ムーブメントとは、サイバー犯罪者があるエンドポイントの侵害後に、ネットワーク上の他のデバイス、アプリ、資産にアクセスする手法を指します。脅威アクターは盗まれたログイン資格情報を使用したり、その他の権限昇格の手法を用いたりしてネットワーク内を移動し、機密データに近づきます。トラフィックであるかのように偽装して検出を回避することで、長期にわたって潜伏して攻撃を実行することが可能です。侵害したエンドポイントが適切なアクセス制御を施されていないネットワークに接続されている場合、脅威アクターはネットワーク内を水平移動することができてしまいます。ムーブメントを行います。セキュリティ対策の多くは、悪意のあるアクティビティーを検出できません。ムーブメントがどのように行われるのかについて、以下で詳しく見ていきましょう。ムーブメントによる攻撃には、大きく分けて3つの段階があります。偵察:脅威アクターがネットワークを探索します。ポートやその他の弱点を特定することで、ネットワークのさらに深いところに侵入するためのプランを立てることができます。ダンピングや権限昇格の手法を利用してシステムのさまざまな部分にアクセスします。エンジニアリングを通じて窃取されます。アクセス:目的のシステムまたはデータを発見し次第、本格的に攻撃を開始します。マルウェアのペイロードを配信する、データを窃取または破壊するなど、攻撃はさまざまな形で行われます。ムーブメントの手法が利用される、または利用される場合があると言えます。攻撃者は、ネットワーク内に足場を確立すると、そこを拠点として攻撃を拡大していくことができます。フィッシングなどの手法を用いることで、正当なユーザーを装ってネットワーク上を移動することが可能です。セキュリティ対策で存在が検知されることはありません。ムーブメントの手法は1つではなく、攻撃プロセスにおける戦略的要素として、攻撃者のニーズに応じてさまざまな形を取ります。ムーブメントの手法には、以下のようなものがあります。ハッシュ(パスワードの文字列を暗号化して認証ツールに保存したもの)を入力してアクセス権を取得します。(PtT):既定のWindows認証プロトコルであるKerberosから窃取したチケットを使用して認証を行います。ユーザーのパスワードを入手する必要はありません。サービスの脆弱性や権限の設定ミスを利用して、ネットワークの他の領域にアクセスします。コードなどの窃取を試みることができます。ターゲットは信頼できる相手とやり取りをしていると思っているため、不正行為を疑う可能性は低くなります。(SSH)を介して確立された接続を乗っ取り、認証を回避したうえで、暗号化されたSSHトンネルを通じて別のシステムにアクセスします。Windows管理共有:ほとんどのWindowsシステムでは、デフォルトで管理共有が有効になっています。ムーブメントをすばやく行えます。トポロジーでは、攻撃者がホスト間をすばやく移動できてしまううえ、多くの場合、それを検知することができません。ムーブメントを行うため、セキュリティ部門による封じ込めは困難になります。これは、侵害が発生してからでなければアラートが発せられないセキュリティ対策に依存している場合には、特に当てはまります。ワークが普及するなか、こうした業務環境に固有の問題が発生しています。デバイスは多岐にわたり、各エンドポイントにおけるセキュリティ制御はそれぞれに異なる可能性があります。これはすなわち、それぞれが潜在的な脆弱性となり、攻撃ベクトルとして攻撃者が利用できる可能性を示唆しています。大きなリスクとなるのは、高度な標的型攻撃(APT)です。高いスキルを持つ攻撃者は、発見されることなく数か月にわたってネットワークに潜伏し、特権情報にアクセスしてデータを盗み出すことができます。ムーブメントへの対策は2つの段階で実施します。ムーブメントの発生を未然に防ぐ必要があります。具体的には、以下のような対策を講じます。セキュリティを利用する。ソリューションが必要です。価値の高い標的を保護する。攻撃者は、管理者権限を持つアカウントを侵害すれば、最も価値があり機密性の高いデータにアクセスできてしまいます。したアカウントを最高レベルのセキュリティで保護し、最高レベルの権限を必要とするタスク以外では使用できないようにすることが必要です。マイクロセグメンテーションを実装する。ゾーン」を構築し、これによってワークロードを分離して、個別に保護できるようにするものです。フローを、明示的に許可されているものに限定する制御を行えます。アプローチを維持する。チームだけでなく、組織の全員が負うべきものです。プロトコルを理解して遵守したうえでゼロトラストのアプローチを採用することが、サイバー攻撃のリスクを抑える何よりの対策になります。ムーブメントの検知もう1つ必要なのは、攻撃者が侵入した場合に、その後の行動を阻止することです。具体的には、以下のような対策を講じます。アクティビティーを監視する。認証トラフィックを詳細に監視することで、直接的な侵害や資格情報の窃取を検出し、損害の発生を未然に防げる可能性があります。機械学習を利用した分析により、通常のユーザー行動を基にしたベースラインを設定し、そこから外れたサイバー攻撃のサインとなり得るような行動にフラグを立てることができます。テクノロジーを使用する。アセットを展開することで、サイバー犯罪者に対するルアーとして機能します。攻撃者は本物と偽物を区別できません。アラームが発せられます。ネットワーク内の従来知られていなかった脅威や持続的な脅威を、プロアクティブなアプローチで特定します。サービスとして利用)は、高度なステルス攻撃に対する強力な防御策となります。ムーブメントの防止と制御サイバー攻撃において最も古くから利用されてきた手法の1つに、信頼を悪用したものがあります。ここで言う「信頼」には、認証によるものだけでなく、人間心理によるものも含みます。ムーブメントを可能にするための最も効果的な方法の1つとして、今でも使用されています。ムーブメントのチャンスを与えないようにするには、システムから信頼そのものを排除しなければなりません。ムーブメントをブロックします。ゼロトラストを実現するには、いくつかの機能が求められます。具体的には、環境内のユーザーおよびトラフィック(暗号化されたものも含む)に対する可視性と制御、環境内の異なる領域間におけるトラフィックのモニタリングおよび検証、パスワード以上の安全性を担保する多要素認証(MFA)などが必要です。アーキテクチャーでは、ネットワークにおけるリソースの場所がセキュリティ態勢の最も重要な要因ではないということです。セグメンテーションを行うのではなく、あらゆる場所のデータ、ワークフロー、サービスなどを、ソフトウェア定義のマイクロセグメンテーションによって保護します。ソリューションが問題となっています。膨大な攻撃対象領域を生み出し、簡単に脅威アクターに発見およびエクスプロイトされ、環境内への侵入の糸口となってしまうためです。ソリューションを利用している場合、ユーザーをネットワーク上に直接配置することになり、脅威アクターにとって機密データにアクセスしやすい環境となります。AccessTMです。プラットフォームの一部として、以下のような機能を提供します。ムーブメントを排除します。アプリの侵害防止:インラインでの侵害防止、デセプション、脅威の分離を実現する初のアプリ保護機能により、ユーザーへの侵害のリスクを最小限に抑えます。アプリへの超高速アクセスをシームレスに提供します。アプリ、サービス、IoT/OTデバイスに安全に接続できます。ムーブメントを防ぎます。プラットフォームで置き換えることが可能です。アプリケーションへの高速かつセキュアで、シームレスなアクセスを可能にします。クラウドを活用して、ビジネスの簡素化と保護を実現するソリューションを世界中の大手企業に提供しています。その他の商標はすべて、それぞれの所有者に帰属します。