初期アクセスを検出することは、シグナルの忠実度の問題です。ほとんどのIDツールは、どちらの方向でも間違っており、アナリストをノイズで埋もれさせ、実際の侵害を見逃しています。Vectra AIによる確認済みアカウント侵害に関する調査は、シグナルの忠実度がもたらす違いを示しています。Vectra AIによって明らかになった高度な侵害は、アナリストがトリアージする必要のある約200のネイティブリスクアラートの中に埋もれていました。 この記事では、ネイティブシグナルが不十分な理由と、Vectra AIのモデルが見逃したものをどのように検出するかについて説明します。
深刻な侵害のほぼすべてにおいて、その入り口には「サインイン」というプロセスが存在します。有効な認証情報を持つ攻撃者は、何らかの脆弱性を悪用しているわけではありません。彼らは単に認証を行っているだけであり、その認証機能は設計通りに動作しているのです。その瞬間を捉えれば、対応はパスワードのリセットだけで済みます。しかし見逃してしまえば、その後1ヶ月にわたって、システム内への永続的な足場の確保（パーシステンス）、メールボックスのルール設定、そしてデータの持ち出しといった脅威を追いかける羽目になるでしょう。
では、なぜこれほど多くのSOCチームが、初期アクセスに関するアラートを信用していないのでしょうか？
異常検知は変化を検知すると作動します。新しい国、新しいIPアドレス、新しいデバイスなどです。しかし、実際の組織では変化は絶え間なく起こります。アナリストは、そのようなアラートを即座に解決する方法を習得します。一方、重要な侵害は、多くの場合、これらの基準では異常ではありません。LinkedInで10分間検索すれば、攻撃者は適切な国から適切なオペレーティングシステムで侵入できます。ネイティブリスクシグナルのみに依存するSOCは、その限界をセキュリティ体制として引き継ぎます。彼らは、攻撃者が既にその範囲内に留まることを学習したシグナルによって制約されるのです。
シグナルを偽造するのにかかるコストは一律ではない、そして、ネイティブシグナルは、そうした低コストで偽造できるシグナルを基盤として構築されている
サインイン属性に関して問うべき有益な点は、それが「珍しい」かどうかではありません。攻撃者がそれを再現するのにどれだけのコストを要するか、という点です。
この最後のカテゴリーは、おそらくモデル化が最も難しく、かつ最も重要なものです。なぜなら、攻撃者が金で解決できないのがこのカテゴリーだからです。
これは、ネイティブなシグナルのみに依存することの誤謬です。ネイティブなリスクシグナルは、主にIPレピュテーション、地理情報、クライアント属性といった基本的な要素から構成されていますが、これらは攻撃者によって制御可能なものです。さらに悪いことに、これらのシグナルはテナント間で概ね同様の挙動を示すため、攻撃者はそれらを標的とした「予行演習」を行うことができてしまいます。ある環境でリスクの閾値を下回るような手法は、他のあらゆる環境でも同様に閾値を下回る可能性が高いのです。
最後の行にあるシグナルは、それを反転させたものです。ネットワークやアプリケーションの履歴は組織内部にのみ存在するため、外部に照合・参照できる対象は何もありません。
Vectra AIのアプローチ：コストで重み付けされた多次元ベースライン
Vectra AIの初期アクセス検知機能は、多次元的なベースラインを学習するAIモデルに基づいています。このベースラインとは、人間や非人間（サービスアカウント等）の各ID、およびそれらが属する組織における通常のサインイン活動を統計的に表現したものです。これには、ネットワーク履歴、地理的情報、デバイスやクライアントの属性、アプリケーションの挙動などが含まれます。モデルは、組織独自の活動データから継続的に分布を学習します。単一の要素だけで判断が下されることはありません。サインインの評価は、経験豊富なアナリストが行うのと同様の手法で行われます。つまり、そのIDや所属組織に関して既に把握されているあらゆる情報と照らし合わせ、特定の時点における活動として分析するのです。
ベースラインは学習された確率分布であるため、新たなサインインが発生するたびに、その「サプライザル（驚き度）」に基づいてスコアを算出できます。サプライザルとは情報理論の指標であり、モデルが学習した内容に照らして、その観測事象がいかに起こりにくいものかを正確に数値化するものです。日常的な活動のスコアは低くなり、真に前例のない活動のスコアは高くなります。そして、その中間に広がる膨大な領域こそが、実際の業務の大半が行われる場所なのです。
次に、偽造コストの順序付けによって重み付けが行われます。簡単に偽造できるものに対する高い驚き度は低い評価となり、攻撃者が知り得なかったものに対する驚き度は高くなります。検出は目新しさだけで作動するのではなく、製造にコストがかかるであろう目新しさに対して作動します。
実際に確認された攻撃を基準にその効果を測定すると、高精度な検知と優先順位付けが実現されています。参考までに、Microsoft独自の「リスクシグナル」では、これらと同じサインインの危険度は「中」以下と評価されていました。これは、Vectra AIのモデルが1件の実際の侵害として提示する事象に対し、アナリストが約200件ものアラートをトリアージ（選別・精査）しなければならないレベルの評価です。
Proofpoint：過去のデータを学習するAI 対 わずかな変化にも過剰反応するアラート
どこのSOCでもこれまでに何百回と処理してきた、あるアラートの例を考えてみましょう。普段は米国で勤務している従業員が、シドニーにある会社のオフィスへ出張します。
ネイティブアラートがパニック状態に陥る：国が新しく、IPアドレスが新しく、ネットワークも新しい。アナリストは出張の確認に20分も費やします。これを毎週、すべての出張者に当てはめてみましょう。これが、セキュリティ運用チームが直面する典型的なアラート疲労です。
一方、攻撃者はわずか数ドルのコストで、そうした警告をすり抜けてしまいます。適切な国のVPNエンドポイント、適切なOS、そして適切なユーザーエージェントを用意するだけです。これらは模倣が容易な属性であるため、ネイティブなシグナル（システムが本来検知する情報）には、警告を発するに値するような不審な点は何一つ映りません。
Vectra AIのサプライズモデルは、攻撃者が見ることができない履歴に基づいてスコアリングを行うため、両方の瞬間を正しく読み取ります。旅行者の「新しい」ネットワークは、組織にとって新しいものではありません。数百人の同僚が既にそのオフィスにサービスを提供しているプロバイダーを通じて認証を行っています。攻撃者のサインインは、同じテストに失敗します。テナントの誰も使用したことのないネットワーク、未登録のデバイス、そしてあらゆる新規の認証情報窃盗犯が必要とする広範なアクセスポイントへの一直線の攻撃。安価な属性はスコアが低く、高価な属性はスコアが高くなります。その結果、一貫性のある攻撃シナリオが1つ作成されます。
初期アクセス：進化し続ける課題と防御側の先手を取るための取り組み。初期アクセスの検知は、静的な課題ではない
ネイティブシグナルを回避する技術はますます普及しつつある。かつては高度なスキルを必要としたプロキシインフラ、住宅用IPサービス、セッションハイジャックツールキットなどが、今では手軽に購入できるものとなっている。攻撃者は、より巧妙になることなく、攻撃手法を磨き続けている。
正真正銘の「境界線上のケース」も存在します。空港のWi-Fiに接続し、管理外のデバイスを使用し、テナント内の誰も関与していないネットワークを経由している従業員であっても、初期段階の侵入が引き起こすパターンと類似した挙動を示すことがあるのです。こうしたケースでは、説明を要するようなアラートが生成されることもあります。
Vectra AIのモデルが、静的なルールセットではなく、動的な学習システムとして構築されているのはそのためです。モデルは、実際の運用環境での結果や確認された攻撃事例に基づいて絶えず評価され、境界領域のケースはモデルの改良にフィードバックされます。また、新たなアクセス手法が登場すれば、それに応じてベースラインや重み付けも変化します。攻撃者は、変更コストの低い手法を次々と試行・修正してきます。Vectra AIのモデルは、攻撃者が隠すことのできない要素から学習を行います。この学習のループこそが、脅威検知において常に一歩先を行くことを可能にしているのです。
さいごに
「初期アクセス」の段階こそ、検知機能が真価を発揮する領域であり、同時に多くのツールが十分な信頼を得られていない領域でもあります。すべてのシグナルを等しく扱う検知エンジンでは、攻撃者に付け入る隙を与えてしまいます。これに対し、組織独自の過去のデータから学習したベースラインを基準とし、シグナルの再現にかかるコスト（攻撃者にとっての実行難易度）に基づいて各シグナルの重み付けを行うことで、状況は一変します。日常的な変更による不要なアラートは発生しなくなり、実際に発報されたアラートは調査する価値のあるものとなります。Vectra AIの初期アクセス検知モデルは、まさにこのアプローチを基盤として構築されています。
その結果、アナリストはトリアージ（選別）ではなく、実際のアクション（対応）に注力できるようになります。リーダーは、インシデント対応（IR）の段階ではなく、パスワードリセットの段階で侵害を把握することになります。
こうしたシグナルに関する課題は、単なる「初期侵入」の段階にとどまりません。攻撃者は一度侵入すると、ID、ネットワーク、クラウドサービス、SaaSアプリケーション、エンドポイント、OT/IoT環境、さらには近年増加しているAIエージェントへと活動範囲を広げ、現代の攻撃対象領域（アタックサーフェス）の至る所に攻撃の痕跡を残していきます。Vectra AIプラットフォームは、これら個々のシグナルを統合し、AIを活用して攻撃者の行動やコンテキストを把握するとともに、攻撃の進行に合わせて一連の活動を関連付けます。その結果として得られるのが、攻撃の動きをどこまでも追跡できる精度の高い「Attack Signal Intelligence」です。これにより、セキュリティチームは重要な事象を早期に把握し、攻撃者の行動を理解した上で、確信を持って対処できるようになります。