.jpeg){kind=logo}
攻撃者は、ユーザーがすでに設定していたルールに手を加えるよりも、独自のルールを設定する傾向があります。Vectra MDRチームは、顧客環境全体にわたってこの点を調査しました。ここでは、アナリストたちの日々の判断を総合的に分析した結果と、SOCがそれをどのように活用できるかについて解説します。
MDRチームとして、私たちは毎日、多くの顧客環境から検出された事象の優先順位付けを行っています。その一つである「Microsoft 365 不審なメールボックスルール」による検出では、再確認が必要な受信トレイルールにフラグが立てられます。 これらの検知のほとんどは、アナリストが「無害」として処理するか、顧客にエスカレーションして確認を求めるかのいずれかの方法で解決されます。個々のケースとしては、これらは日常的な対応です。しかし、地域や業界を問わず顧客環境から収集され、エスカレーションされたケースにおいて顧客が確認した内容に基づいて総合的に見ると、そこには貴重な情報が込められていることがわかりました。それは、攻撃者が実際に受信トレイルールをどのように利用しているかについて、正確かつ共通した全体像です。
メールボックスのルールに注目すべき理由
受信トレイのルールは、一般的な生産性向上機能の一つであり、メールを自動的に転送、移動、フラグ付け、または削除します。
この機能は、アカウント乗っ取り後の攻撃者にも好んで利用されています。なぜなら、エンドポイント上にmalware プロセスを一切残すことなく、目立たずにメールボックスを制御できるからです。 主に2つの悪用手法が主流となっています。1つは、メールを外部アドレスに転送すること（情報漏洩、MITRE ATT&CK .003）、もう1つは、受信メールを移動または削除して、セキュリティに関する通知や返信を隠蔽することです（回避、MITRE ATT&CK .008）。
攻撃の手口を研究すればいいんじゃないですか？
もっともな疑問です。攻撃者を理解したいのなら、確認済みの攻撃を単に分析すればよいのではないでしょうか。攻撃を単独で分析すれば、攻撃者が何をしているかは分かりますが、その同じ行動が通常の無害な利用においてどれほどの頻度で発生するかは分かりません。そして、その対比こそが、その行動に対処する価値があることを示すのです。受信メールを削除するルールは、攻撃の山の中では不審に見えますが、日常的な活動と並べて初めて、それが実際には極めて稀であり、したがってシグナルであることが分かるのです。 「正常な状態」を理解して「異常な状態」を認識するという考え方は、検知の分野ではよく知られています。私たちはこれを、別の種類の「正常」――つまり、アナリストが検知結果について日常的に下す判断――に適用しました。その無害な大多数は、捨て去るべき雑多な情報ではありません。無害と判断して処理を終了する一つひとつが、「何が攻撃ではないか」という判断であり、それらを総合して見れば、攻撃だけを研究していたら見逃してしまうような知見となるのです。
当社のデータから浮かび上がった傾向
これらを総合すると、アナリストたちの判断によれば、各行動は「日常的」と「注意深く観察すべき」の中間あたりに分類される。攻撃者がルールを使って行う行動として最も多いのはメールをフォルダに移動させることであり、その次に転送や削除が続く。しかし、実際には、ある行動がどれほど一般的であるかという事実だけでは、それがどれほど懸念すべきものかを判断する手がかりにはほとんどならない。以下に、特に目立った点を挙げる。
彼らはルールを作成するのであって、書き換えるわけではない。我々が確認した攻撃事例全体を通じて、悪意のあるルールは攻撃者自身が作成し、その後（多くの場合、一連の集中的な操作で）変更されたものであり、顧客が以前から使用していたルールを流用したものではない。 このパターンは一貫しています。攻撃者は独自のルールを持ち込むのです。この定型的な動作を最も明確に確認できるのは、メールをフォルダに移動させるケースです。アナリストが変更の内容を正確に把握できた事例において、長年使用されてきた「フォルダへの移動」ルールの変更は、ほとんどの場合、上層部への報告に値するものではありません。日常的なメンテナンス作業と、攻撃者による新たな設定とは、全く異なるものだからです。
削除は稀であり、かつ目立つ。受信メールを削除するメールボックスルールはごくわずかだが、アナリストがそのようなルールを発見した場合、通常のケースよりもはるかに高い頻度でエスカレーションされる。そして、確認された事例からは、その直感が正しいことが示されている。返信やセキュリティ通知を埋もれさせるための削除は「隠蔽」行為であり、データ上でもそのように振る舞う。古い「フォルダへの移動」ルールの変更が「ノイズ」であるのに対し、削除は「シグナル」である。
転送はグレーゾーンです。転送は中間に位置しており、稀でもなければ日常的でもありませんが、その背後には確認済みの悪意ある事例が実際に一定数存在します。すべてが明確に区別できるわけではなく、転送こそが注意を緩めてよい場所ではなく、最も注意を払うべき場所なのです。それを率直に述べることも、重要なポイントの一つです。
攻撃者が自ら正体を露呈してしまう方法。確認済みの事例では、2つの特徴が繰り返し見られました。攻撃者が作成したルールには、奇妙で簡素な名前、単一の文字、1つか2つの点などが不釣り合いなほど多く見られ、これらは人が通常選ばないような、使い捨てのようなラベルです。また、攻撃者がメールを移動させる際、独自に設定したフォルダではなく、標準のデフォルトフォルダを好んで使用します。いずれも単独では決定的な証拠とは言えませんが、これらを組み合わせることで、攻撃者の実像がより鮮明になります。
SOCがこれを活用してできること
このようなプロファイルは、日常的な動きを抑制しつつ、真に不審な動きを際立たせるという、2つの目的を同時に果たすことができます。Vectra AIプラットフォームにおけるスコアリングの仕組みにより、これを安全に行うことが可能です。すべての検知には、ルールの動作に基づいた重大度が割り当てられ、その重大度は他の要因とともに、同一アカウント上で発生しているすべてのアクティビティを反映した単一のアカウントレベルスコアに集約されます。 したがって、日常的なパターンがもたらす深刻度を低減しても、死角が生じることはありません。異常なログインやその他の独立したシグナルが見られるアカウントは、依然として最優先で検出されます。日常的な動きは目立たなくなり、真に不審な組み合わせは引き続き明確に検出されるのです。
重要なのは、これらはいずれも自動的には行われないという点です。当社の履歴上では日常的なパターンに見えるものでも、あくまで仮説に過ぎません。そのため、そのプロファイルの各要素が何らかの判断材料となる前に、当社で確認済みの攻撃事例と照らし合わせて検証を行います。また、検知スコアの算出方法に変更を加える場合は、そのまま本番環境に導入するのではなく、必ずセキュリティレビューを経る必要があります。
これにより、どのような点が改善されるのか
このようなプロファイルの真の意義は、プロファイルそのものにあるのではなく、それによって検知機能や関連するサービスがどのようなものになるかにある。かつては経験豊富なアナリストの頭の中にしか存在しなかった直感が、明確かつ再利用可能な形となるため、ケースごとに同じ判断を改めて導き出す必要がなくなる。日常的な行動は無視しつつ、真に不審な組み合わせには引き続き注意を向けられるようになる。つまり、誤検知による時間のロスを減らし、実際に注意を払うべき事象により多くの注意を向けられるようになるのだ。 そして、日常的な優先順位付け作業は、バックログの中に埋もれてしまうコストではなく、フィードバックループへと変化します。検証されたパターン一つひとつが、次の検知サイクルを少しずつ鋭敏にしていくのです。その結果、サービスは「静かであるべき場所」では静かに、「騒がしくあるべき場所」では騒がしくなり、稼働時間が長くなるほど、その両者を区別する能力が高まっていくのです。
具体的なプロファイルも有用ですが、それよりも重要なのはその背後にある手法です。どのSOCも、アナリストの意思決定の歴史の上に成り立っており、そこには攻撃者の行動に関する苦労の末に得られた知見が静かに織り込まれています。しかし、そのほとんどは文書化されていません。その歴史を単なる未処理案件としてではなく、洞察の源泉として捉えることで、日々のトリアージはフィードバックループへと変わり、検知精度を高めると同時に、アナリストの時間を節約することにつながります。
Vectra AIの特長
ここで説明するメールボックス・ルール・プロファイルは、Vectra AIが行動検知機能を継続的に改善している一例に過ぎません。すべての検知は、継続的なセキュリティ研究、実際の攻撃者の動向の観察、および当社のMDRチームからのフィードバックに基づいて行われています。AI、行動分析、そして人間の専門知識を組み合わせることで、セキュリティチームはノイズの調査に費やす時間を減らし、真に重要な脅威への対応により多くの時間を割くことができるようになります。
Vectra AI Platformが、AIを活用した行動検知機能を用いて、ID、クラウド、SaaS、エンドポイント、ネットワークにまたがるハイブリッド型攻撃をどのように阻止するのかをご覧ください。