先週、欧州委員会は、モバイルデバイス管理プラットフォームがハッキングされた証拠を発見した後、調査を開始しました。委員会は、職員のモバイルデバイスを管理するインフラを標的とした「サイバー攻撃の痕跡」を発見したと報告しました。この侵害により、氏名や電話番号を含む職員の個人情報が攻撃者によってアクセスされました。
Huntressのセキュリティオペレーション担当シニアマネージャーであるDray Agha氏は、組織がデジタルシステムのセキュリティを強化する必要性を強調しました。
「これは、モバイル管理システムを保護することの重要性を浮き彫りにしています。モバイルデバイスが私たちの仕事の中心となるにつれ、それらを管理するプラットフォームが強化されていることを確認することが不可欠です。この事件は、すべての組織がセキュリティレイヤーを継続的に評価し、強化する必要があることを思い起こさせるものです。」
同氏は、「欧州委員会が脅威を捉えるための効果的なプロアクティブな検出を明らかに備えており、その後の透明性が強力な模範となることに注目すべきです。欧州委員会によるこの事件の迅速な特定と、職員のデバイスが安全であることを確認しながら、アクセスされた可能性のあるデータについての明確なコミュニケーションは、現代のサイバー脅威に対する責任あるアプローチを示しています。」と付け加えました。
Keeper SecurityのCEO兼共同創設者であるDarren Guccione氏は、デバイス管理インフラが国家主体や金銭的動機を持つ攻撃者にとって主要な攻撃対象となっているため、保護する必要があることに同意しました。
同氏は、パッチ適用は不可欠ですが、それだけでは十分ではないと述べました。「複雑な環境では、脆弱性の開示、パッチの提供、完全な修復の間の遅延が、悪用可能な窓を生み出します。初期アクセスが獲得されると、決定的な要因は、そのアクセスがどれだけの権限、信頼、範囲を提供するかになります」と続けました。
Guccione氏はまた、コードインジェクションと安全でない認証情報の取り扱いの問題、そしてそれが単一の欠陥の影響をどのようにエスカレートさせるかについて光を当てました。攻撃者は、ハードコードされた秘密、共有認証情報、静的な構成ファイルを悪用して、組織のシステムへのアクセスを迅速化します。同氏は、組織がコードに秘密を埋め込むことを完全にやめ、認証情報が暗号化され、一元管理され、実行時にのみ注入されるようにすることを提案しました。
CyberSmartのCEO兼共同創設者であるJamie Akhtar氏は、サプライチェーンをサイバーリスクから保護する必要性を強調しました。
「デバイスおよびエンドポイント管理プラットフォームは、通常、複雑なサプライチェーンの中心に位置しています。それらは、アイデンティティサービス、コミュニケーションツール、サードパーティアプリケーション、外部サプライヤーをリンクしています。これらのプラットフォームの1つが侵害されると、攻撃者は組織がどのように運営され、誰を信頼しているかについての可視性を得ます。その可視性は、サプライヤーになりすまし、追加攻撃を開始したり、説得力のあるソーシャルエンジニアリングを通じて接続された組織を標的にしたりするために使用される可能性があります。
「このような事件は、サプライチェーンサイバーリスクが一度限りのサプライヤー問題として扱われるべきではない理由を強化します。チェーン内の1つのポイントでの侵害は、特にアクセスが広範で、監視が制限されている場合、または保証が一貫していない場合に、他の多くの組織に影響を与えるために利用される可能性があります。短期間のアクセスでさえ、関係をマッピングし、下流のターゲットを特定するのに十分である可能性があります。」
同氏は、組織がサプライチェーンリスクを管理するために、サプライヤーが必要とするアクセスを明確に定義し、可能な限りそれを制限し、共有システム全体で強力な認証と継続的な監視を確保することを含む、一貫した標準ベースのアプローチを取るべきであると指摘しました。
「サプライチェーンサイバーリスクは、もはや個々の組織に限定されていません。それは共有責任であり、このような事件は、その責任が集団的に管理されない場合、エコシステム全体の信頼がいかに迅速にテストされるかを示しています」とAkhtar氏は結論付けました。
強固な防御を維持するためには、最小権限アクセス、強力な認証、特権活動の継続的な監視、管理システムと運用システムの分離、特権アクションを実行できるあらゆるプラットフォームに対するゼロトラスト制御を導入する必要があります。組織のリーダーは、サイバーレジリエンスが侵害の防止だけでなく、それらを封じ込めることに依存していることを認識する必要があります。これは、可視性とアクセスガバナンスを運用上の後付けではなく、戦略的制御として優先することを意味します。
