サイバーキルチェーン

サイバーキルチェーンとは、攻撃者がサイバー攻撃を実行するプロセスです。^{[ 2 ]}ロッキード・マーティンは、軍事環境におけるキルチェーンの概念を情報セキュリティに適用し、コンピュータネットワークへの侵入をモデル化する方法として利用しました。^{[ 3 ]}サイバーキルチェーンモデルは、情報セキュリティコミュニティで一部採用されています。^{[ 4 ]}しかし、その受け入れは普遍的ではなく、批判者はモデルの根本的な欠陥を指摘しています。^{[ 5 ]}

ロッキード・マーティン社のコンピュータ科学者たちは、2011年にコンピュータネットワークを防御するための新しい「侵入キルチェーン」フレームワークまたはモデルについて説明しました。^{[ 6 ]}彼らは、攻撃は段階的に発生する可能性があり、各段階で確立された制御によって阻止できると述べています。それ以来、「サイバーキルチェーン」は、サイバー攻撃の段階を定義するためにデータセキュリティ組織に採用されています。^{[ 7 ]}

サイバーキルチェーンは、サイバー攻撃の段階、すなわち初期の偵察からデータ流出という目標に至るまでを明らかにします。キルチェーンは、ネットワーク防御を継続的に改善するための管理ツールとしても使用できます。ロッキード・マーティンによると、脅威はモデル内のいくつかの段階を経て進行する必要があり、その段階には以下が含まれます。

1. 偵察：侵入者は標的を選定し、調査を行い、標的ネットワークの脆弱性を特定しようと試みる。
2. 武器化：侵入者は、1つまたは複数の脆弱性に合わせてカスタマイズされた、ウイルスやワームなどのリモートアクセスマルウェアを作成します。
3. 配信方法：侵入者が標的に武器を送信する（例：電子メールの添付ファイル、ウェブサイト、USBドライブなどを介して）。
4. 悪用：マルウェアのプログラムコードが起動し、標的ネットワーク上で脆弱性を悪用する動作を実行します。
5. インストール：マルウェアは、侵入者が使用できるアクセスポイント（例：「バックドア」）をインストールします。
6. コマンド＆コントロール：マルウェアは、侵入者が標的ネットワークに対して「キーボードを直接操作する」永続的なアクセス権を持つことを可能にする。
7. 目標に対する行動：侵入者は、データの持ち出し、データの破壊、身代金目的の暗号化など、目標を達成するための行動を起こします。

これらの段階に対しては防御的な行動をとることができます: ^{[ 8 ]}

1. 検知：侵入者が存在するかどうかを判断します。
2. 拒否：情報漏洩および不正アクセスを防止する。
3. 妨害：送信トラフィックを停止または変更する（攻撃者へ）。
4. 劣化：反撃の指揮統制。
5. 欺瞞：指揮統制を妨害する。
6. 内容：ネットワーク分割の変更

2013年のターゲット社のデータ侵害に関する米国上院の調査では、ロッキード・マーティン社のキルチェーンフレームワークに基づいた分析が行われた。その結果、制御が攻撃の進行を阻止または検知できなかった段階がいくつか特定された。^{[ 1 ]}

さまざまな組織が、さまざまな脅威をモデル化するために独自のキルチェーンを構築してきました。FireEyeは、Lockheed-Martinのものと類似した線形モデルを提案しています。FireEyeのキルチェーンでは、脅威の持続性が強調されています。このモデルは、脅威が1サイクルで終了しないことを強調しています。^{[ 9 ]}

1. 偵察：これは攻撃者が標的システムまたはネットワークに関する情報を収集する初期段階です。これには、脆弱性のスキャン、潜在的な侵入経路の調査、組織内の潜在的な標的の特定などが含まれます。
2. 初期侵入：攻撃者は十分な情報を収集した後、標的のシステムまたはネットワークへの侵入を試みます。これには、ソフトウェアやシステムの脆弱性を悪用したり、ソーシャルエンジニアリングの手法を用いてユーザーを騙したり、その他の方法を用いて初期アクセス権を取得したりすることが含まれます。
3. バックドアの確立：攻撃者は、最初のアクセス権を取得した後、侵害したシステムへのバックドア、つまり永続的な侵入経路を作成することがよくあります。これにより、最初の侵害が発見され、対策が講じられた場合でも、攻撃者は再びアクセス権を取得できるようになります。
4. ユーザー認証情報の取得：システムへの侵入に成功した攻撃者は、ユーザー認証情報を盗み出そうとする可能性があります。これには、キーロギング、フィッシング、脆弱な認証メカニズムの悪用といった手法が用いられます。
5. 各種ユーティリティのインストール：攻撃者は、侵害したシステムにさまざまなツール、ユーティリティ、またはマルウェアをインストールして、さらなる移動、データ収集、または制御を容易にする可能性があります。これらのツールには、リモートアクセス型トロイの木馬（RAT）、キーロガー、およびその他の種類の悪意のあるソフトウェアが含まれる可能性があります。
6. 権限昇格／横方向移動／データ漏洩：システム内部に侵入した攻撃者は、ネットワークに対する制御を強化するために権限の昇格を試みます。攻撃者はネットワーク内で横方向に移動し、より価値の高いシステムや機密データへのアクセスを試みる場合があります。データ漏洩とは、ネットワークから貴重な情報を盗み出し、外部に送信することです。
7. 永続性の維持：この段階では、攻撃者は侵害した環境内で長期的に存在し続けることを目指します。そのため、検出を継続的に回避し、ツールを更新し、導入されたセキュリティ対策に適応していきます。

ロッキード・マーティンのサイバーキルチェーンモデルを脅威評価および予防ツールとして批判する点の一つは、最初のフェーズが防御されたネットワークの外で発生するため、これらのフェーズでの行動を特定したり防御したりすることが難しいという点である。^{[ 10 ]}同様に、この手法は、従来の境界ベースおよびマルウェア対策ベースの防御戦略を強化すると言われている。^{[ 11 ]}また、従来のサイバーキルチェーンは内部脅威のモデル化には適していないと指摘する声もある。^{[ 12 ]}これは、内部ネットワーク境界を突破する攻撃が成功する可能性が高いことを考えると特に厄介であり、そのため組織は「ファイアウォールの内側の攻撃者に対処するための戦略を策定する必要がある。すべての攻撃者を潜在的な内部者と考える必要がある」^{[ 13 ] 。}

統合キルチェーンは、従来のサイバーキルチェーンに対する一般的な批判を克服するために、 2017 年に Paul Pols 氏が Fox-IT およびライデン大学と共同で開発しました。これは、 Lockheed MartinのキルチェーンとMITREのATT&CKフレームワーク (どちらも James Tubberville 氏と Joe Vest 氏が構築した「侵入、潜伏、行動」モデルに基づいています) を統合および拡張したものです。統合キルチェーンは、エンドツーエンドのサイバー攻撃で発生する可能性のある 18 の固有の攻撃フェーズを順序立てて配置したもので、防御対象ネットワークの内外で発生する活動を網羅しています。このように、統合キルチェーンは、従来のキルチェーンの範囲の制限と MITRE の ATT&CK の戦術の時間非依存性を改善しています。統合モデルは、高度な持続的脅威によるエンドツーエンドのサイバー攻撃を分析、比較、防御するために使用できます。^{[ 14 ]}統一キルチェーンに関するその後のホワイトペーパーは2021年に発表された。^{[ 15 ]}

• Skopik, Florian; Pahi, Timea (2020). "偽旗作戦：サイバー攻撃の帰属特定に技術的アーティファクトを使用する" . Cyber​​security . 3 (1): 8. doi : 10.1186/s42400-020-00048-4 . ISSN 2523-3246 .