サイバー攻撃マップでランサムウェアは本当にわかるのか——zcrLogのThreat Analysisが示すもの
派手な攻撃マップは自社のシステムを映しません。zcrLogでインシデント・MITRE・検知ルールを合わせて読み、ランサムウェアの兆候をつかむ方法を解説します。
「Live Cyber Attack Map」と書かれた、世界地図に赤い線が大陸を飛び交うあの画面を見たことはありませんか。スパイ映画のワンシーンみたいで、見ていてワクワクします。でも率直に聞きますが、それで今夜あなたの組織の誰かがRDPにブルートフォース攻撃を受けているかどうかがわかるでしょうか——答えはノーです。ああいったマップのほとんどは、世界中のハニーポットやセンサーから集めた総トラフィックを表示しているだけで、あなたの組織固有のデータではありません。
そもそもランサムウェアは、どのマップを見ても「Ransomware」とはっきりラベル表示されることはありません。実際は小さなイベントが連鎖して現れます。パスワードを繰り返し試す(ブルートフォース)→ネットワーク内の他のマシンを制御下に置く(ラテラルムーブメント)→データを外部に持ち出す(データ流出)→最後にすべてのファイルを暗号化する、という流れです。気づいたときにはもう手遅れ、ということが少なくありません。そこでこの記事では、見栄えのする「攻撃マップ」の話はせず、無料で試せるzcrLogの本物のThreat Analysis画面を紹介します。各タブが何を測っているのか、それらをどう組み合わせて読むのか、そして並べたときにランサムウェアの連鎖がどう見えるのかを、順に見ていきます。
グローバル攻撃マップに本当にできること(できないこと)
カンファレンス会場や展示ブースでよく見かけるあのマップは、複数の国に分散したハニーポットやセンサーのトラフィックを集約し、世界地図上をリアルタイムで飛び交う線として表示しているものがほとんどです。見た目は美しく、目を引きますし、「いま世界中が騒がしい」というざっくりした全体像は伝わります。しかし、あなたの組織のことは何も知りません。追跡できるincident IDもなければ、誰が何をされたのか詳細をクリックして見るボタンもない。そして何より、SOCチームが実際の運用で使うツール(operational tool)ではなく、会議室の画面に映しておく程度の「アンビエントディスプレイ」に近いものです。
セキュリティチームが本当に必要としているのは世界全体の概観ではなく、こういう具体的な問いへの答えです——「いま、誰が自分たちのシステムに侵入しようとしているのか。そして、それはどこまで進んでいるのか」
zcrLogのThreat Analysisはどんな見た目か
zcrLogのThreat Analysisメニューには5つのサブタブがあり、Threat Incidents、Detection Rules Management、Mitre Attack Panel、Attack Map、IP Intelligenceという構成です。この5つは検知に使う語彙(vocabulary)が重なっている部分はありますが、それぞれ見ているものは違います。ライブの通信、インシデントの記録、ATT&CKのテクニック、検知ルール、そしてIPアドレス1件ごとの照会です。（zcrLogの詳細はこちら — ライブデモにはデモ用ログイン（demo / demo）が必要です。）
Attack Map——通信を向き・種別・発信元ごとに見る
Attack Mapページには時間範囲を選ぶセレクタがあり、表示される数値はどれも、選んだ範囲によって変わります。
選んだ範囲について、ページはトラフィックを要約して表示します。イベントの総数、inboundとoutboundの内訳、発信元の国の数、イベント種別(たとえばブルートフォースやスキャン)ごとの内訳、そして発信元の国の上位とその割合です。読むときは、1つずつではなく組み合わせて見てください。単なる接続がほとんどを占める時間帯からは、多くは読み取れません。特定の国からのブルートフォースが増えているなら、それは手がかりになりえます。そして説明のつかないoutboundの通信は、もう一度よく見る価値があります。データ流出やコマンド&コントロール(C2)の通信は、その向きに出ていくことが多いからです。
トラフィックは刻々と変わるので、大事なのは個々の数字ではなく、内訳の傾向です。マップは、これらをランサムウェアとしてラベル付けしてくれません。これこそがこの記事で伝えたいポイントです。マップが見せてくれるのは素材だけで、その「足跡」を見つけるには次のタブへ進む必要があります。
Threat Incidents——ランサムウェアが実際に足跡を残す場所
このタブがこの記事の核心です。インシデントは1件が1行で表示され、incident ID、種別、深刻度、ステータス(たとえばオープンやクローズ済み)、threat数、関係するユーザー、送信元と宛先のIP、そして対応するMITREのタクティクとテクニックといった項目が並びます。
種別の名前に注目してください。デモのデータでは、どれもブルートフォース、ラテラルムーブメント、データ流出のように振る舞いを表す名前で、「ransomware」と呼ばれているものはありません。これは、経験の浅いプレイブック作成者がよく誤解するポイントです。ランサムウェアは、たいてい最初から「ランサムウェア」として検知されるわけではありません。「成功したブルートフォース」として表に出て、続けて別のリモートサービスへの移動として現れることが多いのです。ATT&CKで言えば、T1110(Brute Force、Credential Access / TA0006)に続くT1021(Remote Services、Lateral Movement / TA0008)です。これは、実世界で非常によく見られるランサムウェアの攻撃チェーンと重なります。インターネットに公開されたRDPやVPNのパスワードを総当たりで突破し、それを足がかりに他のマシンへ侵入する、というパターンです(この点についてはインターネットに公開されたRDPはランサムウェア集団お気に入りの侵入口で詳しく書いているので、興味があればあわせてどうぞ。この傾向はCISAの#StopRansomwareアドバイザリでも一貫して指摘されており、公開されたRDP/VPNへの総当たり攻撃は複数のランサムウェアグループに共通する主要な侵入経路の一つとされています)。
3行の例を挙げます。説明のために作った架空の例で、実際の環境から取ったものではありません。
- ブルートフォースのインシデント、深刻度Medium、オープンのまま — 誰かがアカウントに対してパスワードを試している状態です。チェーンの最初の段階なので、たいてい手を打つコストが低いタイミングでもあります。試行がどこから来ていて何を狙っているか(たとえば公開されたRDPやVPN)、そして試行のどれかが成功していないかを確認します。
- ラテラルムーブメントのインシデント、深刻度High、オープンのまま — 確保した足がかりを使って、他のマシンに手を伸ばしている状態です。多くのチームは、これをキューの上位に置きます。そのあとに続くデータ流出やファイルの暗号化といった段階は、取り返しがつきにくいからです。
- マルウェアのインシデント、深刻度High、クローズ済み — クローズ済みとは、インシデントがもう開いていないという意味で、原因が取り除かれたとは限りません。関係したユーザーとホストも確認されたか、見ておく価値があります。
最初の2つを続けて読み、同じユーザーが関わるブルートフォースのインシデントのあとにラテラルムーブメントのインシデントが並んでいれば、それはランサムウェアの連鎖の入り口であり、ほかの多くの侵入の入り口でもあります。ランサムウェアを他の侵入と分けるのは、最後のステップであるファイルの暗号化です。その前にデータ流出が行われることも少なくありません。
Mitre Attack Panel——マトリクス表ではなくカード表示
ATT&CK Matrixといえば、格子状の表を思い浮かべる方が多いと思いますが、zcrLogのこのページはテクニックカードで表示され、上部の要約行に、検知されたテクニックとイベントの数が出ます。
カードは1枚が1つのテクニックに対応します。カードには、テクニックのIDと名前(たとえばT1110 Brute Force、T1021 Remote Services)、深刻度とリスクスコア、属するタクティク、カードが数えているイベント・ホスト・ソースの数、そして背後にある検知方法が載っています。各カードにはMITREの参照ページへのリンクと、そのテクニックが観測された時間帯も添えられており、活動が実際にいつ起きたのかを遡って確認できます。
ここは、1件のインシデントから、より広い全体像へ移る場所です。インシデントがあるテクニックに対応しているなら、そのテクニックのカードを探します。カードは別の画面で、インシデントの内訳ではないので、カードの数値はインシデントそのものの数値ではなく、全体の文脈として読みます。そのうえで、多数のホストが背後にあるテクニックは、ホスト1台だけのテクニックより広い問題を示していることが多いでしょう。同じ時間帯にT1110とT1021の両方のカードが現れていれば、前のセクションで触れた2段階のパターンかもしれません。ただ、カードだけでは、同じホストが関わっているかどうかまではわかりません。
Detection Rules Management——あらかじめ仕掛けておくルール、ランサムウェア専用も含む
このタブには、あらかじめ用意されたルールテンプレートがあります。たとえば、SSHへのブルートフォース、データ流出、SQLインジェクションなどです。ルール一覧では、ルールごとに深刻度、使われている条件ロジック、ステータスといった項目が表示されます。
この記事のテーマに最も関係が深いのが、Ransomware File Extensionという名前のルールです。名前のとおり、ランサムウェアの終盤の兆候——大量のファイルが一斉に新しい拡張子へ書き換えられ始める瞬間——を狙うルールで、大規模一括暗号化(mass-encrypt)の典型的なサインです。チェーンの反対側の端にあたり、上で見たブルートフォースやリモートサービスのテクニックが侵入を指し示すのに対して、こちらは被害を指し示します。両端にルールがあることが大切です。
ルールごとに、発報したときの深刻度、使っている条件、ステータスの3点を見てください。
IP Intelligence——5つ目のタブ
Threat Analysisグループの最後のタブがIP Intelligenceです。IPアドレスを自分で入力して照会する検索ツールで、ほかの4つのタブに登場するIPと自動的に連携するわけではありません。
「見えている」だけでは足りない理由
玄関先の防犯カメラを想像してみてください。カメラは門の前を通る人をずっと見ています。でも、朝に通り過ぎた人物と、真夜中に窓をこじ開けようとしている人物が同一人物だと誰も結びつけなければ、そのカメラはただ映像を記録しているだけで、何も防いではくれません。攻撃マップも同じです——見えているだけでは足りず、点と点をつなげられる必要があります。
zcrLogのThreat Analysisが単なる「マップの表示」で終わらないのはこのためです。SOCチームはAttack Mapの全体像から出発し、Threat Incidentsで詳細を確認し、Mitre Attack Panelに切り替えて関連するテクニックを見て、さらにDetection Rules Managementに戻ってその箇所を監視するルールが既にあるかを確認できます——これがすべて1つのコンソールの中で完結し(タブは自分で切り替える必要があり、タブ間を自動でつなぐドリルダウンはありません)、4〜5個のツールを画面ごとに行き来する必要はありません。これはzcrLogが最初から実現できるよう設計してきたことで、後から取ってつけた機能ではありません。
比較してみると
| 項目 | 一般的な公開攻撃マップ | zcrLog Threat Analysis |
|---|
| 表示されるデータ | 世界中のハニーポット・センサーから集めた総トラフィック(特定組織のものではない) | incident IDが付いた、掘り下げ可能なイベント |
| ランサムウェアの識別 | 直接のラベルはなく、推測するしかない | 同じく直接のラベルはないが、T1110→T1021のパターンをインシデントやテクニックカードにまたがって追うことができ、終盤の兆候を狙う専用のRansomware File Extensionルールもある |
| クリックしての調査 | できない。見た目のための静止画 | Attack Map、Threat Incidents、Mitre Attack Panelを1つのコンソール内でタブ切り替えできる(自動ドリルダウンではなく手動切り替え) |
| 既製の検知ルール | なし | Detection Rules Managementに既製のテンプレートがあり、ランサムウェアのファイル拡張子向けのものも含まれる |
あなたの組織がこのようなパネルをいくらで導入できるか知りたい方は、zcrLogの全プランをご覧ください。
デモを自分で開くときに確認したいこと
上の例の行は、説明のために作った架空のものです。ライブデモにはデモ用ログイン（demo / demo）が必要です。開いたら、数字ではなく構造を読んでください。たどり方の一例です。
- Attack Mapで時間範囲を選び、inboundとoutboundの内訳、イベント種別の構成をあわせて読みます。
- Threat Incidentsで、インシデントの種別、深刻度、ステータスを見て、対応するMITREのテクニックを控えます。
- Mitre Attack Panelでそのテクニックのカードを探し、いくつのホストとソースが数えられているかを見ます。
- Detection Rules Managementで、終盤の兆候を狙うルールを探し、その深刻度、条件、ステータスを確認します。
- IP Intelligenceで、選んだインシデントのIPアドレスの1つを照会します。タブが自動で入力してくれることはありません。
これらのタブは自動ではつながらないので、点と点を結ぶのはあなた自身です。身につけておく価値があるのは、その読み方です。
デモを試す前にMITRE ATT&CKの基礎を押さえておきたい方は、MITRE ATT&CKとは何かをどうぞ。SIEMでのランサムウェア検知ルールの組み方をもっと詳しく知りたい方には、その点だけを扱った別記事SIEMでランサムウェア検知ルールを組むなら、まずどこから始めるべきかもあります。
まとめ
カンファレンス会場の大画面に映る美しい攻撃マップは、ランサムウェアを実際に止めるツールではありません。あなたの組織のシステムのことを何も知らないからです。そしてランサムウェア自身も、自分の正体をはっきり示す看板を掲げることは決してありません——成功したブルートフォースと、それに続くリモートサービスへの移動という、小さなイベントの連鎖の中に隠れています。本当に必要なのは、全体像を見せてくれて、詳細まで掘り下げられて、攻撃の着地点になりやすい場所をあらかじめ監視するルールを備えたシステムです。これらはすべて、zcrLogのデモで無料かつ実際に試せます。広告の言葉を鵜呑みにする必要はありません、自分の目で確かめてください。
組織のランサムウェア対応力についてご相談をご希望の方は、こちらまでご連絡ください。
出典
- CISA — #StopRansomwareガイド および各ランサムウェアグループ別の#StopRansomwareアドバイザリ（Akira、Gunraなど）— 公開・総当たり攻撃可能なRDP/VPNが複数のランサムウェアグループに共通する主要な侵入経路であることを確認
- MITRE ATT&CK — T1110 Brute Force および T1021 Remote Services