.png)
ファストフラックスとは何ですか？
ファストフラックスとは、サイバー犯罪者がドメイン名に関連付けられたIPアドレスを急速に変更することで、悪意のあるインフラストラクチャを隠蔽するために使用する手法である。攻撃者は、異なるIPアドレスを継続的に切り替えることで、悪意のあるウェブサイト、コマンド＆コントロールサーバー、 フィッシングページ、その他のインフラストラクチャを特定してブロックすることをより困難にすることができる。
高速フラックスは一般的にボットネットに関連付けられており、そこでは多数の侵害されたデバイスが一時的なプロキシまたはホストとして使用される。絶え間ない変更は、個々のIPアドレスが発見されたり、オフラインにされたりした場合でも、攻撃者が悪意のあるサービスを継続して利用できるようにするのに役立ちます。
主なポイント
- ファストフラックスとは、ドメイン名に関連付けられたIPアドレスを急速に変更するサイバー攻撃手法であり、悪意のあるインフラストラクチャの検出、ブロック、または停止をより困難にする。
- 高速フラックスネットワークは、IPアドレスを継続的にローテーションさせ、フィッシング、マルウェアの配布、コマンド＆コントロール通信などの悪意のある活動を支援するために、ボットネットや侵害されたデバイスに依存することが多い。
- 単一磁束と二重磁束は、一般的な高速磁束技術の2つである。シングルフラックスはIPアドレスをローテーションし、ダブルフラックスはIPアドレスとDNSネームサーバーの両方を変更し、悪意のあるインフラに対してよりレジリエントなものにします。
- 急速なフラックスを検出し防御するには、複数のセキュリティ管理が必要です。組織はDNS監視、脅威インテリジェンス、ネットワーク可視性、侵害の封じ込めを組み合わせて疑わしい活動を特定し、システムが侵害された場合のラテラルムーブメントを制限すべきです。
Fast Fluxはどのように機能するのですか？
通常、ドメイン名はドメインネームシステム（DNS）を通じて、1つまたは比較的少数のIPアドレスに関連付けられます。急速な変化はこの関係性を変化させる。
攻撃者は、悪意のあるドメインのDNSレコードが頻繁に変更されるように設定します。あるドメインは、あるIPアドレス群に解決された後、数分後には全く別のIPアドレス群に解決されることがある。
これらのIPアドレスの多くは、 ボットネット内の侵害されたデバイスに属している可能性がある。これらのデバイスは、被害者と攻撃者の基盤となるインフラストラクチャとの間の仲介役として機能する。
これにより、防御側が単一のIPアドレスをブロックするだけで悪意のある活動を阻止することが難しくなる。
高速フラックスネットワークとは何ですか？
高速フラックスネットワークとは、悪意のあるドメインに関連付けられたIPアドレスを迅速にローテーションさせるために使用されるシステムとインフラストラクチャの集合体である。
これらのネットワークは、侵害されたコンピュータ、サーバー、ルーター、IoT(モノのインターネット)デバイス、またはボットネットを通じて制御 されたその他のendpoints に依存していることが多いです。
ネットワークには地理的な場所やネットワークに分散した多数の異なるデバイスが含まれる可能性があるため、攻撃者は検出またはブロックされたインフラストラクチャを継続的に置き換えることができる。
シングルフラックスとは何ですか？
シングルフラックスとは、悪意のあるドメインに関連付けられたIPアドレスが頻繁に変化する、高速フラックスの一種である。
例えば、フィッシングドメインは、複数の侵害されたデバイスに解決される可能性がある。その後まもなく、同じドメインが全く異なるIPアドレス群に解決される可能性があった。
ドメイン自体は一貫しているが、その背後にあるインフラストラクチャは絶えず変化している。
二重フラックスとは何ですか？
二重フラックスは、さらに複雑さを増す。
攻撃者は、ドメインに関連付けられたIPアドレスを頻繁に変更するだけでなく、そのドメインを解決する役割を担うDNSネームサーバーもローテーションさせる。
これにより、悪意のあるホストとそれを支えるDNSインフラの両方が急速に変化し、運用がよりレジリエントで妨害されにくくなります。
攻撃者はなぜFast Fluxを使用するのか？
攻撃者は主にファストフラックスを使って悪意のあるインフラをよりレジリエントにし、ブロックしにくくします。
高速フラックスは攻撃者にとって有利に働く可能性がある。
- 主要インフラの場所を隠す
- 悪意のあるドメインをより長く利用可能にする
- IPアドレスに基づくブロックを回避する
- インフラの調査をより困難にする
- フィッシングやマルウェア攻撃を支援する
- 指揮統制通信を維持する
- 侵害されたインフラストラクチャを迅速に交換する
攻撃者は、防御側が特定して停止できる単一のサーバーに頼るのではなく、多くのシステムに活動を分散させる。
Fast Fluxはサイバー攻撃でどのように利用されるのか？
Fast Fluxは、複数の種類の悪意のある活動をサポートする可能性があります。
フィッシング攻撃では、個々のホスティングシステムがブロックされた場合でも、不正なログインページを利用可能にするために、高速フラックスが利用されることがある。マルウェアの攻撃者は、感染したデバイスとコマンド＆コントロールインフラストラクチャ間の通信を維持するためにこれを利用する可能性がある。
ボットネットはまた、高速フラックスネットワークを使って侵害されたデバイスを通じてトラフィックをプロキシし、攻撃者の実際のサーバーの位置を隠すことも可能です。
こうした絶えず変化するインフラは、探知、捜査、および制圧活動をより困難にする可能性がある。
高速フラックスはどのように検出できるのか？
高速なネットワーク変動は、DNSとネットワークの動作を時系列で分析することで特定できる場合が多い。
潜在的な指標としては、以下のようなものが考えられます。
- 異常に多数のIPアドレスに解決されるドメイン
- IPアドレスが非常に頻繁に変更される
- 非常に短いDNSの有効期限（TTL）値
- IPアドレスは、多数のネットワークまたは地理的な場所に分散されています。
- 権威ネームサーバーの頻繁な変更
- 既知のボットネットまたは悪意のある活動に関連するインフラストラクチャへの接続
単一の指標だけで、高速フラックスが使用されていることを必ずしも証明できるわけではない。セキュリティチームは通常、複数のシグナルや行動パターンを分析し、悪意のある高速フラックス活動と正当なインフラを区別します。
高速フラックスは常に悪意のある行為なのか？
いいえ。DNSレコードが急速に変わったり、複数のIPアドレスにトラフィックを分散させたりすることは、自動的に悪意があるわけではありません。
コンテンツ配信ネットワーク（CDN）、クラウドプラットフォーム、ロードバランシングシステムなどの正当なサービスは、高速な変動の特徴に似た動的なインフラストラクチャを使用する場合があります。
その違いは主に意図と行動にある。セキュリティチームは、急速に変化するインフラが悪意ある活動と関連しているかどうかを判断するために、追加の文脈、評判データ、DNSパターン、ネットワーク活動を必要とします。
高速フラックスアルゴリズムとドメイン生成アルゴリズムの違いは何ですか？
高速フラックスとドメイン生成アルゴリズム（DGA）はどちらも、攻撃者が悪意のあるインフラストラクチャの破壊をより困難にするために使用できる技術ですが、その動作原理は異なります。
ファストフラックスは、ドメインに関連付けられたIPアドレスを頻繁に変更します。DGAは、マルウェアがコマンド＆コントロールインフラストラクチャを特定するために使用できる多数のドメイン名を生成します。
攻撃者はこれらの手法を単独または組み合わせて使用し、検出や削除に対するよりレジリエントなインフラを構築することができます。
組織は急激な変化からどのように身を守ることができるのか？
組織はDNS監視、 脅威インテリジェンス、ネットワーク可視化、行動分析、セキュリティ管理を組み合わせることで、急速なフラックスに伴うリスクを軽減できます。
セキュリティチームは異常なDNS活動を監視し、疑わしいまたは急速に変化するインフラへの接続を調査すべきです。既知の悪意のあるドメインやIPアドレスをブロックすることは有効だが、Fast Fluxの事例は、静的なブロックリストだけに頼るだけでは不十分な場合があることを示している。
組織は、悪意のある活動がいずれ予防策をすり抜ける可能性があることを想定し、システムが侵害された場合に攻撃者がアクセスできる範囲を制限する準備をしておくべきである。
ファストフラックスは侵害の封じ込めとどのように関係しているのか?
Fast Fluxは、攻撃者が外部インフラを特定したり妨害したりすることをより困難にするのに役立ちます。しかし、攻撃者がワークロードやendpointsを侵害すると、組織はもう一つの課題に直面します。それは、その侵害の拡散を防ぐことです。
マルウェアが悪意のあるインフラと正常に通信した場合、セグメンテーションや 侵害の封じ込め 制御は、侵害されたシステムが他のワークロードや重要リソースに到達する能力を制限するのに役立ちます。
不要な接続や ラテラルムーブメントを制限することで、悪意あるインフラが常に変化している場合でも、攻撃が成功した場合の影響を減らすことができます。
イルミオで攻撃の拡散を阻止する
高速フラックスは、攻撃者が検出を回避し、悪意のあるインフラストラクチャをオンライン状態に保つのに役立つ可能性がある。しかし、脅威があなたの環境に到達すると、優先事項はその拡散を阻止することに移ります。
Illumioは、不要な接続を制限し、攻撃者が重要なシステムやデータに横移動するのを防ぐことで、組織が侵害を封じ込めるのを支援します。
Illumioがどのようにして侵害を抑え、ラテラルムーブメントを止めるのに役立つかをご覧ください。
よくある質問
簡単に言うと、高速フラックスとは何ですか？
ファストフラックスとは、ドメインに接続されているIPアドレスを急速に変更する技術であり、悪意のあるインフラストラクチャの特定、ブロック、または停止をより困難にする。
高速フラックスはボットネットと関連がありますか？
はい。高速フラックスネットワークは、ボットネットを通じて制御された多数の侵害されたデバイスを使い、絶えず変化するIPアドレスやプロキシトラフィックを提供します。
単磁束と二重磁束の違いは何ですか？
単一のフラックスは、ドメインに関連付けられたIPアドレスを頻繁に変更します。Double Fluxは、悪意のあるインフラストラクチャに関連付けられているIPアドレスとDNSネームサーバーの両方を変更します。
高速なエネルギーの流れを遮断するのが難しいのはなぜですか？
急速な変化：インフラは急速に変化する可能性がある。1つの悪意あるIPアドレスをブロックしても、ドメインが他の侵害されたシステムを通じてトラフィックを誘導し始める可能性があるため、効果は限定的です。
正当なサービスが、高速な取引のように見えることはあり得るだろうか？
はい。CDN、クラウドサービス、その他の分散型インフラストラクチャは、同様のDNS動作を示す可能性があります。セキュリティチームは、その活動が悪意あるかどうかを判断するために追加の文脈が必要です。