2020年3月6日

NEC セキュリティ技術センター 竹内です。
本記事では2/23(日)～2/28(金)サンフランシスコで開催された、RSA Conferenceの参加レポートとなります。手を動かして何か行うといったことはないのでそこはご了承を。Kr〇〇kの話もありません。
RSA Conference2020のテーマはHuman Elementということなので、Human ElementなセッションとTechnicalなセッションをいくつか紹介していきます。

RSA Conference2020の概要

RSA Conference2020はサンフランシスコのMoscone Centerにて2/23(日)～2/28(金)で開催されました。2/23(日)はトレーニングの日程のため、私が報告するのは2/24からのセッションの内容になります。写真はMoscone Centerの写真となります。

Human Elementなセッション

Personal Professional Development for All Career Stages

Hacking Your CyberSecurity Career

これは現在どのサイバーセキュリティの職についている人にも有効な内容です。
サイバーセキュリティのキャリアを考えるときには下記の4つのフェーズで考えていきます。

「Self-Discovery」フェーズでは現在の自分が何をしたいのか、将来どのような道を進みたいかを考えます。そのうえで5年以内にやりたいことは何かを考えます。そこから自分の強みが見えてor見つけます、それを基にして「Strategic Planning」フェーズでは将来と現在のギャップから戦略を立てます。ただしその戦略は絶対ではないので、柔軟に修正しその戦略の旅を楽しみましょう。
「Building Your Reputation and Network」では人とのコミュニケーションを作り自分の価値や他者の価値を伝えあいましょう。それが「Getting the Next Role」フェーズで、他者とつながりより良い活躍をできるようになります。

Transforming from Techie to Security Leader

この講演ではセキュリティリーダ(CISO・セキュリティマネージャ等)がどのように変遷してきており、どのようなスキルが必要か、また技術者がリーダーになる機会があるかという内容が述べられました。

CISOの役割には5つの変遷があるとして、下記のように変遷しています。

今はプライバシーとデータに気を付ける時代であり、CISOはグローバルに対応できる必要があります。

現在このような時代にCISOとして必要とされるスキル(要素)として構造、戦略、システム、スタイル、スキル、スタッフ、価値の共有の7つがあります。

CISOになる機会についてです。一番多いのは経営学を大学時代に専攻した方がCISOになるケースが多いとなっていますが、今後大学や大学院でComputer Scienceを専攻した人がCISOを務めることが多くなります。また女性がサイバーセキュリティの重要な位置にいることも増えていますCISSPなどの資格保持者もが重要なポストにいるため、技術者からCISOになる機会はあるといえます。

The First 6 Months as a CISO Determines Success or Failure

この講演はCISOの最初の6か月で何をしていくとよいかという内容になります。まずCISOの役割はすべての脆弱性を一手に率いるのではなく、直面するリスクに対して管理を行い、許容できるレベルにまで落とし込むことです。

最初の90日間は実際の行動をするのではなく、ビジネスリーダーやセキュリティチームに対してひたすら情報を聞くことが重要です。ビジネスリーダーに対しては5つの質問(1.組織がどのようにすべきか、2.過去の組織とセキュリティはどうであったか、3.会社のセキュリティはどのように見えているか、4.どの領域のセキュリティを進めるべきか、5.一貫すべきか更新すべきか一番良い方法はなにか)を聞きます。それが終わったらセキュリティチームに対して一番まずいところは何かを訪ねます。

そのようにして60日からは会社のひとたちに伝える5つのコアを作ります。5つのコアは戦略、運用計画、リソース、組織のオーナーシップ、レポートの方式です。これらを伝え達成できるようにセキュリティカルチャーを作り、リーダーシップのレベルを高める必要があります。

90日からセキュリティチームを作ることになります。役割として適切な人材をチームにいれること。成功するチームは多様な考えや背景を持っていることが必要とされます。

Technicalなセッション

The 5 Most Dangerous New Attack Techniques and How to Counter Them

タイトルの通り5つの最も危険で新しい攻撃テクニックの紹介とそれに対する対抗策の内容です。

1. New Attack: The Golden Age of C2

様々なC2サーバがあり、そのそれぞれにおいて利用するテクニックやツールやフレームワークが異なっています。それらはC2 Matrixでまとめられていますが、とても膨大です。

1. Counter: DeepBlueCLI

全般的な対策としては組織内のネットワークから外に出ていく通信を監視するという対策があるが、それをサポートするツールとしてDeepBlueCLI(https://github.com/sans-blue-team/DeepBlueCLI )という素晴らしいツールがあります。
これはWindowsイベントログからThreat HuntingするPowershell製のツールです。

2. New Attack: Living off the Land Bainaries and Scripts(LolBaS)

Living off the Landとは自給自足のことを指し、コンピュータ内にあるものを使って攻撃を行う手法のことを指します。LolBasとはコンピュータ内にあるバイナリやスクリプトを用いて行う攻撃です。LolBasのテクニックはhttps://lolbas-project.github.ioでまとめられています。

2. Counter: Purple Team, Application White Listening

LolBasの対策としてはパープルチームの組織、アプリケーションのホワイトリストを注意深く設定することです。パープルチームはレッドチームとブルーチームが連携して組織の防御を高めていくための組織です。

3. New Attack: Deep Persistence scales up Supply Chain Attacks

USB Rubber duckyやUSB Ninjaを用いた悪意あるUSBケーブルを用いた攻撃です。この攻撃はサプライチェーンがらみの攻撃で利用されることが予測されます。

3. Counter: Personal and Organization Protection

個人としての対策は個々のアーティファクトに関して注意を払うこと、組織としての対策はサプライチェーンに対しての防御を行うことです。

4. New Attack: Your Phone Fell Into the Wrong Hands

デバイスを攻撃者が自由に使う方法としてcheckm8やcheckra1nなどのスマートフォンに対するエクスプロイトやjailbreakの手法があります。また2FAに関しても電話番号を変更したときに古い番号に送ってしまい乗っ取られるという攻撃手法もあります。

4. Counter: Practical Risk Management

デバイスを守ることとアプリケーションを守ることが重要になります。まずはデバイスのロックと盗まれたときにリモートアクセスができるようにする。またデバイスのデータを暗号化しておくことがデバイスを守る方法です。新しい電話番号を入手した時に2FAを行いなおすこと、バックアップのアカウントを作成することそしてユーザアカウントをシェアしないこと。

5. New Attack: Enterprise Perimeter Vulnerability

脆弱性の中でもPulse Connect SecureやZoom, Citrixの脆弱性があったように商用製品の脆弱性が攻撃の切り口になるケースが増えている。

5. Counter: 4step Mitigation

またベンダーに対してアプリケーションのセキュリティをどうしているかを聞いてみるというのも手です。

Break the Top 10 Cloud Attack Kill Chain

Starbucks Coffee社のShawn氏とSecurosis社のRich氏によるクラウド攻撃のキルチェーンの講演です。

Top10の攻撃が下記の10個となっており、それらがAzureやAWSでどのようなキルチェーンで攻撃されるか、そしてどういったツールが利用されるかを述べています。

Cloud-Powered Compromise Blast Analysis in the Trenches with Microsoft IT

MicrosoftのSarah氏とKristina氏によるAzureにおけるMSのSOCの観測と検知対応の紹介そしてパスワードスプレーの対応についての内容です。

Azureのユーザ数は10億を超えており、発生するイベントも10億を超える量が来ています。Microsoftではそれを600個の独自ルールを用いることで一日80ケースまでに落とし込んでいます。

Azureの攻略に関して攻撃者はあきらめており、Azureの脆弱性ではなくログインを狙っています。「hackers don't break in, but they log in」ログインを狙う手法としてパスワードスプレーを攻撃者は利用しています。Microsoftでは1週間をまたぐようなパスワードスプレーに対して技術的な要素とアセスメントの要素で対応しています。
技術的な要素では、独自フィルターとして季節やスポーツ的な項目を含めて攻撃していることやUEBA検知をします。アセスメントの要素ではリスクスコアをとることやペンテスト、ユーザへの教育を行います。

パスワードスプレーに対する対応としてイベントログをきちんととること、特権アカウントを守り、分離すること、異常なふるまいを脅威として検知することが重要になります。

所感

今年のRSA ConferenceはテーマがHuman Elementということもあり、人に焦点を当てたセッションがとても多かったです。その中でもとくにプライバシーに関しての関心度は高くInnovation Sandboxコンテストにおいてもプライバシーの問題を解決する製品を出したSECURITI.aiがMost Innovate Startupを獲得いたしました。会社のセキュリティを考えるうえでCISOの存在が重要視されており、CISOならびにセキュリティリーダがどうあるべきという話や組織をどう考えていくという話が重要視されていました。また次世代のセキュリティを考える起点としてキーノートセッションでは量子コンピュータの出現を懸念していました。
テクニカルのセッションもレベルが高く、現在のホットな脅威や攻撃の紹介およびそれらに対してどう守るかについて質疑含め盛り上がりました。キーワードとしてはやはりクラウドの防御の注目度は高く、セッション数もとても多かったです。

執筆者の他の記事を読む