勝手翻訳：Strengthening Security Configurations to Defend Against Attackers Targeting Cloud Services


原点を読む参考としての勝手に機械翻訳（無保証）です。

[Analysis Report (AR21-013A)Strengthening Security Configurations to Defend Against Attackers Targeting Cloud Services](https://us-cert.cisa.gov/ncas/analysis-reports/ar21-013a)

# サマリ
サイバーセキュリティ・インフラストラクチャセキュリティ機構（CISA）は、最近、さまざまな組織のクラウドサービスに対するサイバー攻撃が成功していることを認識しています。脅威の主体は、フィッシングやその他のベクターを利用して、被害者のクラウド・サービスの構成におけるサイバー・ハイジーンの不備を悪用しています。本レポートでは、CISAのインシデント対応活動から得られた情報をもとに、CISAがこれらの活動の一環として観測した戦術、技術、手順、侵害の兆候（IOC）、および組織がクラウド環境の構成を強化して潜在的な攻撃から保護、検出、対応するために推奨される軽減策を紹介しています。

IOCsのダウンロードは、AR21-013A.stixを参照してください。

注：この分析レポートに記載されている活動や情報は、特定の脅威活動家と明確に結びついているわけではなく、SolarWinds Orion Platformソフトウェアの侵害やその他の最近の活動に起因する高度持続性脅威活動家と具体的に関連していることもわかっていません。

# 説明
## 背景
この種の攻撃は、被害組織の従業員が遠隔地で勤務しており、会社のノートパソコンと個人のデバイスを併用して各クラウドサービスにアクセスしている場合に頻繁に発生します。セキュリティツールを使用しているにもかかわらず、被害を受けた組織では一般的にサイバーハイジーンが弱く、そのために脅威のある人物が攻撃を成功させることができました。

## 技術的詳細
これらの攻撃に関与したサイバー脅威企業は、フィッシング、ブルートフォース（総当り）によるログイン試行、さらには「パス・ザ・クッキー」攻撃など、さまざまな戦術や技術を用いて、被害組織のクラウド・セキュリティ対策の弱点を突こうとしました。

### フィッシング
CISAは、サイバー犯罪者が悪意のあるリンクを含むフィッシングメールを使用して、ユーザーのクラウドサービスアカウントの認証情報を盗み出す行為を確認しました（Phishing: Spearphishing Link [T1598.003]）。このサイバー脅威企業は、安全なメッセージへのリンクを含むメールや、ファイルホスティングサービスのアカウントへの正当なログインを装ったメールを作成しました。対象となる受信者が認証情報を提供した後、脅威の行為者は、盗んだ認証情報を使用して、ユーザーのクラウド・サービス・アカウントへの初期アクセス（TA0001）を獲得しました（Valid Accounts[T1078]）。CISAは、アクターのログイン情報が海外から発信されていることを確認しました（ただし、アクターはプロキシやTor（The Onion Router）を使用して所在地を不明瞭にしていた可能性があります）。その後、ユーザーのアカウントからメールを送信し、組織内の他のアカウントをフィッシングしました。これらのメールには、組織のファイルホスティングサービスと思われる文書へのリンクが含まれている場合もありました。

ある組織では、企業ネットワークへのアクセスに仮想プライベートネットワーク（VPN）を必要としていませんでした。ターミナルサーバはファイアウォール内に設置されていましたが、リモートワークの態勢をとっていたため、ターミナルサーバの80番ポートを開放し、リモートの従業員がアクセスできるように設定されており、組織のネットワークが脆弱になっていました。このことを利用して、ブルートフォースによるログインを試みました（ブルートフォース[T1110]）。

### フォワーディング・ルール
CISAは、複数の案件において、ユーザーが仕事用の電子メールを個人の電子メールアカウントに転送するように設定した電子メール転送ルールを利用して、機密情報を収集する脅威の行為を確認しました（Email Collection: Email Forwarding Rule [T1114.003]）。

#### 修正されたフォワーディング

あるケースでは、ユーザーが特定の送信者から送信された電子メールを個人アカウントに転送するように設定したユーザーアカウント上の既存の電子メールルールを、脅威の行為者が修正し、その電子メールを行為者が管理するアカウントにリダイレクトしたとCISAは判断しました。脅威の行為者は、すべての電子メールを脅威の行為者のアカウントに転送するようにルールを更新しました。

### キーワード検索ルール

また、既存のルールを変更して、ユーザーの電子メールメッセージ（件名および本文）を金融関連の複数のキーワード（スペルミスを含む）で検索し、その電子メールを脅威の行為者のアカウントに転送しました。

### 新規ルールの作成と転送

既存のユーザーメールルールの変更に加えて、脅威作成者は新たなメールボックスルールを作成し、ユーザーが受信した特定のメッセージ（特に、特定のフィッシング関連キーワードを含むメッセージ）を正当なユーザーのRSS（Really Simple Syndication）フィードまたはRSS Subscriptionsフォルダに転送して、警告が正当なユーザーに表示されるのを防ぐようにしました。

### 認証
CISAは、脅威の行為者が適切な多要素認証（MFA）を使用して1人のユーザーのアカウントにサインインしたことを確認しました。このケースでは、CISAは、脅威の行為者がブラウザのクッキーを使用して、「パス・ザ・クッキー」攻撃でMFAを破った可能性があると考えています（Use Alternate Authentication Material: Web Session Cookie [T1550.004]）。

脅威の行為者は、いくつかのアカウントでブルートフォースログイン（Brute Force[T1110]）を試みました。しかし、この活動は成功しませんでした。この試みが失敗に終わった理由の一つとして、脅威者が正しいユーザ名とパスワードの組み合わせを推測できなかったこと、および組織がクラウド環境へのアクセスにMFAを使用していたことが挙げられます。

# 解決策
CISAでは、クラウドのセキュリティ対策を強化するために、以下の手順を推奨しています。

- 組織のニーズに基づいて、条件付きアクセス（CA）ポリシーを導入する。
- 環境内の正常なネットワーク活動のベースラインを確立する。
- Active Directoryのサインインログと統合監査ログの両方を定期的に確認し、異常な活動がないか確認する。
- MFA の実施
- ユーザが作成したメール転送ルールやアラートを定期的に確認し、転送を制限すること
- パスワードのリセットやセッショントークンの無効化について、いつ、どのように、どのような- - 理由で行うのかを理解し、緩和策を講じる。
- 特権的アクセスの保護に関する推奨ガイダンスに従う。
- 従業員が個人所有のデバイスを業務に使用することを許可しないポリシーを検討する。最低でも、信頼できるモバイルデバイス管理ソリューションを使用する。
- クライアントからのリクエストをネットワーク内で解決する。
- ユーザーがメールをドメイン外のアカウントに転送することを制限することを検討する。
- 管理者が事前に承認したアプリの統合にのみ、ユーザが同意できるようにする。
- メールルールの監査には、Security and Compliance Centerや、グラフAPIを使用して異常なアクティビティを管理者に警告するツールを用いて、強制力のあるアラートを出す。
- 例外なく、すべてのユーザーにMFAを導入する。
- 条件付きアクセスを理解し、ゼロトラストの考え方で実施すること。
- ユーザのアクセスログが有効であることを確認する。ログをセキュリティ情報・イベント管理アプライアンスに転送して集計・監視することで、ログ収集期間外のログの可視性を失わないようにする。
- CAポリシーを使用して、従来の認証プロトコルをブロックする。
- パブリックIPを持つすべてのクラウドベースの仮想マシンインスタンスに、リモートデスクトッププロトコル（RDP）のポートが開いていないことを確認する。RDPポートが開いているシステムをファイアウォールの内側に配置し、ユーザがファイアウォールを経由してアクセスする際にはVPNの使用を義務付ける。
- 意識向上とトレーニングを重視する。フィッシング詐欺などの脅威がどのようにして発生するのかを従業員に認識させる。さらに、情報セキュリティの原則と技術、サイバーセキュリティの新たなリスクと脆弱性全般に関するトレーニングを提供する。
- 従業員に責任のない報告方法を確立し、不審な行動を見たときや、サイバー攻撃の被害に遭ったと思われるときに、誰に連絡すればよいかを従業員に周知徹底する。これにより、確立された適切な緩和策を迅速かつ効率的に採用することができます。
- スパム、フィッシング、マルウェア、安全な添付ファイルやリンクなど、既存の組み込み型フィルタリング・検知製品が有効になっていることを確認する。
- M365を使用する組織は、以下の手順も考慮する必要があります。
信頼できる数名（1～3名）のユーザーをエレクトロニック・ディスカバリー（またはeDiscovery）マネージャーに任命し、M365環境（メールボックス、Teams、SharePoint、OneDrive）全体でフォレンジックコンテンツ検索を行い、悪意ある活動の証拠を探す。
- 通常の M365 ユーザーの Exchange Online への PowerShell リモーティングを無効にする。管理者以外のユーザーは無効にすることで、侵害されたユーザーアカウントを使ってテナントの構成に- プログラムでアクセスし、偵察を行う可能性を低くすることができます。
- ログインに失敗した回数を無制限に許可しないでください。これらの設定を行うには、パスワードスマートロックアウトの設定とサインインアクティビティレポートを参照してください。
- M365に関連する情報を収集するためのオープンソースのPowerShellベースのツールであるSparrowやHawkなどのツールを使用して、侵入や潜在的な違反を調査し、監査することを検討する[1][2]。

# リソース
サイバー・インシデントの特定と処理に関するガイダンスについては、CISAの「Analert on Technical Approaches to Uncovering and Remediating Malicious Activity」を参照。
システム管理者を対象としたCISAの「General Telework Guidance」を参照する。
CISAの「Analysis Report」を参照してください。Microsoft Office 365 Security Observations（2019年5月）」を追加のガイダンスとして参照してください。
また、CISAは、M365環境のセキュリティを確保するためのガイダンスを記載した「Alert: Microsoft Office 365 Security Recommendations」を発表しました。

# 参考文献
[1] スズメ： https://github.com/cisa.gov/Sparrow
[2] ホーク： https://github.com/T0pCyber/hawk

#改訂内容
2021年1月13日：初期バージョン