相次ぐ不正アクセスに備える３つのポイント
GMOサイバー犯罪対策センターの福森です。
まずはじめに同じグループ会社であるGMOリサーチ&AIの情報漏えい事故につきましては、弊社のシステムとは完全に別のシステムとして運営されており弊社のシステムが侵害されたということはございませんが、同じグループに所属するサイバーセキュリティ企業として我々にも責任の一端はあると認識しており、ご迷惑をおかけした皆様には深くお詫び申し上げます。
この記事では、弊社にご相談いただきました多くの事案を元に、日本中の皆様にご注意いただきたいポイントについて共有したいと思います。基本的な対策をしっかりと…と言われることが多いですが、被害に遭った組織は基本的な対策をしっかりとできていなかったのか？なぜこの時期に被害が急増したのか？を分析し、基本的な対策の落とし穴を紹介します。特定の事案について言及しているわけではなく、あくまで多くの事案に対応した結果として傾向分析から得られたポイントであるということにご留意ください。
ポイント1: CVEの盲点
CVEを元に普段のセキュリティ業務に取り組んでいる組織は多いと思います。昨今ではCVEの数が激増し対応しきれないということでCVSSやKEVなども取り入れて工夫している組織もあると思います。ここで盲点となるのがCVEの情報は完璧ではないという点です。CVEには対象となるバージョンが記載されます。これを元に自社で利用しているバージョンが対象となるかを確認し、対応にあたるとなると、CVEに記載されているバージョン以外のバージョンも脆弱性の影響を受ける状況だったらどうなるでしょうか？ソフトウェアによっては複数系統のバージョンが並列で存在します。サポート終了のバージョンに対しては脆弱性が対象かどうかのチェックも行われず、パッチも出なければ脆弱性情報も出ません。サポート期間内であったとしても、攻撃コードを少し変えるだけで別のバージョンに対しても攻撃が有効である場合もあります。いわゆるシャドー脆弱性の存在です。
攻撃者はAIを駆使することで、膨大なCVE情報を元に、全てのバージョンのソースコードを辿り、簡単にシャドー脆弱性を探索することができます。CVEに載っていないからと思って安心していると被害に遭ってしまいます。AIによる自動化を前にすると、CVSSの優先度は関係ありません。やられるか、やられないか、のどちらかです。
ポイント2: ASMの非対称性
ASM(アタックサーフェスマネジメント)を導入されている企業も増えてきています。外部からアクセス可能な状態を調べて、自社が保持しているホストなどの資産を可視化して対応の漏れをなくそうという取り組みです。ここでのポイントは”外部から”確認するという点にあり、ソフトウェアによっては外部からだとバージョン番号が判別できない、ということがよくあります。バージョン番号がわかってクリティカルな脆弱性が存在することが明確な場合にはセキュリティ部門から担当部門へ緊急のパッチ適用を強要することができますが、バージョン番号が不明で脆弱かどうか確定できない場合にはそこまで強く要求できません。また、外部から確認する場合には非破壊検査といって、対象サービスが停止しないように細心の注意を払って検査が行われます。つまり、サービスに影響を与える可能性がある検査は行われないことになります。
一方で攻撃者側はというと、細かいバージョン番号なんか気にせず、非破壊か否かも気にせず、攻撃コードを打ち込めばいいだけです。
ポイント3: セキュリティ機器のバイパス
公開される脆弱性の数が激増しタイムリーなパッチ適用が難しくなった背景を受けてWAF(ウェブアプリケーションファイアウォール)などのセキュリティ機器を間に置いて、不正な攻撃を防御している組織も多いと思います。今回の一連の攻撃ではWAFをバイパスするテクニックが複数使われておりました。例えば、一つのIPアドレスから短時間で多数のリクエストが来た場合にはブロックするというWAFのルールがありますが、このルールをバイパスするために閾値ギリギリで別のIPアドレスに切り替えて攻撃を続けていました。合計で数百のIPアドレスを切り替えながら攻撃していたのです。他にもWAFのルールをよく研究した上で攻撃してきていると感じられる攻撃手法がいくつもありました。WAFを導入しているからパッチ適用は必要ない（または優先度を下げてもよい）と考えている方は要注意です。
AIの影響？
以上の３点に加え、私は人間による攻撃とAIによる攻撃をフォレンジックログから見分ける研究も普段から行っており、その知見も含めて考えると今回の攻撃にAIが使われたことはほぼ間違いないと判断しております。
それらを踏まえて、昨今侵害が多発している理由を次のように分析しています。
AIの進化によって誰でも簡単に攻撃できるようになったことだけが被害が多発している理由ではなく、熟練の攻撃者が攻撃側と防御側のミスマッチを徹底的に分析して攻撃してきている。そのミスマッチを突くためにAIの特徴をフル活用している。
一昔前から言われていることかもしれませんが、AIの登場によって攻撃手法は大きく変わりました。これに対抗するためには防御側もAIをフル活用していくほかありません。弊社では常に攻撃側の進化を技術的に詳細に分析し得られた知見を、弊社が開発するAIホワイトハッカーに組み込んでいきます。
