APT - 高度標的型持続的脅威 | Decripte Security

高度標的型持続的脅威 (APT) は、サイバーセキュリティの領域において最も高度で危険な脅威を 表しており、高度な技能を持つグループによって実行される、協調的で長期的かつ標的を絞った 攻撃です。

APT とは

APT は、潤沢な資金を持ち技術的に高度な攻撃者によって実行される長期的なサイバー攻撃 キャンペーンです。日和見的な攻撃とは異なり、APT には以下の特徴があります：

• Advanced（高度）：zero-days やカスタムマルウェアを含む、 高度な技術とツールを使用します
• Persistent（持続的）：数か月から数年にわたってアクセスを維持し、 検出や修復をすり抜けて存続します
• Threat（脅威）：特定の目的（諜報活動、妨害工作、IP の窃取）を持ち、 重大なリスクをもたらします

APT の特徴

特定の標的：APT は、戦略的価値を持つ特定の組織、業界、または個人を 標的とします。

長期的な作戦：キャンペーンは数年に及ぶことがあり、 偵察、侵入、悪用、流出といったフェーズを含みます。

ステルスと回避：APT は、従来のセキュリティ管理による検出を回避するために 高度な回避技術を使用します。

複数のベクトル：spear-phishing、exploits、ソーシャルエンジニアリング、 supply chain attacks、insider threats を組み合わせます。

戦略的目的：産業スパイ活動、知的財産の 窃取、妨害工作、政治的影響力の行使。

既知の APT グループ

APT28 (Fancy Bear)：GRU に関連するロシアのグループで、 政府や政治組織への攻撃を担っています。

APT29 (Cozy Bear)：SVR に関連するロシアのグループで、長期的な 諜報活動に注力しています。

APT1 (Comment Crew)：戦略的業界における産業スパイ活動に 注力する中国のグループ。

Lazarus Group：破壊的な攻撃と金融犯罪で知られる 北朝鮮のグループ。

APT33 (Elfin)：航空およびエネルギー業界に注力するイランのグループ。

APT 攻撃のライフサイクル

1. 偵察：OSINT、ソーシャルエンジニアリング、スキャンを通じて 標的に関する情報を収集します。

2. 初期侵入：spear-phishing、exploits、 watering holes、または supply chain を介して侵害します。

3. 足場の確立：backdoors をインストールし、 持続性を確立します。

4. 権限昇格：管理者の認証情報を取得し、 重要なシステムへアクセスします。

5. 横展開：内部ネットワーク全体にアクセスを拡大します。

6. データ収集：関心のあるデータの特定と staging を行います。

7. 流出：秘匿チャネルを介してデータを持ち出します。

8. 維持：複数の backdoors を通じてアクセスを保持します。

戦術・技術・手順 (TTPs)

Spear-Phishing：特定の標的向けに高度にカスタマイズされたメール。

Zero-Day Exploits：未知の脆弱性の悪用。

Living Off The Land：オペレーティングシステムの正規ツールの使用。

Custom Malware：標的のために特別に開発されたマルウェア。

Credential Harvesting：keyloggers、mimikatz による認証情報の窃取。

秘匿 C2：DNS、HTTPS、cloud services を介した Command and Control。

APT に対する防御

Threat Intelligence：IOCs、TTPs、およびアクティブな APT キャンペーンの追跡。

Threat Hunting：ネットワーク内の侵害指標の能動的な探索。

ネットワークセグメンテーション：マイクロセグメンテーションによる横展開の制限。

EDR/XDR：エンドポイントおよび複数のレイヤーでの高度な検出と対応。

振る舞い監視：UEBA による行動の異常の特定。

Zero Trust：アイデンティティと認可の継続的な検証。

Security Awareness：spear-phishing と APT 戦術に関する専門的なトレーニング。

APT の検出

APT の検出には、技術、インテリジェンス、分析を組み合わせた多層的なアプローチが必要です：

• 異常な通信パターンを検出するためのネットワークトラフィック分析
• 機密データおよび重要システムへのアクセスの監視
• APT TTPs 向けの特定ルールを用いた SIEM によるイベント相関
• カスタムツールを特定するためのマルウェア分析
• 既知の APT キャンペーンの IOCs に基づく threat hunting

APT インシデント対応

APT への対応には、攻撃者に気づかれないよう細心の注意が必要です：

協調的な封じ込め：特定されたすべての backdoors の同時除去。

詳細なフォレンジック分析：侵害範囲の完全な調査。

タイムラインの再構築：攻撃者の行動の完全なマッピング。

認証情報のリセット：漏洩した可能性のあるすべての認証情報のローテーション。

Hardening：観測された TTPs に基づく追加の管理策の実装。

Frameworks とリソース

MITRE ATT&CK：攻撃者が使用する TTPs のフレームワークであり、 APT に対する防御に不可欠です。

Cyber Kill Chain：Lockheed Martin によって開発された攻撃フェーズのモデル。

Diamond Model：侵入分析と threat intelligence のためのフレームワーク。

APT Groups and Operations：APT グループに関する情報リポジトリ (MITRE, FireEye, CrowdStrike)。