トラフィックのミラーリング

攻撃者は、トラフィック・ミラーリングを使用して、ネットワーク通信を無許可で傍受、キャプチャ、分析します。ネットワーク・トラフィックを複製し、自分たちがコントロールする場所に向けることで、攻撃者は機密情報へのアクセス、通信の監視、ネットワーク内の脆弱性の悪用を行うことができます。

攻撃者がトラフィックのミラーリングを採用する主な理由

機密データの傍受

• クレデンシャル・ハーベスティング：攻撃者は、ネットワーク経由で送信されたユーザー名、パスワード、および認証トークンをキャプチャすることができます。これにより、システム、アプリケーション、サービスへの不正アクセスが可能になります。
• データの盗難：個人データ、財務記録、知的財産、機密業務通信などの機密情報が傍受され、流出する可能性がある。
• セッション・ハイジャック：セッションクッキーやトークンをキャプチャすることで、攻撃者はアクティブなユーザーセッションを乗っ取り、正当なユーザーになりすましてさらなるアクセスを得ることができます。

ネットワークの偵察と監視

• ネットワークのマッピング：ミラーリングされたトラフィックを分析することで、攻撃者はネットワーク・トポロジーを理解し、デバイス、サービス、通信パターンを特定することができます。
• 脆弱性の特定：トラフィック解析により、悪用可能な古いソフトウェア、安全でないプロトコル、設定ミス、脆弱な暗号化方式が明らかになることがあります。
• 盗聴：攻撃者は、情報収集、機密会話のスパイ、将来の攻撃のための情報収集のために通信を監視することができます。

暗号化とセキュリティ対策のバイパス

• SSL/TLSの傍受：攻撃者が暗号化されたトラフィックを暗号化前または復号化後に傍受できれば、平文のデータにアクセスできる。
• 検知の回避：トラフィックを内部でミラーリングすることで、攻撃者はファイアウォールや侵入検知システムなど、外部の脅威を監視する境界セキュリティ対策を回避することができます。

高度な攻撃を容易にする

• 中間者（MitM）攻撃：トラフィックのミラーリングにより、攻撃者は通信当事者の間に位置することができ、通信ストリームに悪意のあるデータを傍受、変更、または注入することができます。
• Command and Control (C2）通信：攻撃者は、ミラーリングされたトラフィック内に秘密のチャネルを確立し、疑いを持たれることなく侵害されたシステムを制御することができる。
• malware のインジェクション：トラフィックを操作することで、攻撃者はmalware ペイロードを標的のシステムに配信することができます。

データの流出

• ステルス的なデータ転送：ミラーリングされたトラフィックは、時間をかけて大量のデータを流出させるために使用され、検知される可能性を低くすることができます。
• データのエンコードとステガノグラフィ：攻撃者は正規のトラフィックパターンやファイルの中にデータを隠し、流出を目立たなくすることがあります。

攻撃者がトラフィックのミラーリングを実装するために使用する方法

ネットワーク機器の侵害

• ルーターとスイッチポートミラーリングやSPAN（Switch Port Analyzer）セッションを設定するために、ネットワークインフラストラクチャデバイスに不正アクセスすること。
• ネットワーク・タップ：ネットワーク運用を中断することなくトラフィックを捕捉するために、ネットワークケーブルを遮断する装置を物理的に設置すること。

悪意のあるソフトウェアのインストール

• パケット・スニッファー：Wireshark、tcpdump、カスタムスニッファなどのソフトウェアを侵害されたシステムに導入し、ネットワークパケットをキャプチャする。
• ルートキットとmalware: カーネルレベルで動作する高度なmalware を使用して、ネットワーク通信を不可視で傍受する。

プロトコルの脆弱性を突く

• ARPスプーフィング／ポイズニング：アドレス解決プロトコルのテーブルを操作して、攻撃者のシステム経由でトラフィックをリダイレクトすること。
• DNSスプーフィング：DNS応答を改ざんしてトラフィックをリダイレクトし、ユーザーを悪意のあるサイトに誘導する。

ワイヤレスネットワークの侵害

• 不正アクセスポイント：不正な無線アクセスポイントを設置し、無線トラフィックを傍受すること。
• イービルツイン攻撃：正規のWi-Fiネットワークを模倣し、ユーザーを騙して接続させ、攻撃者にトラフィックを傍受させる。