最近のイランとイスラエルのエスカレーションは、アイデンティティ、クラウド、企業ネットワークに狙いを定める国家とつながりのあるアクターによるサイバー作戦の急増に火をつけた。これらの十分な資金を持つグループは、従来の防御をすり抜けるために、ネットワークへの深い侵入とアイデンティティの悪用を組み合わせています。
彼らは、最初のアクセスのために公開アプリケーションを悪用し、phishing パスワードの散布によって認証情報を取得し、RDP、PsExec、またはリモートアクセスサービスを使って横方向に移動します。持続性は、スケジュールされたタスク、DLLのサイドローディング、隠しウィンドウ、プロトコルのトンネリングによってもたらされます。データは静かにステージングされ、アーカイブされ、しばしばレガシー・アラートをトリガーすることなく、不明瞭なチャネルを経由して流出する。
同時に、Microsoft 365、Azure、Google Workspaceの内部で、OAuthを悪用し、MFAを回避し、Outlook、OneDrive、Teamsを武器にしてアクセスを維持し、データを吸い上げるという、アイデンティティに焦点を当てたキャンペーンを展開しています。このような手口は、中東や欧米の重要なインフラ、政府、営利企業、NGOを標的としており、スパイ活動と破壊的攻撃（ワイパー、強制暗号化）が混在しています。
エンドポイントや境界管理だけに頼っていると、攻撃の連鎖の全貌が見えなくなってしまいます。クラウド・コラボレーション、ハイブリッド・インフラ、リモート・アクセスを使用している場合、すでに攻撃の標的になっている。
攻撃の黒幕は誰か？イランに関連するAPTのプロファイル
長期的なスパイ活動から完全な妨害工作まで、その目的はさまざまですが、各グループはネットワークとアイデンティティの両方のチャネルを活用して、侵入、持続、抽出を行っています。以下は、初期アクセス、ネットワーク TTP、ID/クラウド TTP の概要です。
SOCチームが監視すべき5つのアイデンティティとクラウド技術
イラン系の脅威勢力は、従来のmalware エクスプロイトの域を超えつつある。彼らのキャンペーンは現在、IDシステムを悪用し、組織がすでに使用している信頼できるツールの中に潜り込むことにかかっている。これらの5つのテクニックは、クラウド環境で検知を回避し、永続性を維持する方法の中心となっています。それぞれが 重要な可視性のギャップ 従来のEDRやSIEMツールだけに頼っている場合、これらの5つのテクニックは重要な可視性のギャップを意味します。
- Phishing クレデンシャル窃盗
Office 365やGmailを模倣した偽のログインポータル、パスワードの散布、MFAバイパスのテクニック。 - クラウドアカウントの乗っ取り
盗まれた認証情報を使用して、電子メール、OneDrive、SharePoint、または Azure アプリにアクセスする。 - Recon and Lateral Movement
Entra ID（Azure AD）を列挙し、不正なOAuthアプリや永続化のためのサブスクリプションを作成する。 - 正規のツールを介したデータ流出
OneDrive、Outlook、またはウェブベースのAPIを介してデータを移動させ、通常のトラフィックの中に隠れる。 - SaaSとクラウドでオフザランドを生きる
Outlookのような組み込みのSaaSクライアントや、AnyDesk/TeamViewerのようなリモートアクセスツールを使ってクラウドアカウントをコントロールする。
イランのAPTがクラウドとアイデンティティを狙う理由
イランの脅威グループにとって、クラウドとIDシステムは規模、ステルス性、戦略的価値を提供する。これらの攻撃者は単なる日和見主義者ではなく、現在の組織の運用方法に適応している。リモート・アクセス、フェデレーテッド・アイデンティティ、クラウドファーストのインフラは、多くのセキュリティ・チームにとって可視性が限られた広い攻撃対象領域を作り出している。
- アイデンティティは新しい境界である。攻撃者が有効な認証情報、特にSaaSプラットフォームやクラウド管理者の役割に関連する認証情報を取得すると、多くの場合、検出を完全に回避する。エンドポイントやファイアウォールに焦点を当てたセキュリティ・ツールは、セッションが正当なものに見える場合、認証されたAPIコールや異常なログイン動作にフラグを立てることはほとんどない。
- クラウド環境が隠れ蓑にイランのAPTは、Microsoft 365、Azure、Google Workspaceのような認可されたアプリケーション内で活動することが多い。彼らは弱いOAuthポリシー、誤った設定の条件付きアクセス、過剰な管理者権限を利用しています。このため、従来の制御ではユーザー、ロール、アプリにまたがる振る舞い 異常を検査するように設計されていない環境でも、APTは活動を続けることができます。
- ハイブリッド・ネットワークは要となる。多くの場合、攻撃者はオンプレミスのシステムを侵害し、その足場を利用して接続されたクラウドリソースにアクセスする。マイクロソフトは、イラン人攻撃者がEntra ConnectとAzure Arcを悪用して、侵害されたテナント内で新しいインフラを立ち上げるなど、侵害されたオンプレミス環境とクラウド資産を橋渡しする攻撃を記録している。
- クラウドネイティブのツールは両用できる。PowerShell、Microsoft Graph API、Teamsメッセージング、メールボックスの委譲は、コラボレーションを容易にするためのものだ。イラン人行為者は、環境の列挙、malware共有、データの移動にこれらの同じ機能を使用している。新しいバイナリや外部インフラを導入することはほとんどないため、典型的な侵害の指標を引き起こすことはありません。
要するに、クラウド攻撃とID攻撃によって、イランのAPTは静かに効果的に動くことができる。ユーザーの行動に紛れ込み、従来の防御を回避し、ほとんどの組織が手遅れになるまで気づかない隙を突く。
イランのAPTの手口を阻止するセキュリティ・コントロール
上記のテクニックにさらされる機会を減らし、あなたの環境を標的にされにくくするために、私たちは次のような早急な対策をお勧めします：
- phishing MFAバイパスを阻止するために多要素認証を実施する。
- クラウド/SaaSアカウントで条件付きアクセスとデバイスポリシーを有効にする。
- 不審なIP、異常な地域、VPN経由のログインを監視します。
- OAuthアプリとパーミッションのロックダウン：Microsoft 365/Azureのすべてのアプリコンセントとサービスアカウントを見直す。
- 特権アカウント、特に Exchange/Azure 内で管理者ロールを持つアカウントを定期的に監査する。
- ユーザートレーニングの実施：偽のログインポータルやソーシャルエンジニアリングの手口を認識する。
- データ流出の監視：DLPルールとCASB（Cloud Access Security Broker）ポリシーを設定する。
- MFAのプッシュ振る舞いチェックする：何度も失敗した後の通知を制限するか、FIDO2のようなphishingMFAオプションを使用する。
これらのコントロールは環境を強固にしますが、クレデンシャルの不正使用やネットワークのステルスを検出するには、能動的で行動主導型の可視性が必要です。
Vectra AIプラットフォームはどのように他社が見逃したものを検知するか
ほとんどのセキュリティ・ツールは、攻撃者がクラウドやアイデンティティ環境でどのように活動するかを監視するように設計されていないため、イランのAPT活動を検知 ことができません。Vectra AI Platformは、このギャップを埋めるために開発されました。
Vectra AIは、静的なインジケータや操作可能なログに依存するのではなく、AI主導 振る舞い 検出を使用して、ネットワーク、Active Directory、Microsoft 365、Entra ID、Copilot for M365、AWS、Azure Cloud全体の異常なアクティビティを識別します。ユーザーがアプリケーション、認証情報、トークン、データをどのように操作しているかを継続的に監視し、脅威行為者が明白なアラームを作動させることなく、侵害を示すシグナルを浮上させます。
しかし、検知だけでは十分ではありません。 Vectra AI Platformは、どのアラートが本当に重要なのかを明確にし、ノイズを排除することで、SOCチームが真の脅威を示すシグナルに集中できるようにします。レスポンス・アクションが組み込まれているため、アナリストは被害が拡大する前に、セッションの取り消しやアカウントのロックなど、攻撃を封じ込めるための措置を即座に講じることができます。このように、検知、明確化、制御を組み合わせることで、セキュリティ・チームは、洗練された最新の攻撃に断固として対応する自信を得ることができる。IDCによると、 Vectra AIを使用している組織は、少なくとも50％少ない時間で52％多くの脅威を特定しています。
Vectra AIがイランのAPTが使用する5つのコア・テクニックをそれぞれどのように検知しているかを紹介する：
Vectra AIプラットフォーム はエージェントを必要としません。マイクロソフトとネイティブに統合され、アイデンティティ主導の攻撃に合わせたリアルタイムの検知ロジックを適用します。このアプローチにより、的確で忠実度の高いアラートと自動応答機能が提供され、SOCチームは誤検知に溺れることなく、断固とした行動を取ることができます。
すでにVectra AI NDRをご利用のお客様
アイデンティティとクラウドを中心としたこの新しい攻撃の波を防御するには、アイデンティティとクラウドをカバーする既存の導入を拡張することを強くお勧めします。これにより、こうした脅威の脅威となるハイブリッド環境全体にわたる統合された可視性と保護が保証されます。
今こそ、他の人が見ることのできないものを見る時だ。
- Vectra AI Platformのセルフガイドデモをご覧 いただき、SOCチームが他のチームでは検知 できない脅威をどのように検知するかをご確認ください。
- Vectra AIが「2025年ガートナーのNDRのマジック・クアドラント」に選ばれた理由について、製品担当副社長であるMark Wojtasiakの見解をお読みください。
- 2025 GigaOm Radar Report for Identity Threat Detection and Response (ITDR)でVectra AIがリーダーであり、アウトパフォーマーである理由の詳細をご覧ください。