テクノロジー
製品
リソース
会社
日本語
テクノロジー
製品
ブログ
リソース
会社

米国連邦政府へのインシデント報告をDarktraceのCyber AI Analystが加速

Justin Fier, VP, Tactical Risk and Response | Sally Kenyon Grant, VP, Darktrace Federal | 2022年4月13日水曜日

2022年3月15日、バイデン大統領は議会オムニバス歳出法案の一部として含まれていたCyber Incident Reporting for Critical Infrastructure Act(重要インフラに対するサイバーインシデント報告法) に署名しました。この法律は、重要インフラの所有者および運営者が、ランサムウェアの支払いや大きなサイバー攻撃についてCyber and Infrastructure Security Agency (CISA)に対し速やかに通知することを義務付けています。

このCyber Incident Reporting for Critical Infrastructure Actにより2つの新しい報告義務が生まれました。

  1. 特定のサイバーインシデントについてDHS CISAに72時間以内に報告すること
  2. ランサムウェアの支払いについて24時間以内に報告すること

DarktraceのAIはサイバーインシデントの報告プロセスを加速してこの新しい法律に対応します。具体的には、DarktraceのCyber AI Analystが個別のセキュリティインシデント間のつながりを教師付き機械学習により理解し、NLP(自然言語処理)を使って人間が読める言語でインシデントレポートを自律的に記述します。これらのDarktraceインシデントレポートに基づいて人間のアナリストがCISAに迅速かつ効率的に報告書を送付することができます。

以下のケース スタディでは、重要インフラを管理する組織がランサムウェアおよび悪意あるデータ抜き出しの被害に遭った際にCyber AI Analystがシームレスな報告書作成を促進した実際の事例を紹介します。人間のアナリストの行動に基づいてトレーニングされたAIテクノロジーは、調査をマシンスピードかつマシンスケールで再現することにより、関連のあるイベントを数分で洗い出し、セキュリティチームは何が起こったのかを正確に理解しこの情報を関連当局に共有することができます。

以下の脅威調査レポートは重大な脅威の検知結果をステップバイステップで技術的詳細とともに解説し、Cyber AI Analystの威力とスピードを実証しています。

Cyber AI Analystのインシデントレポート

ランサムウェアがこの組織を襲った時、Cyber AI Analystはインシデントの全貌を自律的に調査し、攻撃の進行を明確に示した自然言語で記述されたサマリーを生成し、きわめて有益でした。

図1:Cyber AI Analystがインシデントの全貌を明らかに

この攻撃の後、さらにDarktraceのテクノロジーは攻撃のタイムラインを整理し、どのファイルが侵害されたかを識別してアナリストを支援しました。これによりセキュリティチームはランサムウェア攻撃に関連した悪意あるアクティビティを特定することができました。

図2:Cyber AI Analystは侵害されたデバイスが経験した攻撃チェーンの各段階を表示

Darktrace AIからの情報を使って、チームは容易に攻撃のタイムライン、影響を受けたデバイス、使用された認証情報、アクセスされたファイル共有、抜き出されたファイル、そして接触された悪意あるエンドポイントを特定することができ、攻撃の規模を開示して必要な当事者に知らせることができました。

この事例は、Cyber AI Analystがどのように重要インフラの所有者および運用者を支援し重大なサイバー攻撃について連邦政府への迅速な報告を可能にしたかを実証しています。重大なインシデントについては報告の期限が72時間 — ランサムウェアへの支払いは24時間 — であることを考慮すると、Cyber AI Analyst は重要インフラにとってもはや、あったら良い程度の機能ではなく、必須のものとなったと言えるでしょう。

攻撃の詳細:ランサムウェアおよびデータ抜き取り

Cyber AI Analystは上に示したインシデントレポートにも見られるように、最も重要な情報を読みやすいレポートとして、人間の関与をまったく必要とせずに提供しました。次に、この攻撃をさらに分解してDarktraceの自己学習型AIが攻撃のライフサイクル全体を通じて不審なアクティビティをどう理解したのかを見ていきます。

この二重恐喝ランサムウェア攻撃において、攻撃者は22日間に渡ってデータを抜き出していました。Darktraceの自己学習型AIによる検知結果、および並行して行われたCyber AI Analystによる調査は、攻撃チェーンをマッピングし、どのデータがどのように抜き出され暗号化されたかを特定するのに使われました。

この攻撃は大きく分けて3つのイベントグループから構成されていました:

  • ブルガリアにある未知の悪意ある外部エンドポイントへの非暗号化 FTP (File Transfer Protocol) データ抜き出し (May 9 07:23:46 UTC – May 21 03:06:46 UTC)
  • ネットワークファイル共有内のファイルのランサムウェア暗号化 (May 25 01:00:27 UTC – May 30 07:09:53 UTC)
  • 未知の悪意あるエンドポイントへの暗号化 SSH (Secure Shell) データ抜き出し (May 29 16:43:37 UTC – May 30 13:23:59 UTC)

図3:攻撃のタイムラインとDarktraceモデル違反

まず、ブルガリアにある未知の悪意あるエンドポイントへの内部データのアップロードがネットワーク内で観測されました。データ抜き出しに先立って内部ファイル共有のSMB読み取りがありその後FTPを使っておよそ450GBのデータが抜き出されました。

DarktraceのAIはこの脅威アクティビティを単独で発見し、組織はどのデータが抜き出されたかをすばやく特定することができました。これらには‘人材獲得’や、‘エンジニアリングおよび建設’などのマーキングでカモフラージュされたファイルや、法務および財務関係文書も含まれており、これらは機密性の高い文書であったことが推察されます。

図4:FTPを使った外部アップロードについての2つのモデル違反を示すスクリーンショット

図5:FTPアップロードに先立ってのファイル共有からのSMB読み取りを示すスクリーンショット

モデル違反:

  • Anomalous Connection / Unusual Incoming Data Volume
  • Anomalous File / Internal / Additional Extension Appended to SMB File
  • Compromise / Ransomware / Suspicious SMB Activity
  • Compromise / Ransomware / SMB Reads then Writes with Additional Extensions
  • Unusual Activity / Anomalous SMB Move & Write
  • Unusual Activity / High Volume Server Data Transfer
  • Unusual Activity / Sustained Anomalous SMB Activity
  • Device / SMB Lateral Movement

このアクティビティが観測された4日後、DarktraceのAIはランサムウェアが展開されたことを検知しました。感染した複数のデバイスが通常アクセスしないファイル共有に対して異常なSMB接続を行い同じようなボリュームを読み取りおよび書き込みし始め、SMBを使ってファイル拡張子を書き込むなどをしていることが観測されました。ファイル拡張子はランダムな文字列で構成されこの標的となった組織固有のものと見られました。

Darktraceを使って、この顧客は暗号化されたファイルすべてのリストを取得しました。このリストは‘Accounts’ファイル共有に格納された財務上の記録と思われるものも含まれていました。

図6:ランサムウェア暗号化の際に追加の拡張子が書き込まれたことを示すモデル違反

モデル違反:

  • Anomalous Connection / Unusual Incoming Data Volume
  • Anomalous File / Internal / Additional Extension Appended to SMB File
  • Compromise / Ransomware / Suspicious SMB Activity
  • Compromise / Ransomware / SMB Reads then Writes with Additional Extensions
  • Unusual Activity / Anomalous SMB Move & Write
  • Unusual Activity / High Volume Server Data Transfer
  • Unusual Activity / Sustained Anomalous SMB Activity
  • Device / SMB Lateral Movement

これと同時に、未知の悪意あるエンドポイントへの内部データのアップロードがネットワーク内で観測されました。アップロードはすべて暗号化されたSSH/SFTPを使って行われていました。合計で、約3.5GBのデータがこの方法で抜き出されました。

攻撃者はデータの抜き出しに暗号化チャネルを使いましたが、Darktraceは外部アップロードの前に異常なSMBファイル転送を検知しており、これがどのファイルが抜き出されたかを示していました。このように、Darktraceの「時間をさかのぼる」能力がきわめて有用であることが実証されました。暗号化を使って抜き出されていたにも関わらず、どのファイルが抜き出されたかをアナリストが知る助けとなったのです。

図7:SSHを使ったアップロードの前の異常なSMBアクティビティを示すモデル違反

モデル違反:

  • Anomalous Server Activity / Outgoing from Server
  • Compliance / SSH to Rare External Destination
  • Unusual Activity / Enhanced Unusual External Data Transfer
  • Device / Anomalous SMB Followed By Multiple Model Breaches
  • Device / Large Number of Model Breaches
  • Anomalous Connection / Uncommon 1 GiB Outbound
  • Anomalous Connection / Data Sent to Rare Domain
  • Anomalous Connection / Data Sent To New External Device

攻撃はセキュリティスタックのその他の部分をどのようにすり抜けたか

ネットワーク内で権限を昇格し悪意あるアクティビティを実行するために既存の管理者認証情報が使われました。

Darktrace Antigenaが有効に設定されていれば、的を絞った自律的な対処を実行してこのアクティビティを早い段階で封じ込めていたはずです。Antigenaはこの異常なSMBアクティビティに関与していたデバイスに対して通常の「生活パターン」を強制し、普段接続しないファイル共有からのファイル読み取りや、ファイルへの拡張子の追加などのアクティビティを封じ込め、未知の外部エンドポイントへの接続をブロックしていたことでしょう。

しかしこのケースでは、Antigenaはアクションを実行するよう設定されていませんでした。人間の確認を必要とするモードに設定されていたのです。このインシデントはDarktraceにより明確に警告され、セキュリティチームのワークフロー上には最優先アイテムとして表示されていました。しかし、セキュリティチームはDarktraceのユーザーインターフェイスを監視しておらず、他のツールにより実行されたアクションもなかったため、攻撃は進行を許され、この組織はインシデントの詳細を開示しなければならないことになりました。

報告書作成プロセスを効率化

現在の脅威環境においては、動きの速い高度な攻撃に対し、AIを利用してマシンスピードおよびスケールで阻止することはきわめて重要です。今回の事例が示しているように、このテクノロジーは攻撃の後始末としての報告義務を果たすのにも役立ちます。

新しい法律はタイムリーな開示を求めています。多くの従来型セキュリティアプローチでは、攻撃に遭った後、組織はその詳細をすべて調べる手段を持っていません。これに加えて、これらの情報を相関づけるには何日も、あるいは何週間もかかります。重要インフラを運営する組織にとってDarktraceがもはや「あったら良い」レベルではなく、「なくてはならない」ものとなったのは、こうした理由によります。新しい法律によって重大インシデントについて迅速に報告しなければならなくなったためです。

DarktraceのAIは悪意あるアクティビティを発生次第検知し、侵害のタイムラインおよび攻撃者によりアクセスされ抜き出されたファイルについてすばやく理解する助けとなります。これにより組織は最も高度な攻撃に対しても抵抗する準備ができるだけでなく、データ侵害について報告するプロセスを加速し大幅に容易化します。

セキュリティチームは開示プロセスの手間を一人で抱える必要はありません。攻撃はあっという間に起こり、その後始末は面倒です。失われたデータを遡及的に調査することは従来のアプローチでは徒労に終わることもあります。Darktraceを使うことにより、セキュリティチームは突然の破壊的な攻撃に対して、正確かつ俊敏なデータ特定手法、そしてリスク検知および緩和策により対抗することができます。そして、その必要が生じれば、イベントについての迅速かつ正確なレポートをAIがすべて揃えて提示してくれます。

御社の環境でDarktraceが検知できること

Justin Fier

Justin is one of the US’s leading cyber intelligence experts, and holds the position of VP, Tactical Risk and Response at Darktrace. His insights on cyber security and artificial intelligence have been widely reported in leading media outlets, including the Wall Street Journal, CNN, The Washington Post, and VICELAND. With over 10 years’ experience in cyber defense, Justin has supported various elements in the US intelligence community, holding mission-critical security roles with Lockheed Martin, Northrop Grumman Mission Systems and Abraxas. Justin is also a highly-skilled technical specialist, and works with Darktrace’s strategic global customers on threat analysis, defensive cyber operations, protecting IoT, and machine learning.

Sally Kenyon Grant

Sally Kenyon Grant is Vice President of Federal at Darktrace, working with the US Department of Defense, the intelligence community and federal civilian agencies.