セキュリティコンサルタントの日誌から

セキュリティに関するエッセイなど

CISOの役割とは？

エッセイ

※ セキュリティの7Sについて追加しました。

企業において、セキュリティ上一番えらい役職をCSOとかCISOと呼びます。（以降、基本的にCISOで統一します）

CSO(Chief Security Officer・最高セキュリティ責任者)

CISO(Chief Information Security Officer・最高情報セキュリティ責任者)

今回は、CISOの役割や給料について読み解いてみたいと思います。

そもそも、CISOというポジションは一般的なのか？

この記事によると、Fortune 100に入る企業にはCISOは導入されている一方、米国政府が初代CISOを設置したニュースや、50%ぐらいしか導入が進んでいないとする記事まだまだ導入が進んでいる役職だと思います。

ただ、以前紹介したニューヨーク州のサイバーセキュリティ規制において、CISOを任命することが一つの規制として盛り込まれたため、今後金融業界では導入がよりいっそう進むことだと思われます。

Section 500.04 最高情報セキュリティ責任者
(a) 最高情報セキュリティ責任者。 各対象事業者はサイバーセキュリティ・プログラムの導入と監督、およびサイバーセキュリティ・ポリシーの適用に責任を持つ適切な能力を持った個人を指名する必要がある。

今回は、CISOの役割や給料について読み解いてみたいと思います。

CISOの役割とは何か？

そもそも、CISOの役割は何をすべきでしょうか？

厳密に定義することは難しく、私がいろんなセキュリティ専門家に聞いただけでも、企業規模・業種により様々です。ただ、CISOが行うべき仕事のフレームワークは検討が進んでおり、いくつかその指針になるものが存在します。

CISO Mind Map

一番よく見かけるのが、このCISO Mind Mapです。これは、Rafeeq Rehman氏のブログで提唱しているもので、毎年更新されています。（画像は、ココから引用）

f:id:security_consultant:20170120203414p:plain

2016年の資料では、大きく１１種類の分野について考慮しなければならないと述べています。

  1. Governance
  2. Security Operation
  3. Identity and Access Management
  4. Risk Management
  5. Legal & Human Resource
  6. Compliance & Audit
  7. Security Architecture
  8. Budget
  9. Project Delivery Lifecycle
  10. Business Enablement
  11. Selling Inforsec to Internal

C|CISO by EC Council

EC Councilは、CEH（Certified Ethical Hacker）というペネトレーション系資格で有名ですが、彼らが出している資格の一つにCISO向けの資格があります。この資格の有効性は受験したことがないためわかりませんが、CISOが知っておくべきという内容を体系立てたという点では非常に有益な資料だと思います。

これによると、5つのドメインを学ぶ必要があります。

  1. Domain 1: Governance
  2. Domain 2: Security Risk Management, Controls, & Audit Management
  3. Domain 3: Security Program Management & Operations
  4. Domain 4: Information Security Core Concepts
  5. Domain 5: Strategic Planning, Finance, & Vendor Management

CISSP-ISSMP by (ISC)2

もう一つに、CISSPの上位資格であるCISSP-ISSMPが挙げられます。こちらでも、５つのドメインについて定義されています。

  1. Domain 1 : Security Leadership and Management
  2. Domain 2 : Security Lifecycle Management
  3. Domain 3 : Security Compliance Management
  4. Domain 4 : Contingency Management
  5. Domain 5 : Law, Ethics and Incident Management

セキュリティの７S

セキュリティの観点から組織を記述する方法として、マッキンゼーの７Sを応用するという考え方があります。

tech.nikkeibp.co.jp

CISOの役割は、組織のセキュリティを強化することです。言い換えれば、組織マネジメントを表す７Sを改善していくべきといえます。

  • Strategy（戦略）
  • Structure（組織）
  • System（システム）
  • Skill（スキル）
  • Staff（人材）
  • Style（スタイル・社風）
  • Shared Value（価値観）

CISOの組織における位置づけ

CISOの組織における位置づけはどのようなものでしょうか。

一般的な大企業であれば、経営層の一人でセキュリティに関する意思決定について経営に影響を及ぼす人と位置づけられ、CISOの上司（レポートライン）は一般的にはCIO（Chief Information Officer）であることが多く、直属の部下はSecurity Head（セキュリティ部門を率いる部門長）になることが多いと思われます。

もちろん、これも多種多様ではあり、組織ごとに異なる前提があります。

議論１：CISOの上司は誰にすべき？

RSAの調査やDeloitteの調査*1によれば、一番一般的な上司（レポートライン）はCIOで、州政府の場合は89.8%がCIOであるそうです。

但し、もちろん組織によってその様相は多種多様で、CEO（Chief Executive Officer）・CTO（Chief Technology Officer）CRO（Chief Risk Officer）などの場合もありますので特に正解はないようです。

RSAの調査によると、およそ7%のCISOのみがCEOに報告していると述べていますが、この記事はその点について問題提起しています。

www.cio.co.uk

上記の記事によると、CISOはCIOではなくCEOに報告すべきと主張しており、その理由を８つ挙げています。

  1. セキュリティは企業全体のビジネスにかかわる問題であり、IT部門のみの問題ではない。
  2. PwCによれば、CIOがレポートラインの場合インシデント起因によるダウンタイムが14%以上多く存在する。
  3. PwCによれば、CIOがレポートラインの場合、金銭的損失が46%高い。
  4. セキュリティ上の懸念によりITプロジェクトに遅延が生じるとき、CIOはセキュリティ上の懸念を無視する可能性がある。
  5. CIOは、ITの生産性を阻害するセキュリティプロジェクトの承認を渋る可能性が存在する。
  6. セキュリティプロジェクトのコストが高い場合、CIOはそのお金をITに割り当ててしまう。
  7. CEOをレポートラインとすることで、CISOとCIOはお互いに平等な立場になり、セキュリティとITの問題により明確に見渡すことができる。
  8. いくつかの規制は、CISOがCEOに報告することを義務付けている。*2

全部が正しいかはわかりませんが、CIOの役割がIT戦略の立案・実行であることから、CISOとインセンティブが相反することも考えられるため、その意味では分けたほうがよいと考えられます。

議論２：CISOとSecurity Headは何が違うの？

もう一つのポイントとして、CISOとSecurity Headはなにが違うのかという点です。

これも組織・規模により様々異なりますが、一般的には、Security Headはその配下にいる各セキュリティチーム（Security OperationチームやApplication Securityチームなど）に対して指針を示し、技術的な責任を持つことが多いと思います。

一方、CISOは、政治家・外交官的な仕事が多くなると思います。

例えば、あるグローバル企業のCISOは以下のように述べていました。

  • 50%：社内外の関係構築・維持（規制当局、顧客・各部門）
  • 30%：マネジメント（予算・セキュリティチームのパフォーマンスなど）
  • 20%：セキュリティリスク（各部門とセキュリティの意向が衝突した場合の調整）

セキュリティの技術的仔細には踏み込まず、あくまでもSecurityの意向を外部に調整したり、その逆を行ったりすることがメインな仕事だと思われます。

CISOのプロファイル

DigitalGuardian社がCISOがどんな特徴を持っているかをまとめた資料を公表しています。

一読の価値はあると思いますが、Fortune Top 10の企業のCISOは以下の経歴だそうです。（画像は当該サイトより引用）

予想通りといえば予想通りですが、情報科学・情報工学の学位ではなく経営学の学位を持っているところが個人的には面白いと感じる部分で、先に示したとおり、ビジネスを踏まえた判断ができなければいけないことを意味していると思います。

  • 男性白人
  • 40代～50代
  • 経営学の学士号を持ち、ITもしくはIT Securityに豊富の経験を持つ
  • 典型的に持つ資格は、CISSP・CISM・ITIL

f:id:security_consultant:20170121221937p:plain

CISOの給与は？

CISOの給与ってどれぐらいなのでしょうか？

少し古いですが、ForbesがSilverBullという会社を元に記事を書いています。（記事はココ、画像はココから引用）

これによると、平均年収は204,000ドル（１ドル１００円とすると約2000万円）であり、大体126,000ドル～311,000ドルの範囲となるそうです。

さらに、CISOの給与が高い６都市を挙げています。個人的には、サンフランシスコが一番高いのが以外でした。

f:id:security_consultant:20170121220424p:plain

おまけ：CSO = Scapegoat ??

CSO・CISOは最高情報セキュリティ責任者ですが、重大なのインシデントなどがあった場合、米国ではその管理責任を問われ、首になるケースも多々あります。

そのため、よく皮肉でChief Scapegoat Officerなんという冗談を言われたりします。（Scapegoatは、生贄の意味です）

まとめ

今回はCISOの役割についてまとめてみました。CISOの導入を考えている方の参考になればと思います。

*1:米国州政府に関する調査なので民間企業とは多少異なる可能性はあります。

*2:例えば、イスラエルの法律ではCISOはCEOに直接報告することを義務付けている

再考：米国の標的型攻撃訓練サービス

ペネトレーション・テスト

先日、標的型メール訓練サービスについて少し米国事情を調べたり、講演で聞いた内容をまとめる機会があり、その内容を共有します。

日本では、標的型攻撃診断では「標的型攻撃メール訓練サービス」などと呼ばれるユーザの開封率などを視覚化してくれるサービスが一般的ですが、米国のペネトレーション・テスト事情で少し異なることは前に聞いたとおりです。

www.scientia-security.org

さらに米国の講演を聞いたり色々な調べてみると、米国でのこの手のサービス形態は大きく３種類に分類されます。（現実には、それらをミックスして実施するなど厳密な分類は難しかったりはします。）

  • Awareness Phishing
  • Penetration Testing Phishing
  • Red Team Phishing

Awareness Phishing

日本で一般的な「標的型攻撃メール訓練サービス」のことで、Phishing Simulationとか呼ばれたりもします。基本的には標的型攻撃メールをユーザに知ってもらう教育目的で実施するサービスです。

そのため、通常はクライアントから教育対象となる全社員のメールアドレスをもらい、そのメールアドレスにクライアントと取り決めた訓練用メールを送り、当該メールを開封するか否かテストするサービスです。

最近では、この手のクラウドサービスがいくつか複数存在しています。比較的よく名前を聞く企業は以下の二つですが、両方とも2016年10月に公開されたガートナーの"Security Awareness Computer Based Training Magic Quaderant"にてリーダに分類されています。

ちなみに、自社内で環境を準備したければ、GoPhishなどを使うのがよいと思います。

www.scientia-security.org

Penetration Test Phishing

Penetration Test Phishingも基本的にはAwareness Phishingとやることは変わらず、手元にあるメールアドレスにできるだけ標的型メールを送り、現行のセキュリティ堅牢性を評価したり、 改善点を見つける点にあります。

ただ、Awareness Phishingと大きく異なる点とすると２点あると考えられます。

メールアドレスの収集方法

第一に、メールアドレス収集の方法がクライアントから直接もらうのではなく、OSINT（Open Source Intelligence）と呼ばれる手法によりメールアドレスを収集してデータセットを作成するという点です。この方法をとることにより、そもそも組織に対する攻撃のしやすさを評価することができると考えられます。

攻撃シナリオ

Awareness Phishingでは、メールを開いたかどうかをテストして終了となりますが、Penetration Test Phishingの場合、訓練用ではなく実際のインシデントと同じシナリオでテストを行う点で大きく異なります。

以下、以前の記事を抜粋して記載します。

話を聞いた多くの企業でも同じように標的型メールを送るのですが、訓練用ではなく実際のインシデントと同じシナリオでテストを行います。具体的には、以下の通りです。

  • 実際のマルウェアを添付したメールを送る
  • 脆弱性が仕込まれたURLを含むメールを送付する
  • フィッシングサイトへ誘導するURLを含むメールを送付する

その後、ユーザがリンクを踏むと、脆弱性を悪用して端末を掌握してC&Cサーバと通信を発生させたり、フィッシングサイトへ誘導してアカウントを抜いたりし、特定のゴールにたどりつけるまで監査を行うなど非常に実践的な内容で行われます。特定のゴールとは、例えば以下のようなものです。

  • （外部から）ドメイン管理者のアカウントを取得できるか
  • （外部から）クレジットカード情報にアクセスできるか

通常、標的型メールを送付する前に、担当者から社員のメール一覧を受領して実施することが一般的ですが、中には事前調査（Reconnaissance）から実施して攻撃を仕掛けるといった本格的な企業もあり、非常に面白いものでした。

日本でも、感染を前提としたサービス（NRIセキュア社の「標的型メール攻撃被害シミュレーション」やLAC社の「APT先制攻撃サービス」など）がありますが、このフェーズを分けずに、一連の流れをテストするというところが大きな違いだと考えられます。

Red Team Phishing

Red Team Phishingは一番高度なサービスになると考えられます。このレベルのテストの目標は、「内部へのアクセスを取得して盗めることを確認する」ことにつきます。言い換えれば、年金機構への攻撃をそのまま再現する形になります。

そのため、メール送信はあくまで、初期の踏み台となる端末を得るためだけに利用します。最初のステップでは、OSINTの技術を活用して、通常この手のテストではLinkedInやインターネットで情報を収集して、攻撃対象１～２名を選出して攻撃を仕掛けていき、添付ファイルや脆弱なURLを踏めば端末を掌握してさらに内部ネットワークに踏みこんで行きます。（DerbyConであった講演では、最大でも１０通ぐらいしか送らないと述べていました）

そのため、LinkedInで偽装アカウントをつくって攻撃対象者の情報収集する、特定の役職（リクルーター）を装って連絡する、発表されたばかりの脆弱性を使って気付かれないように攻撃するなど色々な工夫が凝らされて攻撃が行われます。

また、Low & Slowの原則と呼ばれますが、攻撃をBlue Team・SOCに検知されないよう、テストも時間をかけて行われるそうです。当然、時間・費用ともにかかる手法ですが、実際に漏洩できるのかどうなのかという観点で言えば、もっとも有効なテストだと考えられます。

まとめ

米国では、標的型訓練サービスも多様化・高度化している様子が見て取れます。個人的には、Red Team Phishingが一番高い効果をもたらすためこの手法がより流行してくれるとよいと感じています。

 

Threat Huntingとは何か？（その５）

Threat Hunting

以前の記事では、 Sqrrl社のThreat Hunting Reference Model（Threat Hunting参照モデル）という考え方から、The Hunting Loopという考え方を紹介しました。

www.scientia-security.org

今回は、その中からThe Hunting Maturity Model（HMM）とThe Hunt Matrixいう考え方を取り上げてみたいと思います。

キーワード６：The Hunting Maturity Model

The Hunting Maturity Model（ハンティング成熟度モデル）とは、その名の通り組織がよいハンティングをできるかどうか判断するための成熟度を示したモデルです。Sqrrl社の定義では５段階（HM0～HM4）までの指標を定義しています。（図はSqrrl社のレポートから引用）

Sqrrl社はこのモデルを自社のHunting Teamを構築する、あるいは改善する際のロードマップとして利用することを推奨しています。

f:id:security_consultant:20170117070320p:plain

いかに各成熟度に関して、説明してみたいと思います。

HM0：Initial

HM0とは、本質的に、IT環境における悪意のあるアクティビティを検知するため、IDS・SIEM・アンチウイルス製品などの自動アラートツールに依存している状態と定義されています。

組織によっては、シグネチャの更新、脅威情報の指標などの独自のフィードを組み込んだり、独自シグネチャや指標を作成している可能性もありますが、基本的にはフィードは直接監視システムに渡しており、アナリスト（人間）はアラートの内容の解決に集中している状態です。

HM0に分類される組織は、ITシステムから多くの情報を収集することもできないため、脅威を事前に検出する能力は低く、Proactiveに行われるべきThreat Huntingは難しいと考えられます。

HM1：Minimal

HM1の組織は、インシデント対応プロセスを推進するための自動アラートに頼ってますが、ITデータの定期的収集を行っている点でHM0の組織と異なります。これらの組織は、Threat Intelligenceによる検知を目指しています。多くの場合、オープンソースとクローズドな情報源の組み合わせから最新の脅威を把握しています。

HM1の組織は、IT環境から少なくとも数種類のデータをSIEM・ログ管理製品などの統合管理する仕組みに集約しています。そのため、新たな脅威が注目されると、アナリストはこれらのレポートから主要となる指標を抽出し、過去のデータを検索して、少なくとも最近の過去に同様の事象が発生してるか調べることができます。 この検索機能を備えているため、HM1はThreat Huntingができる最低限の基準を満たしていると考えられます。

HM2：Procedural

HM2の組織は、他の人が開発したThreat Huntingの手順を学び、定期的に実施できるレベルと定義されます。ここでいう「手順」とは、悪意のある特定の事象を発見するため、特定のデータと特定の分析手法を組みあわせた基本的なものを意味します。（例えば、ホスト上で自動的に実行されるプログラムの一覧を収集して、マルウェアを検知するなど）

多少の変更は可能ですが、自分たち自身でプロセスを開発できるレベルには達していないレベルです。これが、Threat Hunting Programを組織内に持つ平均的なレベルだと考えられます。

HM3：Innovative

HM3の組織は、さまざまな種類のデータ分析手法を理解し、悪意のある活動を識別するためにデータ分析を活用できるハンターが少なくても小数いる組織です。他の組織によって作成された手順に依存する代わりに、これらの組織は自社独自の手順を作成し、場合によっては公開しています。 分析スキルに関する成熟度は問いませんが、これらの技術を適用して繰り返し実施可能な手順を持っていることです（そして、それらの手順は文書化されており、繰り返し実施されていることも含まれます）

データ収集レベルは、HM2以上であることがこのレベルに達する条件です。

HM3の組織は、効率的に脅威を発見・対応する技術を持っていますが、独自のプロセスが高度化するにつれて、必要な時間内にプロセスを終了できない拡張性（スケーラビリティ）の問題に直面します。

HM4：Leading

HM4の組織は、本質的にHM3の組織と同じですが、１つ「自動化に成功している」という点で大きく違いがあります。HM4の組織では、全てのハンティング・プロセスが運用手順化されており、自動化されています。そのため、アナリストは新しいプロセスやプロセスの改善に時間を割くことができます。

HM0とHM4の違いとは？

ここまで読んでくると、HM0とHM4の違いに悩みます。どちらも自動化されたオペレーションが推奨されており、下手すると同じに見えます。いったい何が違うのでしょうか？

Sqrrl社は以下のように説明しています。

HM0の組織は、基本的にツールによる検知内容に完全に依存しており、仮に脅威を見つけたとしても本質的にプロセスを変更・改善できないチームのことを意味します。薗一方、HM4のプロセスは、あくまで自動化は負荷を減らすための手段として捕らえており、常に新しい脅威に対してプロセスを変更したり、新しい手法を試すことができる組織だと述べています。

キーワード７：The Hunt Matrix

The Hunt Matrixとは、The Hunting Maturity Model（HMM）とThe Hunting Loopの考え方を合成した考えかたです。

但し、個人的には、HMMの定義は定性的で曖昧であり、各Hunting Loopで何ができているべきかを示したこのHunt MatrixをHunting Maturityを図るための指標として考えたほうがわかりやすいと思います。

f:id:security_consultant:20170117081749p:plain

  • HM0：Initial
    • Ph.0 データ収集：データ収集なし、もしくは少々
    • Ph.1 仮説作成：既存の自動アラート（IDS・SIEM・FW）に対する対応
    • Ph.2 仮説検証：プロアクティブな調査はせず、アラート・SIEMの検証のみ
    • Ph.3 TPP発見：なし（IDS・SIMEなどに依存）
    • Ph.4 分析の自動化：なし
  • HM1：Minimal
    • Ph.0 データ収集：IT環境から一部の重要なデータを収集
    • Ph.1 仮説作成：新しい仮説構築のため、Threat Intelligenceを参照
    • Ph.2 仮説検証：SIEMやログ分析ツールを活用し、基本的な検索が実施可能
    • Ph.3 TPP発見：痛みのピラミッドの下部レベルのIOCを作成可能
    • Ph.4 分析の自動化：Threat Intelligenceのデータを自動アラートに組み込むことが可能
  • HM2：Procedural
    • Ph.0 データ収集：IT環境から多数の重要なデータを収集
    • Ph.1 仮説作成：新しい仮説構築のため、Threat Intelligenceを参照し、Intelligenceの内容を深く理解していること
    • Ph.2 仮説検証：既存の分析手順に従い、データ分析・統計分析ができること
    • Ph.3 TPP発見：痛みのピラミッドの下部～中部レベルのIOCを作成可能で、現在の傾向にあわせて利用できること
    • Ph.4 分析の自動化：効率的なThreat Intelligence用のライブラリを作成して、定期的に実行できること
  • HM3：Innovative
    • Ph.0 データ収集：IT環境から多数の重要なデータを収集
    • Ph.1 仮説作成：新しい仮説構築のため、Threat Intelligenceを参照し、Intelligenceの内容を深く理解し、かつCrown Jewel分析などの手動によるリスク分析ができていること
    • Ph.2 仮説検証：グラフ分析や可視化を使った分析ができること。新しい手順が構築できること。
    • Ph.3 TPP発見：攻撃者のTTPを発見でき、痛みのピラミッドの上部レベルのIOCを作成可能であること
    • Ph.4 分析の自動化：効率的なThreat Intelligence用のライブラリを作成して、定期的に実行できる基盤を持っていること。また、基本的なデータ分析技術を採用していること。
  • HM4：Leading
    • Ph.0 データ収集：IT環境から多数の重要なデータを収集
    • Ph.1 仮説作成：新しい仮説構築のため、Threat Intelligenceを参照し、Intelligenceの内容を深く理解し、かつCrown Jewel分析などの手動によるリスク分析ができていること
    • Ph.2 仮説検証：高度なグラフ分析や可視化を使った分析ができること。新しい手順を公開して、自動化できること。
    • Ph.3 TPP発見：自動的に攻撃者の複雑なTTPを発見でき、攻撃キャンペーンを追跡できること。ISACなどにIOC情報を定期的に提供していること
    • Ph.4 分析の自動化：ハンティング・プロセスを自動化して、継続的に改善できること。また、高度なデータ分析技術を採用していること。

まとめ

The Hunting Maturity Model（ハンティング成熟度モデル）とHunt Matrixは成熟度や目指すべきゴールを知る上で非常に重要なツールです。ぜひ皆様の組織でも自社内の成熟度を評価してみることをお勧めします。

 

Cyber Attributionに対抗するCyber Disinformation技術

Threat Hunting

先日参加したShmooConで、Threat Intelligenceの面白い講演があったので共有します。

www.scientia-security.org

Leveraging Threat Intel Disinformation Campaigns

Synack社のCTOであるMark Kuhr氏はNSAの勤務経験もあり、Threat Intelligenceの専門家です。その中で彼はCyber Attributionに関する難しさについて議論していました。

そもそもAttributionとは？

攻撃者も人であるため、アイデンティティ・動機・犯罪の手口（modus operandi）があり、それを特定することがCyber Attributionという技術になります。この技術を応用することで、攻撃者の動向・攻撃の背景・次の攻撃などをつかむことがThreat Intelligence分野には重要な要素になります。特にNation-State Sponsored Hackerが攻撃をしてくるであろう金融・インフラ・軍事産業などでは非常に重要な技術となります。

Anti-Attributionとは？

しかし、情報戦のでは別の誰かが攻撃したように思わせる技術、Anti-Attribution Techniqueも多数存在すると述べています。攻殻機動隊のアニメでよく出てくる台詞「あるいは、我々にそう思わせたい第三者の意図が介在している」ってケースです。

具体的な技術として以下を挙げています。

  • 複数の地理的拠点を経由して攻撃する
  • 異なるインフラストラクチャから攻撃を行う
  • カウンター・インテリジェンス
  • アンチ・フォレンジック技術
  • 偽情報（Disinformation）

Disinformationとオペレーション・フロー

前の章にでてきたDisinformation技術とは、意図的に広められる虚偽・不正確な情報を意味します。要するに、偽の情報を流すことで異なる攻撃者がやったように思わせる技術です。

Mark氏はDisinformationの技術を中心にAnti-Attributionを実現しながら攻撃を行うオペレーション・フローとして以下を紹介しています。

  1. Target Recon
  2. Select Actor to Mimic
  3. Setup Attaack Infrastructure of Mimic
  4. Taint OSINT
  5. Launch Attack
  6. Leak Data & Frame the Mimic
Target Recon

まず、Target Reconフェーズで攻撃対象者に関する情報、それに伴う政治的・社会的・経済的関係を分析します。また同時に、攻撃の容疑を擦り付ける相手（Mimic）に関する情報も収集します。

Select Actor to Mimic

その後、Attribution分析をしたときに、その対象がMimicにいくように仕向けます。例えば、以下の技術が紹介されていました。

  • C&CサーバをMimicの国のIPアドレスを使う
  • ファイル名・パスワードにMimicを示唆する文字列を入れる
  • バイナリファイル・マルウェアの中に、Mimicを示唆する特定の文字列を入れる。言語IDを入れておく。（例えば、アジア関連諸国をMimicにする場合は漢字コードを入れておくなど）
  • HTranやPoisonIvyを利用する
  • Mimicを推測させるドメインを利用する
  • 他の関連するリソースなど（QQ・163.comなど特定の国でよく使われているサービスを含めてみる）など
Setup Attaack Infrastructure of Mimic

その後、Mimic用の攻撃インフラストラクチャを構築します。スピーカーは中国をMimicとする事例を挙げていましたが、その場合は以下のようなことをするそうです。

  1. BAIGE VPNのアカウントを購入
  2. キーボードをセットして、簡易中国語を含むメタデータをコンピュータに設定する
  3. 前段階で取得したドメインをMimicのActor・場所に紐付ける
  4. 当該国から通信が出入りするよう、C2サーバを当該国のVPSに設置する
  5. 163.comにメールアドレスを登録して、フィッシング攻撃を行えるようにする
Taint OSINT（OSINT情報の汚染）

次の段階として、Cyber AttributionではOSINT技術が使われますが、そこで誤った情報に誘導されるようにインターネット上の情報に汚染された情報を流していきます。そのため、前段階でセットアップした新しいインフラをMimicと紐付けていき、最終的にはOSINT分析者が利用しているThreat Intelligence Feed（VirusTotal・AlianVault・OpenPhish）にも汚染されるような状態までの状態を目指します。（例えば、まずは偽装円ウェアを作成して、VirusTotalにアップロードしてMimicにつながるようになどです。

Launch Attack

準備が終わったら、攻撃を実施します。（例えば、標的型攻撃メールを送るなど）

Leak Data & Frame the Mimic

最後の段階として、Mimicに非難が集中するように仕向けます。

  1. 何も認めず、全てを否定し、逆告発をする
  2. Plausible Deniabilityを利用する
  3. Mimicとなる国を非難するよにシフトする
  4. 望むべき結論がでるよう、「独立性のある」第三者と協力する
  5. 全てのインフラストラクチャを削除する

結論...

最後にMark氏はこのように述べています。

  • Attributionは、抑止力のための基礎であり、正しいAttributionなしに抑止力はなしえない。
  • Disinformationは、Threat Intelligenceにおいて大きな問題を投げかけており、間違ったAttributionをもとに特定の国に攻撃的な態度をとった場合、政治的にも大きな問題になりえる。
  • Attributionの正確さを確かめるためには、物理的に攻撃者のマシンを調べるほかにはなく、それ以外の分析は全て"ベストエフォートによる推測"に過ぎず、「大筋正しい」という結論でしかない。そのため、ソースの正確性については常に気をつける必要がある。

まとめ・所感

まるでスパイ映画を見ているような話で非常に面白い話でした。

Cyber AttributionはThreat Intelligenceとあわせて有名になっている技術ですが、やはりNation-Stateレベルの攻撃を警戒する技術であり、成熟度の高い企業、もしくは国家的にも大きな損害をこうむる組織は身につけるべき技術だと思います。

ただ、Cyber Attributionには実は反対意見もあり、「誰が攻撃してきたところで実際に攻撃を防ぐ技術はかわらない」とCyber Attributionの意義を否定する専門家も存在します。

少なくても今後追いかけていくべき技術であるため、今後も紹介していきたいと思います。