット「3DBlast」は、Microsoft 365やGoogleのサービスを装って米国の利用者を標的にしました。
このキットはインフラをローテーションさせながら、BitB、OAuth/デバイスコードフィッシング、AiTM、DOMリレーといった手法を切り替えて使用していました。
こうした攻撃は、レピュテーションベースの検知の限界を露呈させます。攻撃者が信頼されたサービスや正規のインフラを経由して活動する場合、静的なインジケーターやレピュテーションスコアだけでは信頼性が低下してしまいます。
レピュテーションのみに頼るのではなく、実際に観測された悪意ある活動から得られたインテリジェンスを優先すべきです。
TI Feedsは、実際の攻撃から収集した最新のインジケーターで既存の検知ワークフローを強化し、SOCチームが進行中の脅威に関連するインフラを特定する助けとなります。
さらなる検証のために、アナリストはフィード一致から関連するインタラクティブサンドボックス解析に切り替え、疑わしいファイル・URL・インフラが実際にどのように振る舞うかを確認できます。
ANY.RUNによる詳細なマルウェア・フィッシング解析は、SOCの調査を加速させ、最も複雑な脅威さえも解き明かす助けとなります。
こうした運用面の改善を通じて、医療、IT、テクノロジー、製造業など様々な業界にまたがる16,000社以上の企業のビジネスリスクへの露出を軽減しています。
エンタープライズ対応のサンドボックスにより、1件あたりのトリアージ時間を21分短縮。チーム向けにリクエストする
ANY.RUNの調査により、46カ国にまたがるRMMフィッシングキャンペーンが明らかになりました。観測された活動のおよそ45%が米国に関連するものでした。
研究者らは、240のホストにまたがる425件のキットURLを特定しましたが、そのうち94%はわずか1日しか観測されませんでした。
攻撃者はこのインフラをローテーションさせながら、税務関連書類、社会保障通知、請求書、PDF、配送関連の通信を利用して、被害者を騙し正規のRMMソフトウェアをインストールさせていました。
短命なドメイン、URL、IPアドレスが従来型のブロックリストや手動で維持されているルールに反映される頃には、攻撃者はすでに次の段階へ移っている可能性があります。
脅威が観測されてから、そのインテリジェンスが自社のセキュリティスタックに届くまでの時間を短縮することが重要です。
ANY.RUNのTI Feedsは、新たに観測された悪意あるインジケーターをSIEM/SOARおよび検知ワークフローに継続的に配信し、定期的な更新や手動でのエンリッチメントへの依存を減らします。
使い捨てのインフラに対しては、1分1秒が重要です。
BCA LTD、NorthScan、ANY.RUNによる共同調査では、Famous Chollimaの関与が疑われる工作員を面接段階の先まで追跡するため、実際に架空のDeFiスタートアップで雇用しました。
工作員たちは自分たちが会社の仮想デスクトップだと信じ込んでいたものを与えられていましたが、実際にはそれは特別に用意されたANY.RUNサンドボックス環境の内部で動作していました。
この事例が示すのは、より広範な課題です。新たに出現する脅威は、必ずしも見慣れた侵入パターンと似ているとは限りません。
組織は、自社のアナリストがそれを認識できるだけの経験や内部テレメトリを持つ前に、新しい手口や攻撃モデルに遭遇してしまうことがあります。
アナリストが自ら実際に遭遇する前に、進行中のキャンペーンに関するインテリジェンスを提供することが重要です。
TI Reportsは、進行中の脅威とその手口、インジケーター、インフラについて専門家による概要を提供します。アナリストはさらにThreat Intelligence Lookupに切り替え、関連する活動を調査したり、露出しているリスクを能動的にハンティングしたりできます。
これらを組み合わせることで、セキュリティコミュニティ全体で収集されたインテリジェンスを、自社SOC内で実行可能な検知の機会へと変えることができます。
TI Reportsを試して調査を強化し、セキュリティ体制を高める
最近の米国を標的とした攻撃が示しているのは、SOCのレジリエンスが初期侵入の防止だけに左右されるわけではないということです。新たな攻撃パターンをどれだけ早く認識できるか、変化するインフラをどれだけ迅速に検知できるか、コンテキストをどう確立するか、そして初期侵入がビジネスへの実害に発展する前にどう対応できるか、そうした点にも左右されます。
攻撃者がインフラをローテーションさせ、信頼されたサービスを悪用し、新しい手口を取り入れる中で、静的なインテリジェンスに頼っていては、SOCは常に「昨日の脅威像」への対応に追われることになります。
リアルタイムのTIを活用することで、チームはより多くの脅威を検知し、より迅速に調査を進め、インテリジェンスがまだ有効なうちに行動を起こせるようになります。
翻訳元: https://cyberpress.org/4-major-us-first-attacks-put-soc-resilience-to-the-test/
