セキュリティチームやレッドチームは、脅威シミュレーションを行う際、複雑なプレイブックや精巧なキルチェーンを用いることが多いです。しかし実際には、攻撃者にそのような高度な手法は必要ありません。現実でよく見られるのは、侵入が驚くほど簡単であるということです。実際の侵入はスクリプト化された手順には従わず、弱い設定、漏洩した認証情報、監視されていないアクセス経路といった「低いハードル」を狙います。
初期侵入は依然として、攻撃の中で最も単純かつ効果的なステップです。攻撃者がどのようにその最初のチャンスをつかむのかを理解することこそが、「予防のチェックリスト」と「真のレジリエンス（強靭性）」を分けるのです。
初期侵入の現実
現代の環境は単一の境界ではありません。今守るべきは、データセンター、クラウドプラットフォーム、SaaS アプリ、リモートエンドポイントが相互接続されたウェブ状の環境です。そのすべてが侵入ポイントであり、攻撃者はそれを熟知しています。
初期侵入は通常、次のいずれかの経路で発生します。
- 技術的な侵害：未適用の脆弱性、公開されたサービス、誤設定された資産の悪用
- IDの侵害：盗まれた／悪用された認証情報、情報窃取型マルウェア（infostealer）、SIM スワップ、悪意あるフェデレーション設定など
攻撃者にとって、高度なマルウェアやゼロデイ脆弱性は必ずしも必要ではありません。多くの場合、認証情報、トークン、VPN キーなどがオンラインで売買されています。アンダーグラウンドのマーケットには「初期アクセスブローカー」と呼ばれる業者が存在し、組織への正規な足掛かりを取引しています。これにより、脅威アクターは「侵入の苦労を省き、直接内部にアクセスする」ことが容易になっています。
現実のプレイブック：攻撃者が実際に行っていること
攻撃者は「うまくいく手法」を何度でも再利用します。SOC チームが認識すべき一般的なシナリオをいくつか紹介します。
1. 偶発的な設定ミス
「DC Healthlink は私の最大のハックの一つだったけど、実際にはハックですらなかった。公開されていたんだ。複雑なことは何もなく、ただのパブリックバケットだった。完全にオープンだった。」
— IntelBroker
攻撃者はSHODAN のような検索エンジンを使い、公開状態のデータストアや誤設定されたクラウドサービスをスキャンします。見つけたら、弱いアクセス権限や漏洩したアクセスキーを悪用して、本来見えてはいけない資産にアクセスします。
2. サプライチェーンを狙うショートカット
Snowflake のインシデントは、サプライチェーンにおける新たなリスクを浮き彫りにしました。攻撃者は情報窃取マルウェアによって盗んだ契約業者の認証情報を使い、企業データへアクセスしました。たとえ自社の防御が強固でも、パートナーのノート PC が最弱のリンクになることがあります。
「自宅の従業員をスピアフィッシングして RAT を仕込み、業務用ノート PC から MSP を侵入する。
時にはその配偶者を狙った方が簡単な場合もある。そこからピボットするんだ。」
— Ellyel8*
また、最近のNPM サプライチェーン攻撃も同様です。悪意のあるコードを注入したパッケージが開発環境に直接導入され、暗号通貨取引を標的にしていたペイロードが、やがて自己増殖型のワーム（現在はShai-Huludとして追跡中）へと進化し、数百ものソフトウェアパッケージを侵害しました。
3. アイデンティティの乗っ取りと SIM スワップ
Scattered Spider などのグループは「人の信頼」を悪用します。SMS フィッシングやソーシャルエンジニアリングで従業員を狙い、電話番号をクローンして MFA トークンをリセットします。そこから メールルールの改ざんや フェデレーション信頼の悪用により永続的なアクセスを確立します。さらに、こうしたグループは社内の協力者（内部犯）をリクルートし、認証情報の提供に報酬を支払うこともあります。
4. 国家レベルのステルス攻撃
Volt Typhoon のようなキャンペーンは、標準ツールを用いた “Living off the Land” 手法を採用しています。レジストリハイブを収集し、ログを消去し、PowerShell を使用して正規トラフィックに紛れ込みます。これにより、エンドポイントベースの防御をほぼ完全に回避します。
なぜ「予防」だけでは不十分なのか
MFA、パッチ適用、EDR などの予防的コントロールは重要ですが、完全ではありません。管理外のエンドポイント、再利用された認証情報、改ざんされたログ ― どれも現実に起こります。攻撃者はエージェントを無効化または回避することもよくあります。一度侵入を許すと、次に問われるのはこうです：「攻撃者の次の行動を可視化できるか？」
SOC チームには、エンドポイントやログの完全性に依存しない可視性が必要です。そこで重要になるのが、ネットワークおよびアイデンティティのテレメトリです。
効果的な検知とは何か
検知の中心にあるべきはシグネチャではなく振る舞いです。侵入を完全に防げなくても、被害が発生する前に攻撃者の振る舞いを特定することは可能です。
以下はその基本原則です。
- エージェントレス可視化：EDR が存在しないリモート端末、管理外資産、レガシーシステムでもトラフィックを観測できるセンサーを展開する。
- アイデンティティコンテキスト：認証イベントとネットワークフローを相関させる。新しい場所やデバイスからの正規ログインも無視しない。
- 振る舞い分析：メールルール作成、特権昇格、フェデレーショントラスト変更などを追跡。
- 証拠の保全：ログが消去される前提で、改ざんできないパケットキャプチャやネットワークテレメトリを活用。
- AI によるトリアージと優先度付け：横展開パターンや高リスク行動チェーンを自動検出。
Vectra AIプラットフォームが検出を強化する方法
Vectra AI プラットフォーム は、ネットワーク層とアイデンティティ層におけるエージェントレス検知を提供し、攻撃者が回避できない可視性を実現します。オンプレミスからクラウド、SaaS に至るまでのハイブリッドトラフィックを継続的に分析し、認証行動と相関付けることで、認証情報の悪用・トンネリング・特権昇格などの脅威を検知します。
AI 主導の分析により、ノイズの多いアラートを整理し、本当に重要な行動だけを浮かび上がらせることで、SOC チームは迅速かつ確信を持って対応できます。攻撃者に削除された可能性のあるログに依存するのではなく、環境内で実際に何が起こっているのかを継続的に把握できます。
次のステップ
すべての認証情報やパートナーのノート PC を管理することはできません。しかし、攻撃者の振る舞いを可視化する力はコントロールできます。
エージェントレス検知がどのように初期侵入を明らかにするのかについては、「Attack Lab: Initial Access」の最初のセッション をご覧ください。また、今後配信予定の「Persistence and Lateral Movement」のエピソードにもご登録ください。または、Vectra AI プラットフォームのセルフガイドデモで、ハイブリッド環境全体における攻撃者の振る舞いの検知を実際にご体験ください。
---
* 引用元：Vinny Troia 著『 “Grey Area: Dark Web Data Collection and the Future of OSINT”』