サイバー脅威はもはや孤立した個人から発せられるものではなく、異なる意図と能力を持つ、洗練され、よく組織化された様々な主体から生み出されるものである。
脅威行為者の種類
国家が支援するアクター
脅威主体の階層の頂点に位置するのは、国家が支援するグループである。これらの勢力は通常、各国政府の支援を受け、豊富な資源と高度な技術力を有している。彼らの主な動機は地政学的なものであることが多く、他国に対する戦略的優位を得ようとします。これには、重要インフラの破壊、スパイ活動、外国や国内の政策への影響などが含まれる。国家に支援されたアクターは洗練されているため、複雑で影響力の大きいサイバー作戦を実行することができ、特に危険である。
国家が支援するアクターの例としては、以下のようなものがある：
- APT29（コージー・ベア）：ロシア諜報機関との関連が疑われるAPT29は、数々の著名なサイバースパイ活動に関与してきた。特筆すべきは、米大統領選への影響を狙った2016年の米民主党全国委員会のメール流出事件に関与していたことだ。
- 人民解放軍（中国）の61398部隊：このグループは中国軍の一部であると考えられており、主に米国内の幅広いターゲットに対してサイバースパイ活動を行ったとして告発されている。知的財産の窃盗や産業スパイを中心に、洗練された戦術と長期的な潜入戦略で知られている。
組織化されたサイバー犯罪集団
組織化されたサイバー犯罪グループは、脅威行為者のもう一つの手ごわいカテゴリーを代表する。国家が支援するアクターとは異なり、彼らの主な動機は金銭的利益です。これらのグループは組織化されており、しばしば企業のように活動し、高度なツールとテクニックを駆使して大規模なサイバー窃盗、詐欺、ランサムウェア攻撃を実行します。これらのグループの専門性と機知によって、企業や個人を問わず、持続的な脅威となっている。
組織化されたサイバー犯罪集団の例としては、以下のようなものがある：
- ラザロ・グループ：北朝鮮に関連するこのグループは、金銭的利益を目的としたサイバー犯罪活動で悪名高い。2014年のソニー・ピクチャーズへのハッキングや2016年のバングラデシュ銀行強盗に関与し、8億5000万ドル以上を盗み出そうとした。
- FIN7：高度に洗練され組織化されたサイバー犯罪集団で、主に米国の小売、レストラン、ホスピタリティ部門を標的としていることで知られている。主に巧妙な手口で数百万件のクレジットカード番号を盗み出すことに成功している。 フィッシング キャンペーンやmalware 展開によって、数百万件のクレジットカード番号の窃取に成功している。
ハクティビスト
ハクティビズムは、ハッキングとアクティビズムのユニークな融合であり、政治的または社会的変化を促進することが主な動機である。ハクティビストは、自分たちが非倫理的または不当だと認識している組織や政府に対して、そのスキルを使ってサイバー攻撃を仕掛ける。彼らの活動は、ウェブサイトの改ざんから分散型サービス拒否（DDoS）攻撃の開始まで多岐にわたるが、その目的はすべて、自分たちの大義に注目を集めたり、標的の業務を妨害したりすることにある。
ハクティビストの例としては、以下のようなものがある：
- アノニマス：おそらく最も有名なハクティビスト集団であるアノニマスは、政府、宗教、企業のウェブサイトに対してサイバー攻撃を仕掛けることで知られる分散型集団である。サイエントロジー教会のウェブサイトをダウンさせたり、ISISに対する作戦を開始したりと、さまざまな行動に関与している。
- LulzSec：アノニマスからスピンオフしたLulzSecは、政治的な動機というよりも、しばしば "笑い"（笑）のために行われる知名度の高い攻撃で知られていた。彼らはCIAやソニー・ピクチャーズを含むいくつかの主要な組織を攻撃し、その大胆なアプローチと被害者を公衆の面前で愚弄することで知られている。
インサイダーの脅威
インサイダーの脅威は、組織に害を及ぼすためにアクセス権を悪用する組織内の個人から生じる。このような個人は、従業員、請負業者、またはビジネス・パートナーである。インサイダーの脅威には、意図的なもの（不満を持った従業員が復讐を企てるなど）もあれば、偶発的なもの（従業員が無意識のうちに過失によってセキュリティを危険にさらすなど）もある。内部関係者は組織のシステムやプロセスを深く知っているため、この種の脅威に対する防御は特に困難です。
インサイダー脅威の例としては、以下のようなものがある：
- チェルシー・マニング：ウィキリークスに大量の機密文書を流出させた米陸軍情報分析官。この事件は、機密情報にアクセスできる内部の人間に起因する大規模なデータ漏洩の可能性を浮き彫りにした。
- エドワード・スノーデン：2013年に国家安全保障局（NSA）の機密情報を公開した元NSA契約者。NSAの監視行為に関する彼の暴露は、特に諜報組織における内部脅威に関するリスクに世界的なスポットライトを当てた。
サイバー攻撃の動機
脅威行為者は、さまざまな動機によって活動を推進している。一般的な動機には次のようなものがある：
スパイ活動（企業および政府機関）
サイバースパイ活動は、企業にとっても政府にとっても重大な関心事である。スパイ行為に従事する行為者は、政府の機密データから企業における企業秘密に至るまで、機密情報を盗もうとする。その動機は、地政学的分野であれ企業分野であれ、競争上または戦略上の優位を得ることにある。
財務上の利益
サイバー犯罪の世界で最も単純な動機は金銭的な利益である。これには、直接的な資金の窃盗、機密情報の売却につながるデータ侵害、重要なデータやシステムへのアクセスを回復する代わりに支払いを要求するランサムウェア攻撃などが含まれる。
混乱と破壊
一部のサイバー攻撃は、混乱や完全な破壊を引き起こすことを目的としている。これは特に、国家に支援されたアクターやハクティビストによく見られる。このような攻撃は、国家の重要なインフラを標的にしたり、サービスを妨害したり、場合によっては物理的な損害を与えたりする。この場合の動機は、地政学的ライバルの弱体化から、特定の政策や行動に対する抗議まで様々である。
評判と影響力
懸念が高まっているのは、世論を操作したり、組織の評判を傷つけたりすることを目的としたサイバー攻撃である。これには、偽情報の拡散、ソーシャルメディア・アルゴリズムの操作、ジャーナリズムや政治団体の完全性への攻撃などが含まれる。ここでの目的は、世論に影響を与えたり、社会の調和を乱したりすることである。
Vectra AIで脅威を検知 するには？
Vectra AIは、組織のネットワーク内の脅威行為者を検出するための貴重な機能を提供します。ここでは、Vectra AIが脅威行為者の検出にどのように役立つかを紹介します：
- 振る舞い分析：Vectra AIは、高度な振る舞い 分析と機械学習アルゴリズムを活用し、ネットワーク内のユーザー、デバイス、アプリケーションの正常な動作のベースラインを確立します。そして、脅威行為者の存在を示す可能性のある異常な行動を継続的に監視します。不正アクセスの試み、横方向への移動、データの流出など、通常の動作からの逸脱は、さらなる調査のためのアラートのトリガーとなります。
- リアルタイムのモニタリング Vectra AIは、ネットワークトラフィック、エンドポイント、クラウド環境をリアルタイムでアクティブに監視します。ネットワークパケット、ログ、メタデータを分析することで、脅威行為者に関連するパターン、侵害の指標、疑わしい活動を特定します。この継続的な監視により、悪意のある活動を早期に検知し、脅威行為者がネットワーク内に滞留する時間を短縮します。
- 脅威インテリジェンスの統合：Vectra AI は、外部の脅威インテリジェンスフィードと統合し、検出能力を強化します。ネットワーク活動を既知の侵害指標や脅威行為者の行動と関連付けることで、Vectra AIは脅威行為者に関連する特定の戦術、技術、手順（TTP）を特定することができます。この統合により、検知精度が向上し、潜在的な脅威のプロアクティブな特定が可能になります。
- 自動化された検知と対応：Vectra AIは脅威の検知を自動化し、セキュリティチームにリアルタイムでアラートを提供します。これらのアラートには、検出されたアクティビティに関するコンテキスト情報が含まれており、迅速かつ的を絞った調査が可能です。さらに、Vectra AIは、セキュリティオーケストレーション、自動化、レスポンス（SOAR）プラットフォームと統合し、侵害されたデバイスの隔離や悪意のある通信のブロックなどのレスポンスアクションを自動化することができます。
- 脅威ハンティング機能：Vectra AIは、セキュリティチームがプロアクティブな脅威ハンティング活動を実施できるようにします。インタラクティブなビジュアライゼーションと検索機能を備えたユーザーフレンドリーなインターフェイスにより、アナリストはネットワークアクティビティを探索し、カスタムクエリを作成し、潜在的な脅威行為者の行動を調査することができます。この機能により、アナリストは隠れた脅威を探索し、高度な持続的脅威（APT）を特定し、脅威行為者に関する追加情報を収集することができます。
- インシデントレスポンスのサポート脅威者の存在が確認された場合、Vectra AIはインシデントレスポンス活動を支援します。詳細なフォレンジックとレトロスペクティブ分析を提供することで、セキュリティチームは脅威行為者の行動を追跡し、侵害の範囲を理解し、組織への影響を評価することができます。この情報は、封じ込め、修復、インシデント発生後の分析を支援します。