2021年4月2日

NECサイバーセキュリティ戦略本部セキュリティ技術センターの角丸です。インテリジェンスチームでは、変化し続けるセキュリティリスクに対して迅速に対応できるように、サイバー空間における脅威情報を収集し分析をしてきています[1]。
本レポートでは、2020年10月～2021年3月に収集した国内外の脅威分析レポートを対象にMITRE ATT&CK®フレームワーク（v8）へマッピングし分析した結果を、サイバー攻撃でよく使われる不正アクセスの手口トップ10として独自にまとめました。
頻出する手口が事例の中でどう使われているのかを調べたり、セキュリティ対策の優先度を決めたりするのに使ってみてはいかがでしょうか。

サマリー

2020年10月～2021年3月において、インテリジェンスチームで収集・分析した脅威情報の中で最も広く使われていたMITRE ATT&CK に基づくサイバー攻撃の手口（Technique）トップ10は次のような結果となりました。

表１：2020年度下期 MITRE ATT&CK 頻出手口 トップ10
（情報ソース：NEC独自調査）

このうちの3つが防御策の回避（Defense Evasion）に属し、実行（Execution）、C2（Command and Control）にそれぞれ2つずつが属しています。2020年12月に公表されたSolarWindsのサプライチェーン攻撃 [2]では、検知されにくくするための仕組みがふんだんに組み込まれていたように、昨今の攻撃の動向が現れていると感じています。

次に、攻撃の手口（Tactics）の観点で先のTOP 10を整理したものがこちらになります。主要なサブテクニック（Sub-technique）を抽出し、攻撃の手口（Technique）全体における割合をあわせて示しています。すべてのサブテクニックを列挙していないため、必ずしも100%にはなりません。

表２：Tacticsで分類した2020年度下期 MITRE ATT&CK 頻出手口 トップ10
（情報ソース：NEC独自調査）

守る側にとってはこれらの情報をいかに防御対策に活用していくかというのがポイントになってきますが、攻撃の手口をサブテクニックまで分析して見ていくとそのヒントが得られそうです。初期アクセス（Initial Access）ではPhishingの手口として、添付ファイル付きのスピアフィッシング（T1566.001）がやや多いもののリンク付きのスピアフィッシング（T1566.002）もあることがわかりますので、引き続き両方の注意が必要といえそうです。実行（Execution）でのユーザーによる実行（T1204）でも、悪性のファイル（T1204.002）と悪性のリンク（T1204.001）で同様な傾向が見られています。
また、防御策の回避（Defense Evasion）では偽装（T1036）の手口として、正規の名称や場所に合致させる手口（T1036.005）が半分を占めていますが、タスクやサービスの名前を偽装する手口（T1036.004）も見られていますので、ファイルだけではなくサービスも含め見た目だけで正しいかどうかを判断せずに振る舞いまで確認する必要がありそうです。さらに、ホスト上の痕跡を消去する手口（T1070）ではファイルの削除（T1070.004）が高い割合を占めているため、ファイルが削除されているかもしれないと疑いを立てて分析することは有効となるでしょう。

MITRE ATT&CK®について

MITRE ATT&CK®は、サイバー攻撃の手口を体系化した知識ベースで、米国の政府系非営利団体であるMITREが開発しています[3]。本レポートで参照しているバージョンは8で、Enterprise向けテクニックです[4]。

MITRE ATT&CKトップ10の算出方法

本レポートで対象としているのは公開されている脅威分析レポートやブログで、期間は2020年10月～2021年3月の6ヶ月分、国内・海外で発行されたものを対象としており、攻撃手法やマルウェアの解析結果について記載された157つを分析対象として選定しました。各レポートに対してまずはツールTRAM[5]を使ってマッピングし、人手でATT&CK IDを精査して付け直すということを行っています。（ATT&CK IDのマッピングについてはこちらのブログも参照ください[6] 。）その結果、各レポートに対するATT&CKのSub-Technique（Sub-TechniqueがないものはTechnique）のリスト（ATT&CK IDのデータセット）が出来上がります。
なお、TRAMの正答率は我々の経験では6割～8割程度となっており、人手で不足分を追加し、違うと思われるものを削除することで最終的なATT&CK IDのデータセットを生成しました。
トップ10の算出方法ですが、上記ATT&CK IDのデータセットに対してATT&CKのSub-Techniqueを含めたTechnique単位で集計した上で、上位10つを抽出しました。例えば、フィッシング（T1566）の総数79は、T1566が16つ、T1566.001が35つ、T1566.002が25つ、T1566.003が3つ、これらの合計としています。一つのレポートに対して同じTechniqueに属するSub-Techniqueが複数マッピングされることもあるため、ここでの総数が必ずしも出現レポート数とはならないことには注意が必要です。

テクニック トップ10 の出現傾向と参考事例

それぞれの手口は個々に活用されるものではなく、攻撃の目的を達成するために複数の手口を組み合わせて一連の攻撃として行われるものですが、ここではそれぞれの手口ごとに出現傾向と、その手口を用いた代表的な事例を紹介していきます。
なお、参考事例を記載した囲みでは、該当の攻撃手口が使われている様子を例として示し、参照先の脅威レポートと概要を合わせて記載しています。

1位：コマンドとスクリプトインタプリタ

PowerShell（T1059.001）が用いられた報告はほぼ毎週収集しており、Windows Command Shell（T1059.003）やJavaScript/JScript（T1059.007）なども含めると、対象とする期間すべての週において出現した手口となり、1位となりました。PowerShellは依然として攻撃者にとって有用なビルトインツールであると言えるでしょう。

2位：難読化されたファイルや情報

これも対象とする期間のすべての週において出現した手口となっていましたが、67%がどのSub-Techniqueにも分類されないものとなっていました。難読化が依然として攻撃者にとって有効な打ち手であり、難読化の対象とする範囲が広がってきているということかもしれません。

3位：偽装

対象とする期間において出現しなかった週は1週間だけとなっており、正規の名称や場所に合致させる手口（T1036.005）が半分を占めていますが、タスクやサービスの名前を偽装する手口（T1036.004）も見られていました。ファイルだけではなくサービスも含め見た目だけで正しいかどうかを判断せずに振る舞いまで確認する必要がありそうです。

4位：侵入ツールの送り込み

これも対象とする期間のすべての週において複数回出現した手口となっています。Sub-Techniqueは定義されていないため約70%のレポートで出現していたことになり、非常に高い割合を占めていました。必要な機能を後からペイロードやツールとして標的対象に対して送り込むことが一般的になっていると言えそうです。

5位：開発能力

こちらも対象とする期間において、観測されなかった週は1週間だけとなっています。約89%がマルウェア（T1587.001）となっており、Code Signing Certificates（T1587.002）とExploits（T1587.003）はそれぞれ1つずつしか出現していませんでした。これらはv8に統合される前はPRE-ATT&CKに分類されており、被害組織の分析からは現れにくく可視性が高くないことが影響している可能性があります。

6位：アプリケーションレイヤープロトコル

対象とする期間のすべての週において観測された手口となっており、8割以上をWeb Protocols（T1071.001）が占め、残りをMail（T1071.003）とDNS（T1071.004）が半分ずつという傾向が見られました。

7位：フィッシング

依然として安定して使われている一方で、2021年1月はやや見られない週も存在していました。手口としては、添付ファイル付きのスピアフィッシング（T1566.001）が44%とやや多いもののリンク付きのスピアフィッシング（T1566.002）も32%ありますので、引き続き両方の注意が必要といえそうです。一方では、SSL-VPN製品の脆弱性に起因する攻撃のように脆弱性をついた攻撃も2020年度下期には発生しており、そちらに注力していた可能性も一因として考えられそうです。

8位：C2チャネル上での持ち出し

こちらは対象とする期間において、観測されなかった週は1週間だけ、観測された週でもその多くで複数見られることが多いという傾向となっていました。

8位（同数）：ユーザーによる実行

安定して観測され続けており、Malicious File（T1204.002）がMalicious Link（T1204.001）より若干多いという状況でした。これは、6位のフィッシングと同じような割合となっていますが、ATT&CK IDをマッピングするにあたってフィッシングとユーザーによる実行の両方にマッピングされることに起因するものと考えています。

10位：ホスト上の痕跡消去

週毎に観測される数字に多少のばらつきがみられましたが、これは痕跡が消去されたという確証が必ずしも得られるとは限らないということも影響しているのではないかと思われます。

MITRE ATT&CK頻出手口トップ10の活用

MITRE ATT&CKのサイトでは、それぞれの攻撃の手口に対する緩和策（Mitigations）と検知（Detection）のヒントが掲載されていますので、リスクが高いと判断した攻撃の手口を対策するときに参照してみるとよいでしょう。

今回取り上げた10つ以外にも観測されている攻撃の手口は存在します。現時点ではATT&CK Techniqueが178、Sub-Techniqueが352で合計530のATT&CK IDがEnterprise向けでは定義されていますが、このうち少なくとも1回は出現した攻撃の手口が311ありました。今回のような頻出手口トップ10を参考に優先度を付けて対策を考えていくのは悪くない方法だと考えています。

また、分析をしている中でMITRE ATT&CKではまだ表現されていない手口というのも複数見つかりました。常に新しい手口が出てくるというのは忘れないようにする一方で、わかっている手口に対してはきちんと対応していくことが大切だと感じています。特にトップ10を見ても目新しいものではないことから、従来と同じ手法だからと甘く見ずにきちんと対策ができているかを確かめることも有効な打ち手になるのではないでしょうか。

まとめ

本レポートでは、2020年10月～2021年3月に収集した国内外の脅威分析レポートを対象にMITRE ATT&CKフレームワーク（v8）にマッピングしたのち、サイバー攻撃でよく使われる不正アクセスの手口トップ10としてテクニックのレベルで独自にまとめた結果を紹介しました。何かしら皆さまのセキュリティリスク対策のお役に立てますと幸いです。

最後までお読みいただき、ありがとうございました。

本レポートの作成にあたり、調査・分析にご協力いただいたインテリジェンスチームのメンバーにお礼申し上げます。

参考資料

執筆者の他の記事を読む