最近のイランとイスラエルの緊張激化に伴い、国家に関与するアクターによるID、クラウド、エンタープライズネットワークのサイバー作戦が活発化しています。これらの十分な資金を持つグループは、従来の防御をすり抜けるために、ネットワークへの深い侵入とアイデンティティの悪用を組み合わせています。
彼らは、公開アプリケーションを初期侵入に利用し、フィッシングやパスワードスプレー攻撃で認証情報を収集。その後、RDP、PsExec、リモートアクセスサービスを使って横展開します。永続化の手段としては、スケジュールタスク、DLLサイドローディング、不可視ウィンドウ、プロトコルトンネリングなどを用います。データは静かに準備され、アーカイブされ、目立たない経路で外部に送信されることが多く、従来のアラートでは検知されません。
同時に、Microsoft 365、Azure、Google Workspace などの環境内で、アイデンティティを狙ったキャンペーンも展開しています。OAuth の悪用、多要素認証（MFA）の回避、Outlook・OneDrive・Teams の武器化などを通じてアクセスを維持し、データを抜き取るのです。これらの戦術は、中東および欧米の重要インフラ、政府機関、民間企業、NGO を標的にしており、諜報活動と破壊的攻撃（ワイパー、強制暗号化）を融合させています。
エンドポイントや境界防御だけに依存していると、攻撃チェーン全体を見逃すことになります。クラウドコラボレーション、ハイブリッドインフラ、リモートアクセスを利用しているなら、すでに彼らの標的になっている可能性があります。
攻撃の黒幕は誰か？イランに関連するAPTのプロファイル
長期的なスパイ活動から完全な妨害工作まで、その目的はさまざまですが、各グループはネットワークとアイデンティティの両方のチャネルを活用して、侵入、持続、抽出を行っています。以下は、初期アクセス、ネットワーク TTP、ID/クラウド TTP の概要です。
SOCチームが監視すべき5つのアイデンティティとクラウド技術
イランに関係する脅威アクターは、従来のマルウェアやエクスプロイトにとどまらず、その手口を巧妙に操っています。彼らの攻撃は、IDシステムを悪用し、組織が既に使用している信頼できるツールを巧みに利用することに大きく依存しています。これらの5つの手法は、彼らが検知を回避し、クラウド環境で持続的に活動を続ける上で中心的な役割を果たしています。従来のEDRツールやSIEMツールのみに依存している場合、これらの手法はいずれも 重大な可視性の欠如を招きます。
- フィッシングクレデンシャル窃盗
Office 365やGmailを模倣した偽のログインポータル、パスワードの散布、MFAバイパスのテクニック。 - クラウドアカウントの乗っ取り
盗まれた認証情報を使用して、電子メール、OneDrive、SharePoint、または Azure アプリにアクセスする。 - 偵察とラテラルムーブ
Entra ID（Azure AD）を列挙し、不正なOAuthアプリや永続化のためのサブスクリプションを作成する。 - 正規のツールを介したデータ流出
OneDrive、Outlook、またはウェブベースのAPIを介してデータを移動させ、通常のトラフィックの中に隠れる。 - SaaSとクラウドにおけるLiving-Off-the-Land
Outlookのような組み込みのSaaSクライアントや、AnyDesk/TeamViewerのようなリモートアクセスツールを使ってクラウドアカウントをコントロールする。
イランのAPTがクラウドとアイデンティティを狙う理由
イランの脅威グループにとって、クラウドとアイデンティティシステムは、規模、ステルス性、そして戦略的価値を提供します。これらの攻撃者は単に機会を狙っているだけでなく、組織の現在の運用方法にも適応しています。リモートアクセス、フェデレーションアイデンティティ、そしてクラウドファーストのインフラストラクチャは、多くのセキュリティチームにとって可視性が限られている広範な攻撃対象領域を生み出しています。
- アイデンティティは新たな境界です。攻撃者が有効な認証情報、特にSaaSプラットフォームやクラウド管理者ロールに関連付けられた認証情報を入手すると、多くの場合、検出を完全に回避します。エンドポイントやファイアウォールに特化したセキュリティツールは、セッションが正当なものに見える場合、認証済みのAPI呼び出しや異常なログイン動作をほとんど検出しません。
- クラウド環境は隠れ場所を提供します 。イランのAPTは、多くの場合、Microsoft 365、Azure、Google Workspaceなどの認可されたアプリ内で活動します。彼らは、脆弱なOAuthポリシー、不適切な条件付きアクセス、過剰な管理者権限を悪用します。これにより、従来の制御ではユーザー、ロール、アプリ全体の動作異常を検査するように設計されていない環境でも、攻撃を継続することができます。
- ハイブリッドネットワークは、攻撃の転換点となります。多くの場合、攻撃者はオンプレミスシステムを侵害し、その足掛かりを利用して接続されたクラウドリソースにアクセスします。マイクロソフトは、イランの攻撃者がEntra ConnectとAzure Arcを悪用して侵害されたオンプレミス環境とクラウド資産を橋渡しし、侵害されたテナント内に新しいインフラストラクチャを構築するなどした攻撃を記録しています。
- クラウドネイティブツールは二重の用途があります。PowerShell、Microsoft Graph API、Teamsメッセージング、メールボックス委任は、コラボレーションを容易にするためのものです。イランの攻撃者は、これらの同じ機能を使用して、環境を列挙し、マルウェアを共有し、データを移動しています。新しいバイナリや外部インフラストラクチャを導入することはほとんどないため、従来の侵害指標（IOC）をトリガーすることはありません。
つまり、クラウド攻撃とID攻撃により、イランのAPTは静かにかつ効果的に活動することができます。彼らはユーザーの行動に溶け込み、従来の防御を回避し、ほとんどの組織が手遅れになるまで気付かないような脆弱性を突いています。
イランのAPTの手口を阻止するセキュリティ・コントロール
上記のテクニックにさらされる機会を減らし、あなたの環境を標的にされにくくするために、私たちは次のような早急な対策をお勧めします。
- フィッシングとMFAバイパスを阻止するために多要素認証を実施する。
- クラウド/SaaSアカウントで条件付きアクセスとデバイスポリシーを有効にする。
- 不審なIP、異常な地域、VPN経由のログインを監視します。
- OAuthアプリとパーミッションのロックダウン：Microsoft 365/Azureのすべてのアプリコンセントとサービスアカウントを見直す。
- 特権アカウント、特に Exchange/Azure 内で管理者ロールを持つアカウントを定期的に監査する。
- ユーザートレーニングの実施：偽のログインポータルやソーシャルエンジニアリングの手口を認識する。
- データ流出の監視：DLPルールとCASB（Cloud Access Security Broker）ポリシーを設定する。
- MFAのプッシュ振る舞いチェックする：何度も失敗した後の通知を制限するか、FIDO2のようなフィッシング体制のあるMFAオプションを使用する。
これらのコントロールは環境を強固にしますが、クレデンシャルの不正使用やネットワークのステルスを検出するには、能動的で行動主導型の可視性が必要です。
Vectra AIプラットフォームはどのように他社が見逃したものを検知するか
ほとんどのセキュリティ・ツールは、攻撃者がクラウドやアイデンティティ環境でどのように活動するかを監視するように設計されていないため、イランのAPT活動を検知 ことができません。Vectra AI Platformは、このギャップを埋めるために開発されました。
Vectra AIは、操作可能な静的な指標やログに頼るのではなく、AI主導の振る舞い検知技術を用いて、ネットワーク、Active Directory、Microsoft 365、Entra ID、Copilot for M365、AWS、Azure Cloud全体にわたる異常なアクティビティを特定します。ユーザーがアプリケーション、認証情報、トークン、データとどのようにやり取りしているかを継続的に監視し、脅威アクターが明白な警報を作動させることなく、侵害を示すシグナルを表面化させます。
しかし、検知だけでは十分ではありません。 Vectra AI Platformは、どのアラートが本当に重要なのかを明確にし、ノイズを排除することで、SOCチームが真の脅威を示すシグナルに集中できるようにします。レスポンス・アクションが組み込まれているため、アナリストは被害が拡大する前に、セッションの取り消しやアカウントのロックなど、攻撃を封じ込めるための措置を即座に講じることができます。このように、検知、明確化、制御を組み合わせることで、セキュリティチームは、洗練された最新の攻撃に断固として対応する自信を得ることができる。IDCによると、 Vectra AIを使用している組織は、少なくとも50％少ない時間で52％多くの脅威を特定しています。
Vectra AIがイランのAPTが使用する5つのコア・テクニックをそれぞれどのように検知しているかを紹介する：
Vectra AIプラットフォーム はエージェントを必要としません。マイクロソフトとネイティブに統合され、アイデンティティ主導の攻撃に合わせたリアルタイムの検知ロジックを適用します。このアプローチにより、的確で忠実度の高いアラートと自動応答機能が提供され、SOCチームは誤検知に溺れることなく、断固とした行動を取ることができます。
すでにVectra AI NDRをご利用のお客様
アイデンティティとクラウドを中心としたこの新しい攻撃の波を防御するには、アイデンティティとクラウドをカバーする既存の導入を拡張することを強くお勧めします。これにより、こうした脅威の脅威となるハイブリッド環境全体にわたる統合された可視性と保護が保証されます。
今こそ、他の人が見ることができていないものを見るときです。
- Vectra AI プラットフォームのセルフガイドデモをご覧 いただき、SOCチームが他のチームでは検知できない脅威をどのように検知するかをご確認ください。
- Vectra AIが「2025年ガートナーのNDRのマジック・クアドラント」に選ばれた理由について、製品担当副社長であるMark Wojtasiakの見解をお読みください。
- 2025 GigaOm Radar Report for Identity Threat Detection and Response (ITDR)でVectra AIがリーダーであり、アウトパフォーマーである理由の詳細をご覧ください。