CISAは重要インフラ組織に対し、偽のファイルやアカウント、認証情報をネットワーク内に仕込み、境界防御を突破した後の攻撃者を捕捉するよう促しました。
9月16日に公開されたサイバーデコイに関するガイダンスは、同機関がこのプロセスを詳細に扱った初めての文書です。ガイダンスは、侵入者が最終的にはある程度のアクセス権を獲得することを前提としています。
この手法が特に効果を発揮するのは、攻撃者が正規の認証情報や標準搭載のツールを使ってネットワーク内を移動するケースです。こうした活動は、従来型の監視では通常の挙動と区別することが難しいためです。
CISAはデコイをゼロトラストの代替ではなく、それを補完するものと位置付けています。今回の新ガイダンスに義務的な措置は含まれていません。
ハニーポットよりハニートークンを重視
このガイドは、デコイの活用範囲を意図的に絞り込んでいます。対象となるのは、一般に「ハニーポット」という言葉から連想されるインターネット向けの囮ではなく、組織自身のネットワークやシステム内部に設置するデコイです。
そのため、前面に押し出されているのがハニートークンです。CISAはこれを、正規の業務目的を持たないデータ項目、たとえば実際の資産に紛れ込ませた偽のレコードや認証情報、ファイルなどと定義しており、これらへの何らかの接触があれば不正な活動を強く示唆するとしています。
CISA自身の比較では、ハニートークンの複雑さは「低」と評価される一方、システムレベルで動作し意図的な脆弱性を抱えるハニーポットは「中〜高」と評価されています。ガイド内の具体例として挙げられているのは、プロジェクト共有フォルダに仕掛けたハニートークン式のトリップワイヤーです。
仕組みの核となるのがトリップワイヤーです。従業員がデコイに触れる正当な理由はないため、デコイからのアラートは従来型ツールが生み出すものに比べてノイズがはるかに少なくなります。CISAはこれにより、平均検知時間(MTTD)の短縮が期待できるとしています。
サイバー欺瞞に関する関連記事はこちら: NCSC Plugs Gap in Cyber Deception Guidance
3つの行動指針と継続的なテストサイクル
CISAは組織が取るべき3つの主要な行動指針を示しています。すなわち、価値の高い領域に高精度なトリップワイヤーを配置すること、MITRE ATT&CKとMITRE Engageを用いてデコイのカバー範囲に対する攻撃者の戦術をマッピングすること、そして脅威エミュレーションを通じて全体を継続的に磨き上げることです。
Engageは、MITREが提唱する敵対的関与を計画するためのフレームワークです。防御目標を、侵入者を検知する「Expose(暴露)」、侵入者を妨害・遅延させる「Affect(影響)」、統制された環境下で侵入者の手口を研究する「Elicit(誘引)」の3つに分類しています。
CISAが示す実践的な内容はExposeに該当します。同機関はこのガイドについて、中小規模組織向け、またデコイ運用やEngage自体に不慣れな防御担当者向けの入門資料であると説明しています。
Sysdigのシニアサイバーセキュリティストラテジストであるクリスタル・モリン氏は、自身のチームがすでに実施した調査を引き合いに出しました。marimoの脆弱性の悪用を調査した際、脆弱なコンテナ内にプロンプトインジェクションを仕込み、そのファイルを読み取った大規模言語モデルに対して、隠しマーカーをエコー出力するよう指示を与えました。
「私たちが追跡したAI駆動の攻撃者は、例外なくその通りに行動しました」と同氏は述べています。「AIは指示に従わずにはいられません。これは、機械が駆動する攻撃者に対して防御側が持つ、注目すべき優位性です」
同じ調査における人間の攻撃者は、そのファイルを2度開いた末に罠だと気づき、回避しました。モリン氏によれば、適切な場所に適切なデコイを置けば検知までの時間を短縮できるものの、デコイは攻撃者の特性に合わせる必要があり、あくまで「気を逸らす仕掛け」であって「封じ込め」そのものではないとのことです。
翻訳元: https://www.infosecurity-magazine.com/news/cisa-critical-infrastructure-cyber/
