～攻撃者は24時間以内に、企業の最も重要な資産であるActive Directoryに到達しており、ランサムウェア攻撃の多くは通常の営業時間外に発生している～

9月 13, 2023 —

Cybersecurity-as-a-Serviceを開発・提供するグローバルリーダー企業のソフォス（日本法人：ソフォス株式会社（東京都港区 代表取締役 中西 智行）は本日、2023年の上半期におけるサイバー攻撃者の行動や攻撃ツールについて詳しく解説した「テクノロジーリーダーのための2023年版アクティブアドバーサリーレポート」を公開しました。Sophos X-Opsは、2023年1月から7月までのソフォスのインシデント対応（IR）の事例を分析し、攻撃者の滞留時間（攻撃が開始されてから検出されるまでの時間）の中央値が、全攻撃で10日から8日に短縮され、ランサムウェア攻撃単体では5日に短縮されていることを明らかにしました。2022年には、滞在時間の中央値は15日から10日に減少しています。

Sophos X-Opsは、企業の最も重要な資産の1つであるActive Directory（以下、AD）に攻撃者が到達するまでの時間が、平均で1日未満（約16時間）になったことも報告しています。ADは通常、組織全体のIDとリソースへのアクセス権限を管理しています。つまり、攻撃者はADを使用すれば、システムの特権を簡単に昇格でき、ログインするだけで、さまざまな悪意のある活動を実行できるようになります。

ソフォスのフィールドCTOであるJohn Shierは、次のように述べています。「攻撃者の視点では、組織のADインフラストラクチャを攻撃することは理にかなっています。ADは通常、ネットワークで最も強力な特権管理システムであり、攻撃に悪用できるシステム、アプリケーション、リソース、データへの広範なアクセス権限を提供しています。攻撃者がADを乗っ取ることができれば、組織全体を乗っ取ることが可能になります。ADが攻撃を受けると、権限昇格などの影響が広範囲にわたり、修正にかかる負荷も大きいことから、重要な標的となっています。

攻撃チェーンの中でADサーバーにアクセスして制御することができれば、サイバー攻撃者には多くの利点がもたらされます。そして、検出されることなくネットワークに常駐し、次の攻撃対象を決定できます。そして、準備が整うと、制限を受けることなく組織のネットワークを攻撃できます。

 ドメインが侵害されると、完全に回復するまでに長期間にわたって膨大な作業が必要となります。このような攻撃は、組織のインフラストラクチャが依存しているセキュリティ基盤そのものに損害を与えます。ADへの攻撃が成功すると、多くの場合、セキュリティチームはゼロから基盤を構築しななければなりません」

ランサムウェア攻撃の滞留時間も短くなっています。ランサムウェア攻撃は、分析したIncident Response（IR）の事例の中で最多（調査事例の69%）となっていますが、これらのランサムウェア攻撃の滞在時間の中央値はわずか5日でした。ランサムウェア攻撃の81%で、最終的なペイロードは通常の勤務時間外に実行され、平日の勤務時間内に実行された攻撃はわずか5件でした。

検出される攻撃の数は週が進むにつれて増加しています。調査対象となったランサムウェア攻撃でこの傾向は特に顕著になっています。ランサムウェア攻撃の半数近く（43%）が金曜日または土曜日に検出されています。

John Shierは、さらに次のように述べています。「これは自らの成功がもたらした結果なのかもしれません。XDRのようなテクノロジーやMDRのようなサービスが広く採用されるにつれて、攻撃をより迅速に検出する能力も向上しています。検出までの時間を短縮できれば、迅速に対応できるようになり、攻撃者が活動する時間も短くなります。同時に、サイバー犯罪者も攻撃の手口を高度化させており、特に豊富な経験があり、十分な資金があるランサムウェアのアフィリエイトは、防御が強化される中でも、攻撃を加速させています。全体的に見ると、安全性が高まっているわけではありません。

これは、ランサムウェア以外の攻撃の滞留時間が横這いになっていることからも明らかです。攻撃者は今も組織のネットワークへの侵入を続けており、攻撃するまでの時間が差し迫っていないときには、長期間常駐する傾向があります。攻撃を適切に監視していなければ、世界のどのようなツールであっても攻撃を阻止することはできません。サイバー犯罪者よりも一歩先を行く防御を確実に講ずるためには、適切なツールと継続的でプロアクティブな監視の両方が必要です。MDRを利用すると、監視をソフォスにアウトソースすることができ、プロアクティブな監視が可能になります」

「ビジネスリーダーのためのアクティブアドバーサリーレポート」は、世界各国の25の業界で2023年の1月から7月までに実施されたソフォスのインシデント対応の調査に基づいて作成されています。調査対象となった組織は、6大陸33カ国にまたがります。インシデント事例の88%は、従業員1,000人未満の組織のものです。

また、本レポートは、優れたセキュリティ戦略を運用するための実用的な脅威インテリジェンスと知見をセキュリティ専門家に提供するものです。

攻撃者の行動、ツール、手法についての詳細については、「変化を続ける攻撃期間：テクノロジーリーダーのための2023年版アクティブアドバーサリーレポート」（仮題）をSophos.comから入手してご覧ください。

詳細情報

ソフォスについて

ソフォスは、MDR (Managed Detection and Response) サービス、インシデント対応サービス、およびエンドポイント、ネットワーク、メール、クラウド セキュリティ テクノロジーの幅広いポートフォリオなど、サイバー攻撃を阻止する高度なセキュリティソリューションを提供する世界的なリーダーであり、革新的な企業です。ソフォスは、最大手のサイバーセキュリティ専門プロバイダーの 1つであり、全世界で 60万以上の組織と 1億人以上のユーザーを、アクティブな攻撃者、ランサムウェア、フィッシング、マルウェアなどから保護しています。ソフォスのサービスと製品は、Sophos Central 管理コンソールを介して接続され、企業のクロスドメイン脅威インテリジェンスユニットである Sophos X-Ops を利用しています。Sophos X-Ops のインテリジェンスは、Sophos ACE (Adaptive Cybersecurity Ecosystem) 全体を最適化します。このエコシステムには、お客様、パートナー、開発者、その他のサイバーセキュリティおよび情報技術ベンダーが利用できる豊富なオープン API セットを活用する一元化されたデータレイクが含まれます。ソフォスは、フルマネージド型のソリューションを必要とする組織に、Cyber​​security-as-a-Service を提供します。お客様は、ソフォスのセキュリティ運用プラットフォームを使用してサイバーセキュリティを直接管理することも、脅威ハンティングや修復などソフォスのサービスを使用して社内チームを補完するハイブリッドアプローチを採用することもできます。ソフォスは、リセラーパートナー、MSP (マネージド サービス プロバイダ) を通じて販売しています。ソフォス本社は英国オックスフォードにあります。詳細については www.sophos.com をご覧ください。