米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、偽の認証情報やシステム、データ、サービスなどのサイバーデコイ(囮)を導入するよう組織に呼びかけました。この戦略は、攻撃者をより早期に発見し、侵害後の検知能力を高めることを目的としています。
Datagovernance consulting
2026年9月16日に公開された「サイバーデコイを用いた検知・対応の強化(Using Cyber Decoys to Strengthen Detection and Response)」と題する新たなガイダンスの中で、CISAは、窃取した正規アカウントや標準搭載の管理ユーティリティ、環境寄生型(LOTL)手法を悪用する攻撃者を特定するために、防御側が欺瞞技術をどう活用できるかを説明しています。
CISA、サイバーデコイの導入を企業に呼びかけ
サイバーデコイとは、侵入者には正規のものに見えるが実際の業務には一切使われない、意図的に配置された資産のことです。これにより脅威アクターの注意をそらしたり、アクセスされた際に高確度のアラートを発生させたり、攻撃者の行動に関する脅威インテリジェンスを収集したりすることができます。
CISAはこのアプローチの価値を強調しています。多くの組織は、マルウェアを回避し、代わりに正規の認証情報やOS標準ツール、既存のリモート管理機能を使って偵察・横展開・機密情報へのアクセスを行う攻撃者の検知に苦慮しているためです。
このガイダンスでは、いくつかのデコイの概念が説明されています。「トリップワイヤー」とは、攻撃者が保護対象の領域や資産に接触した際にアラートを発生させる信号や条件のことです。
「パンくず(breadcrumbs)」とは、スクリプトやドキュメント、ファイル共有、設定ファイル内の参照情報など、意図的に仕込まれた手がかりであり、侵入者を監視対象のデコイ資産へと誘導します。
「ハニートークン」には、偽のユーザー名、パスワード、APIキー、文書、データベースレコード、クラウドアクセストークンなど、通常の業務では決して使用されないはずの成果物が含まれます。これらの資産に対する認証の試みやアクセスは、いずれも不審な活動を示す信頼性の高い指標となります。
CISAは、防御側に対し、自組織のセキュリティ成熟度に見合った低複雑度の導入から着手するよう推奨しています。
具体例としては、Active Directory内に機能しない管理アカウントを配置する、デコイのファイル共有を作成する、未使用のサービスアカウントを展開する、監視対象のリポジトリに偽のシークレットを挿入する、価値のあるシステムを模した隔離ホストを構築するといった手法が挙げられます。
ただし同庁は、攻撃者がこれらのデコイを悪用して実際のシステムやデータ、権限にアクセスできないよう、慎重に設計する必要があると強調しています。
偽の認証情報は本番環境で機能してはならず、デコイシステムはセグメント化・監視・保護され、運用ネットワークへの足がかりとならないようにする必要があります。
この戦略は、攻撃者がいずれ環境内へのある程度のアクセスを獲得することを前提とするゼロトラストのセキュリティモデルを補完するものです。
境界制御や予防的なID保護のみに依存するのではなく、サイバーデコイはネットワーク内部に継続的な検証と検知の仕組みを組み込みます。
このアプローチにより、セキュリティチームはリモート管理ツールの不審な使用や認証情報のダンプ行為、ネットワーク探索、不正なクラウドアクセス、特権アカウントや機密データを探し出そうとする試みなどを特定しやすくなります。
Datagovernance consulting
CISAはさらに、デコイ運用がアラート疲れの軽減につながるとも述べています。巧妙に配置された偽の資産とのやり取りは、正規のユーザー活動に起因するものである可能性が低いためです。
セキュリティオペレーションセンターは、こうした検知結果を優先的に調査対象とし、エンドポイントやID関連のテレメトリと関連付け、得られた証拠を活用して攻撃者の手口や目的、アクセス範囲を把握することができます。
このガイダンスは、デコイの計画・実装をMITRE EngageおよびMITRE ATT&CKフレームワークと整合させています。組織には、目的を明確に定義し、想定される攻撃者の侵入経路を特定し、標的を絞った欺瞞資産を展開し、インシデント対応のプレイブックを作成し、観測された活動に基づいてデコイ環境を継続的に改善していくことが推奨されています。
重要インフラ事業者であれ小規模な組織であれ、CISAが伝えるメッセージは明確です。攻撃者は侵入し得るという前提に立ち、そのうえで攻撃者が踏み出す不正な一歩一歩をすべて可視化すべきだということです。
SOCのアラート調査時間を1件あたり21分削減。即時対応のためのIOCコンテキストでSOCを強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/cisa-urges-organizations-to-deploy-cyber-decoys/
