Webアプリを狙う攻撃急増、優先順位どう付ける？ Microsoftが「11戦術・35テクニック」で対策を体系化：脆弱なWebアプリ1つが、裏側のDBもAIサービスも明け渡す

Microsoftは、クラウドホスト型Webアプリやサーバレスプラットフォームを狙うサイバー攻撃の戦術や手法を、「MITRE ATT&CK」フレームワークに基づいて整理した「Threat Matrix for Cloud Web Applications」（クラウドWebアプリ脅威マトリックス）を発表した。

[＠IT]

　Microsoftは2026年9月9日（米国時間）、クラウドでホストされるWebアプリやサーバレスプラットフォームを狙うサイバー攻撃の戦術や手法を、「MITRE ATT&CK」（マイターアタック）フレームワークに基づいて整理した「Threat Matrix for Cloud Web Applications」（以下、クラウドWebアプリ脅威マトリックス）を発表した。

　このマトリックスは、セキュリティチームがクラウドネイティブインフラ全体でこれらのサイバー攻撃を可視化し、対策に優先順位を付け、調査を計画するのに役立つよう設計されているという。

　クラウドWebアプリ脅威マトリックスの対象となるWebアプリについて、Microsoftは、「マネージドインフラでコードを実行し、他のクラウドリソースと密接に統合されていることが多く、一般的にインターネットに公開されているアプリ」と説明している。

クラウドWebアプリ脅威マトリックスを作成した背景

　クラウドでホストされるWebアプリやサーバレスプラットフォームにより、開発チームはアプリロジックを迅速にデプロイ（展開）し、スケールできる。だが、脅威アクターがこれらの弱点を突いて、アプリコード、マネージドランタイム、ワークロードID、デプロイパイプライン、接続されたクラウドサービスなどにまたがる攻撃経路を生み出す危険もある。

　防御側がアプリ層と基盤のクラウドプラットフォームを別々に調べると、こうした経路の検出は難しくなる。例えば、脆弱（ぜいじゃく）なWebアプリを起点とする攻撃が、最終的には、そのアプリに利用権限が与えられたデータベース、ストレージ、AIサービスへの脅威アクターのアクセスにつながることもある。各層を個別に調査するだけでは、攻撃の展開を把握する上でギャップが残りかねない。

　Microsoftは、セキュリティ担当者がこうした脅威の全体像を明確に、かつ一貫した形で把握できるように、関連する攻撃手法をMITRE ATT&CK形式で整理したという。この新しいクラウドWebアプリ脅威マトリックスは、同社が以前公開したKubernetesとストレージサービスの脅威マトリックスを発展させたものだ。

MITRE ATT&CKに沿って戦術とテクニックを分類

　サイバー攻撃の流れと手法を体系化したフレームワークであるMITRE ATT&CKは、脆弱性を悪用した攻撃を「戦術」（Tactics：攻撃者の行動の目的や理由）と「テクニック」（Techniques：目的を達成するための方法や技術）の観点で分類している。

　これに沿ってクラウドWebアプリ脅威マトリックスでは、以下の11の戦術に35のテクニックをマッピング（本稿執筆時点）。テクニックの多くについて、主要なクラウドプラットフォーム「Amazon Web Services」（AWS）、「Microsoft Azure」「Google Cloud」の具体例を挙げて説明している。

1. リソース開発（Resource Development：攻撃者が攻撃に必要なツールや環境を作成しようとしている）
2. 初期アクセス（Initial Access：攻撃者がネットワークに侵入しようとしている）
3. 実行（Execution：攻撃者が悪意のあるコードを実行しようとしている）
4. 永続化（Persistence：攻撃者が不正アクセスする環境を確保しようとしている）
5. 権限昇格（Privilege Escalation：攻撃者がより高いレベルの権限を取得しようとしている）
6. 防御回避（Defense Evasion：攻撃者が検知されないようにしている）
7. 認証情報アクセス（Credential Access：攻撃者がアカウントやパスワードを盗もうとしている）
8. 探索（Discovery：攻撃者がアクセス先の環境を理解しようとしている）
9. 水平展開（Lateral Movement：攻撃者がアクセス先の環境を移動しようとしている）
10. 収集（Collection：攻撃者が目標に関心のあるデータを収集しようとしている）
11. 影響（Impact：攻撃者がシステムとデータを操作、中断、または破壊しようとしている）

MITRE ATT&CKの主な戦術に沿って整理されたクラウドWebアプリ脅威マトリックス（提供：Microsoft）

　以下、各戦術に用いられる主なテクニックを紹介する。

リソース開発：攻撃に必要なツールや環境の作成

　この戦術では、攻撃に使用するリソースを事前に確保する方法として、サブドメインの乗っ取りが挙げられている。クラウドアプリを削除しても、それを指すDNS（Domain Name System）レコードを削除しなかった場合、脅威アクターが同じアドレスを持つリソースを登録し、元のサービス宛てのトラフィックを傍受して、悪意あるコンテンツを配信したり、認証情報を収集したりする可能性がある。

初期アクセス：ネットワークへの侵入

　この戦術では、以下のようなテクニックが使用される。

• アプリ自体のコード、フレームワーク、サードパーティーライブラリの脆弱性を悪用する
• 自動デプロイパイプラインに接続されたソースリポジトリに、悪意あるコードを注入する
• レジストリにあるデプロイ用コンテナイメージを改ざんする
• 公開されている、または設定ミスのある管理インタフェースにアクセスする
• 細工したファイルのアップロード、キューメッセージ、API呼び出し、その他のイベントソースなどの入力を操作し、サーバレス関数を強制的に実行させ、提供したデータを使用させる
• 盗んだデプロイ用認証情報を使って、アプリを直接操作する

実行：悪意あるコードの実行

　脅威アクターがWebアプリのRCE（リモートコード実行）の脆弱性を悪用したり、クラウドプラットフォームの組み込みの管理コンソールやターミナルへのアクセス権を取得してこれらを操作したり、サイト拡張機能（Webアプリに追加のツールなどをインストールできるようにする「Azure App Services」の機能）などを用いて、悪意あるコードを実行したりする可能性がある。

　なおサイト拡張機能は、Azure App Serviceのコンテキスト内で実行され、リクエストデータ、ファイルシステムへのアクセス、環境変数など、アプリ自体と同じ権限を持つ。

永続化：不正アクセスする環境の確保

　永続化は、最初の侵入経路が失われても、不正アクセスを維持する戦術だ。例えば、クラウドWebアプリが、スケジュールされたタスクやトリガーベースのタスクを使用している場合、脅威アクターがそうしたジョブを作成または変更して、悪意あるコードを自動的に実行させる可能性がある。

　開発環境へのアクセス権を持つ脅威アクターは、リポジトリ、レジストリ内のコンテナイメージ、あるいはクラウドストレージ内のデプロイパッケージに格納されているアプリのソースコードを改変できる可能性がある。クラウドWebアプリは通常、自動化されたパイプラインを通じてデプロイされるので、改変が自動的に本番環境に反映され、アプリが再起動するたびに脅威アクターのコードが実行されることになる。

　脅威アクターが有効なクラウドアカウントを侵害し、正当な認証情報を永続化に悪用する場合もある。

権限昇格：より高いレベルの権限の取得

　クラウドにデプロイされたWebアプリは、ストレージ、データベース、AIサービスなど、他のリソースに対する権限を持つIDやサービスアカウントで動作することが多い。そのため、脅威アクターがこれらのWebアプリを侵害すると、多くの場合、そうした権限の他、設定ファイルや環境変数に保存された認証情報を抽出して利用し、さらに別のリソースにアクセスできる。

　ワークロードIDの悪用も、権限昇格のテクニックだ。ワークロードIDは、クラウドプロバイダーによって管理され、クラウドリソースへの割り当てが可能なIDを指す。Webアプリへのアクセス権を取得した脅威アクターは、IMDS（インスタンスメタデータサービス）や類似のエンドポイントに問い合わせてワークロードIDのトークンを取得し、他のクラウドリソースを操作できる。

防御回避：検知の回避による攻撃の隠匿

　多くのクラウド／サーバレスプラットフォームでは、ステージング環境やプレビュー環境がサポートされている。例えば、Azure App Serviceのデプロイスロット、「AWS Lambda」のエイリアス、「Google Cloud Run」のリビジョンタグなどがそうだ。脅威アクターがステージングスロットの管理権限を取得すると、スロットを本番環境に切り替えて悪意あるコードを実行したり、スロット固有のURLを悪用して本番環境のコードを変更することなく悪意あるコードを実行したりする可能性がある。

　十分な権限を取得した脅威アクターが自らの行動を隠すために、クラウドのログ記録を無効化または変更することもある。

認証情報アクセス：アカウントやパスワードの窃取

　この戦術に用いられるテクニックの一つが、基本認証を使用するWebアプリやインタフェースに対するブルートフォース攻撃だ。

　一部のWebアプリでは、キーやトークン、接続文字列などのシークレットが環境変数や構成ファイルに保存されており、脅威アクターが実行中のアプリへのアクセス権を取得した場合、それらの認証情報を入手し、外部のクラウドリソースに対する認証に使用することが可能になる。

探索：アクセス先の環境の調査

　脅威アクターがこの戦術を実行するのは、侵入後に追加のリソースへのアクセス権を獲得するからだ。この戦術では、以下のようなテクニックが使用される。

• クラウドアプリに接続された外部クラウドストレージ（ソースコード、構成ファイル、資産などが保存されていることが多い）へのアクセス
• 設定値や実行時情報で参照されている他のクラウドサービスの特定
• インスタンスメタデータAPIサービスへのクエリ

水平展開：アクセス先の環境の移動

　この戦術に用いられるテクニックは、クラウドリソース、サードパーティーサービス、または内部ネットワークリソースへのアクセス権の獲得だ。

　例えば、サードパーティーサービス（メールプロバイダー、SaaSプラットフォーム、データベース、メッセージングシステムなど）と連携するためにマネージドコネクターが使用されることがあるが、このコネクターが攻撃経路になる可能性がある。

　このコネクターには、OAuthトークンやアクセスキーといった認証および認可情報が保存されている場合があり、これらは複数のアプリ間で再利用される可能性がある。コネクターリソースに対する権限を持つユーザーやIDを侵害した脅威アクターは、これら既存のコネクターを使う新たなアプリを作成し、保存された認証情報を用いて、接続先のサービスで操作を実行できる。

収集：さらなる攻撃に役立つデータの収集

　多くのアプリは、アプリデータ、ユーザー情報、設定値、状態を、接続されたデータベースに保存する。脅威アクターがコード実行能力を獲得すれば、アプリが持つデータベースアクセス権限を利用して、データのクエリや抽出、エントリの変更を行える。

　ログも情報源になる。クラウドアプリは、診断データ、リクエストのメタデータ、ユーザー入力を含むログを生成することが多い。誤設定やフィルタリングの不備により、これらのログには、認証情報や個人を特定できる情報（PII）、アプリの内部パス、依存関係のバージョン、クラウドリソース名といった機密情報が意図せずに記録される可能性がある。脅威アクターがアプリやそのロギングインフラへのアクセス権を獲得すると、こうした機密情報を収集し、さらなる悪用や偵察に利用することが可能になる。

影響：システムやデータの操作、中断、破壊

　影響に用いられるテクニックには、データの破壊や窃取、Webサイトの改ざん、ウォレット枯渇攻撃（クラウドリソースのスケールアウトを引き起こす処理を意図的に実行させ、被害者に金銭的損害を与える。例えば、大容量メモリを割り当てられた関数を繰り返し呼び出すなど）、リソースの乗っ取り（暗号通貨のマイニング、大量スキャン、トラフィックのプロキシ化といった不正な目的のために行われる）が含まれる。

防御のポイント

　Microsoftは、クラウドWebアプリをこれらの脅威から防御するには、アプリの挙動と、基盤となるクラウドリソースの両方を可視化する必要があると述べている。クラウドWebアプリ脅威マトリックスは、各戦術が示す攻撃段階にテクニックがマッピングされており、防御側が可視性を確保できている部分と、そうでない部分を特定するのに役立つ。

　クラウドWebアプリ脅威マトリックスのWebサイトでは、個々のテクニックについて緩和策も説明されている。

　Microsoftは、クラウドWebアプリ脅威マトリックスに含まれるテクニックに対する防御のポイントとして、以下を挙げている。

• MFA（多要素認証）を必須とし、ユーザーとワークロードに最小権限を適用する
• アプリ、デプロイ環境、接続されたリソースへのアクセスを制限する
• ソースリポジトリ、ビルドシステム、デプロイパイプラインを不正な変更から保護し、パッケージや拡張機能は信頼できるソースからのみインストールする
• 再利用可能な認証情報をソースコードや設定ファイルに保存せず、サポートされている場合はワークロードIDやシークレット管理ソフトウェアを利用する
• 機密性の高いサービスへのネットワークアクセスは、許可されたネットワークに限定する
• セキュリティ関連のログを保護された場所に集約し、ログ記録設定の不正な変更を防ぐ
• リソースのクオータ（割り当て）、同時実行数の制限、コストガードレール、支出アラートを活用し、リソースの乗っ取りやウォレット枯渇攻撃の影響を軽減する
• 破壊的な操作に備え、バックアップと復旧の計画を維持し、テストする