初期アクセスの検出は、シグナルの精度の問題です。ほとんどのID管理ツールは、その両面で誤りを犯しており、アナリストをノイズの洪水に溺れさせながら、実際の侵害を見逃してしまっています。Vectra AIが確認済みのアカウント侵害について行った調査は、シグナルの精度がいかに大きな違いをもたらすかを示しています。Vectra AIによって発見された高度な侵害は、本来であればアナリストが選別する必要があった約200件のネイティブリスクアラートの中に埋もれていたのです。 本記事では、ネイティブのシグナルが不十分である理由と、Vectra AIのモデルがそれらが見逃すものをどのように検知するのかについて解説します。
深刻な侵入事件のほぼすべては、その冒頭にログイン操作が伴っています。有効な認証情報を保持している攻撃者は、何かを悪用しているわけではありません。彼らは認証を行っており、その認証は設計通りに機能しています。その瞬間を捉えれば、対応はパスワードのリセットで済みます。しかし、その瞬間を見逃してしまうと、その後1か月間、侵入の持続化、メールボックスのルール、および情報の持ち出しを追跡することに追われることになります。
では、なぜこれほど多くのSOCチームが、初期アクセスに関するアラートを信用していないのでしょうか？
異常検知は変化を検知すると作動します。 新しい国、新しいIPアドレス、あるいは新しいデバイス。しかし、実際の組織においては変化は絶え間なく起こります。アナリストたちは、そうしたアラートを見かけたら即座に処理するよう学びます。一方、実際に問題となる侵害の多くは、こうした指標では異常とは見なされないことがよくあります。LinkedInに10分間アクセスするだけで、攻撃者は適切な国から適切なOSを使って侵入してくることができるのです。ネイティブなリスクシグナルのみに依存するSOCは、その限界をセキュリティ態勢として受け継いでしまいます。それらは、攻撃者がすでに回避方法を習得しているシグナルによって制約を受けているのです。
すべてのシグナルの偽造にかかるコストが同じというわけではありません。また、ネイティブシグナルはコストの安いシグナルを基盤としています。
サインイン属性について考える上で重要なのは、それが珍しいかどうかではありません。重要なのは、攻撃者がそれを再現するのにどれほどのコストがかかるかということです。
この最後のカテゴリーは、おそらくモデル化が最も難しく、かつ最も重要なものです。なぜなら、攻撃者が金で解決できないのがこのカテゴリーだからです。
これこそが、ネイティブ信号のみに依存することの誤りです。ネイティブのリスク信号は、IPレピュテーション、地理的要因、クライアント属性など、主に最初の行の情報に基づいて構築されています。これらは攻撃者によって操作可能です。さらに悪いことに、これらはテナント間でほぼ同じ挙動を示すため、攻撃者はそれらを相手にリハーサルを行うことができます。ある環境においてリスク閾値を下回る手法は、おそらくどの環境でも閾値を下回り続けるでしょう。
最後の行のシグナルは、その逆を示しています。ネットワークやアプリケーションの履歴は組織内にしか存在しないため、外部に対してテストを行う対象も、参照すべき情報も存在しません。
Vectra AIのアプローチ：コストで重み付けされた多次元ベースライン
Vectra AIでは、初期アクセス検知機能は、多次元的なベースラインを学習するAIモデルに基づいて構築されています。このベースラインとは、各人間および非人間のID、ならびにその周囲の組織において、ログイン活動が通常どのような様相を呈するかを統計的に表現したものです。これには、ネットワーク履歴、地理的情報、デバイスおよびクライアントの属性、アプリケーションの挙動などが含まれます。これらのモデルは、組織独自の活動データから継続的に分布を学習します。 単一の次元だけで判断されることはありません。サインインは、経験豊富なアナリストが分析するのと同じように、そのIDおよび所属組織についてすでに把握されているすべての情報と照らし合わせて、その「一瞬」として解釈されます。
ベースラインは学習された確率分布であるため、新しいサインインのたびに、その「サプライザル」に基づいてスコア付けを行うことができます。サプライザルとは情報理論における指標であり、モデルが学習したすべての情報を踏まえた上で、各観測値がどれほど起こりにくいものであるかを正確に評価するものです。日常的な行動は低いスコアとなり、真に前例のない行動は高いスコアとなります。その間の広大な領域こそが、実際の作業の大部分が行われる場なのです。
その後、「偽造コスト順」に基づいて重み付けが行われます。簡単に偽造可能なものに対する高いサプライズ値は低い報酬しか得られず、攻撃者が知り得なかったものに対する高いサプライズ値はより高い報酬をもたらします。この検出は、単なる新規性に対しては作動しません。製造に多大なコストがかかったであろう新規性に対してのみ作動するのです。
確認済みの攻撃を基準に測定した影響度：高精度な検知と優先順位付け。参考までに、マイクロソフトの標準的なリスクシグナルでは、これらのサインインは「中」レベル以上に評価されていませんでした。 このレベルでは、VectraのAIモデルが1件の実際の侵害として特定するごとに、アナリストが約200件のアラートを精査する必要があります。
Proofpoint：過去のデータを学習するAI 対 わずかな変化にも過剰反応するアラート
ほぼすべてのSOCがこれまでに100回は処理したことがあるようなアラートを考えてみましょう。普段は米国で勤務している従業員が、同社のシドニーオフィスへ出張で向かいます。
ネイティブアラートがパニックを引き起こす：新しい国、新しいIPアドレス、新しいネットワーク。アナリストは出張であることを確認するのに20分も費やす。これを、毎週、すべての出張者に当てはめて考えてみてほしい。これこそが、SecOpsが直面する典型的な「アラート疲労」である。
一方、攻撃者はわずか数ドルで、こうした警告を回避してしまう。必要なのは、適切な国のVPNエンドポイント、適切なOS、そして適切なユーザーエージェントだけだ。模倣が容易な属性のため、ネイティブなシグナルからは、警告すべき要素として認識されるものは何もない。
Vectra AIのサプライズアルゴリズムは、攻撃者が確認できない過去のデータに基づいて評価を行うため、両方の要素を正しく読み取ります。この出張者の「新しい」ネットワークは、組織にとっては新しいものではありません。 すでに数百人の同僚が、そのオフィスを担当するプロバイダーを通じて認証を行っています。攻撃者のサインインは、その同じテストに失敗します。テナント内の誰も使用したことのないネットワーク、未登録のデバイス、そして新たな認証情報を盗んだ者が必ず狙う広範なアクセスポイントへの直行ルート。安価な属性はスコアが低く、高価な属性はスコアが高くなります。その結果、一貫性のある攻撃のストーリーが浮かび上がります。
初期アクセス：進化し続ける課題と、防御側が常に一歩先を行く方法 初期アクセスの検知は、決して静的な問題ではありません。
ネイティブ信号を迂回する手法は、ますます一般化しつつある。かつては高度な技術力を必要としたプロキシインフラ、住宅用IPサービス、セッションハイジャック用ツールキットなどが、今や市販品として購入できるようになった。平均的な攻撃者は、知恵を働かせることなく、その手口をますます洗練させている。
また、まさに境界線上にあるケースも存在します。空港のWi-Fiに接続し、管理対象外の端末を使用し、テナント内の誰も手を加えたことのないネットワークを経由している従業員であっても、侵入の初期段階で生じるのと同じパターンに偶然符合してしまうことがあります。こうした場合、説明が必要なアラートが発信されることもあります。
だからこそ、Vectra AIのモデルは、静的なルールセットではなく、動的な学習システムとして構築されています。モデルは、本番環境での結果や確認済みの攻撃に対して継続的に評価され、境界事例はモデルの改良にフィードバックされます。また、新たなアクセス手法が登場するにつれて、ベースラインや重み付けもそれに合わせて変化します。攻撃者は、変更コストの低い部分を繰り返し試行します。モデルは、攻撃者が隠し切れない部分から学習し、そのループによって検知機能が常に一歩先を行くことができるのです。
要点
「初期アクセス」の段階こそ、検知が真価を発揮する場面であり、一方でほとんどのツールが最も信頼を損ないやすい場面でもあります。すべてのシグナルを均等に評価する検知エンジンでは、攻撃者に動き回る余地を与えてしまいます。しかし、シグナルの再現にかかるコストを、組織自身の履歴から学習したベースラインと照らし合わせて重み付けを行うことで、この状況は逆転します。日常的な変化によるアラートは発生しなくなり、発生するアラートは調査する価値のあるものとなります。この逆転こそが、Vectra AIの初期アクセスモデルの基盤となっています。
その結果、アナリストたちは優先順位付けを行う代わりに、即座に対応してしまう。リーダーたちは、インシデント対応（IR）の段階ではなく、パスワード再設定の段階で妥協点を見出してしまう。
このシグナルの問題は、初期アクセス段階をはるかに超えて広がっています。攻撃者が侵入に成功すると、ID、ネットワーク、クラウドサービス、SaaSアプリケーション、エンドポイント、OTおよびIoT環境、そしてますます増加しているAIエージェントを横断して移動し、現代の攻撃対象領域全体に攻撃の痕跡を残していきます。 Vectra AI Platformは、これらのシグナルを統合し、AIを活用して攻撃者の行動や状況を把握するとともに、攻撃の進行に合わせてアクティビティの相関分析を行います。その結果、攻撃の移動先を追跡する高精度な「Attack Signal Intelligence 」が実現され、セキュリティチームは重要な情報を早期に把握し、攻撃者の行動を理解した上で、確信を持って対応することができます。