高度で持続的な脅威

高度で持続的な脅威 （APT ）とは、コンピュータネットワークに不正にアクセスし、長期間にわたって検出されないまま活動する、ステルス性の高い脅威主体であり、通常は国家または国家が支援するグループです。 ^{[1] [2]}最近では、この用語は、特定の目的のために大規模な標的型侵入を行う非国家支援グループを指すこともあります。^[3]

このような脅威アクターの動機は通常、政治的または経済的なものである。^[4]すべての主要なビジネスセクターでは、盗難、スパイ、混乱など、特定の目的を持つ高度なアクターによるサイバー攻撃の事例が記録されている。これらの標的のセクターには、政府、防衛、金融サービス、法律サービス、産業、通信、消費財などが含まれる。^{[5] [6] [7]}一部のグループは、ソーシャルエンジニアリング、人間の知性、侵入などの従来のスパイ活動ベクトルを利用して、物理的な場所にアクセスし、ネットワーク攻撃を可能にする。これらの攻撃の目的は、カスタムマルウェア（悪意のあるソフトウェア）をインストールすることである。^[8]

モバイルデバイスに対するAPT攻撃も正当な懸念事項となっている。攻撃者はクラウドやモバイルインフラに侵入し、データを盗聴、盗難、改ざんすることができるからだ。^[9]

APT攻撃が検出されない時間である「滞留時間」の中央値は、地域によって大きく異なります。FireEyeは、 2018年の平均滞留時間を南北アメリカで71日、EMEAで177日、APACで204日と報告しました。^[5]このように滞留時間が長いと、攻撃者は攻撃サイクルを経て拡散し、目的を達成するのにかなりの時間をかけることができます。

APT の正確な定義はさまざまですが、以下の要件に要約できます。

• 高度 – 脅威の背後にいるオペレーターは、あらゆる情報収集技術を自由に利用できます。これには、商用およびオープンソースのコンピュータ侵入技術や手法が含まれる場合がありますが、国家の情報機関にまで及ぶこともあります。攻撃の個々のコンポーネントは特に「高度」とは見なされない場合がありますが (たとえば、一般的に入手可能な DIY マルウェア構築キットから生成されたマルウェアコンポーネントや、簡単に入手できるエクスプロイト マテリアルの使用)、オペレーターは通常、必要に応じてより高度なツールにアクセスして開発できます。オペレーターは、ターゲットに到達して侵害し、アクセスを維持するために、複数のターゲット設定方法、ツール、および手法を組み合わせることがよくあります。オペレーターは、運用上のセキュリティに意図的に重点を置くことも示し、それが「それほど高度ではない」脅威との違いを示しています。^{[3] [10] [11]}
• 持続的 – オペレーターは、金銭的利益やその他の利益のために日和見的に情報を探すのではなく、特定の目的を持っています。この違いは、攻撃者が外部のエンティティによって誘導されていることを意味します。ターゲット設定は、定義された目的を達成するために、継続的な監視と相互作用を通じて行われます。これは、絶え間ない攻撃とマルウェアの更新の集中砲火を意味するものではありません。実際、「ゆっくりとした」アプローチの方が通常は成功します。オペレーターがターゲットへのアクセスを失った場合、通常はアクセスを再試行し、ほとんどの場合成功します。オペレーターの目標の 1 つは、特定のタスクを実行するためにのみアクセスを必要とする脅威とは対照的に、ターゲットへの長期的なアクセスを維持することです。^{[10] [12]}
• 脅威 – APTは能力と意図の両方を備えているため脅威です。APT攻撃は、無意識に自動化されたコードではなく、協調した人間の行動によって実行されます。オペレーターは特定の目的を持ち、熟練しており、意欲があり、組織化されており、十分な資金を持っています。アクターは国家が支援するグループに限定されません。^{[3] [10]}

2005年、英国と米国のCERT組織は、機密情報を盗み出すためにトロイの木馬を仕掛ける、標的を絞ったソーシャルエンジニアリングメールに対する警告を発表しました。この方法は1990年代初頭に使用されていましたが、それ自体はAPTを構成するものではありません。「高度で持続的な脅威」という用語は、2006年に米国空軍から生まれたとされており^[13]、グレッグ・ラットレー大佐がこの用語を作った人物として挙げられています。^[14]

イランの核計画のコンピュータハードウェアを標的としたスタックスネット コンピュータワームは、APT攻撃の一例である。この場合、イラン政府はスタックスネットの作成者を高度で持続的な脅威とみなす可能性がある。^{[要出典] [15]}

コンピュータセキュリティコミュニティ内、そしてますますメディア内では、この用語は、政府、企業、政治活動家を狙った高度なコンピュータネットワークの悪用の長期的パターンを指して使用されることがほとんどで、ひいては、これらの攻撃の背後にあるグループにA、P、Tの属性を帰属させるのにも使用されています。^[16]高度な持続的脅威（APT）という用語は、発生件数の増加により、コンピュータベースのハッキングに焦点が移っている可能性があります。PC Worldは、特に高度な標的型コンピュータ攻撃が2010年から2011年にかけて81％増加したと報告しました。^[17]

多くの国の行為者は、サイバースペースを、関心のある個人や個人グループに関する情報収集の手段として利用している。 ^{[18] [19] [20]}米国サイバーコマンドは、米軍の攻撃的および防御的なサイバー作戦を調整する任務を負っている。 ^[21]

多くの情報源は、一部のAPTグループが主権国家の政府と提携しているか、またはその代理人であると主張している。^{[22] [23] [24]} 大量の個人識別情報を保有する企業は、次のような高度で持続的な脅威の標的となるリスクが高い。^[25]

• 教育^[26]
• 法
• 政府
• 非営利団体
• 農業^[27]
• エネルギー
• 金融機関
• 健康
• 製造業
• テクノロジー
• 通信
• 交通機関

ベルカナダの調査では、APTの構造について詳細な調査が行われ、カナダ政府と重要なインフラに広く存在していることが明らかになりました。中国とロシアの攻撃者によるものであることが確認されました。^[28]

高度な持続的脅威の背後にいる攻撃者は、継続的なプロセスまたはキルチェーンに従って、組織の金融資産、知的財産、評判に対するリスクを増大させ、変化させます^[29]。

1. 特定の組織を単一の目的のためにターゲットにする
2. 環境内で足場を築こうとする（一般的な戦術にはスピアフィッシングメールが含まれる）
3. 侵入したシステムを標的ネットワークへのアクセスとして利用する
4. 攻撃目的の達成に役立つ追加ツールを導入する
5. 将来の取り組みのためにアクセスを維持するために線路を覆う

2013年に、Mandiantは、2004年から2013年の間に同様のライフサイクルをたどった APT手法を使用した中国の攻撃に関する調査結果を発表しました^{[30] 。}

• 最初の侵害–ソーシャルエンジニアリングとスピアフィッシング、電子メール、ゼロデイウイルスを使用 して実行されます。別の一般的な感染方法は、被害者の従業員が訪問する可能性のあるWebサイトにマルウェアを植え付けることです。 ^[31]
• 足場を確立する -被害者のネットワークにリモート管理ソフトウェアを埋め込み、ネットのバックドアとトンネルを作成して、そのインフラストラクチャへのステルス アクセスを可能にします。
• 権限の昇格 -エクスプロイトとパスワードクラッキングを使用して、被害者のコンピューターの管理者権限を取得し、 Windows ドメイン管理者アカウントにまで権限を拡張します。
• 内部偵察 - 周囲のインフラストラクチャ、信頼関係、Windows ドメイン構造に関する情報を収集します。
• 横方向に移動 - 他のワークステーション、サーバー、インフラストラクチャ要素に制御を拡張し、それらでデータ収集を実行します。
• プレゼンスの維持 - 前の手順で取得したアクセス チャネルと資格情報を継続的に制御します。
• ミッションを完了する - 被害者のネットワークから盗まれたデータを盗み出す。

マンディアントが分析した事件では、攻撃者が被害者のネットワークを制御していた期間は平均1年で、最長でほぼ5年でした。^{[30]侵入は上海に拠点を置く}人民解放軍の61398部隊によって行われたとされています。中国当局はこれらの攻撃への関与を否定しています。^[32]

Secdevの以前の報告書では、中国の行為者が発見され、関与していることが示唆されていた。^[33]

マルウェアのバリエーションは数千万種類あり^[34]、組織をAPTから保護することは極めて困難です。APT活動はステルス性があり検出が難しい一方で、 APTに関連するコマンドアンドコントロールネットワークトラフィックは、洗練された方法を使用してネットワーク層レベルで検出できます。さまざまなソースからの詳細なログ分析とログの相関関係は、APT活動の検出には限定的な有用性しかありません。ノイズを正当なトラフィックから分離することは困難です。従来のセキュリティ技術と方法は、APTの検出や軽減には効果がありません。^{[35]アクティブサイバー防御は、}サイバー脅威インテリジェンスをハンティングと敵対者の追跡活動に適用することで、APTの検出と訴追（発見、修正、終了）においてより高い効果を発揮しています。^{[36] [37]}人間がもたらすサイバー脆弱性（HICV）は、十分に理解も軽減もされていない弱いサイバーリンクであり、重要な攻撃ベクトルを構成しています。^[38]

• 中国人民解放軍第61398部隊（APT1とも呼ばれる）
• 中国人民解放軍第61486部隊（APT2とも呼ばれる）
• バックアイ（APT3とも呼ばれる）^[39]
• レッドアポロ（別名APT10）
• 番号付きパンダ（別名 APT12）
• DeputyDog（別名APT17）^[40]
• ダイナマイトパンダまたはスカンジウム（APT18としても知られる、人民解放軍海軍の部隊）^[41]
• Codoso チーム (別名 APT19)
• Wocao（別名APT20）^{[42] [43]}
• APT22（別名サックフライ）^[44]
• APT26（別名タービンパンダ）^[45]
• APT27 ^[46]
• PLA ユニット 78020 (APT30 および Naikon としても知られる)
• ジルコニウム^[47]（APT31、バイオレットタイフーンとも呼ばれる）^{[48] [49] [50]}
• ペリスコープグループ（別名APT40）
• ダブルドラゴン^[51]（APT41、ウィンティグループ、バリウム、またはアクシオムとも呼ばれる）^{[52] [53]}
• スパモフラージュ（ドラゴンブリッジ、ストーム1376とも呼ばれる）^{[54] [55]}
• ハフニウム^{[56] [57]}
• ライトベイシン^{[58] [59]}（UNC1945とも呼ばれる）
• トロピック・トルーパー^[60]
• ボルトタイフーン^[61]
• 亜麻台風^[62]
• チャコールタイフーン（別名CHROMIUM）^{[63] [64]}
• サーモンタイフーン（別名SODIUM）^{[63] [64]}
• ソルトタイフーン（ゴーストエンペラー、フェイマススパローとも呼ばれる）^{[65] [66]}
• リミナルパンダ^[67]

• チャーミング キトゥン(別名 APT35)
• エルフィンチーム​​（別名APT33）
• Helix Kitten (別名 APT34)
• パイオニアキトゥン^[68]
• リミックスキトゥン（APT39、ITG07、Chaferとも呼ばれる）^{[69] [70]}

• キムスキー
• ラザルスグループ（別名APT38）
• リコシェット チョリマ(APT37 とも呼ばれる)

• 狂暴なクマ
• Cozy Bear (別名 APT29)
• ファンシーベア（別名APT28）
• FIN7
• ガマレドン^[71]（別名プリミティブベア）^[a]
• サンドワーム（APT44とも呼ばれる）
• 毒熊^[74]

• StrongPity（APT-C-41またはPROMETHIUMとも呼ばれる）^[75]

• 方程式群^[76]

• カスペルスキーによれば、サンドキャットは国家安全保障局と関係がある^[77]

• OceanLotus（別名APT32）^{[78] [79]}

複数の組織が同じ攻撃者に異なる名前を付ける場合があります。研究者がそれぞれAPTグループについて独自の評価を持っている可能性があるため、CrowdStrike、Kaspersky、Mandiant、Microsoftなどの企業は独自の社内命名スキームを持っています。^[80]異なる組織間の名前は、収集されたさまざまなデータに基づいて、重複しているが最終的には異なるグループを指す場合があります。

CrowdStrikeは、イランには「Kitten」、サイバー犯罪に重点を置くグループには「Spider」など、国家やその他のカテゴリごとに動物を割り当てています。^[81]他の企業もこのシステムに基づいてグループに名前を付けています。たとえば、Rampant KittenはCrowdStrikeではなくCheck Pointによって命名されました。^[82]

ドラゴスはAPTグループの名前を鉱物に基づいて付けている。^[80]

Mandiantは、APT、FIN、UNCの3つのカテゴリに番号付きの頭字語を割り当てており、その結果、FIN7のようなAPT名が生まれています。同様のシステムを使用している他の企業には、Proofpoint（TA）やIBM（ITGおよびHive）などがあります。^[80]

マイクロソフトはかつて元素周期表から名前を割り当てており、大文字で表記されることが多かった（例：POTASSIUM）。2023年4月、マイクロソフトは命名規則を変更し、天候に基づいた名前（例：Volt Typhoon）を使用するようになった。^[83]

APT グループのリスト

• Mandiant: 高度で持続的な脅威グループ
• MITRE ATT&CK セキュリティ コミュニティが追跡する高度な永続グループ ページ