持続的標的型攻撃（APT）: 従来とは異なる対応が必要（CA Security Reminder）

持続的標的型攻撃とは、標的とする対象を絞った長期的で高度な攻撃のことを指します。攻撃者は国家の支援を受けていることが多く、他国の政府から価値の高い機密情報を盗み出そうとします。この用語は2006年に米国空軍が使い始めたのが最初です。

特集特集

2013年3月4日（月） 08時00分

CA Technologies社 Russell Miller氏

CA Security Reminder は、コンシューマライゼーションが進行する企業情報システムの情報セキュリティとアイデンティティ管理について考えます。

CA Technologies の Russell Miller がAPTを定義します。

--

持続的標的型攻撃（APT; Advanced Persistent Threat）は、従来のセキュリティリスクとは全く異なる問題を提示しています。Ponemon Instituteの見積りによると2011年におけるセキュリティ侵害の平均コストは550万ドルで、1セキュリティ侵害は企業の上層部にとっても重大な懸念事項となっています。

●定義

持続的標的型攻撃とは、標的とする対象を絞った長期的で高度な攻撃のことを指します。攻撃者は国家の支援を受けていることが多く、他国の政府から価値の高い機密情報を盗み出そうとします。また、攻撃元や攻撃対象は民間組織の場合もあります。この用語は2006年に米国空軍が使い始めたのが最初です。

The National Institute of Standards and Technology (NIST)は、APT攻撃を次のように定義しています。

「持続的標的型攻撃とは、高度な専門知識と十分なリソースを持つ攻撃者が、複数の攻撃ベクトル（サイバー攻撃、物理的な攻撃、詐欺など）を使用して目的達成の機会を作りだすための攻撃で、通常その目的とは、組織の情報技術インフラストラクチャ内に足がかりを築いて拡大し、継続的な情報の盗用、任務やプログラム、組織の重要な側面の妨害、また、将来そうした行為を行えるよう準備することにある。持続的標的型攻撃はまた、長期間にわたり繰り返し標的を追い続け、抵抗する相手の防御に対応して、目的の達成に必要なレベルのインタラクションを執拗に維持する」。

その定義には様々なものがありますが、持続的標的型攻撃とは何かを明らかにするには次の3つの言葉が役立ちます。

・高度: 攻撃者は、ターゲットの脆弱性を利用できる高度な技術能力を有します。これには大規模な脆弱性データベースやセキュリティ上の弱点にアクセスでき、コーディングスキルを持っているだけでなく、それまでは知られていなかった脆弱性を見つけ出し利用する能力も含まれることがあります。

・持続的: 多くの場合、APT攻撃は長期間にわたって行われます。一時的な機会を利用する短期間の攻撃と異なり、APT攻撃は数年間にわたって続くことがあります。インターネットベースの攻撃からソーシャルエンジニアリングまで、複数の攻撃ベクトルを使用することがあります。重要度の低いセキュリティ侵害を時間をかけて組み合わせ、もっと重要なデータへのアクセスに達することがあります。

・脅威: 脅威があるということは、動機と攻撃を成功させる能力の両方を持った攻撃者がいるということです。

組織化されたグループが大規模な攻撃の一部として自動化ツールを使用することはありますが、単に自動化ツールがあるだけではAPT攻撃とは考えられません。

●攻撃の４つの段階

典型的な持続的標的型攻撃は、次の4つの段階で構成される可能性があります。

1. 偵察: 組織の脆弱性についての調査。これにはドメインクエリなど基本的な調査から継、続ポ的なー悪ト用や: 脆弱性のスキャンが含まれることがあります。

2. 初期侵入: 脆弱性を利用してターゲットのネットワークに足がかりを作ります。これは高度な技術的手法を使用する場合や、スピアフィッシング（特定のターゲットを標的としたフィッシング）などを使用して単一システムへの通常のユーザアクセスを獲得する場合があります。「ソーシャルエンジニアリング」や人を利用することも、アクセスを獲得するのによくある方法です。

3. 特権の引き上げとコントロールの拡大: 攻撃者はネットワーク境界への侵入に成功すると、さらなる特権を得て重要なシステムへのコントロールを獲得しようとします。後でネットワークに簡単にアクセスできるように、この段階で「バックドア」ツールを設置することもあります。

4. 継続的な悪用: 攻撃者は一度コントロールを確立すると、継続的に機密データのエクスポートを行うことがあります。第3から第4の段階は、検知されるリスクを減らすために数年間をかけて行われることがあります。

（※この記事は「持続的標的型攻撃（APT）:徹底的な防御」の一部を抜粋しました）

（Russell Miller）

筆者略歴：CA Technologies において、ネットワークセキュリティの分野で倫理的ハッキングから製品マーケティングまで様々な役割を務める。現在、CA ControlMinder および CA ControlMinder for Virtual Environments のマーケティング活動を統括

持続的標的型攻撃（APT）: 従来とは異なる対応が必要（CA Security Reminder）

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

よみがえる幽霊(Spectre)、Wasmサンドボックス回避ほか～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション

第2のCobalt Strikeか／韓国タクシー会社迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向ほか [Scan PREMIUM Monthly Executive Summary]

Microsoft Windows において WOW64 版の Microsoft iSCSI サービスバイナリで DLL Hijacking による UAC Bypass が可能となる手法（Scan Tech Report）

医療関連情報では2022年最大規模、190万人の患者情報流出した債権回収会社へのサイバー攻撃

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

よみがえる幽霊(Spectre)、Wasmサンドボックス回避 ほか ～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション

第2のCobalt Strikeか／韓国タクシー会社 迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向 ほか [Scan PREMIUM Monthly Executive Summary]

Microsoft Windows において WOW64 版の Microsoft iSCSI サービスバイナリで DLL Hijacking による UAC Bypass が可能となる手法（Scan Tech Report）

医療関連情報では2022年最大規模、190万人の患者情報流出した債権回収会社へのサイバー攻撃

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

第2のCobalt Strikeか／韓国タクシー会社 迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向 ほか [Scan PREMIUM Monthly Executive Summary]

Microsoft Windows において WOW64 版の Microsoft iSCSI サービスバイナリで DLL Hijacking による UAC Bypass が可能となる手法（Scan Tech Report）

イエラエ CSIRT支援室 第 30 回 Apache Spark OSコマンドインジェクションの脆弱性(CVE-2022-33891)について

Unboundの脆弱性情報が公開

muhttpdにディレクトリトラバーサルの脆弱性

10月3日以降はWebアクセス連携機能が利用できず、ファームウェアアップデートを呼びかけ

インシデント・事故 記事一覧へ

児童の遅刻・欠席一覧を誤って保護者に配布、今後は紙への印刷をやめパソコンによる閲覧に切り替え

「かながわ旅割」事業に参加する旅行事業者宛てのメールを誤送信、193社分のメールアドレスが流出

小中学校の校務ネットワークにランサムウェア攻撃

コロナ療養証明書を別患者に誤発送、データベース入力を誤り チェック時も修正されず

WDBホールディングスグループのネゾットでも障害発生、メールシステムやファイルサーバにアクセスできない障害

WDBホールディングスにランサムウェア攻撃、メールシステムやファイルサーバにアクセスできない障害

調査・レポート・白書 記事一覧へ

地政学リスクが日本企業のIT調達に影響

IT資産の脆弱性管理、「Tenable.io」による自動化について解説

現在も 12 ％が業務で Internet Explorer を使用

医療機関向け「Oracle Cloud Infrastructure対応セキュリティ・リファレンス」公開

OT導入組織の78%が3回以上の侵害を経験、生産性に影響する運用停止は半数に至る

Proofpoint Blog 第15回「サイバー攻撃騒動の 1 年を『The Human Factor 2022 Report』で振り返る」

研修・セミナー・カンファレンス 記事一覧へ

よみがえる幽霊(Spectre)、Wasmサンドボックス回避 ほか ～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション

Security Blue Note 第8回「8ヶ国チームで準優勝した爽快感 ～ ICC 2022 Athens レポート」

経産省、初心者向け「第5回サイバーセキュリティ・リレー講座」開講

SST、セキュリティ・キャンプ応援のレトルトカレー配布

「セキュリティ・ミニキャンプ in 山梨 2022」にイエラエ三村聡志氏登壇

TwoFiveとデジサート、なりすましメール対策セミナー開催 ～ DMARCとVMCの導入と運用

製品・サービス・業界動向 記事一覧へ

経済安全保障AIソリューションの持ち株支配の解析指標が特許査定を取得

CrowdStrikeとネットワールドがディストリビューター契約

ｆｊコンサルティングとSST、「PCI DSS v4.0対応アプリケーション開発者向け年次オンライントレーニングコース」提供

LogStareのSOCの窓 第7回「社内ネットワークで『嵐』が起きた日」

「漫画村」運営者に総額19億円の損害賠償を求め提訴、17作品で19億2,960万2,532円に

脆弱性管理自動化サービス「SIDfm VM」の新バージョンリリース、カスタムタグの実装はじめ3点を強化

おしらせ 記事一覧へ

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

Scan PREMIUM 創刊23周年記念キャンペーン実施中

ScanNetSecurity 創刊23周年御礼の辞（上野宣）

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの ～ 2021年 CrowdStrike カレンダー読者プレゼント

ScanNetSecurity システム更新のお知らせ

よみがえる幽霊(Spectre)、Wasmサンドボックス回避ほか～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション

第2のCobalt Strikeか／韓国タクシー会社迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向ほか [Scan PREMIUM Monthly Executive Summary]

脆弱性と脅威記事一覧へ

第2のCobalt Strikeか／韓国タクシー会社迅速な身代金支払と事実公表／医療分野への攻撃が世界的傾向ほか [Scan PREMIUM Monthly Executive Summary]

イエラエ CSIRT支援室第 30 回 Apache Spark OSコマンドインジェクションの脆弱性(CVE-2022-33891)について

インシデント・事故記事一覧へ

コロナ療養証明書を別患者に誤発送、データベース入力を誤りチェック時も修正されず

調査・レポート・白書記事一覧へ

研修・セミナー・カンファレンス記事一覧へ

よみがえる幽霊(Spectre)、Wasmサンドボックス回避ほか～ FFRI 鵜飼裕司の Black Hat USA 2022 注目セッション

Security Blue Note 第8回「8ヶ国チームで準優勝した爽快感～ ICC 2022 Athens レポート」

TwoFiveとデジサート、なりすましメール対策セミナー開催～ DMARCとVMCの導入と運用

製品・サービス・業界動向記事一覧へ

LogStareのSOCの窓第7回「社内ネットワークで『嵐』が起きた日」

おしらせ記事一覧へ

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの～ 2021年 CrowdStrike カレンダー読者プレゼント