自社を狙うPhishingの主体は誰か ― Threat Intelligenceの読み方
IOCフィードが数万行あっても答えにはなりません。自社を狙うPhishingの主体を特定するThreat Intelligenceの読み方を解説します。
自社を狙うフィッシングの主体は誰か ― 脅威インテリジェンスの読み方
経営層から「今うちを狙っているのは誰なんだ」と一言聞かれたとします。
そのとき差し出せるものが、年初に契約したきり誰も開いていないフィードから吐き出された、IPとファイルハッシュが何万行も並んだCSVだけなら、それは答えではありません。ただのデータです。
この二つの差は、多くのセキュリティチームがすでに費用を払っていながら、まだ回収できていない部分でもあります。
IOCフィードの問題は「間違っている」ことではなく、「自社の話をしていない」こと
IOC（Indicator of Compromise）は攻撃者が残した痕跡です。接続先のIP、偽メールの送信に使われたドメイン、添付ファイルのハッシュ。データそのものは正確なことが多く、問題はその賞味期限にあります。
フィッシング用のドメインは1日で取得され、使われ、捨てられます。IPは時間貸しのホスティングに合わせて回ります。ファイルハッシュは、マルウェアを作った人間がもう一度ビルドを押した時点で変わります。インジケーターがフィードからSIEMに届く頃には、すでに死んでいることも珍しくありません。David BiancoがPyramid of Painと呼んだ考え方がまさにこれで、攻撃者が最も安く変更できるものほど、守る側にとっての価値は低いということです。
ただ、賞味期限よりも重いのが文脈の問題です。
一般的なフィードは、その組織がPalo Altoを使っているのかFortinetなのかを知りません。リモート勤務のためにCitrixを公開しているかどうかも知りません。そもそもどの業種なのかも知りません。だからすべてを同じ優先度で送りつけ、選別は「1日20分しか読む時間がない人」に丸投げされます。結果はどこでもほぼ同じで、誰も開かない綺麗なダッシュボードが残ります。
「誰が」への実用的な答えは、たいてい組織名ではない
脅威インテリジェンスと聞くと、ニュースで見るような格好いい攻撃グループ名を期待しがちです。読み物としては面白いのですが、では明日何をするのかと一歩踏み込むと、グループ名は答えを持っていません。
答えを持っているのは侵入経路のほうです。経路はグループ名よりはるかにゆっくりとしか変わらず、しかも退屈なほど繰り返されます。
フィッシングメールが攻撃の終着点であることはまずありません。第一段階にすぎません。狙いは従業員一人のパスワードかセッションで、それをすでにインターネットに開いている扉に持っていく――VPNゲートウェイ、情シスのリモート支援ツール、委託業者のリモートアクセス環境。インテリジェンスを読むときの起点にすべきはグループ名ではなく、この扉のほうです。
「どう入ってくるか」を体系的に記述する共通言語を押さえておきたい方は、MITRE ATT&CKとは何かを併読すると理解がかなり速くなります。
読んだ後に手が動く脅威レポートの実物
以下の画面はzcrCTEMのAI Threat Brief部分で、デモ環境のデータです。生のIOCフィードに欠けているのはまさにこの構造なので、各パートが何を伝えているかを順に見ていきます。
各週のヘッダーには深刻度バッジと2つのカウンター——実際に悪用が確認されている(KEV)脆弱性のうち自社環境に影響するもの、前回のブリーフからの新着件数——が並びます。3秒読むだけで、詳細を1行も読まないうちに今週の緊急度がわかります。その下で、優先度の高い脅威が詳細まで展開されます。(これはデモ環境なので、レイアウトが何を追跡できるかの説明として捉えてください。特定の週の実数値ではありません。)
まず週全体を一文でまとめた行があり、実際に悪用が確認されているKEV脆弱性のうち、自社環境で即時パッチが必要なものの件数が示されます。各ブロックには英文の下にタイ語が併記されており、右上にはEN/THの切替とRefreshボタンが置かれています。細かい点ですが、英語を一日中読んでいるわけではないチームに転送するときには効いてきます。
続いてTOP THREATS THIS WEEKの3件。それぞれに独自の緊急度ラベルが付いています。
| ラベル | 項目 | レポートの記載内容 |
|---|
| IMMEDIATE | PAN-OS Command Injection (CVE-2024-3400) | Palo Alto PAN-OS GlobalProtectゲートウェイの重大なゼロデイで、認証なしのリモートコード実行が可能。実際に悪用が確認されておりCISA KEV掲載。該当する境界ファイアウォールすべてに即時パッチが必要 |
| IMMEDIATE | ConnectWise ScreenConnect Auth Bypass (CVE-2024-1709) | 認証を迂回して資格情報なしにシステムを完全掌握できる。KEV掲載済みで攻撃コードが広く出回っている。該当するリモートアクセスサーバは今週中にパッチまたは隔離すべき、とレポートは指示 |
| THIS WEEK | Citrix Bleed Session Token Leak (CVE-2023-4966) | Citrix NetScaler ADCおよびGatewayの情報漏えいによりセッショントークンが抽出可能。多要素認証を迂回し、認証済みセッションを乗っ取られる。暫定措置としてCitrixアプライアンスをすべて監視し、セッションのローテーションを強制すべき |
締めくくりはアナリストの一行です。"Prioritize KEV-listed CVEs with available patches; use network segmentation to isolate unpatched systems until maintenance windows allow full remediation." 平たく言えば「パッチがあるものから先に、まだ手が付けられないものは他の系統から切り離しておけ」ということです。
この3件がなぜフィッシングの話なのか
3件のどこにもメールという言葉は出てきません。それでいて、3件ともフィッシングの行き着く先です。
最初の2件は外部からの接続を受け付けるシステム、つまりVPNゲートウェイとリモートアクセスツールです。盗まれた資格情報が使われるのはまさにここです。3件目はさらに興味深く、レポートが多要素認証を迂回できると明記しています。これは現代のフィッシングページが狙っている結果とまったく同じです。もうパスワードは盗まず、MFAを通過済みのセッションのほうを盗む、ということです。
道は違っても、着地点は同じです。
こう捉え直すと、「誰が攻撃しているのか」は今日答えられる問いに変わります。自社のどの扉が開いていて、そのうちどれが今週実際にこじ開けられようとしているのか。 これは継続的なエクスポージャー管理（CTEM）が答えようとしている問いそのものであり、この脅威インテリジェンスが外部攻撃面の探索と同じプラットフォーム上にある理由でもあります。
生のIOCフィードと、実資産に紐づいたインテリジェンスの違い
| 問い | 生のIOCフィード | 資産に紐づいたAI Threat Brief |
|---|
| 自社に関係あるか | 不明。自分で選別する | 「in your environment」と明示済み |
| 何から手を付けるか | 順序なし | IMMEDIATE / THIS WEEKのラベルあり |
| いつ陳腐化するか | 速い。特にIPとハッシュ | CVEに紐づくため寿命がはるかに長い |
| 経営層に転送できるか | 毎回書き直しが必要 | 一行の要約がそのまま使える |
どのプランがどこまでカバーするかはプラン一覧をご覧ください。
この画面がまだやってくれないこと
良い面だけを並べても比較になりませんので、上記のAI Threat Briefの守備範囲も明確にしておきます。
- 攻撃グループ名は出ません。 レポートの3件はいずれもCVE番号で特定されており、グループ名を挙げているものは一つもありません。実際に悪用されている脆弱性で優先順位を付けているだけで、攻撃主体の特定（attribution）はしていません。グループ名が明記されたレポートが必要な組織にとって、これはその道具ではありません。
- メールのフィルタリングはしません。 zcrCTEMはメールセキュリティゲートウェイではなく、受信箱に届く前にフィッシングメールを止めるものではありません。担当するのは「抜けてきた後、どこへ歩いていけるか」の側です。
- 提示は週次です。 ヘッダーにWeek ofと明記されている通り、これはパッチ作業を計画するリズムです。秒単位の監視はSIEMの仕事で、道具もリズムも別物です。
- 実態に合った資産インベントリが前提です。 「in your environment」という一文は、資産一覧が正しいときにだけ価値を持ちます。誰が管理しているか思い出せないサーバが残っているなら、レポートからもそれは見えません。
最後の一点が実際には最も多く、可視化の整備がインテリジェンスの購入より先に来るべき理由でもあります。
自社に当てはまるかどうかのサイン
- 今インターネットに公開されている自社システムを即答できない
- 費用を払っているフィードやインテリジェンスレポートがあるが、月1回も開かれていない
- 大きな脆弱性のニュースが出たとき、「うちに該当はあるか」の回答に何日もかかる
- 外部業者がリモートアクセスツールで入ってこられるが、そのバージョンを誰も把握していない
- 従業員がフィッシングメールを報告したことはあるが、その後の手順が文書化されていない
2つ以上当てはまるなら、最も費用対効果が高い出発点は「何があるかを把握すること」で、インテリジェンスを重ねるのはその後です。今フィードを買い足しても状況は動きません。
最後の項目、従業員が報告ボタンを押した後の手順については、プレイブックとして自動実行できます。実例はSOARによるフィッシング対応プレイブックをご覧ください。従業員のパスワードがすでにどこへ流出しているかについては、このレポートとは別の仕事で、ダークウェブ監視の領域になります。
ここまでスクロールした方への短いまとめ
脅威インテリジェンスが実用に足るかを測る基準は一つだけです。読み終えた後に、実際に着手できる作業がいくつ残るか。
上のサンプルは3つ残します。PAN-OSにパッチを当てる、ScreenConnectをパッチするか隔離する、Citrixでセッションの強制ローテーションをかける。推測が必要なものは一つもなく、何万行ものCSVから選別する必要もありません。
今お金を払っているすべてのフィードを、この基準で測ってみてください。
お問い合わせ
自社のどの扉が今開いていて、そのうちどれが今週実際に狙われているのか。気になる方はお気軽にご相談ください。無料でご相談いただけます。
出典