高度な持続的脅威

高度な持続的脅威（APT ）とは、通常、国家または国家支援グループによって操作される、コンピュータネットワークへの不正アクセスを取得し、長期間検出されないままとなる、巧妙なサイバーセキュリティ脅威である。 ^{[ 1 ] [ 2 ]}近年では、この用語は、特定の目的のために大規模な標的型侵入を実行する非国家支援グループを指す場合もある。^{[ 3 ]}

このような脅威アクターの動機は、一般的に政治的または経済的なものです。^{[ 4 ]}主要なビジネスセクターすべてにおいて、窃盗、スパイ活動、妨害など、特定の目的を持った高度なアクターによるサイバー攻撃の事例が記録されています。これらの標的となったセクターには、政府、防衛、金融サービス、法律サービス、産業、通信、消費財など、その他多数が含まれます。^{[ 5 ] [ 6 ] [ 7 ]}一部のグループは、ソーシャルエンジニアリング、人的情報、侵入などの従来の諜報手段を利用して、物理的な場所にアクセスし、ネットワーク攻撃を可能にします。これらの攻撃の目的は、カスタムマルウェアをインストールすることです。^{[ 8 ]}

モバイルデバイスに対するAPT攻撃も正当な懸念事項となっており、攻撃者はクラウドやモバイルインフラストラクチャに侵入してデータを盗聴、窃盗、改ざんすることができる。^{[ 9 ]}

APT攻撃が検出されない期間である「滞留時間」の中央値は、地域によって大きく異なります。FireEyeは、 2018年の平均滞留時間を、南北アメリカで71日、EMEAで177日、APACで204日と報告しました。^{[ 5 ]}このような長い滞留時間により、攻撃者は攻撃サイクルを完了し、拡散し、目的を達成するための十分な時間を確保できます。

APT（高度標的型攻撃）の定義は様々ですが、以下に挙げる要件で要約できます。

• 高度な脅威 – 脅威の背後にいるオペレーターは、あらゆる情報収集技術を自由に利用できます。これには、商用およびオープンソースのコンピュータ侵入技術や技術が含まれる場合もありますが、国家の情報機関にまで及ぶ場合もあります。攻撃の個々のコンポーネントは特に「高度」とは見なされないかもしれませんが（例えば、一般的に入手可能な自作マルウェア作成キットから生成されたマルウェアコンポーネントや、容易に入手できるエクスプロイト素材の使用など）、オペレーターは通常、必要に応じてより高度なツールにアクセスして開発することができます。彼らは、ターゲットに到達して侵害し、アクセスを維持するために、複数の標的設定方法、ツール、技術を組み合わせることがよくあります。オペレーターはまた、運用上のセキュリティに意図的に重点を置いていることを示し、それが「高度でない」脅威と区別される場合もあります。^{[ 3 ] [ 10 ] [ 11 ]}
• 持続的 – オペレーターは、金銭的またはその他の利益のために機会主義的に情報を求めるのではなく、特定の目的を持っています。この区別は、攻撃者が外部のエンティティによって誘導されていることを意味します。定義された目的を達成するために、継続的な監視と相互作用を通じて標的化が行われます。これは、絶え間ない攻撃とマルウェアの更新の集中砲火を意味するものではありません。実際、「低速でゆっくりとした」アプローチの方が通常は成功します。オペレーターがターゲットへのアクセスを失った場合、通常はアクセスを再試行し、ほとんどの場合成功します。オペレーターの目標の1つは、特定のタスクを実行するためにのみアクセスが必要な脅威とは対照的に、ターゲットへの長期的なアクセスを維持することです。^{[ 10 ] [ 12 ]}
• 脅威 – APTは、能力と意図の両方を備えているため脅威です。APT攻撃は、無思慮で自動化されたコードではなく、協調的な人間の行動によって実行されます。オペレーターは明確な目的を持ち、熟練しており、意欲的で、組織化されており、資金も豊富です。攻撃者は国家支援グループに限定されません。^{[ 3 ] [ 10 ]}

2005年に英国と米国のCERT組織は、トロイの木馬を仕込んだ標的型ソーシャルエンジニアリングメールによる機密情報の窃盗に対する警告を発表した。この方法は1990年代初頭を通じて使用されており、それ自体はAPTを構成するものではない。「高度な持続的脅威」という用語は、2006年に米国空軍で生まれたとされており^{[ 13 ]}、グレッグ・ラットレイ大佐がこの用語を考案した人物として挙げられている^{[ 14 ] 。}

イランの核開発計画のコンピュータハードウェアを標的としたStuxnetコンピュータワームは、APT攻撃の一例である。この場合、イラン政府はStuxnetの作成者を高度な持続的脅威とみなす可能性がある。^{[ 15 ]}

コンピュータセキュリティコミュニティ内、そしてメディア内でも、この用語は政府、企業、政治活動家を標的とした高度なコンピュータネットワーク攻撃の長期的パターンを指す場合にほぼ必ず使用され、さらに、これらの攻撃の背後にいるグループにA、P、Tの属性を付与するためにも使用されます。^{[ 16 ]}高度な持続的脅威（APT）という用語は、発生件数の増加により、コンピュータベースのハッキングに焦点が移りつつあります。PC Worldは、特に高度な標的型コンピュータ攻撃が2010年から2011年にかけて81%増加したと報告しています。^{[ 17 ]}

多くの国の関係者が、関心のある個人や集団に関する情報を収集する手段としてサイバースペースを利用してきた。 ^{[ 18 ] [ 19 ] [ 20 ]}米国サイバー軍は、米軍の攻撃的および防御的なサイバー作戦を調整する任務を負っている。^{[ 21 ]}

多くの情報源は、一部のAPTグループが主権国家の政府と提携しているか、またはその代理人であると主張している。^{[ 22 ] [ 23 ] [ 24 ]} 大量の個人識別情報を保有する企業は、以下のような高度な持続的脅威の標的となるリスクが高い。^{[ 25 ]}

• 農業^{[ 26 ]}
• エネルギー
• 金融機関
• 健康管理
• 高等教育^{[ 27 ]}
• 製造業
• テクノロジー
• 電気通信
• 交通機関

ベル・カナダの調査では、APTの構造に関する詳細な研究が行われ、カナダ政府と重要インフラに広く存在していることが明らかになった。中国とロシアの攻撃者によるものと特定された。^{[ 28 ]}

高度な持続的脅威の背後にいるアクターは、継続的なプロセスまたはキルチェーンに従うことにより、組織の財務資産、知的財産、評判に対する増大し変化するリスクを生み出します^{[ 29 ]}。

1. 特定の組織を標的にして単一の目的を達成する
2. 環境内で足がかりを得ようとする（一般的な戦術としては、標的型フィッシングメールなどがある）。
3. 侵害したシステムを標的ネットワークへのアクセス手段として利用する
4. 攻撃目標の達成に役立つ追加ツールを展開する
5. 将来の取り組みへのアクセスを維持するために、カバートラックを用意する

2013年、マンディアントは、2004年から2013年の間にAPT手法を使用したとされる中国の攻撃に関する研究結果を発表した^{[ 30 ]。}これらの攻撃は同様のライフサイクルをたどった。

• 最初の侵害は、ゼロデイウイルスを使用した電子メールを介したソーシャルエンジニアリングとスピアフィッシングによって実行されました。もう1つの一般的な感染方法は、被害者の従業員がアクセスする可能性が高いWebサイトにマルウェアを仕込むことでした。 ^{[ 31 ]} 
• 足がかりを築く–被害者のネットワークにリモート管理ソフトウェアを仕込み、ネットワークのバックドアやトンネルを作成して、そのインフラストラクチャへのステルスアクセスを可能にする。 
• 権限の昇格–エクスプロイトやパスワードクラッキングを使用して、被害者のコンピュータに対する管理者権限を取得し、場合によってはWindowsドメイン管理者アカウントにまで権限を拡大します。 
• 内部偵察–周辺のインフラストラクチャ、信頼関係、Windowsドメイン構造に関する情報を収集する。 
• 横方向に移動して、制御範囲を他のワークステーション、サーバー、インフラストラクチャ要素に拡大し、それらに対してデータ収集を実行する。 
• プレゼンスを維持する–前の手順で取得したアクセスチャネルと認証情報を継続的に管理できるようにします。 
• 任務完了―被害者のネットワークから盗んだデータを抜き取る。 

Mandiantが分析した事例では、攻撃者が被害者のネットワークを支配していた平均期間は1年で、最長は ほぼ5年でした。^{[ 30 ]}これらの侵入は、上海に拠点を置く中国人民解放軍の61398部隊によって行われたとされています。中国当局はこれらの攻撃への関与を否定しています。^{[ 32 ]}

Secdevの以前の報告書では、中国の関係者が関与していることがすでに判明していた。^{[ 33 ]}

マルウェアのバリエーションは数千万種類もあり、^{[ 34 ]}組織をAPTから保護することは非常に困難です。APT活動はステルスで検出が困難ですが、 APTに関連するコマンドおよび制御ネットワークトラフィックは、高度な手法でネットワーク層レベルで検出できます。さまざまなソースからの詳細なログ分析とログ相関は、APT活動の検出には限定的な有用性しかありません。ノイズを正当なトラフィックから分離することは困難です。従来のセキュリティ技術と手法は、APTの検出や軽減には効果的ではありませんでした。^{[ 35 ]}サイバー脅威インテリジェンスをハンティングと敵対者追跡活動に適用すると、アクティブサイバー防御はAPTの検出と訴追（発見、修正、排除）においてより大きな効果を発揮します。 ^{[ 36 ] [ 37 ]}人為的に導入されたサイバー脆弱性（HICV）は、十分に理解も軽減もされていない弱いサイバーリンクであり、重大な攻撃ベクトルを構成します。^{[ 38 ]}

複数の組織が同じ攻撃者に異なる名前を割り当てる場合があります。研究者によってAPTグループに対する評価が異なる可能性があるため、CrowdStrike、Kaspersky、Mandiant、Microsoftなどの企業は、独自の内部命名規則を持っています。^{[ 100 ]}異なる組織間での名称は、収集されたさまざまなデータに基づいて、重複しているものの最終的には異なるグループを指す場合があります。

CrowdStrikeは、イランには「Kitten」、サイバー犯罪に特化したグループには「Spider」など、国名やその他のカテゴリに基づいて動物を割り当てています。^{[ 101 ]}他の企業もこのシステムに基づいてグループに名前を付けており、例えばRampant KittenはCrowdStrikeではなくCheck Pointによって名付けられました。^{[ 102 ]}

DragosはAPTグループの名称を鉱物に基づいて付けている。^{[ 100 ]}

Mandiant は、APT、FIN、UNC の 3 つのカテゴリに番号付きの頭字語を割り当てており、その結果、FIN7のような APT 名が生まれます。同様のシステムを使用している他の企業には、Proofpoint (TA) や IBM (ITG および Hive) などがあります。^{[ 100 ]}

マイクロソフトは以前は周期表から名前を付けており、多くの場合すべて大文字で表記していました（例：POTASSIUM）。2023年4月、マイクロソフトは命名規則を変更し、天候に基づいた名前を使用するようになりました（例：Volt Typhoon）。^{[ 103 ]}

APTグループのリスト

• Mandiant：高度な持続的脅威グループ
• MITRE ATT&CKセキュリティコミュニティが追跡するAdvanced Persistent Group Pages