バラクーダの注目する脅威：受信トレイのルールを悪用する攻撃者の実態 2023年9月20日、Prebh Dev Singh メールの自動受信ルールは、ほとんどのメールクライアントの便利でおなじみの機能です。メールを特定のフォルダに移動させたり、留守中に同僚に転送したり、あるいは単に削除したりすることで、受信トレイに毎日のように押し寄せる必要な、あるいは不要なコミュニケーションの管理に役立ちます。 あなたのアカウントに侵入した攻撃者は、受信トレイのルールを隠れみのにすれば、受信トレイ経由で情報をネットワークからこっそり移動させたり、セキュリティ警告が表示されないようにしたり、特定のメッセージを見つけにくいフォルダにファイルしたり、金銭を引き出すために上級役員になりすまして送ったメッセージを削除したりすることができます。 要するに、これは実に見事な攻撃戦術なのです。ステルス性を確保しつつ、侵害したアカウントで簡単に実行できるのですから。 メールの検出は、ここ数年で進歩しており、機械学習の使用によって疑わしいルール作成を簡単に検出できるようになっています。にもかかわらず、バラクーダの検出数が示すように、攻撃者はこのテクニックをうまく実装し続けています。このテクニックは侵害されたアカウントを必要とするため、全体的な数は比較的少ないかもしれません。しかし、組織のデータと資産の完全性に対する深刻な脅威であることに変わりはありません。というのも、ルール作成は侵害後の手法です。つまり、攻撃者はすでにネットワーク内にいるということになります。攻撃者を排除するには、早急な対応が必要です。 そのリスクを理解し、対応策を考えることが重要です。このブログでは、攻撃者がどのように自動メールルールを悪意のある活動に利用しているのか、効果のない防御策とある防御策について説明します。 電子メールは第一の攻撃ベクトルである メールを介した攻撃は成功率が高く、多くタイプのサイバー攻撃の入口となっています。バラクーダの調査によると、世界各国の企業を対象とした調査では、75%が2022年に少なくとも１件のメールセキュリティ侵害に遭っています。 これらの攻撃は多岐にわたります。基本的なフィッシングや悪意のあるリンクや添付ファイルから、ビジネスメール侵害（BEC）、会話の乗っ取り、アカウントの乗っ取りなどの高度なソーシャルエンジニアリング手法まであります。最も高度なタイプの中には、悪意のあるメールルールに関連するものもあります。 攻撃者はなぜ、そしていかにして自動メールルールを作成するのか 悪意のあるメールルールを作成するためには、攻撃者はターゲットのアカウントを侵害しておく必要があります。たとえば、フィッシングメールを成功させたり、以前の侵害で盗んだ認証情報を使用したりします。いったん攻撃者が被害者のメールアカウントをコントロールすると（これがアカウント乗っ取りと呼ばれるタイプの攻撃です）、１つまたは複数の自動メールルールを設定することができます。ごく簡単なプロセスで、攻撃者はメールボックスへのステルス的かつ持続的なアクセスを維持することができます。そして、それをあらゆる悪意のある目的に利用できます。 メールルールを利用して情報や金銭を盗み、発見を遅らせる 攻撃者は「支払い」「請求書」「機密」といった、機密性が高く、潜在的に有利なキーワードを含むすべてのメールを外部アドレスに転送するルールを設定するかもしれません。 あるいは、メールルールを使用して、特定のメールを読まれないようにするためにほとんど使用されていないフォルダに移動したり、メールを既読にしたり、単に削除したりすることもあります。たとえばセキュリティアラートやコマンド・アンド・コントロール通信、侵害されたアカウントから送信された内部スピアフィッシングメールへの応答を隠したり、侵入者に気づかないまま同じアカウントを使用しているであろうアカウントの本当の所有者から痕跡を隠したりします。 さらに攻撃者は、被害者の活動を監視するためにメールの転送ルールを作成し、被害者や被害者の組織に関する情報を収集して、さらなる悪用や作戦の一部として利用することもできます。 ビジネスメール侵害（BEC）攻撃にメールルールを使用する BEC 攻撃は、メールが正当なユーザーから送信されたものであると他者に信じ込ませることで企業やその従業員、顧客、パートナーから詐取しようとします。 攻撃者は、最高財務責任者（CFO）など特定の同僚からの受信メールをすべて削除するルールを設定することができます。これにより、攻撃者はCFOになりすまし、同僚に偽のメールを送り、攻撃者が管理する銀行口座に会社の資金を送金するよう説得することができます。 2020年11月にFBI は、ウェブベースのメールクライアントとデスクトップのメールクライアントの間の同期とセキュリティの可視性の欠如を悪用したサイバー犯罪者が、メールの転送ルールを設定してBEC攻撃が成功する可能性を高めていると公表しました。 標的型国家攻撃にメールルールを使う 悪意のあるメールルールは、標的型攻撃にも使用されています。攻撃者の戦術とテクニックに対応するフレームワークMITRE ATT＠CK® フレームワークは、悪意のあるメール転送を T1114.003 に分類し、この手法を使用する３つの高度継続的脅威グループ（APT）を挙げています。サイバースパイ活動を行う国家レベルの脅威行為者である Kimsuky、恐喝や妨害攻撃で知られる LAPSUS$、そして知的財産や研究の窃盗に関連する国家レベルのグループ Silent Librarian の３つです。 MITREは、メールの隠蔽ルール（T1564.008）を防御回避に使用される手法として分類しています。このテクニックを使用することが知られている APT の１つである FIN4 は、金銭的な動機を持つ脅威行為者で、被害者のアカウントにルールを作成し、「ハッキング」「フィッシュ」「マルウェア」などの単語を含むメールを自動的に削除します。おそらく、侵害を受けた組織の IT チームが従業員らに攻撃者の活動を警告するのを防ぐためでしょう。 単独では防御できない 悪意のあるルールが発見されなければ、被害者のパスワードが変更されても、多要素認証がオンになっても、他の厳しい条件付きアクセスポリシーが課されても、あるいは被害者のコンピュータが完全に再構築されたとしても、そのルールは有効なままです。ルールが取り消されない限り、そのルールは有効なままなのです。 さらに、不審なメールルールは攻撃を見抜く良い兆候ではありますが、そこだけを見ても、アカウントが侵害されたことを示す強力なシグナルとはなり得ません。防御チームは複数のシグナルを使用することで初めて、ノイズを減らし、成功しそうなメール攻撃をセキュリティチームに警告することができるのです。攻撃者が巧妙な手口を使うなど、サイバー攻撃はダイナミックかつ進化しているため、検知と防御にも多面的なアプローチが必要です。 効果的な防御 受信トレイのルール作成は侵害後のテクニックであるため、最も効果的な防御は予防、つまり攻撃者が最初にアカウントを侵害することを阻止することです。しかし、侵害されたアカウントを特定し、その影響を軽減するためには、効果的な検出とインシデントレスポンス対策も必要です。 これには、各従業員の受信トレイで実行されるすべてのアクション、作成されるルール、変更またはアクセスされる内容、ユーザーのログオン履歴、送信されるメールの時間と場所、およびコンテキストなどの完全な可視性が含まれます。バラクーダのAI ベースの防御機能は、このようなデータを使用して、各ユーザーのインテリジェントなアカウントプロファイルを作成します。また、バラクーダのなりすまし対策は、ログインデータ、メールデータ、および統計モデルなど複数のシグナルをルールと共に使用して、アカウント乗っ取り攻撃を識別します。 最後に、バラクーダの XDR クラウドセキュリティやセキュリティオペレーションセンター（SOC）による24時間365日の監視などの拡張検出および対応（XDR）対策は、深く隠れて難読化されたアクティビティも確実に検出し、無効化するのに役立ちます。 この「バラクーダの注目する脅威」は、プレブ・デブ・シンが執筆し、ティリー・トラバースとアレックス・エンジェルがリサーチと内容のサポートを行いました。 2023年のメールセキュリティトレンド 原文はこちら Threat Spotlight: How attackers use inbox rules to evade detection after compromise Sep. 20, 2023 Prebh Dev Singh https://blog.barracuda.com/2023/09/20/threat-spotlight-attackers-inbox-rules-evade-detection
海外ブログ 2023.10.17
キッシング：QR コードメール攻撃について知っておくべきこと 2023年10月5日、Olesia Klevchuk 今日のデジタル時代において、私たちの私生活や仕事をより便利にするために、テクノロジーの利用は絶えず進化しています。クイック・レスポンス（QR）コードもそのような進歩のひとつです。この二次元バーコードによって、ユーザーはウェブサイトの URL や連絡先情報を共有したり、支払いを行ったりすることができます。QR コードは私たちの日常生活を便利にすると同時に、サイバー犯罪者が悪用する新たな道を開いてしまったのです。キッシング（quishing）とも呼ばれる QR コードによるフィッシング攻撃は増加の一途をたどっており、ユーザーにとっても組織にとっても大きな脅威となっています。 サイバー犯罪者は電子メール攻撃に QR コードをどのように利用しているか ハッカーは、電子メール攻撃に QR コードを使用し、受信者をだまして悪意のあるウェブサイトにアクセスさせたり、端末にマルウェアをダウンロードさせたりします。このような攻撃には通常、人々がメールに寄せる信頼を悪用したソーシャルエンジニアリングの手口が使われます。以下は、サイバー犯罪者が使用している手口の例です。 フィッシング・リンク 攻撃者は、フィッシングメールに QR コードを埋め込み、ユーザーにコードをスキャンさせ、信頼できるサービスやアプリケーションに見せかけた偽のページにアクセスさせます。被害者は通常、だまされてログイン情報を入力し、攻撃者にログイン情報を取られます。 偽の QR コードから、氏名、住所、社会保障番号などの個人情報を要求するアンケートやフォームに誘導されることもあります。被害者は、情報や少額の支払いと引き換えに、報酬や賞品を約束して誘い込まれることもあります。 QR コードメールによるフィッシング攻撃の例 QRコードは、このようなよくできた偽のサインインページにつながります。 マルウェアのダウンロード 同様に、QR コードは、スキャンされると自動的にマルウェアを被害者のデバイスにダウンロードする悪意のあるウェブサイトに被害者をリンクすることができます。このマルウェアは、スパイウェアからランサムウェアまで多岐にわたり、攻撃者はデータを盗んだり、侵害されたデバイスをコントロールしたりすることができます。 侵害されたデバイス QR コードはまた、決済サイトを開いたり、ソーシャルメディアのアカウントをフォローしたり、被害者のアカウントからあらかじめ書かれた電子メールメッセージを送信したりするのにも使われます。つまり、ハッカーは簡単に被害者になりすますことができ、被害者の連絡先名簿にあるほかの人をターゲットにすることができるのです。 メールメッセージ内の QR コード攻撃を検出する QR コードによる攻撃は、従来のメールのフィルタリング手法では検知が困難です。スキャンするためのリンクや悪意のある添付ファイルが埋め込まれていないからです。メールのフィルタリングは、QR コードを宛先までたどって悪意のあるコンテンツをスキャンするようには設計されていません。また、実際の脅威は、企業のセキュリティソフトウェアで保護されていない可能性のある別のデバイスに移行します。 AI や画像認識技術の活用は、こうした攻撃を検知する方法のひとつです。通常、偽の QR コードだけが悪意のあるメールのサインではありません。AI ベースの検出では、送信者、コンテンツ、画像サイズ、配置などの他のシグナルも考慮して、悪意のある意図を判断します。Barracuda Impersonation Protectionは、QR コード詐欺を特定し、ブロックするために、こうしたテクニックを使用します。 ユーザーを教育し、これらの攻撃を予測できるようにしましょう。QR コード攻撃がまだセキュリティアウェアネストレーニングの一部になっていない場合は、将来的にカバーされるようにしてください。ユーザーは、電子メールやその他の方法で配信されたQRコードをスキャンする際に注意を払う必要があります。 原文はこちら Quishing：QRコードメール攻撃について知っておくべきこと 2023年10月5日 Olesia Klevchuk https://blog.barracuda.com/2023/10/05/quishing-what-you-need-to-know-about-QR-code-email-attacks
海外ブログ 2023.10.16
なぜパスワードセキュリティが今なお話題になるのか 2023年9月28日、Christine Barry 認証情報を保護することは、ランサムウェアやその他のサイバー攻撃から身を守るためにできる最も重要なことの１つです。パスワード管理やベストプラクティス、多要素認証について書かれた記事は何千とあります。ネットワークドメインやソフトウェア・アズ・ア・サービス（SaaS）アプリケーションをはじめとするシステムの多くは、クレデンシャルに複雑なパスワードを要求しますし、ごく基本的なコンピューターユーザーでもパスワードは共有しないようにという話は聞かされています。なのになぜ、まだパスワードが話題になるのでしょうか。2023年ベライゾンデータ侵害調査レポート（Verizon Data Breach Investigations Report; DBIR）では、脅威アクターが個人データや社会保障番号のような機密情報を含むどのデータタイプよりもクレデンシャルを重視していることが明らかになっています。盗まれたクレデンシャルは全データ侵害の44.7%を占め、2022年の41.6%から増加しています。同レポートによると、盗まれた認証情報はデータ侵害の最も一般的な入口であり、北米（67%）および欧州・中東・アフリカ（53%）で発生した侵害で最も侵害されたデータタイプです。は、盗まれた後も有効なままの認証情報こそが、最も危険な盗まれた認証情報なのです。攻撃者は、認証されたユーザーとして標的のシステムにログインしたがります。認証情報が手に入れば、攻撃者は認証されたユーザーとしてシステムを渡り歩くことができ、長い時間、侵入を検知されることもありません。クレデンシャルはとりわけ、国家アクターや大物ハンターにとって重要なのです。 サイバー攻撃におけるクレデンシャルの使われ方 古くなった認証情報はそれほど価値がないかもしれませんが、攻撃者にとっては古いログイン情報の使用方法がいくつか残っています。だからこそ、盗まれたデータがほぼ間違いなくほかの攻撃者に売られ、より大きなデータセットがより高い価格で売られるのです。以下は、サイバー攻撃でクレデンシャルが使用されるいくつかの方法です。 不正アクセス：クレデンシャルセットの最もわかりやすい使用法は、先ほど述べたように犯罪者がログイン情報を使ってシステムにアクセスし、攻撃を続行する、というものです。 クレデンシャルスタッフィング：これは自動化された攻撃で、盗まれたクレデンシャルセットをローテーションすることによって、Web アプリケーションへのログインを試みます。クレデンシャルセットが多くの異なるWeb アプリケーションで使用されるため、クレデンシャルが最新であるか古いかは問題ではありません。 ユーザー ID とパスワードは、鍵のかかったドアの物理的な鍵のようなものだと考えてください。犯罪者が、同じような鍵の入った袋を持ち、ドアにある鍵をひとつひとつ試して、中に入れるかどうか確かめているところを想像してみてください。そのドアは、銀行、小売店、医療ポータル、空調管理システム、その他のオンライン・サービスに通じているかもしれない。もし鍵が開けられれば、犯罪者はあなたの鍵で開けられるものすべてにアクセスできることになります。１つの鍵が機能しなくても、犯罪者にとっては大した問題ではありません。鍵は何百万とありますし、同時に多くの異なるドアでそれらを使用するボットの軍隊も従えているからです。 複数の調査で、パスワードはしばしば再利用され、共有されていることが明らかになっています。つまり、盗まれたクレデンシャルの一部が複数のシステムで機能する可能性がかなりあるということです。クレデンシャルスタッフィングは非常に一般的な攻撃です。 パスワードの散布：この攻撃はクレデンシャルスタッフィングに似ていますが、全てに同じパスワードで組まれたユーザーアカウントのリストをローテーションします。手軽な犯罪者-ドア-鍵のシナリオでは、鍵は完全なクレデンシャルセットではなく、１つのパスワードを指します。犯人は１つの鍵をすべてのドアで試した後、別の鍵を持って最初の家からまた試します。これは、ルーターや CCTV カメラをはじめとするスマート・デバイスなど、デフォルトパスワードを使用するシステムで最も効果的な攻撃です。この攻撃は、たとえパスワードがなくても犯罪者が確認されたユーザー名を重視する理由の好例です。 ブルートフォース：多くの人はこの攻撃をドアを開けるのに破城槌を使うことに例えますが、筆者はむしろヘアピンなどで錠前をこじ開けるピッキングに似ていると考えています。ブルートフォース（総当たり）攻撃は、攻撃が成功するまで「あらゆる可能な文字、数字、記号の組み合わせを系統的に試す」ことによってパスワードを発見しようとする自動的な試みとユーザー名をペアにしてシステムにログインしようとするものです。この攻撃のほとんどは、単語リストや一般的なパスワード、スマートルールセットから始まり、可能なすべての組み合わせを使ってパスワードを構築しようとします。十分な時間があれば、ブルートフォース攻撃はすべて成功します。ただし、パスワードが複雑で単語リストにもない場合は、正しいパスワードを推測するまでに何年もかかる可能性があります。 こうした攻撃を防御する方法 パスワードセキュリティに関する意識向上と実施に向けた取り組みはかなり進んできているとはいえ、脆弱な認証情報や露出した認証情報から始まる攻撃は依然として相当数見受けられます。ダラス市に対する最近のランサムウェア攻撃は、犯罪者が盗んだ認証情報でどれだけのことができるかを示す一例に過ぎません。認証情報を保護することは、セキュリティ計画の優先事項でなければなりません。パスワード管理のベストプラクティスを導入することは重要な第一歩ですが、それだけでは十分ではありません。企業は、受信トレイ、アプリケーション、エンドポイント、ネットワークエッジを防御するマルチレベルの保護を導入すべきです。 バラクーダのサイバーセキュリティプラットフォームでは、このようなすべての脅威ベクトルを防御し、データを保護できます。このソリューションは、メール、ネットワーク、アプリケーションなど、すべての攻撃サービスを保護します。このような完全なサイバーセキュリティソリューションを提供している企業はほかにありません。 原文はこちら パスワード・セキュリティについて語り続ける理由 2023年9月28日 Christine Barry https://blog.barracuda.com/2021/09/27/why-we-keep-talking-about-password-security
海外ブログ 2023.10.09
バラクーダ、CRN Annual Report Cardで２年連続で大賞を受賞 2023年8月21日、Anne Campbell うれしい報告です。バラクーダが CRN の Annual Report Card Awards（ARC賞）データ保護部門で再び大賞を受賞しました。同部門で最高得点を獲得したうえ、４つのサブ部門のうち３つでバラクーダのソリューションがトップとなりました。サポート、パートナーシップ、およびマネージド＆クラウドサービス部門です。 また、Barracuda RMM は MSP RMM 部門で評価され、マネージド＆クラウドサービスサブ部門賞を受賞しました。Barracuda RMM が CRN の Annual Report Card に掲載されたのは今年が初めてで、チームはこの受賞をとりわけうれしく思っています。 データ保護の総合的勝利 バラクーダがデータ保護部門で受賞できたのは、Barracuda Cloud-to-Cloud Backup と Barracuda Backup がともに評価されたためです。Barracuda Cloud-to-Cloud Backup は、Microsoft 365 データの包括的なクラウドネイティブバックアップを実装しています。Barracuda Backup は、ストレージ、ソフトウェア、およびインライン重複除外を組み合わせており、何が起きてもデータを損失から保護します。 「当社のバックアップソリューションが今年のデータ保護部門で最優秀賞に選ばれたことに感激しています」と喜びを語るのは、当社データネットワークおよびアプリケーションセキュリティエンジニアリング担当 SVP のティム・ジェファーソンです。「当社のソリューションの価値が評価されたのですから。クラウドベースの SaaS からオンサイトの物理的なバックアップにいたるまで、当社のソリューションの守備範囲は幅広いのです。バラクーダでは、導入から展開、および利用が容易な革新的なセキュリティ製品を提供することを使命としており、今回の受賞は、その使命を果たしている証であると考えています」 Barracuda Backup とBarracuda Cloud-to-Cloud Backup はともに、ランサムウェア攻撃者がバックアップにアクセスできないようにし、バックアップデータをランサムウェアから保護するための多くのセキュリティ機能を実装しています。バラクーダは、ランサムウェア攻撃の検出、防止、および回復を支援するソリューションを提供しており、ランサムウェアに打ち勝つ戦略を構築するのに役立ちます。 Barracuda RMM がマネージド＆クラウドサービスのサブ部門で優勝 Barracuda RMM （リモートモニタリング＆マネジメント）プラットフォームは 15年以上にわたって、MSP がクライアントに高品質の IT サービスを提供するために必要なツールと洞察を提供しています。セキュリティサービスが企業にとって不可欠となりつつある今、MSP が顧客の進化するニーズを満たせるよう、Barracuda RMM はセキュリティサービス提供機能を強化しました。 過去1年間に RMM ツールに実装した革新的な機能の一部を紹介しましょう。 無料の営業ツール Site Security Scanner の導入 このツールを使えば、MSP は新規顧客や既存顧客とセキュリティに関する会話を簡単に始められます。 SentinelOne Control との統合 MSP...
海外ブログ 2023.09.25
【Backup障害: 復旧済】 新規購入機器でのリンキング（アクティベーション）に失敗する 最終更新日：2023年9月26日 午前6時15分 2023年9月25日午前9時頃より下記の障害が発生しておりましたが、9月26日午前4時33分に復旧致しました。 既に新規購入頂いたBBSでのリンキング（アクティベーション）が正常に可能となっております。 影響を受けられたお客様にはご不便・ご迷惑をお掛けし、大変申し訳ございませんでした。 【発生日時】 2023年9月25日 午前9時00分頃 【復旧日時】 2023年9月26日 午前4時33分 【事象】 Cloud Controlにログインし、リンキング画面で正しいシリアル番号・リンキングコード、リンキングに必要な情報を入力し、利用規約に同意しても、”We’re Sorry…”というメッセージが表示され、リンキングに失敗する。 ※機器交換、および同一アカウントへの2台目以降の機器追加では本事象は発生せず、影響はありません。 【影響】 新規購入された機器でのリンキング（アクティベーション）に失敗し、以降のバックアップ設定（データソース・バックアップスケジュール等）を実施することができない。 【原因】 新規に作成されたBCCアカウントでリンキング（アクティベーション）を実行した際に、製品登録データベースとの連携にエラーが発生し、リンキングが正常に完了できない状態となっておりました。 【復旧対応】 9月26日 午前4時33分、本社エンジニアリングチームによる修正対応が完了し、問題は解決致しました。
技術情報 2023.09.25
Azure と Barracuda SecureEdge で会社を守る方法 2023年9月5日、Stefan Schachinger 現代のビジネスにおける課題は、ありすぎるといっても過言ではありません。コスト管理や規制環境の変化といった従来のプレッシャーに加え、企業はランサムウェアのような脅威を撃退しなければなりません。ランサムウェアは、安全でない電子メール、ウェブアプリケーション、リモートデスクトップ接続、その他利用可能なあらゆる脅威ベクトルを通じてネットワークに侵入する可能性があります。 バラクーダの調査によると、最も一般的な攻撃手法は業界によって異なります。コンシューマサービス業界ではWebアプリケーションが最も一般的な感染ポイントですが、メディアおよびレジャー、そしてエンターテイメント業界ではネットワークトラフィックがトップの感染源です。その他の業界では、Eメールが最も一般的なエントリーポイントになっていますが、その数には幅があります。組織は、これらの脅威ベクトルすべてを、業務を中断させることなく保護する必要があります。 デジタルトランスフォーメーションとパブリッククラウドが約束した世界は、それぞれに課題をもたらしています。SaaS（ソフトウェア・アズ・ア・サービス）アプリケーションは、オンプレミスと同じように動作するのでしょうか。リモートワーカーが使用するノートパソコンやスマートフォンがマルウェアに感染し、ビジネスを危険にさらしていないでしょうか。メンテナンスのために、ベンダーにモノのインターネット（IoT）デバイスへの仮想プライベートネットワーク（VPN）アクセスを提供することは安全でしょうか。 現在の環境に適切に適合し、ニーズに合わせてエレガントに拡張できる、セキュリティと接続性のソリューションの適切な組み合わせを見つけるのは難しいかもしれません。 ハイブリッドで働く企業の現実 支店や支社勤務、あるいはオフプレミス勤務は目新しいものではありませんが、ここ数年のコロナ禍に起因する分散した働き方は前例がありません。企業はいち早く従業員を在宅勤務に切り替えましたが、それによってビジネス・ネットワークに予期せぬセキュリティやパフォーマンスにギャップができたり、露呈したりしました。米国サイバーセキュリティ・インフラストラクチャーセキュリティ局（CISA）は、露出したリモート・デスクトップ・プロトコル（RDP）エンドポイントが 127 ％増加したと報告しています。これらのエンドポイントは、安全でない仮想プライベートネットワーク（VPN）接続とともに、巨額の身代金やワクチン研究、その他価値のありそうなあらゆるものを追い求めるサイバー犯罪の世界的な波の中で、瞬く間に悪用されました。リモートワークは新たな国家安全保障上の問題を生み出し、コロナ禍でロックダウン中の企業を迅速に防御する緊急性が高まりました。 オフィスは戻ってきた従業員で賑わっていますが、ロックダウン後の労働力とビジネス環境は、さらに新たな課題をもたらしました。仕事の一部はクラウドに移行し、一部はデータセンターに残ったままです。社内のコミュニケーションやデータは Microsoft 365 のような SaaS アプリケーションに移行し、その結果、機密情報が「城と堀」の防護の外へと出てしまっています。かつて明確に定義されていたネットワーク境界は流動的なエッジへと進化し、会社がどこへ行こうと防御されなければならないのです。 従来の広域ネットワーク（WAN）およびソフトウェア定義WAN（SD-WAN）ソリューションは、このようなハイブリッドスタイルの仕事のために構築されていません。現在、ビジネストラフィックの大半は Web ベースのトラフィックであり、従業員は場所に関係なく安全なインターネットアクセス (SIA) を必要としています。企業は、ビジネスコストを管理し、従業員の生産性を確保しながら、主要なビジネス目標を追求し続けなければなりません。セキュア SD-WAN の採用が急速に伸びたのは、このようなシナリオがあったからです。 セキュアSD-WANは、サイト間接続を超えるコスト削減とネットワークの俊敏性を提供する新しいタイプの接続です。複数のオフィス、SaaS アプリケーション、パブリッククラウドワークロード、IoT デバイスを、データセンターやブランチオフィスのファイアウォールを介してトラフィックをルーティングすることなくセキュアに接続できます。 セキュアSD-WANは2019年、クラウドネイティブなセキュアアクセスサービスエッジ（SASE）アーキテクチャに含まれるようになりました。 SASEとは何か SASE（「サッシー」と読む）は、ソフトウェアベースのネットワーキングとネットワークセキュリティを組み合わせ、従来のセキュリティおよび接続性ソリューションを超える複数の利点を提供します。支社、モバイルデバイス、IoT システム、エッジコンピューティング拠点など、あらゆるタイプのエッジデバイスに対して、ユーザー ID とリアルタイムの特性に基づいて、企業リソースへの動的で安全なアクセスを実現します。 ここでは、SASE モデルにおけるネットワーキングとセキュリティのコンポーネントを簡単に説明します。 SASE プラットフォームのネットワークセキュリティ、ウェブセキュリティ、セキュアな接続性、その他のコンポーネントは、かつては別々の製品として展開されていました。SASE は、これらのコンポーネントを１つのプラットフォームに統合し、機能として実装できるようにします。Barracuda SecureEdge は、バラクーダのポートフォリオの他のソリューションとシームレスに動作する統合された SASE プラットフォームです。 SASE の利点 SASE の導入は、ネットワーク管理者が必要に応じてセキュリティと接続機能を適用できる単一の統合サービスを提供します。WAN やセキュリティ・ポイント・ソリューションの集合体とは異なり、SASE はエレガントでスケーラブルかつ俊敏なアプローチであり、多くのメリットをもたらします. まず、ネットワークの複雑さと導入コストが削減されます。テクノロジースタック全体が単一のサービスに統合され、さまざまな要素を１つの画面に集めた「１枚板ガラス（single pane of glass）」アプローチを通じて集中管理されます。Microsoft Azureのサービス指向の消費モデルにより、Azure Marketplace を通じた SASE の実装はさらにコスト効率が高くなります。全体として、SASE と Azure の組み合わせは、総所有コスト（TCO）を削減し、デプロイの投資収益率（ROI）を増加させることができます。 次に、IoT デバイスやその他のハードウェアは、SASE 管理者が事前に設定することができ、どのような場所でもゼロタッチで導入することができます。これにより、設定ミスや不整合のリスクを低減し、人為的なミスが起こりにくい展開が可能になります。また、ゼロタッチデプロイメントでは、専門的な手動介入が不要なため、必要に応じてインフラストラクチャーを簡単にスケールアップまたはスケールダウンすることができます。これは、Azure の消費モデルに完全に適合しています。 そして、ネットワークとアプリケーションのパフォーマンスが、すべてのユーザーにとって改善されます。SASE は、ラストマイルの最適化、アプリケーションの優先順位付け、接続の冗長性やフェイルオーバーを提供します。SASE サービスによる配信の合理化により、ユーザー、サイト、クラウド接続のあらゆる組み合わせのパフォーマンスと信頼性が向上します。こうした改善は、遅延の影響を受けやすいアプリケーションに大きな影響を与えます。 さらにゼロトラスト・ネットワークアクセス（ZTNA）は、シームレスで一貫したセッション保護を提供します。これは、クラウド、SaaS、オンプレミスのリソースに当てはまります。ゼロトラスト認証は、「信頼せず、常に検証する」という原則に基づいています。VPN が信頼を確立するためにクレデンシャルセットに依存するのに対し、ゼロトラストは管理者によって構成されたクレデンシャル、デバイス、時間、およびその他のパラメータに依存します。これらのパラメータは、ユーザーがネットワーク上で何かを要求するたびに検証されます。ゼロトラストはまた、ネットワークセキュリティを大幅に向上させるベストプラクティスである最小特権の原則を確立し、実施します。 ZTNA は、ファイアウォール・アズ・ア・サービス（FWaaS）やセキュアウェブゲートウェイ（SWG）のような他の SASE コンポーネントと組み合わせることで、コロナ禍の間に明らかになったセキュリティギャップに対処します。管理者は、データセンターの認証とポリシー実施を ZTNA と...
海外ブログ 2023.09.18
Barracuda SecureEdge Data 資料ダウンロード
2023.09.12
バラクーダ XDR の考察： AI がユーザーのパターンを学習してユーザーを保護する 2023年8月23日、Merium Khalid 2023年上半期に、Barracuda Managed XDR は約１兆件の顧客の ITイベントを収集し、その中で数千件の高リスクのインシデントを検出および無効化しました。 この６カ月の間に、最も広く遭遇した高リスクのインシデント（即時の防御措置が必要な脅威）には、何らかの ID の不正使用が含まれていました。この種の攻撃は時間の経過とともにますます巧妙になっていますが、Managed XDRプラットフォームの AI ベースのアカウントプロファイリング機能が発見し、ブロックしました。 仕事に現場では誰もが、いつ、どこで、どのように仕事をしているかという点で特徴的なデジタルプロファイルを持っています。そのパターンから外れた IT イベントが発生すると、危険フラグが立ちます。攻撃が非常に微細かつ巧妙で、悪意のある意図を確認するために専門の SOC （セキュリティオペレーションセンター）アナリストが必要な場合であったとしても、AI ベースの検出機能は確実に脅威を察知します。 日常の出来事から緊急のアクションへ バラクーダの Managed XDR プラットフォームは、2023年１〜７月にかけて、顧客の統合ネットワーク、クラウド、メール、エンドポイント、およびサーバセキュリティツールから 9500 億件の IT イベントを収集しました。 約１兆件にのぼるこうしたイベントには、ログイン（成功した場合も失敗した場合も）、ネットワーク接続、トラフィックフローから、メールメッセージや添付ファイル、作成・保存されたファイル、アプリケーションやデバイスのプロセス、設定やレジストリの変更、特定のセキュリティ警告まで、あらゆるものが含まれます。 これらのイベントの 0.1％（98万5000件）は、悪意がある可能性があり、さらなる調査が必要な活動である「アラーム」に分類されましたた。 このうち、10件に1件（9.7%）は顧客に確認するよう危険フラグが立てられ、さらに 2.7 %は高リスクと分類され、より詳細な分析のためにSOC アナリストに連携されました。6000件は、脅威を封じ込め、無力化するために早急な防御措置が必要でした。 最も頻繁に検出される高リスク攻撃 2023年上半期に Managed XDR によって検出され、SOC アナリストによって調査された最も一般的な３つの高リスク検出は、次のとおりです。 「不可能な旅」ログインイベント これは、ユーザーが地理的に離れた２つの場所からクラウドアカウントにきわめて短時間に連続してログインしようとしていることが検知された場合に発生します。２回のログイン間ではとても移動できないほど離れた場所からのログインが確認されるケースです。セッションの１つに VPN を使用していることを意味する場合もありますが、多くの場合、攻撃者がユーザーのアカウントにアクセスしたことを示すサインです。不可能な旅ログインは常に調査するべきです。 Barracuda XDR の Microsoft 365 アカウント向けの不可能な旅検出機能は、１月から７月にかけて、数百件のビジネスメール侵害（BEC）攻撃を検出し、ブロックしました。 SOC チームが調査したインシデントでは、あるユーザーがカリフォルニア州から Microsoft 365 アカウントにログインし、わずか13分後にはバージニア州からログインしていました。物理的にこれを達成するには、時速１万マイルを超える速度で移動する必要があります。バージニアからログインするために使用された IP は、既知の VPN アドレスに関連付けられておらず、ユーザーは通常この場所からログインしていませんでした。チームが顧客に通知したところ、顧客はこれが不正ログインであることを確認し、直ちにパスワードをリセットし、不正ユーザーをすべてのアクティブ・アカウントからログアウトさせました。 「異常」検出 これらの検出は、ユーザーアカウントにおける異常または予期しない活動を識別します。これには、通常とは異なるログイン時間や単発のログイン時間、異常なファイルアクセスパターン、個人または組織の過剰なアカウント作成などが含まれます。これらは、マルウェア感染、フィッシング攻撃、内部脅威など、さまざまな問題の兆候である可能性があります。異常スタイルの検出が表示された場合は、アカウントを調査して、異常の原因を確認する必要があります。 Barracuda Managed XDR は、特定のユーザのサインインパターンを認識し、そのユーザーが異常な時間にログインするとフラグを立てる、Windowsの「ユーザーの異常な時間」検出ベースラインを実装しています。SOC チームは2023年１月以降、この種のアクティビティに対して400件以上のアラートを発しています。 既知の悪意のあるアーティファクトとの通信 これらの検出は、危険フラグが立てられているか、悪意のある既知のIPアドレス、ドメイン、およびファイルとの通信を特定します。これは、マルウェア感染やフィッシング攻撃の兆候である可能性があります。既知の悪意のある、または疑わしいアーティファクトを含む通信を確認した場合は、直ちにコンピュータを隔離し、感染を調査する必要があります。 攻撃者の手に渡った AI 上記の例は、AIがセキュリティを大幅に強化できることを示していますが、攻撃者が悪意のある目的に AI...
海外ブログ 2023.09.12
キルウェアとは何か、そしてなぜ次なる大きなサイバー脅威なのか 2023年８月25日、Rosey Saini この10年でのインシデントの急増から、ランサムウェアやデータ流出はよく知られるようになりました。しかし近年、キルウェアと呼ばれる新しいタイプのサイバー攻撃が出現し、今や組織にとってセキュリティ上の大きな問題となっています。それにしても、「キルウェア」という言葉は実際には何を意味するのでしょうか。詳しく見てみましょう。 キルウェアとその攻撃を受けやすい業界 セキュリティ・マガジン誌の説明によると、キルウェアとは運用技術（OT）の操作を通じて社会に実生活上のリスクをもたらすことを意図して展開されるサイバー攻撃です。端的に言うと、キルウェア攻撃は人命に致命的または物理的な損害を与える可能性があります。重要なインフラを標的にするためです。 たとえば、ある都市の公共交通機関がハッキングされ、サービスが停止したとしましょう。交通機関は、公共の安全が脅かされないように攻撃者の身代金要求に応じることで事態に対処できますが、サービス停止中に誰かが怪我をする可能性があります。 企業のデジタル化が進むにつれ、脅威者はシステムに容易にアクセスできるようになり、キルウェア攻撃を実行する機会が増えます。米国土安全保障省（DHS）は、何千もの人々を危険にさらすという理由から、病院や電力網、銀行、警察などが主要なキルウェアの標的になると指摘しています。基本的に、高度にネットワーク化された業界や組織は、この種の攻撃を受けやすいのです。 キルウェア vs.マルウェア、その違いは？ キルウェアもマルウェアも、その性質はよく似ているように見えますが、最終的な目標や定義方法は異なります。マルウェアは通常、使用される手口（フィッシングやクリプトジャッキングなど）に基づいて定義されますが、キルウェアは一般的に最終的な結果によって定義され、実行プロセスではランサムウェアなどあらゆる種類の手法が使用されます。また、ほとんどのサイバー犯罪者は金銭的な利益を期待してマルウェア作戦を実行しますが、キルウェア攻撃は他人に物理的な危害を加えることを目的としています。 キルウェア攻撃の実例 2020年、ドイツの大病院であるデュッセルドルフ大学病院がランサムウェア攻撃に見舞われ、医師の配置や治療を組織するデジタルインフラが崩壊しました。その影響で、即座の治療を必要としていた78歳の女性は、32キロ離れた別の病院への救急搬送を余儀なくされ、死亡しました。ドイツ当局が後に明らかにしたところによると、この攻撃の背後にいたハッカーは、同大学病院の職員に、救急車の受け入れを拒否させました。もし受け入れていれば、女性の命は救われたかもしれません。 2021年初頭には、別のキルウェア・インシデントが起きました。フロリダ州オールズマーの浄水場に悪質な攻撃者が侵入し、スーパーボウルが開催される数日前に水中の水酸化ナトリウム濃度を危険なレベル（100ppmから1万1100ppm）まで上昇させたのです。幸い、オペレーターは迅速に対応し、数分以内にシステムの制御を回復することができたため、病気や負傷者は報告されませんでした。この浄水場の従業員は互いにリモート・アクセスの認証情報を共有していたため、ハッカーは施設のネットワークに侵入することができたのです。 キルウェアの今後 オフサイトやハイブリッドでの仕事が急速に普及するなか、悪意ある攻撃も増加の一途をたどるでしょう。ガートナー社の調査によると、2025年までにサイバー犯罪者は、人間に対するキルウェア攻撃を成功させるために「OT環境を武器化」する能力を持つようになるといいます。同社はまた、攻撃による死亡事故のコストは、2023年末までに500億ドルを超えると予測しています。 キルウェア攻撃の影響を軽減するためのステップ キルウェア攻撃を受けた際、状況が拡大しないようにするために組織が取れるアプローチがいくつかあります。 これ以上被害が拡大しないように、すべてのOTデバイスを非アクティブにし、電源から切り離す。 社内のデバイスを工場出荷時にリセットし、ハッカーがデバイスの電源を入れ直した後にアクセス権を回復できないようにする。 OT機器の製造元に連絡し、インシデントを報告する。サプライヤーは、交換プロセスの詳細を提供できるかもしれない。 キルウェア・インシデントのリスクを減らす サイバー犯罪者がキルウェア攻撃を実行し続けるでしょうから、組織は確実に保護することが重要です。Barracuda CloudGen Firewall Rugged と Barracuda Secure Connector は、IoT/OT デバイスを大規模な攻撃から保護するための高度なセキュリティソリューションです。詳細については、https://www.barracuda.com まで。 レポート: 2023年ランサムウェアに関する考察 原文はこちら What exactly is killware, and why is it the next major cyberthreat? Aug. 25, 2023 https://blog.barracuda.com/2023/08/25/what-is-killware-and-why-is-it-the-next-major-cyberthreat
海外ブログ 2023.09.04
脅威のスポットライト：AI 戦術の定着でランサムウェア攻撃の報告件数が倍増 2023年8月2日、Fleming Shi 2023年、AI（人工知能）と生成 AI が大きな話題を集めています。そしてその影響は、ランサムウェア攻撃にも及んでいます。標的のネットワークにアクセスするために AI で強化されたフィッシング攻撃や、よりリーチを広げるために AI を活用した自動化などがその一例です。過去12カ月間、AI はランサムウェアを新たな高みへと押し上げました。ランサムウェア攻撃の頻度は高くなる一方で、その勢いは衰える気配もありません。従来の攻撃手法は今後も根強く使われていくでしょうけれども、攻撃者はより効果的な攻撃を仕掛けるために生成 AI に注目するはずだと、私たちは考えています。 バラクーダの研究者は、2022年８月から2023年７月までの間に世界中で公に報告された 175 件のランサムウェア攻撃を分析しました。その結果、当社が追跡してきた主要カテゴリーである自治体および医療、そして教育セクターにおいて、報告された攻撃件数はいずれも昨年から倍増し、2021年と比べると４倍以上増加していました。 インフラ関連業種を狙った攻撃は、上位３業種と比較すると件数は少ないものの、昨年と比較すると２倍以上の件数が発生しています。自治体や教育機関はリソースに制約があるため、今後も狙いやすいソフトターゲットとみなされるでしょう。また、医療やインフラに対する攻撃は、人命に直接的かつ深刻な影響を与える可能性があり、サイバー犯罪者はその点を悪用して身代金を手に入れようとします。多くの国では、こうした業界の１つまたは複数がサイバーセキュリティ・インシデントを報告する法的義務を負っている可能性があり、これによって影響もより可視化されるようになってきています。 ランサムウェア攻撃の割合は、金融機関を除く５つの重点産業すべてにおいて前年比で増加しています。自治体への攻撃は 12% から 21% に、医療機関への攻撃は 12% から 18% に、教育機関への攻撃は 15% から 18% に、インフラへの攻撃は８% から 10% に増加しました。一方、金融機関への攻撃は６% から１% に減少しており、これはおそらく金融機関の防御能力が向上していることを示しているのでしょう。 他の業界に対するランサムウェア攻撃を分析したところ、公に報告された攻撃数は上位３業界よりも少ないものの、過去２年間で急増しているという同様のパターンが見られました。 特に、ソフトウェア企業に対するランサムウェア攻撃が増加しています。ソフトウェアはほとんどのビジネスを動かしているため、このようなソフトウェア・サプライチェーン攻撃が他業界への攻撃源となる可能性があります。また製造業やメディア、小売業界でもランサム攻撃の数は前年を上回っています。 ランサムウェア攻撃における生成 AI 戦術の影響 この１年に見られたもう１つの重要な進展は、生成 AI の台頭です。攻撃者は間違いなく、よく練られたフィッシングメールを作成するために生成 AI を使用しています。生成 AI の文章作成能力を利用することで、ランサムウェアを仕掛けるサイバー攻撃者は、より正確かつ迅速に攻撃を仕掛けられるようになりつつあります。生成 AI を使うことでフィッシングメールのスペルミスや文法の過ちをより簡単に排除できるため、攻撃がより回避的で説得力のあるものになるのです。 これまでずっと、ひどい文法やスペルミスを通して電子メール攻撃を見破るよう私たちは訓練されてきました。しかし、こうしたわかりやすい欠陥はおそらく今日では存在しないでしょう。攻撃者は事前に訓練された生成言語モデルを使用し、さまざまな言語で、さらには攻撃をよりカスタマイズするためにソーシャルメディアの自動スキャンを使用して、高度な文章を作成できるのですから。 攻撃者がいかに生成 AI のコード生成機能を利用して、ソフトウェアの脆弱性を狙った悪意あるコードを記述しているのかをセキュリティ研究者はすでに解き明かしています。 このような変化により、ランサムウェア攻撃を開始するために必要なスキルは、悪意ある AI プロンプトを構築し、ランサムウェア・アズ・ア・サービス・ツールにアクセスすることだけになりかねません。それは、まったく新しい攻撃の波につながっていく可能性があります。 バラクーダ SOC の洞察 一部の業界では、ランサムウェア攻撃が公に報告される数が倍増していますが、報告されない攻撃の数も劇的に増加していることは間違いありません。バラクーダの SOCアズ・ア・サービスを通してサイバー攻撃全体を見ると、過去12カ月間に、次のタイプのインシデントを観測しています。ビジネスメール侵害（BEC）、ランサムウェア、マルウェア感染、内部脅威、個人情報窃盗、およびデータ漏えい。インシデントになる前に阻止される攻撃が圧倒的に多いため、サンプル数は少ないものの、攻撃がどのように進行するかについて興味深い洞察が得られています。 インシデントの種類では BEC が最も一般的でした。しかし、BECは個人情報窃盗やマルウェア感染につながる可能性があります。そして、そこからランサムウェアにつながり、最終的には悪質業者がデータを流出させる方法を見つけることでデータ漏えいにつながっていきます。 つまり、このグラフが本当に教えてくれるのは、攻撃をどこで検知できたかということです。インシデントの BEC 段階で攻撃を検出し、ブロックするための措置が取られていることは心強いことです。万が一ネットワークに侵入する前に攻撃を検知して防ぐことができなくても、サイバー・キル・チェーンの早い段階で対応すれば、攻撃への露出や被害を減らすことにつながります。この図を見ると、これらのインシデントの関係を見て取ることができます。詳しく見てみましょう。 BEC は通常、被害者を引きつけ、さらにデータを漏えいさせたり、攻撃を MITRE ATT&CK フレームワークの流れに乗せるような行動を取らせたりします。ビジネルメールの段階で侵害が発見されない場合、攻撃の次の段階としてマルウェア感染や個人情報窃盗ががあり、攻撃者は被害者のネットワーク内で静かに横方向に展開し、データを取得して次の攻撃の種を蒔いている可能性があります。 そのため、XDRのようなツールを使用して、メールセキュリティのシグナルを検知したら、特にBECやアカウント乗っ取りといった障害が発生したら、即座に攻撃者を排除し、根絶する必要があります。だからこそ、バラクーダはオープンサイバーセキュリティスキーマフレームワーク（OCSF）をサポートしています。バラクーダは、OCSF 形式でメール脅威シグナルを公開しているため、顧客とパートナーはサイバーキルチェーンを短絡させるための対応を実装できます。 たとえば、BEC...
海外ブログ 2023.08.31
