はじめに
パロアルトネットワークスはサイバーセキュリティ専業ベンダーです。私たちは、ネットワーク、クラウド、セキュリティ運用のソリューションやサービスを日々、皆さまにご提供しています。でも、私たちが提供しているのはそれだけではありません。攻撃者から組織を守るための戦略、戦術、日々の運用といった視点の情報も、積極的に無償で提供しています。
セキュリティを高めるヒントを盛り込んだサイバー防術シリーズも、そうした情報提供のひとつです。
ではなぜ、私たちはこのような情報を公開しているのでしょうか。
脅威インテリジェンスはコミュニティ全体のセキュリティ向上に役立つ
弊社が情報を提供する理由のひとつは「攻撃者の情報、すなわち脅威インテリジェンスを広く公開すれば、コミュニティ全体の防御を底上げできるから」です。
脅威インテリジェンスの提供形態は、求められるスピードや伝えるべき知見に応じて複数あります。たとえばUnit 42ブログでは、毎年100本ほど脅威インテリジェンスに関連する記事を公開していますし、X(旧Twitter)のアカウント@unit42_intelでは、日々の調査で発見される攻撃情報を速報として投稿しています。また、アタックサーフェス(攻撃対象領域)、クラウド脅威動向、ネットワーク脅威動向など、統計情報をもとにリサーチャーの知見をまとめたテーマごとのホワイトペーパーも毎年数本公開しています。
こうして共有された脅威インテリジェンスをもとに、各組織が攻撃者の悪用するドメインやIPアドレス、マルウェアに関するIoC(Indicator of Compromise)と呼ばれる情報を確認し、自組織が被害を受けていないか調査したり、セキュリティツールでブロックするよう設定すれば、コミュニティ全体のセキュリティが向上することになります。
ただし、私たちが提供する脅威インテリジェンスは、IoCのように、検出に直接利用できるものには限られません。よりハイレベルな攻撃者の戦略や戦術も脅威インテリジェンスの一部です。
脅威インテリジェンスの利用が防御力を高めることについて、Unit 42のメンバーが共同執筆者となっている "Operationalizaing Threat Intelligence"は以下のように述べています。
脅威アクターの意図、能力、目的、リソース、思考プロセスを理解することは、よりよい情報に基づいた防御につながります。(筆者訳)
たとえば、2024年2月にリリースした「2024年 Unit 42 インシデント対応レポート」では、攻撃者が侵害を行う際の初期アクセス手法の変化について以下の3点をあげています。
- 脆弱性の悪用が増加している
- 過去に盗まれたものなど、侵害された認証情報の悪用が増えている
- フィッシングは減少傾向である
こうした攻撃者の動向と自組織の対策状況を比較すると、「脆弱性や認証情報に関する対策のプライオリティを高めることがより効果的なセキュリティ対策につながる」、といった戦略的な意思決定を行えるようになります。
攻撃者を知り、自身を知れば、負けることはないのです。
このセリフ、どこかで聞いたことがありますよね?
古典からのヒント
「彼れを知りて己れを知れば百戦して殆うからず(敵情を知って味方の事情を知っておれば、百たび戦っても危険がない)」[1]は孫子の中のおそらく最も有名な一節として広く知られています。孫武が書いたとされる2500年前の兵法書「孫子」は、現在でも多くのビジネス書で引用され、各国の軍隊で教えられるなど、世界中で読みつがれています。
サイバーセキュリティで「己れを知る」ことの重要性は、さまざまなアセスメントやセキュリティフレームワークなどで述べられています。もう一方の敵、すなわち攻撃者を知るには、脅威インテリジェンスを活用する必要があります。
孫子には敵を知ることの重要性について述べた文が他にもあります。
故に兵を為すの事は、敵の意を順詳するに在り(九地篇)
戦う上で重要な事は敵の意図を十分に把握することである。[2]
成功の衆に出る所以のものは、先知なり(用間篇)
人なみはずれた成功を収めることができるのは、あらかじめ敵情を知ることによってである。[3]
成立した時代もその目的も異なるため、これらがすべてサイバーセキュリティに直接当てはまるとは言えません。ですが、世界中で読みつがれてきた古典はしばしば、現代の私たちにも有益なヒントを与えてくれます。
サイバー防術シリーズは、さまざまな視点から皆さまのセキュリティに役立つ情報を提供していきます。