サイバーセキュリティ・インフラセキュリティ庁(CISA)は今回初めて、重要インフラの事業者・運営者に対し、攻撃者を欺いて注意をそらし、その存在を発見するための偽のシステム・アカウント・データの構築方法について指導を行っています。
水曜日に公開されたこのガイダンス「サイバーデコイを活用した検知・対応力の強化」は、デコイ(おとり)が攻撃者を妨害する低コストかつ効果的な手段になり得るという、CISAのサイバーセキュリティ部門内での脅威ハンティング担当者や侵入テスト担当者との議論から生まれたものだと、同部門の暫定エグゼクティブディレクターを務めるクリス・ブテラ氏は述べています。
「我々はしばらく前からこの手法を検討してきました。デコイは低コストでありながら、すでにネットワークへの侵入を果たした攻撃者を検知する上で非常に精度の高い手段になり得ると考えています」。ブテラ氏はGoogle CloudのCyber Defense Summit 26でCyberScoopの取材にこう語りました。
ブテラ氏によれば、この手法はゼロトラスト(いかなるユーザーやデバイスもデフォルトでは信頼しないという考え方)や、侵害前提(攻撃者がすでにネットワーク内部に侵入していると想定するアプローチ)とも特に相性が良いといいます。
今回のガイダンスは「あらゆる組織にとって本当に有用なもの」だとしつつ、人員や予算が潤沢でない重要インフラ分野の事業者にとってはとりわけ役立つ可能性があると、同氏は指摘しています。
「これは低コストなソリューションとして優先的に検討する価値があります」とブテラ氏は述べています。「ハニートークンは自分たちの手で作成することができます」
全22ページに及ぶこのガイダンスには、デコイの原則と目的、各種デコイの定義とその活用方法、そして導入シナリオが盛り込まれています。
例えばハニートークンは、「正当な業務上の用途を持たないデータ要素や論理オブジェクト(偽の記録、認証情報、ファイルなど)であり、不正アクセスやデータ持ち出しを検知するために仕込まれるもの。これに何らかの形でアクセスがあった場合、悪意ある、あるいは何らかの形で不正な行為が行われている可能性が極めて高いと判断できる」と定義されています。
「能動的なサイバー防御戦略の中でサイバーデコイを活用することは、重要インフラのネットワークを攻撃者にとって居心地の悪い場所に変え、環境寄生型(living-off-the-land)の手法に対してすらも侵害への耐性を高めることにつながります」と、ブテラ氏はプレスリリースの中で述べています。「本ガイドを通じてCISAは、サイバーデコイの手法に関する認知向上を図るとともに、スキルレベルを問わずどの防御チームでもデコイ運用の価値と導入手順を理解できるようにすることを目指しています。CISAは重要インフラ関連組織に対し、本ガイドを確認した上でサイバーデコイ戦略の導入を検討することを推奨します」
翻訳元: https://cyberscoop.com/cisa-guidance-cyber-decoys-critical-infrastructure/
