「日本のセキュリティ信仰は構造的にズレてる」 コスパよく、すぐ救われる“左側”の防衛術：特集：ID・パスワードから始める「引き算」のセキュリティ（2）（2/3 ページ）

[宮田健，＠IT]

認証情報の漏えいがもたらした境界線のズレ

――直近のランサムウェア攻撃の多くは、認証情報の窃取から始まっていると思います。認証情報の保護を中心としたセキュリティ対策の見直しは、どの程度有効でしょうか？

西尾氏　確かに認証情報の保護は重要な観点です。それを起点に防御の在り方を根本から見直す必要があります。現在、防御側が考慮すべき境界線、つまりアタックサーフェスが、内部ネットワークの方に1段階ほど“ずれ”ています。従来、情報システム部門は、外部に露出しているネットワーク境界、DMZ（DeMilitarized Zone）に存在する既知の脆弱（ぜいじゃく）性をつぶすことを最優先としてきました。しかし、正規のVPN接続や各種SaaSの認証情報が窃取された場合、攻撃者は正規のユーザーとして、境界の奥に侵入します。

　外部からのスキャンに頼るだけでは、この侵入を防ぐことは困難でしょう。そのため、内部のアセットを継続的に監視する、IASM（Internal Attack Surface Management：内部ASM）が必要になります。

　認証情報の漏えいを増加させているのが、「インフォスティーラー」と総称される情報窃取型マルウェアです。インフォスティーラーの代表例には「Lumma Stealer」などがあり、これらは数年前から大量にばらまかれています。ジョーシスの調査データによれば、日経225に選定されている企業の96％が過去3年間に何らかの情報漏えいを経験しているといわれており、そのうちの75％は、重大な認証情報の漏えいに分類されています。

　インフォスティーラーによって収集された認証情報は、闇市場で取引され、高度な分業体制を支える燃料となります。ここでも明確な縦割りビジネスが成立しています。マルウェアを開発して販売する業者と、それを購入後にばらまいて認証情報ログを販売する業者は別です。そのログを購入してネットワーク内部に侵入し、バックドアなどの接続経路を確保して販売する、イニシャルアクセスブローカー（以下、IAB）も存在します。最終的に、ランサムウェア攻撃を仕掛ける実行グループやアフィリエイターが、IABから侵入済みの接続権限を購入して標的企業を攻撃します。

インフォスティーラーで収集された情報は多段階で使われる（提供：西尾氏）

攻撃エコシステムの分断は、格段に高い費用対効果を発揮する

――冒頭のマルウェアと同様、インフォスティーラーと認証情報についても、高度な分業が進みエコシステムが確立しているわけですね。有効な対策はあるのでしょうか？

西尾氏　「インフォスティーラーの感染を絶対に防ぐ」という防御策は現実的ではなく、どれほど対策を講じても、従業員端末への感染をゼロにすることは困難です。従って、防御側は攻撃者のビジネスモデル自体が抱える、構造上の“脆弱性”を突く必要があります。

　攻撃者のエコシステムの脆弱性とは、各プロセスの間で中間生成物が必ず一度、闇市場という外部に露出する点にあります。アンダーグラウンドであっても、販売するために世の中に出てくる情報は、外部から追跡と調査が可能です。

　例えば、「SOCRadar」のような脅威インテリジェンスを活用し、ダークWebを探索すれば、自社の認証情報が販売されていないかどうかを確認できます。この手法は、大規模な統合セキュリティシステムを構築するよりも格段に高い費用対効果を発揮します。例えば、昨今発生したインシデントでも、事件が発覚する前にダークWebでの認証情報販売が確認できることが多いのです。

　漏えいした自社の認証情報を早期に発見できれば、対象のアカウントに対して多要素認証が有効になっているかどうかなどを確認し、対応することができます。不正なログインを事前に防ぎ、IABへの侵入経路提供を防ぐことで、攻撃の連鎖を初期段階で分断できるのです。

SOCRadar