米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、侵入者がネットワーク内に足がかりを得た後にその存在を露呈させる手段として、サイバーデコイ(おとり)の活用を組織に呼びかけるガイダンスを公表しました。
2026年9月16日に公開されたこの文書では、デコイをゼロトラストプログラムを補完する仕組みと位置づけ、正規の認証情報や管理ツールを悪用したラテラルムーブメント(横展開)を表面化させる手段として紹介しています。
CISAが発行した「Using Cyber Decoys to Strengthen Detection and Response(サイバーデコイを活用した検知・対応の強化)」は、防御側が抱える根強い課題を取り上げています。攻撃者は明白なマルウェアの使用を避け、環境寄生型(LOTL)の手法を用いる傾向を強めているのです。
いったん侵入すると、攻撃者はシステムを列挙し、Active Directoryを探り、ファイル共有にアクセスし、正規のアカウントやリモート管理ユーティリティ、通常のネットワークプロトコルを使ってホスト間を移動することが可能です。こうした行動は正規の管理業務と酷似しているため、従来型の検知手法ではノイズが多くなりがちです。
サイバーデコイとは、価値があるように、あるいは実際に稼働しているように見せかけつつ、正規の業務用途は一切持たない、意図的に配置されたシステム、アカウント、認証情報、サービス、データを指します。
そのため、これらへの接触があれば、セキュリティ運用チームにとって信頼性の高いシグナルとなります。目的は単に攻撃者を罠にかけることだけではありません。
デコイは侵入を遅延させ、攻撃者の手口を明らかにし、封じ込めや脅威インテリジェンス収集に役立つテレメトリを防御側に提供します。
「トリップワイヤー」とは、接触があるとアラートを発生させる監視対象の条件やオブジェクトを指します。「パンくず(ブレッドクラム)」とは、サーバー、共有フォルダ、アプリケーション、アカウントなどへの参照情報のように、偵察行動を行う侵入者が遭遇し得る場所に配置される、信憑性のある偽の手がかりです。
「ハニートークン」とは、使用された時点で直ちに調査すべき、おとりの認証情報、ファイル、URL、データベースエントリなどのデジタルオブジェクトを指します。
例えば、防御側は本番業務には一切使用しない監視対象のサービスアカウントを作成し、その見かけ上のアクセス情報を管理された場所に配置した上で、認証の試行があった場合にアラートを発するという運用が考えられます。
もし攻撃者やマルウェアがそのアカウントを使ってディレクトリサービスに問い合わせたり、ホストにアクセスしたりすれば、発生したアラートによって、エンドポイント検知だけでは把握しきれない侵害後の探索活動や認証情報の悪用を早期に特定できる可能性があります。
CISAは、運用計画を伴わない孤立したハニーポットを導入するのではなく、各組織のセキュリティ成熟度と脅威モデルに合わせてデコイ運用を調整するよう推奨しています。
チームはまず検知したい資産や攻撃者の行動を特定し、デコイが現実味を持ちながらも隔離された状態を保つようにし、アラートのトリアージやインシデント対応手順を定めた上で、デコイが攻撃者には見える一方でピボット(侵入拡大の足がかり)には利用できないことを検証する必要があります。
同庁はこの手法をMITRE EngageおよびMITRE ATT&CKフレームワークに対応づけており、防御側がデコイの配置を想定される攻撃者の行動と結び付け、検知範囲を評価できるようにしています。
これにより、セキュリティチームはデコイが偵察、認証情報アクセス、探索、ラテラルムーブメント、あるいは情報収集の各活動を検知できているかどうかを測定できるようになります。
CISAによれば、サイバーデコイはゼロトラストにおける継続的な監視・検証を支え、信頼性の高いアラートを生み出し、アラート疲れを軽減し、侵害後の行動に対する可視性を向上させるとしています。
重要インフラ事業者や、認証情報を悪用したステルス性の高い侵入に直面している組織にとって、今回のガイダンスは攻撃者の好奇心を実用的な検知につなげるための、導入の手間が少ない手法を提供するものです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴社チーム向けに詳細を見る
