APT攻撃
イントラネットの設計・構築・運用管理において、多層防御を行う必要がある 。
潜入しているマルウェア(遠隔操作ツール RAT)を発見するためには、そのRATが行うネットワーク内外への通信を捉えることが重要である。
クライアントPCについて、Windows標準のセキュリティ機能(ZoneID、AppLocker等)を設定することによって、メール添付ファイルの実行を抑止できる。
マルウェアを検出したクライアントPCをネットワークから自動遮断するソリューションを活用することができる。
スーパーユーザーのアクセス権限の設定において、アイデンティティ管理ソリューションの、いわゆる特権ID管理ソリューションを活用することができる。
攻撃者が心理的に「内部偵察」しにくいようにイントラネットのシステムを設計し、攻撃者の「内部偵察」活動を発見するための「トラップ(罠)」を設置し、システム管理者が「水平展開」活動に早期に気付くことができるようにする必要がある。
攻撃の痕跡をデータログに捕捉できるようにサービスや機器を設定する。
各システムのデータログを関連付けて把握し易くするためにはSIEM(Security Information and Event Management)ツールを導入する。その前提として、各システムの時計を同期させておく必要がある。
組織内にCSIRT(Computer Security Incident Response Team)を編成し、運営する。