米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、医療技術大手Stryker Corporationへの今月初めのサイバー攻撃を受け、エンドポイント管理システム、特にMicrosoft Intune環境を強化するよう組織に促す新たなアラートを発表しました。
2026年3月18日に発表されたアドバイザリーは、企業のエンドポイント管理プラットフォームを悪用して特権アクセスを獲得し、運用を妨害するという攻撃者の関心の高まりを強調しています。
この警告は3月11日のStrykerのMicrosoft環境に影響を与えたサイバー事件から生じており、ネットワークの混乱を引き起こし、継続的な調査努力を促しています。
侵入の完全な技術的詳細は限定されていますが、CISAは敵対者がマルウェアや従来の悪用のみに依存するのではなく、正当な管理機能を悪用することで、デバイス、アプリケーション、および設定を中央集中的に制御するように設計されたエンドポイント管理ソリューションツールを標的にしていることを確認しています。
この戦術により、攻撃者は通常の管理活動に溶け込むことができ、検出を著しく困難にします。
特権アカウントを侵害したり、役割を誤設定することで、脅威アクターは悪意のあるスクリプトをデプロイしたり、デバイスを消去したり、設定を変更したり、従来のセキュリティアラートをトリガーすることなくエンタープライズネットワーク全体を横方向に移動したりできます。
CISAは、Microsoft Intuneなどのエンドポイント管理ソフトウェアの悪用が、攻撃者が組み込みのエンタープライズツールを活用して悪意のあるアクションを実行する「ランド内での生存」戦術へのシフトを表していることを強調しました。
このアプローチは、カスタムペイロードへの依存を減らし、信頼できるシステム内での永続性を可能にします。
対応として、同庁はFBIを含む連邦パートナーと調整し、より広い脅威ランドスケープを調査し、リスクにさらされる可能性のある追加の組織を特定しています。
アドバイザリーはまた、類似の戦術が複数の業界で複製される可能性が高く、特にアクセス制御が弱い環境または過度に特権を持つ管理役割がある環境で複製される可能性があることを強調しています。
これらのリスクを軽減するため、CISAは組織に対し、Intuneの最新のセキュリティベストプラクティスを採用し、アイデンティティ保護、アクセス制御、管理上の監視に重点を置くよう促促しています。
中心的な推奨事項は、最小権限の原則を適用することです。組織はMicrosoft Intuneのロールベースアクセス制御（RBAC）を使用して、管理者が特定の責任に必要な権限のみを持つようにする必要があります。
これには、実行できるアクションと管理できるユーザーまたはデバイスの範囲の両方を制限することが含まれます。
CISAはまた、特に特権アカウントに対するフィッシング耐性多要素認証（MFA）の重要性を強調しています。
Microsoft Entra IDの機能（条件付きアクセスポリシー、リスクベースの認証、特権アイデンティティコントロールなど）を統合することで、組織は無許可アクセスのリスクを著しく低減できます。
もう1つの重要なセーフガードは、マルチ管理者承認（MAA）の実装です。この機能は、デバイスワイプ、スクリプトデプロイメント、設定変更などの高影響アクションに対して、第2の管理者による承認を必要とします。
追加の検証レイヤーは、単一アカウント侵害が広範な損害をもたらすことを防ぐのに役立ちます。
同庁はさらに、エンドポイント管理設定をゼロトラスト原則と整合させることを推奨しています。
これには、ユーザーアイデンティティの継続的な検証、厳格なアクセスポリシー、管理上のアクションのリアルタイム監視が含まれます。
組織は、特権アイデンティティ管理（PIM）をデプロイしてジャストインタイムアクセスを適用し、高い特権アカウントの露出ウィンドウを削減することも推奨されています。
監査とログ機能と組み合わせることで、これらのコントロールは管理活動への可視性を向上させ、より高速なインシデント対応を可能にします。
同庁は、組織に対し、Intuneセキュリティ、RBAC設定、特権アクセス管理に関するMicrosoftの公式ガイダンス、およびフィッシング耐性MFAに関するCISA独自の推奨事項を確認するよう勧告しています。
エンドポイント管理プラットフォームはエンタープライズ環境の中央集約制御プレーンとして機能するため、その侵害はネットワーク全体に連鎖的な影響を及ぼす可能性があります。
Stryker事件は、進化する脅威戦術に対抗するために、プロアクティブなハードニング、継続的な監視、厳格なアクセスガバナンスの必要性を強調しています。
翻訳元: https://cyberpress.org/after-stryker-breach/