白日の下にさらされた脅威：SolarWinds攻撃が露呈させた、単なるサイバーリスク以上の本質

本記事の一部は Dark Reading に掲載されたものです。内容を更新し、転載しています。

‍

サイバーセキュリティ業界にとって、これほどクリスマスを台無しにする出来事はないでしょう。それは、米国政府を標的とした史上最大規模のサイバー諜報活動へと発展しつつある、壊滅的なデータ侵害です。

SolarWindsへの攻撃は広範囲に及んでおり、脅威アクターは2019年半ばという早い段階でソフトウェアへの侵入を開始していました。この数ヶ月に及ぶ犯行は、著名なサイバーセキュリティ企業であるFireEyeへの侵入に利用されたことで2020年12月に発覚し、そこから悪夢が広がりました。侵害の全容は現在も調査中ですが、米国国務省、国土安全保障省、商務省、財務省、および国立衛生研究所などが侵入の主要な標的となっています。

この事件の影響は今後も長く続くでしょうが、そのあまりの巧妙さには驚かされます。技術的なレベルで見ると、これはカスタムメイドの悪意あるツール、バックドア、隠蔽されたコードを駆使した多層的な侵入であり、よく見かけるスクリプトキディによる単純な脆弱性の悪用とは次元が異なります。

最悪のコードロンダリング

CrowdStrikeは、このエクスプロイトの解析において再び卓越した手腕を発揮し、その調査結果を詳細に公開しました。現在明らかになっているのは、SolarWindsがインフラへの侵害を受け、システムアップデートに悪意あるコードを注入されたという事実です。その結果、少なくとも4種類のマルウェアが使用され、脅威アクターに前例のないアクセス権を与えることとなりました。

その手法は極めて隠密性が高く、まるでスパイ小説に出てくるような戦略的精密さを備えていました。これにより、SolarWindsのネットワーク外にいる標的を、彼らが望むタイミングで攻撃するための準備や計画に十分な時間を確保することができました。これは包括的なサプライチェーン攻撃であり、すべてが完全に無害に見えるコードによって実行されたのです。

サイバー攻撃は、単純でありながら代償の大きいミスから生じることがよくあります。発覚後に振り返れば、ネットワークの設定不備、平文でのパスワード保存、既知の脆弱性を放置したままのソフトウェアなど、そのミスは明白です。しかし今回の場合、コードは開発者やセキュリティエンジニアの目から見ても全く違和感のないものでした。高価で複雑なセキュリティ技術を多数導入していても、検知することはできなかったのです。

セキュリティ監視ツールやペネトレーションテストツールは、事実上無力化されていました

セキュリティの専門家は極めて希少な存在であるため、膨大な企業データ、ソフトウェア、インフラを保護する彼らの任務は、ビジネスのセキュリティニーズに合わせてカスタマイズされた技術スタックによって支えられています。これには通常、ネットワークファイアウォール、自動ペネトレーションテスト、監視・スキャンツールなどが含まれますが、特に後者はソフトウェア開発プロセスにおいて多くの時間を割くことになります。こうしたツール群は急速に肥大化し、管理や運用が困難になることが多く、多くの企業が300種類以上の製品やサービスを併用しています。

SolarWindsには、コード内のセキュリティバグの発見、不正なネットワークアクセスの試行、インフラのあらゆる部分における潜在的な侵害の特定、さらには検知回避の兆候を捉えるための、目を見張るようなツール群が導入されていたはずです。それほど高度なセキュリティスタックをすり抜け、悪意あるコードを注入できたことは前例のない事態です。

インフラの強化、特にアクセス制御はサイバーセキュリティのベストプラクティスにおける基本ですが、攻撃者がわずかな隙を静かに突くことができれば、スタンドアロンのソフトウェアの脆弱性と同様にネットワークは侵害されてしまいます。

今回の侵害は、ネットワークインフラやソフトウェアの保護をツールのみに依存する企業が、いかに大きなリスクを抱えているかを改めて突きつけました。コードを守るだけでは不十分であり、それを保存、実行、コンパイルするすべての要素が同等に堅牢でなければなりません。理想的な状態は、ツールと人間がバランスを取り、潜在的な攻撃対象領域を深く評価・削減する強固な戦略を実行することです。

チーム横断的なセキュリティ意識が、より優れた脅威モデリングを実現する

SolarWindsの侵害は、すでにセキュリティ運用、特に政府レベルにおいて大きな影響を与え始めています。専門家は、これがサイバーセキュリティの慣行を永遠に変える可能性があると指摘しています。

私たちの生活はデジタルインフラに支えられていますが、細心の注意を払って管理しなければ攻撃に対して脆弱であり、現在の一般的な戦略には欠陥があります。セキュリティ専門家は圧倒的に不足しているにもかかわらず、そのギャップを埋めるための取り組みは十分とは言えません。人間主導のセキュリティ意識はサイバーセキュリティにおいて活用しきれていない要素であり、事後対応ではなく予防を優先することも同様です。

インフラセキュリティは多くの要素が絡み合う複雑な取り組みですが、ソフトウェア開発における役割と同様に、適切なトレーニングを受けセキュリティ意識の高い開発者は、構造的なリスクを低減するための貴重な資産となり得ます。

脅威モデリングにおいてサプライチェーン攻撃が考慮されることは稀ですが、この種の攻撃は2012年の時点で、現在の技術では防ぐのが困難な主要リスクとして指摘されていました。それにもかかわらず、多くの企業が十分な備えができていないのが現状です。ソフトウェア開発者は予防において間違いなく重要な役割を果たすことができます。まずは、開発者がスキルを磨き、コードの整合性を内側から評価できるようにすることから始めましょう。アップデートの仕組みは安全に構築されているか？ソフトウェアが不要な接続を維持し、悪意ある侵害を容易にしていないか？

セキュリティがソフトウェアの品質と同義であると捉えれば、セキュリティ意識の高いエンジニアがもたらす計り知れない価値は容易に理解できるはずです。