Proofpoint主導の調査で判明したこと

Proofpoint、Google Threat Intelligence Group、Microsoft Threat Intelligence Center、Volexityによる共同調査は、研究者がこれほど明確に記録されることをめったに見ない何かを明らかにした。複数の国家に連なるハッキンググループが、互いに数日のうちに同じ未知のゼロデイエクスプロイトを使い始めたのだ。世界の脅威インテリジェンスの可視性の大部分を合わせてカバーするこれら4組織は、調査結果を統合し、これが偶然でも、模倣活動がゆっくり広がったのでもないことを確認した。それは、別々の無関係な国家支援グループ間でのほぼ同時の採用だった。

この種の相互参照調査が重要なのは、これらの企業が通常、脅威状況の異なる部分を追跡しているからだ。Proofpointはメールベースの侵入とフィッシング基盤に重点を置き、GoogleとMicrosoftは数十億のエンドポイントとクラウドシグナルを監視し、Volexityは高価値標的のインシデント対応を専門とする。4社すべてが、無関係なキャンペーンで同じエクスプロイトがほぼ同時に表面化するのを独立に確認したとき、それは各グループが独自に発見したのではなく、複数の主体が同時に利用できるようになった方法に何か変化があったことを示す強いシグナルである。

なぜ複数の国家主体がこれほど迅速にエクスプロイトを採用したのか

歴史的に、新たに発見されたゼロデイは、より広範な採用が起こるまで数週間または数か月間、単一のグループ、または小規模で厳しく管理された範囲にとどまる傾向がある。この遅延は通常、ゼロデイの開発コストが高く、使いすぎによる露見が危険で、まれであるがゆえに価値があるために生じる。複数の国家支援グループが数日以内に同じエクスプロイトを手にしたことはこのパターンを破っており、いくつかの可能性を示唆する。エクスプロイトが複数の政府系顧客にサービスを提供するブローカーネットワークを通じて販売または共有された可能性、共有開発パイプラインから漏えいした可能性、または初期攻撃が他の高度な主体に気づかれ逆解析されるほど騒がしくなった後に独立して再発見された可能性である。

これらのシナリオはいずれも単独でも注目に値するが、合わせると、「脆弱性が存在する」から「複数の政府がそれを悪用している」までの時間枠が縮小している脅威環境を描写している。この圧縮こそが本当の見出しであり、単に別のゼロデイが存在するということではない。これは、セキュリティコミュニティが文書化してきたより広い傾向と一致する。たとえば、Siemens ROX IIの脆弱性とLinux CVEの波の報道では、非常に異なる種類のインフラ全体で迅速なトリアージが必要とされた。

誰がリスクにさらされ、どのシステムが標的になっているのか

関与した研究者たちは、影響を受けたすべての組織を公に詳述しなかったが、Volexityの関与とGoogleおよびMicrosoftのエンタープライズ規模の可視性は、このエクスプロイトが高価値標的に到達し得ることを示唆している。政府ネットワーク、大企業、および広く展開されたソフトウェアスタックに依存する組織である。国家に連なるグループは通常、低価値の標的に貴重なゼロデイを浪費しないため、複数の主体による使用は、基盤となる脆弱性が広く展開され、露見リスクに見合う何かに存在することを意味する。

一般ユーザーにとって、直接的なリスクは通常間接的である。ほとんどの人は国家規模のスパイ活動の主要標的ではないが、彼らが使用するソフトウェアやサービス、メールプロバイダー、クラウドプラットフォーム、エンタープライズツールはしばしば標的になる。このようなゼロデイが流通すると、その影響は最終的にサプライチェーン、サービスプロバイダー、または影響を受けたシステムを通過するデータを持つあらゆる人に及ぶ可能性がある。

今すぐ露出を減らすための実践的措置

ゼロデイに関する完全な情報を待ってから行動するのは負け戦である。実践的な対応は、セキュリティチームが何年も繰り返してきたものと同じであり、特定のエクスプロイトのあらゆる詳細を知ることに依存しないからこそ、依然として効果的である。

  • ベンダーがセキュリティパッチをリリースしたらすぐに適用し、インターネットに面するシステムや機密データを扱うシステムを優先する。
  • 活発なゼロデイ悪用が確認されている期間は、ベンダーのアドバイザリと脅威インテリジェンスのまとめを注意深く監視する。最近のChrome V8ゼロデイパッチに求められた迅速な対応と同様である。
  • 単一の制御に頼るのではなく、防御を重ねる。VPNは転送中のデータ保護や信頼できないネットワークでの露出低減に役立つが、脆弱なアプリケーションを直接狙うエクスプロイトは止められないため、エンドポイント保護、ネットワーク分離、強固なアクセス制御と組み合わせるべきである。
  • 定期的なセキュリティまとめを通じて情報を得る。エクスプロイトの公開とパッチのタイムラインは速く動き、ニュースサイクルに埋もれがちである。たとえば、Certighostおよびその他のゼロデイ公開に関する週次まとめのような継続的報道で見られる通りである。

これがあなたにとって意味すること

ほとんどの読者が国家支援ハッキンググループの直接の標的になることはないが、誰もが依存するソフトウェアやサービスは依然として巻き添えになる可能性がある。この研究から得られる本当の教訓は、もう一つの国家支援ハッカーによるゼロデイエクスプロイトの話が存在することではなく、そのエクスプロイトが複数の独立した国家主体にどれほど迅速に広がったかである。この速度は、組織、ひいてはそのユーザーが、脆弱性が広く武器化される前にパッチを当てる時間がかつてなく短くなっていることを意味する。すべての重要なパッチ通知を真剣に受け止め、数日の遅延が無害だと決して思わないことだ。

主な要点

Proofpoint主導の調査は、ゼロデイエクスプロイトがひとたび表面化すると、もはや長く排他的にとどまらないことを思い出させる。個人にとっては、ソフトウェアを遅滞なく更新し続け、セキュリティアドバイザリに注意を払い、VPNのような多層防御を、優れたパッチ適用習慣の代わりではなく併用することが重要である。組織にとっては、ベンダー間の脅威インテリジェンス共有の価値を再確認させる。なぜなら、Proofpoint、Google、Microsoft、Volexityの間のまさにその種の協力が、このパターンがより長く見過ごされる前に明らかにしたからである。セキュリティまとめとパッチリリースを最新の状態に保つことは、国家規模のサイバー作戦における巻き添え被害にならないための最も簡単で最も効果的な方法であり続ける。