よく考えられた APT の例として、ここでは APT10 について簡単に紹介します。このキャンペーンは、おそらく 2009 年にはすでに開始されていたようです。APT10 は、史上もっとも長く続いたサイバーセキュリティ脅威の 1 つと考えられます。最近では、多くの国の複数の業界にわたってマネージド サービス プロバイダー経由で企業を攻撃しました。一部の日本の企業も攻撃を受け、大量のデータが盗まれるなど、計り知れない被害をもたらしました。

2016 年後半から動いていたこれらの攻撃は、PwC UK と BAE Systems によって発見されました。このキャンペーンに関する共同報告書である『Operation Cloud Hopper』において同組織はともに、APT10 による被害の全容を明らかにすることはできない可能性があることをはっきりと認めています。

この報告書から、同組織が APT10 について調査した結果の要点を以下に紹介します。

• このキャンペーンは、中国に拠点を置く脅威アクターによって仕組まれたものである可能性が高い。
• 2009 年以前から開始され、さまざまな種類のマルウェアを使用し、時間をかけて前例のないアクセスを獲得した。
• APT10 の攻撃者は、攻撃の規模や能力を高めるために新たに開発された高度なツールを使用して、攻撃方法を継続的に進化させている。
• ほとんどの APT 攻撃と同様に、APT10 は知的財産や機密データを狙っている。
• PwC UK と BAE は、脅威アクターがスタッフや各種リソースを大幅に増やしており、高度なスキルを備えた攻撃者がおそらく複数のチームを構成し、継続的に活動していると考えている。

* 5 signs you've been hit with an APT (Advanced Persistent Threat)

ますます多くの APT が発見されるにつれ、セキュリティ組織はそうした隠された脅威を発見することに徐々に習熟してきています。進化の状況下にあるアプローチの 1 つは、脅威ハンティングです。これは、革新的なテクノロジーと人間のインテリジェンスを組み合わせたプロアクティブな反復的アプローチで、標準的なエンドポイント セキュリティだけでは見逃してしまう攻撃を特定することができます。

平均的な侵害を発見するには 150 日かかりますが、脅威ハンティングでは、フィルタリングされていないエンドポイント データの履歴を観察し、通常では見られない振る舞いや、異常なアクティビティ間の関係性を見つけることで、APT のような攻撃を攻撃シーケンスの早い段階で発見することができます。

脅威ハンターは、革新的なテクノロジー ツール、脅威インテリジェンス、人間のインサイトを駆使して、ハンティングを開始します。次に、検索を繰り返しながらハンティング プロセスを洗練し、侵入経路の発見につなげます。さらに、ハンターは、脅威を遮断することによって脅威に対応し、得られたインサイトやインテリジェンスを将来の環境セキュリティ強化に役立てます。

• 開始にあたって、脅威ハンターは特定の脅威の既知の特性を、考えられる攻撃シーケンスに関する人間のインサイトと組み合わせて使用できます。ハンターは、環境内を検索するツールを使用して一連の反復検索に取り掛かると同時に、すべてのエンドポイント アクティビティを監視、記録、保存します。
• 事例として、PwC UK と BAE Systems は、攻撃者が使用していたのは Outlook を経由した E メールのフィッシング キャンペーンで配信された有害な Excel ファイルであることを突き止めました。また、研究者たちは、これらのファイルを開くと、新しいファイルが temp フォルダに作成され、それらのファイルが C2 リスナーとして動作し、8080 番ポートを介して発信されていることも突き止めました。
• 最初の検索では大量のデータが返されることがあるため、脅威ハンターは通常、範囲を絞り込む必要があります。APT10 の脅威では、重要な機密データが保持されている人事部のマシンが検索条件の 1 つになるかもしれません。次に、脅威ハンターは、既知のインテリジェンスを使用して、検索範囲をさらに絞り込み、Outlook メールの添付ファイルとして配信された Excel ファイルがないかを探すことが考えられます。その後に使用する論理的な検索条件としては、コマンド＆コントロール接続が挙げられます。これは、複数の接続が存在するネットワーク接続を検索することで発見可能です。
• このようにデータ セットを小さくすることで、プロセス分析ツリーとして見ることができ、悪意のある一時ファイルの顕在化につながります。問題のファイルを特定したら、そのファイルが 8080 番ポートを介してネットワーク接続の作成を試みていたかどうかさらに追跡することができます。
• この一連のアクティビティにより、この環境で APT10 による有効な攻撃があったことを確認できます。脅威ハンティングと高度な次世代アンチウイルス ツールの使用により、ホスト コンピューター上で攻撃を隔離し、ネットワークから排除できます。また、該当するハッシュ値を禁止して実行できないようにすることもできます。
• 脅威ハンターの仕事の最終段階は、将来の攻撃から環境を保護することです。この際、上記のクエリ シーケンスを一般化および広義化し、ウォッチ リストを作成します。セキュリティ ツールによって、それらのアクティビティを特定し、自動的に E メールでアラートを送信することで、すぐに修正アクションを取ることができます。