サイバーデセプション(欺瞞)技術はこれまで、潤沢なリソースを持つセキュリティチームの専売特許とされてきましたが、CISAが新たに発表したガイダンス「Using Cyber Decoys to Strengthen Detection and Response」は、この状況を変えようとする試みです。
なぜデコイなのか、そしてなぜ今なのか
CISAが取り組もうとしている根本的な課題は、正規の認証情報や組み込みの管理ユーティリティ、環境寄生型(LOTL)の手法を使う攻撃者を検知できない組織が多いという現実です。
CISAの新ガイダンスは、侵入者がいずれ足がかりを得ることを前提とするなら、最も賢明な策は環境そのものに罠を仕掛けることだと主張しています。トリップワイヤーやハニートークン、正規のユーザーであれば決して触れることのない偽の認証情報を仕込んでおけば、それに触れた時点で警報が鳴る仕組みを作れるというわけです。
偽のシステム、サービス、アカウント、ファイル、認証情報を用意することで、組織は自らの環境内で活動する攻撃者を検知し、侵入に関する情報を収集・分析できるようになります。それだけでなく、「攻撃者にコストを負わせ、その活動を妨害し、行動の価値を削ぐ」ことも可能になるとしています。
低コストで、アーキテクチャの再構築も不要
リソースに制約のあるチームにとって最も重要なメッセージは、デコイの導入に大がかりなアーキテクチャの変更や新規の予算は必要ないという点です。
CISAは、EDRプラットフォームやID・アクセス管理システム、データ損失防止(DLP)ツールなど、組織がすでに保有しているツールを転用してデコイを展開・監視するよう明確に指示しています。新たに何かを購入する必要はありません。
予算が限られている組織にとっては、トークンの生成・展開・アラート発報のためのオープンソースソリューションも良い選択肢になると同庁は述べています。一方、投資できる予算と熟練した開発者・セキュリティエンジニアを抱える組織であれば、商用ソリューションや、自社環境に合わせてカスタマイズした独自開発のハニートークンを活用することも可能です。
何から始めるべきか
ガイダンス文書では、活用可能なさまざまなデコイの種類が説明されています。ハニートークン(ファイル、レコード、シークレット、認証情報)とハニーポット(システム、サービス)がデコイ本体にあたり、ブレッドクラム(保存された接続情報、設定ファイル内の参照、文書内の言及など)は攻撃者をデコイへと誘導する役割を果たします。そしてトリップワイヤーは、これらのいずれかが接触・操作を受けた時点で警報を鳴らすよう仕込まれた状態を指す言葉です。
CISAはMITRE Engageの3つの目標に沿って戦術を整理しています。すなわち、Expose(攻撃者の検知)、Affect(コストを負わせ活動を妨害すること)、Elicit(攻撃者の行動を安全に観察し情報を収集すること)です。
ガイダンスでは、これから取り組むチーム向けに具体的な例も示されています。誰も使うはずのない偽の管理者専用認証情報を仕込む、幹部のデスクトップに偽のフォルダを配置する、監視対象の共有フォルダに「Project_Metrics.xlsx」といった偽のハニートークンを展開する、一般ユーザーが利用する必要のないワークステーションでPowerShellの実行を検知してアラートを出す、といった手法です。
「Elicit」という目標は、攻撃者を管理された環境へ誘導するというもので、隔離されたインフラや成熟したログ収集体制、運用・法務両面のリスクを扱える熟練した人材を必要とするため、後の段階で取り組むべき施策として位置づけられています。
細部を正しく詰めること
CISAによれば、効果的なトリップワイヤーは脅威情報に基づいて設計され、通常の挙動とは明確に区別でき、既存の監視体制で技術的に検知可能であり、かつ明確な対応手順と結び付いている必要があります。
同文書はまた、MITRE ATT&CKも活用し、各チームが自組織の脆弱性や既存の検知能力、想定される攻撃者の手法をマッピングした上で、カバレッジの穴が最も大きい箇所にデコイを配置できるよう支援しています。
実例として、中規模の上下水道関連組織がATT&CKとEngageを組み合わせて資産の優先順位付けとデコイ運用の設計を行い、その後、脅威エミュレーションやレッドチーム演習、パープルチーム演習を通じて検証・改善していくシナリオも紹介されています。
最後にCISAは、攻撃者がデコイを悪用して実際のシステムや権限に到達できないよう、デコイは慎重に設計しなければならないと強調しています。また、デコイの配置場所を記した文書は、万一ネットワークが侵害された場合に備え、本番環境の外部に保管すべきだとしています。
CISAのサイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクター代行を務めるクリス・ブテラ氏は、「CISAは重要インフラ組織に対し、本ガイドを確認しサイバーデコイ戦略を導入するよう推奨する」と述べています。
翻訳元: https://www.helpnetsecurity.com/2026/09/17/cisa-guidance-for-implementing-cyber-decoys/
