2021年11月12日

はじめに

NECサイバーセキュリティ戦略本部セキュリティ技術センターの長濱です。
2021年10月21日にMITRE ATT&CK v10が公開されました[1, 2]。今回のアップデートでは、テクニックやグループ、ソフトウェアに新たなIDが追加されたほか、データソースにもIDが割り当てられるようになりました。v10では、ATT&CK IDは表1のようになっています。

今回の記事では、新たに追加されたテクニックをいくつか見ていきます。また、v10へのアップデートに関連するセキュリティ技術センターの活動について紹介します。

ATT&CK v10で新たに追加されたテクニック

ATT&CK v10では、以下に示す15個（重複を含まず）のテクニック、またはサブテクニックが新たに追加されました。戦術で分類すると、Persistence（永続化）が2件、Privilege Escalation（権限昇格）が1件、Defense Evasion（防御策の回避）が9件、Discovery（発見）が3件、Collection（収集）が1件となっています（T1547.015は、PersistenceとPrivilege Escalationの両方に属します）。

このうちのいくつかをピックアップして、見てみましょう。

T1562.010 - Impair Defenses: Downgrade Attack

T1562.010は、Defense Evasion（防御策の回避）の戦術に属するテクニックであるImpair Defenses（防御策の妨害）のサブテクニックで、システム機能を脆弱性のあるバージョンにダウングレードして使用するというものです。例として、PowerShellに対するダウングレード攻撃が挙げられています。PowerShellは攻撃者がよく利用する正規ツールの一つですので、私用のPCでは使わない場合に無効化するなどの対策を検討するのがよさそうです。

T1562.009 - Impair Defenses: Safe Mode Boot

T1562.009もImpair Defenses（防御策の妨害）のサブテクニックで、Windowsのセーフモードを悪用するというものです。セーフモードでは、必要最小限のドライバやサービスのみを使用してWindowsを起動します。そのため、Windowsをセーフモードで起動するとEDR（Endpoint Detection and Response）やサードパーティのセキュリティ対策ソフトが起動しない可能性があります。攻撃者はセーフモードを悪用することで、エンドポイントの防御策を無効化できます。このテクニックは、REvilランサムウェアが使用した例が挙げられています[3]。その他にも、Snatchランサムウェア[4]やMedusaLockerランサムウェア[5]がこのテクニックを使用したことが確認されています。

T1619 - Cloud Storage Object Discovery

T1619はDiscovery（発見）の戦術に属するテクニックで、攻撃者がクラウドストレージ内のオブジェクト（ファイル）を列挙するというものです。目的の情報や、後続の攻撃で必要となる情報をクラウドストレージ上で探す際に使用されます。Mitigationsにも書かれている通り、クラウドストレージ内のオブジェクトに適切なアクセス権を付与するなどの対策が有効になります。
Procedure Examples （テクニックの具体的な使用方法）は本記事の執筆時点で挙げられていませんが、クラウドの設定ミスによる情報漏えいや、設定ミスを狙った攻撃が増加していることが話題となっており、注目すべきテクニックの一つであるといえるでしょう。業務やプライベートでクラウドストレージを利用する機会は多いと思いますので、皆さんもアクセス権などの設定には十分気をけるようにしてください。

T1213.003 - Data from Information Repositories: Code Repositories

T1213.003はCollection（収集）の戦術に属するテクニックで、攻撃者がコードリポジトリから重要なデータを収集するというものです。ソフトウェアの開発などでは、GitHubやGitLab、SourceForge、BitBucketなどを使用してソースコードを内部で共有することはよくあると思います。攻撃者が標的組織の内部ネットワークに侵入後、これらのリポジトリにアクセスしてソースコードやハードコードされた認証情報などを窃取する際に使用されます。このテクニックは、ロシアの攻撃者グループであるAPT29が使用した例が挙げられています[6]。
また、GitHubの公開リポジトリにソースコードをアップロードしてしまい、流出する事例を見かけることもあります。企業や個人でこのようなサービスを利用する際は、公開範囲をきちんと確認することが重要です。

ATT&CK v10のアップデートに関連するNECの活動

私の所属するセキュリティ技術センターのインテリジェンスチームでは、国内外で公開されたオープンソースの脅威レポートを収集し、それぞれのレポートに対して独自にATT&CKテクニックのマッピングを行っています（マッピングの方法については過去のブログ記事[7]も参考にしてください）。これにより、それぞれの脅威レポートに関連するテクニックIDのデータを蓄積することができます。なお、マッピングにより得られたデータは半期ごとに集計し、頻出攻撃手口と題して本ブログにて公開しています[8, 9]。今後も引き続き公開していく予定ですので、都度ご確認いただければと思います。
脅威レポートを分析していると、新しく発見された攻撃者グループやソフトウェアに関するレポートや、新たな攻撃手法に関する記述を含むレポートに遭遇することがよくあります。当然ですが、これらの新たな情報はその時点でのATT&CKには含まれていません。そこで、インテリジェンスチームでは、NEC Corporation Indiaのメンバーと協力してこれらの情報をまとめてMITRE ATT&CKへ提供する活動も行っています。これまでに提供した脅威情報のうち1件がATT&CK v9で、8件がATT&CK v10で採用されました。以下で簡単に紹介します。

今後も新たな脅威情報の提供を引き続き行い、ATT&CKの発展に貢献していければと考えています。情報提供は誰でも可能だと思いますので、この記事を読んでいる皆さんも一度挑戦してみてはいかがでしょうか。なお、必要な情報や情報提供の方法などについては、MITRE ATT&CKのContributeページ[10]でご確認いただけます。

おわりに

今回は、ATT&CK v10へのアップデートをテーマとして取り上げてみました。今回のアップデートでは、NECが情報提供したものを含むいくつかのテクニックやグループ、ソフトウェアが追加されました。このような新しい脅威にも十分注意を払い、必要に応じてしっかりと対策を実施することが重要です。

インテリジェンスチームでは、今後もATT&CKの活用をさらに進めていこうと思います。また、引き続きATT&CKへ貢献できるよう、日々の情報収集や分析に励みます。

最後までお読みいただき、ありがとうございました。

参考文献

執筆者の他の記事を読む