- CISAはサイバー囮としてハニーポット、誘導策、ハニートークンの導入を組織に呼びかけました
- 囮はLOTL(環境寄生型)活動の検知や高精度アラートの生成を通じてゼロトラストを補完します
- ガイダンスでは、トリップワイヤーやパンくず、MITRE ATT&CK/Engageの手順を用いた、拡張可能な実装方法を示しています
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、サイバー侵入をより的確に検知し、偽装した資料でハッカーの手を煩わせるため、ハニーポットや各種の誘導策を導入するよう組織に呼びかけています。これを受け、CISAは最近、さまざまな規模やサイバーセキュリティ成熟度の企業がこうした「サイバー囮戦略」を実装できるよう支援する新しいガイダンスを公開しました。
「多くの組織は、正規の認証情報やネイティブツール、環境寄生型(LOTL)手法を用いて偵察や横方向移動、データへのアクセスを行う攻撃者の検知に苦戦しています」と、CISAは新しいセキュリティ勧告の中で述べています。
「サイバー囮とは、正規のシステム、アカウント、データであるかのように見せかけた資産のことですが、実際には攻撃者の目をそらしたり、その存在を検知したり、サイバー脅威インテリジェンス(CTI)の収集を促進したりするために設計されています。組織はゼロトラストモデルを採用するにあたり、悪意ある脅威アクターが自組織の環境に何らかのレベルでアクセスできてしまう可能性を前提とし、それに応じた計画を立てるべきです」
トリップワイヤー、パンくず、ハニートークン
CISAの勧告は、企業インフラのセキュリティ確保においてゼロトラストが望ましい方法であることを示唆しています。ゼロトラストでは、ユーザー、デバイス、ネットワークセグメントのいずれも本質的に信頼できるものとはみなさず、組織は侵害が避けられないという前提で運用する必要があるとされています。詳しく知りたい方は、ZTNAとは何かについての詳細ガイドをご覧ください。
もっとも、CISAはサイバー囮がこのパラダイムと合致し、継続的な監視・検証をサポートし、不審な活動に対して高精度のアラートを生成し、アラート疲れを軽減し、防御側が攻撃者のLOTL手法のような侵害後の活動を検知するのを助けることで、ZTNAを補完すると付け加えています。また、サイバー囮は段階的に導入でき、費用対効果が高く拡張性にも優れており、大規模なアーキテクチャ変更を伴わずにサイバーセキュリティの技術スタックに組み込むことができます。
このガイダンスはこちらのリンク(PDF)から確認できます。ガイダンスでは、トリップワイヤー、パンくず、ハニートークンといったさまざまな囮の概念を紹介し、MITRE EngageおよびMITRE ATT&CKフレームワークを用いて、こうした施策を計画・実装・改善するために必要な手順を示しています。
