<ATT&CK™全三回連載記事 / 第一回> ESET、MITRE ATT&CKナレッジベースによりサイバーセキュリティ機能を強化

ESET Corporate Blog 28 May 2019

ESETの調査や研究はセキュリティ業界内で言及されることも多く、リサーチリーダーとして高く評価されていますが、ESETはサイバー攻撃者の戦術と手法を分析するMITRE社のATT&CKナレッジベースに以前から参加しています。今後、業界（および学術界）のナレッジベース拡大に積極的に参加することで、ESETの技術的発展とビジネス成果も一層の向上が期待されます。

参加するメリットとは

長年にわたり、セキュリティベンダーにおけるベストプラクティスとは、主に、製品の最新バージョンを第三者テスト機関に送信すること、そしてその製品による検出結果をVirusTotalと共有して、アンチウイルス製品の公正な比較のための条件を作成し、安全かつ監視の行き届いたセキュリティ環境を醸成することであるとされてきました。このアプローチは、専門家と消費者の両者に信頼できるインテリジェンスを提供する上で不可欠であり、サイバーセキュリティテクノロジーと研究活動における着実なイノベーションを生み出しました。

また、このアプローチによって一種のコレクティブセキュリティ（セキュリティに関する知見の共有）がもたらされ、検出された悪意のあるコードや攻撃キャンペーンの大規模なナレッジベースが体系的に構築され共有されるようになったのも事実です。しかし、ITシステムへの依存度が高まり、統合が進むにつれてリスクが非常に高まり、セキュリティ対策のレベルを今一度引き上げることが必要になっています。

したがって、標的型攻撃や高いスキルを持つ攻撃者によるハッキングが横行する現代においては、業界のサイバーセキュリティ研究者および研究開発チームは、社内のセキュリティチームが脅威に対処できるよう支援しなければなりません。さらに重要なのは、脅威の現状を経営幹部に理解してもらうことです。経営幹部の理解が深まれば、セキュリティ対策能力を向上させるための投資（予算、時間、リソース）の優先順位を決定できます。

セキュリティ研究者は、これを念頭に置いて特定の攻撃戦術を分析（MITRE ATT&CK Navigatorで閲覧可能）することで、戦術の構造と機能を明らかにしています（さまざまな企業に侵入する際に用いられた手法、など）。ESETは拡大を続けるこのナレッジベースに寄与することで、セキュリティコミュニティ、さらには組織や企業において、より効果的なセキュリティプラクティスやリスクアセスメントの情報を提供できるように支援していきます。

2015年に開始されたATT&CKナレッジベースですが、その脅威インテリジェンスは最近さらに改良が進んでおり、政府、産業界、企業・組織、およびエンドユーザーのセキュリティ向上に貢献しています。たとえば、2016年に発生した米民主党全国委員会（DNC）のコンピュータへの侵入（実行者はサイバー犯罪者集団「FIN7」）や、北朝鮮の関与が指摘されているソニーピクチャーズエンタテインメントへのハッキングなどの攻撃キャンペーンに関する情報も網羅されています。ESETでは同様の攻撃への対応を強化するため、独自のEDR（Endpoint Detection and Response）ソリューションESET Enterprise Inspectorや、機能が向上した幅広いエンドポイントセキュリティスイートとセキュリティサービスを通じて、企業が必要としている脅威の可視化を大幅に向上させました。

ATT&CKフレームワークにマッピングされ、先日RSA 2019においてESETがデモを行った複雑なシナリオの1つでは、さまざまな手法（スピアフィッシング、リムーバブルメディアの悪用、PowerShell、ユーザーアカウント制御、C&Cとの通信、レジストリの改ざん、ネットワークスキャン/エンドポイントマッピングなど）を利用した多段階型のチャネル攻撃が実行されていました。エクスプロイトを介して企業ネットワーク上の1台のMacBookが標的となり、1回の攻撃試行でこれらすべての手法が用いられました。なお、最終的にはランサムウェアに感染する恐れがありました。

シナリオはアニメーションで再現され、ESET Dynamic Threat Defense（EDTD）の複数のレイヤーを意図的に無力化し、当該のマルウェアが実行する可能性がある攻撃手順を詳細に説明します。アニメーションでは、ESET Security Management Centerのダッシュボードを介してすべてのアクションを観客に表示しながら、防御機能を弱めていきます。そして、残りの保護レイヤーが引き続き問題のAPTをブロックしている状況をお見せします。

ATT&CKナレッジベースがベンダーや企業にもたらすメリット

攻撃の戦術と手法の文書化に貢献することは、ESETソリューションの調整に常に取り組んでいるマルウェア研究者や研究開発チームに徹底した「トレーニング」を提供することにつながります。MITRE社のATT&CKなどのフレームワークは企業や組織が投資しているため、このような企業やそのセキュリティチーム、研究者、およびセキュリティ企業が攻撃手法や脅威を緩和するための手順を説明するときに活用できる共通言語として、「従来型」のアンチウイルステストを補完してきました。

このように、ATT&CKの分類法を利用するベンダーは、情報セキュリティの専門家が攻撃や手法を共通言語で説明できるようにするこの共有ナレッジベースに貢献しているだけではありません。攻撃戦術を緩和する研究者の能力を、保護テクノロジーに迅速に反映させ、サイバーセキュリティの実務者が活用できるようにします。前述したように、このナレッジベースは、セキュリティチームが脅威とその対策、およびセキュリティのベストプラクティスを維持するために必要なツールへの投資について、経営幹部の理解を促す上でも役立ちます。

2019年3月以降、WeLiveSecurityおよびESETリサーチャーが参加する研究イベントで発表されるESETの研究論文には、その論文で言及されているATT&CK手法の一覧表と、それに対応する戦術および手法の実行方法の説明が記載されています。企業は、自社の知識とシステムが攻撃手法に対抗できるかどうかを検証するときにこの一覧表を活用し、文書化されている脅威に対する保護機能の強化につなげることができます。また、攻撃の手法とグループの間の関係を示すことによって、ATT&CKのナレッジベースを拡充することもできます。

ESETにとってのメリットとは

2019年5月29日現在、最も高い頻度で参照されているソースの1つであるESETリサーチは、これまで76件以上の論文がMITER ATT&CKのWebサイトで引用されています（主にWeLiveSecurity.comで公開された研究論文による）。また、ESETリサーチの研究者2名が新たな攻撃手法を発見し、その功績が評価されています。このように継続的に貢献してきた結果、ESETのマルウェア研究への評価と認知度は高まり、結束の強いこのコミュニティへの知識の伝達の機会が増えています。

MITERでは構造化されたマッピングが義務付けられているため、他の研究者も速やかに参加して、知見を求めたり共有したりできます。

MITER ATT&CKナレッジベースに承認されたESETによる最新の貢献は、OceanLotus（別名：APT32）（pt. 1、2）と、Linuxオペレーティングシステムを標的にするSSHバックドアで、現在もアクティブであり進化を続けるEburyに関する調査報告です。ESETは新たな貢献に取り組み続けるとともに、ナレッジベースのさらなる拡大を目指してMITER ATT&CKチームと積極的にコミュニケーションを図っています。

ESETの大規模ナレッジベースは社内において、現在そして未来にも対応できる効果的なEDRソリューションを創り出すために極めて重要な、独自の検出機能の向上に役立っています。

この共同での取り組みは、ESETのテクノロジーと研究活動に間違いなく恩恵をもたらします。また、業界のさまざまな企業が活用できる共有型のサイバーセキュリティの知見のより強固な基盤を築きます。