Advanced Persistent Threatとは何ですか?APTを検出するにはどうすればよいですか?

多くの企業は、顧客に関するできるだけ多くのデータを収集するために最善を尽くしています。個人情報収集の許可と引き換えに、製品を無料で配布する人もいます。

その結果、今ではさらに小規模な企業でも貴重なデータが豊富にあります。そして、ますます多くの脅威アクターがそれを盗む方法を探しています。この一例は、高度な持続的脅威として知られる一種のサイバー攻撃です。

では、高度な持続的脅威とは何ですか?どうやって見つけますか?また、システムがAPTに見舞われたと思われる場合は、どうすればよいでしょうか。

Advanced Persistent Threat(APT)とは何ですか?

高度な持続的脅威は、侵入者がシステムにアクセスし、長期間検出されないままになっているタイプの攻撃です。

この種の攻撃は通常、スパイ活動を目的として実行されます。目標が単にシステムに損傷を与えることである場合、固執する理由はありません。これらの攻撃を実行する人々は、コンピュータシステムを破壊しようとはしていません。彼らは単に自分たちが所有するデータにアクセスしたいだけです。

最も高度な持続的脅威は、高度なハッキング技術を使用しており、個々のコンピューターシステムに合わせて調整されています。

これにより、これらの攻撃を検出するのが非常に困難になります。しかし、それらの複雑さの1つの利点は、平均的なコンピューターユーザーが通常それらについて心配する必要がないことです。

一般にできるだけ多くのコンピューターを標的にするように設計されているマルウェアとは異なり、高度な持続的脅威は通常、特定の標的を念頭に置いて設計されています。

APTはどのように発生しますか?

高度な持続的脅威は比較的広い用語です。したがって、そのような攻撃で採用される高度さのレベルは大きく異なります。

ただし、ほとんどの場合、3つの異なる段階に簡単に分けることができます。

ステージ1:浸透

開始段階では、ハッカーは単に侵入方法を探しています。ハッカーが利用できるオプションは、明らかにシステムの安全性によって異なります。

1つのオプションはフィッシングです。おそらく、悪意のある電子メールを送信することで、誰かに誤ってログイン資格情報を明かしてもらう可能性があります。または、それが不可能な場合は、ソーシャルエンジニアリングを通じて同じことを達成しようとする可能性があります。

ステージ2:拡張

次のステップは拡張です。攻撃者がシステムに有効な方法を見つけたら、攻撃者はリーチを拡大し、既存のアクセスを取り消せないようにする必要があります。

彼らは通常、ある種のマルウェアでこれを行います。たとえば、キーロガーを使用すると、他のサーバーの追加のパスワードを収集できます。

関連:キーロガーとは何ですか?

また、バックドア型トロイの木馬は、盗まれた元のパスワードが変更された場合でも、将来の侵入を保証します。

ステージ3:抽出

第3フェーズでは、実際にデータを盗むときです。通常、情報は複数のサーバーから収集され、取得の準備ができるまで1つの場所に保管されます。

この時点で、攻撃者はDDOS攻撃のようなものでシステムセキュリティを圧倒しようとする可能性があります。この段階の終わりに、データは実際に盗まれ、検出されない場合は、将来の攻撃のためにドアが開いたままになります。

APTの警告サイン

APTは通常、検出を回避するように特別に設計されていますが、これが常に可能であるとは限りません。ほとんどの場合、そのような攻撃が発生しているという少なくともいくつかの証拠があります。

スピアフィッシング

スピアフィッシングメールは、APTが発生しようとしている、または初期段階にあることを示している可能性があります。フィッシングメールは、大量の人々から無差別にデータを盗むように設計されています。スピアフィッシングメールは、特定の人や企業をターゲットにするように調整されたカスタマイズバージョンです。

不審なログイン

進行中のAPT中に、攻撃者は定期的にシステムにログインする可能性があります。したがって、正当なユーザーが奇数時間に突然自分のアカウントにログインしている場合、これは自分の資格情報が盗まれたことを示している可能性があります。他の兆候には、より頻繁にログインすることや、あるべきではないものを見ることなどがあります。

トロイの木馬

トロイの木馬は、インストールされると、システムへのリモートアクセスを提供できる隠しアプリケーションです。このようなアプリケーションは、盗まれた資格情報よりもさらに大きな脅威となる可能性があります。これは、フットプリントが残らないためです。つまり、確認するログイン履歴がなく、パスワードの変更による影響を受けません。

異常なデータ転送

APTが発生している最大の兆候は、データが突然移動されていることです。これは、明らかな理由がないようです。データが本来あるべきではない場所に保存されている場合、またはさらに悪いことに、実際には制御外の外部サーバーに転送される過程でデータが保存されている場合も、同じロジックが適用されます。

APTが疑われる場合の対処方法

APTが検出されたら、すばやく移動することが重要です。攻撃者がシステムにいる時間が長いほど、発生する可能性のある被害は大きくなります。データがまだ盗まれていない可能性もありますが、盗まれようとしています。これがあなたがする必要があることです。

  1. 攻撃を停止する APTを停止する手順は、その性質に大きく依存します。システムの一部のみが侵害されていると思われる場合は、それを他のすべてから隔離することから始める必要があります。その後、アクセスの削除に取り組みます。これは、盗まれた資格情報を取り消すこと、またはトロイの木馬の場合はシステムをクリーンアップすることを意味する場合があります。
  2. 損傷の評価:次のステップは、何が起こったのかを把握することです。 APTがどのように発生したかを理解していない場合、それが再び発生するのを止めることはできません。同様の脅威が現在進行中である可能性もあります。これは、システムのイベントログを分析するか、攻撃者がアクセスを取得するために使用したルートを単純に把握することを意味します。
  3. サードパーティへの通知:システムに保存されているデータによっては、APTによって引き起こされる損害が広範囲に及ぶ場合があります。現在、自分だけのものではないデータ、つまり顧客、クライアント、または従業員の個人情報を保存している場合は、それらの人々に知らせる必要があるかもしれません。ほとんどの場合、そうしないと法的な問題になる可能性があります。

APTの兆候を知る

完全な保護などは存在しないことを理解することが重要です。人的エラーにより、システムが危険にさらされる可能性があります。そして、これらの攻撃は、定義上、高度な技術を使用してそのようなエラーを悪用します。

したがって、APTからの唯一の実際の保護は、APTが存在することを知り、発生している兆候を認識する方法を理解することです。