Cloud Hopper:ゼロトラストの視点

クラウドホッパーは、中国政府が支援する工作員（通称「 APT10 」）によって組織されたと疑われるハッキングキャンペーンで、2014年から少なくとも2017年まで続き、様々な業界の複数の欧米企業に影響を与えた。この特定のサイバー諜報の集まりは非常に重要であり、作戦規模、標的となった組織の範囲、収集された情報の種類、そして最も重要な初期の侵害の性質から、セキュリティやビジネスメディアの注目を集め続けました。クラウドホッパーという名称が広く知られるようになったのは、攻撃者が被害者のマネージドサービスプロバイダー（MSP）を侵害し、それを利用してMSPの「クラウド」から標的企業のネットワークへと「ホップ」したためです。

侵害の詳細な分析を提供するPWCの詳細な Operation Cloud Hopper レポートなど、侵害に関する多くの優れた要約と詳細な記事があります。ここでは同じ情報を繰り返すのではなく、 ゼロトラスト フレームワークの観点からCloud Hopperを見て、特にこの種のセキュリティアプローチを採用することで攻撃者の有効性がどのように低下した可能性があるかを検討します。

Forrester Researchは、約10年前にゼロトラストを初めて導入し、「信頼するが検証する」というセキュリティの姿勢から、「何も信頼せず、すべてを監視し、最小限の権限」のアプローチへの移行を提唱しました。この移行は、多くの資産のグループを保護するために大規模な境界に依存することから、すべての資産をターゲットとみなす境界への移行であり、企業を攻撃に対してより脆弱にする固有の信頼を排除することを目的としています。

ゼロトラストの枠組みは7つの柱にまたがっており、これらを組み合わせることで企業の安全確保のための包括的な戦略を提供します。また、攻撃が成功した理由を分析し、もし攻撃がより強力であればどの柱が阻止できたかを理解するための有用な出発点にもなります。後述するように、Cloud Hopperは過剰な信頼度によって大きな成功を収めたが、攻撃者は制御の欠陥が重なった状況下で、その信頼度を悪用することができた。

多くのデータ侵害と同様に、出発点は「人」の柱の妥協でした。標的を絞ったスピア フィッシング攻撃は 、標的となる企業のセクターに合わせた文書を活用しました。そして、メッセージを受け取る個人の職務内容。これにより、悪意のあるペイロードが確実に実行され、攻撃者はMSPのネットワークに侵入し、被害者の認証情報を取得することができた。さらに、被害者が行政機関へのアクセス権を持っていた場合、「参入障壁」はさらに低下した。ゼロトラストの観点から見ると、特権アクセスは認可されたシステムからの承認されたビジネスニーズに基づき「ジャストインタイム」(必要な期間のみ、アクセスが不要になったら削除)で提供されるべきです。

次に崩れたのはネットワークだった。マルウェアは組織のネットワークを偵察し、主要資産をマッピングし、持続的な拠点を確立し、最も効率的に目標に到達する方法を判断しました。Cloud Hopperの場合、これはMSPネットワーク上の最初に侵害されたホスト（しばしば「橋頭堡」と呼ばれる）から、クライアント環境内の最終ターゲットまで経路をたどることを意味した。もう一つの重要なネットワーク要素は、マルウェアがインターネット上のコマンド＆コントロール（CNCまたはC2）環境を通じて情報を送受信し、指示を受け取る能力を持っていたことである。これら2つのフェーズ、すなわちネットワークトラバーサルを通じた偵察とコールホーム機能は、ゼロトラストフレームワークのネットワークセキュリティ原則で対処される異なる種類の障害を明らかにするため、別々に検討されます。

まずコールホームの部分を取り上げると、このマルウェアはCNCインフラストラクチャと通信できることに大きく依存しており、このアクセスが失敗した場合には自分自身を完全に削除します。マルウェアが最も一般的に配信されるデスクトップ環境では、インターネットアクセスが生産性に不可欠であるため、インターネットにアクセスするためにWebプロキシを使用することがよくあります。組織は、このアクセスの管理方法に細心の注意を払い、承認された認証されたユーザーのみがプロキシにアクセスできるようにし、ユーザーが通常の業務機能を実行できるように、このアクセスが最小レベルであることを確認する必要があります。ただし、これらの制御が適切に実装されているにもかかわらず、攻撃者はドメインを登録し、これらのプロキシ レベルの制御をバイパスするために Web フィルタリング プロバイダーの正当なカテゴリに配置するだけで済みます。このような場合、すべてのWebアクセスのログ記録と監視は必須であり、通常のアクティビティからの逸脱を特定して調査できるように、エンドユーザーの行動分析に結び付けられる必要があります。

Cloud Hopper の成功の本当の鍵は、攻撃者が横方向に移動できることでした。

しかし、Cloud Hopper の成功の本当の鍵は、攻撃者が各 MSP ネットワーク内でほとんど制限を受けずに 横方向に移動できること でした。これにより、悪用される可能性のある利用可能なホスト、プロセス、ポートのマップを迅速に作成し、攻撃の次の段階で活用するのに最も適しているものを判断することができました。軍事的な言葉を借りれば、これはサイバー専門家による「アイランドホッピング」キャンペーンとよく表現されます。特権ユーザー資格情報の収集に成功し、比較的無制限のネットワークアクセスにより、攻撃者は一般的な管理プロトコルを使用して正当に見える方法でシステムにアクセスでき、レーダーをかいくぐる飛行を行うことができました。比較的労力の少ないネットワーク偵察により、MSPが各クライアントのネットワークにアクセスするジャンプホストを簡単に特定でき、そこから攻撃者は実際のターゲットにアクセスすることができました。

これは、デバイス、ネットワーク、ワークロードのゼロトラストの柱の失敗が融合したものです。 フラット ネットワーク(セグメント化がほとんどまたはまったくないネットワーク) は攻撃者にとって格好の遊び場であり、この状況も例外ではありませんでした。MSP の内部ネットワークに適切なセグメンテーションや監視がなかったため、攻撃者は簡単に、そして検知されることなく移動することができました。セグメンテーションにより、ポリシーで明示的に許可されている場合を除き、攻撃者がネットワークをマッピングしたり、開いているパスを特定したり、移動したりする能力がブロックされます。すべてのネットワーク トラフィックを可視化することで、攻撃者の動きを把握でき、標的のデータが見つかる前に攻撃を阻止できるほどの早期の調査を開始できる可能性があります。ジャンプ サーバー (要塞ホストとも呼ばれる) などの主要な資産は、MSP ネットワークとクライアント ネットワークの両方に接続できましたが、ネットワーク アクセスまたはユーザー アクセスのいずれの面でも適切に保護されていませんでした。すべてのジャンプ サーバー アクセスに対して何らかの形式の特権アクセス管理を義務付けると、攻撃者がクライアント ネットワークに侵入する能力が大幅に制限されます。

Cloud Hopper攻撃は、複数の主要なセキュリティ制御の失敗を浮き彫りにし、組織が侵害の確率を100%と想定し、侵害を迅速に検出し、その影響を最小限に抑えることができるように環境を設計するアプローチである、セキュリティに対する別のアプローチの必要性を強調しています。高度な攻撃者の活動方法を考えると、最も賢明なアプローチは、すべてが 最小特権の原則 、つまりセキュリティに対するゼロトラストアプローチに基づいて構築されるアプローチです。