Cybersecurity Diveによると、ランサムウェアグループを含む複数の脅威アクターが、Palo Alto NetworksのGlobalProtectポータルにおける高深刻度の脆弱性を悪用している。Palo Alto GlobalProtectの脆弱性をめぐるランサムウェアの活動は、外部の者をネットワークから締め出すために作られたツールが、攻撃者の玄関口になり得ることを強く示すものだ。

元の報道は簡潔であり、本記事はそれが確認している内容にとどめる。すなわち、この脆弱性は高深刻度と評価されており、GlobalProtectポータルに存在し、複数のグループが現在これを悪用しているということだ。CVE識別子や技術的な仕組みの詳細には言及していないため、本記事でも触れない。具体的な情報については、管理者はベンダー自身のアドバイザリに依拠すべきである。

GlobalProtectとは何か、なぜこの脆弱性が重要なのか

GlobalProtectはPalo Alto Networksのリモートアクセス製品である。組織はこれを使って、従業員がオフィス外から内部リソースに接続できるようにしており、ポータルはユーザーやデバイスが最初に到達するコンポーネントだ。インターネットから到達可能でなければならないため、設計上、外部に露出している。

この露出こそが、このコンポーネントにおける高深刻度の脆弱性を非常に魅力的なものにしている。ゲートウェイやポータルは、パブリックインターネットとプライベートシステムの境界に位置する。攻撃者がこれを悪用できれば、フィッシングキャンペーンよりも多くの場合少ない警報で、すでに境界の内側から侵入を開始できる可能性がある。

ランサムウェアグループはどのようにこの脆弱性を悪用しているか

この報道の重要な詳細は、悪用の広がりである。複数の脅威アクターがこの脆弱性を利用しており、ランサムウェアの運営者もその中に含まれている。脆弱性が単一のアクターから複数へと広がるとき、通常それは攻撃経路が再利用できるほど信頼性が高く、悪用の知識が拡散していることを意味する。

ランサムウェアの一味にとって、VPNポータルのようなエッジデバイスは、ネットワークのより深部にあるエンドポイントセキュリティの多くを回避する侵入手段を提供するため、価値が高い。ひとたび内部に入れば、攻撃者は通常、環境の把握、より広いアクセスの獲得、データの窃取、暗号化の展開へと進む。BlackCat/ALPHVランサムウェアのプロファイルは、高度な一味が足場を確保した後にどのように活動するかを示している。同様に、Gunraランサムウェアに関するFBIのアドバイザリは、窃取したデータを暗号化と併せて leverage（交渉材料）として用いる二重恐喝の手口を説明している。

元記事は、どのランサムウェアグループが関与しているのか、犠牲者が何人いるのかについては述べていないため、本記事でもいずれについても推測はしない。

IT管理者が今すぐ行うべきこと：パッチ適用と侵害の痕跡調査

組織でGlobalProtectを運用しているなら、これを緊急事項として扱うべきだ。実践的な手順は以下のとおり。

  • ベンダーの修正を適用する。 Palo Alto Networksの公式セキュリティアドバイザリで該当するパッチや緩和策を確認し、可能な限り速やかに適用する。
  • 露出の可能性を前提とする。 パッチ適用は扉を閉じるが、すでに侵入した攻撃者を排除するものではない。不審なVPNセッション、予期しない場所からのログイン、新規アカウントやデバイスがないかログを確認する。
  • 侵害指標（IoC）を調査する。 ベンダーやセキュリティ機関が公開した指標を用い、VPNサブネットから内部システムへの横展開の兆候を探す。
  • 必要に応じて認証情報をリセットする。 不審な活動を発見した場合は、ゲートウェイに接触したアカウントのパスワードやキーをローテーションする。
  • 露出を減らす。 管理インターフェースに到達できる者を制限し、必要なサービスのみがインターネットに公開されていることを確認する。
  • バックアップを確認する。 最新であり、オフラインまたはイミュータブルで、テスト済みであることを確認する。ランサムウェアからの復旧はこれらに依存する。

あなたのVPNゲートウェイは単一障害点になっていないか

このインシデントは、より広い設計上の疑問を提起する。インターネットに面した1台のアプライアンスが攻撃者と内部ネットワークの間の唯一の障壁であるなら、1つの脆弱性が他の多くの投資を台無しにし得る。

ネットワークセグメンテーションは役立つ。侵害されたVPNセッションがすべてに到達できるべきではない。最小権限アクセスは、いずれか1つのアカウントができることを制限し、VPN活動の異常を監視することで侵入から検知までの時間を短縮できる。ランサムウェアと国家関連の活動はいずれも同じ弱点、すなわちエッジインフラを悪用する傾向があり、ミネソタ州の水道システムに対するイランの攻撃で見られるように、露出したリモートアクセス経路が企業オフィスをはるかに超えて重要になり得ることを浮き彫りにしている。

あなたにとって何を意味するか

GlobalProtectを使用しているITまたはセキュリティの専門家であれば、優先事項は次のメンテナンスウィンドウではなく、今すぐパッチを適用し侵害を確認することだ。会社のVPN経由で接続する従業員であれば、自身で変更する必要はないが、ITチームにゲートウェイが更新されたか尋ね、予期しないパスワードリセットやMFAプロンプトに注意することができる。

企業のゲートウェイではなくコンシューマー向けVPNを使用している場合、この特定の報道はあなたに関するものではない。それでも一般的な教訓は当てはまる。VPNソフトウェアを最新の状態に保ち、アカウントには強力で固有のパスワードと多要素認証を使用することだ。

主なポイント

  • ランサムウェアグループを含む複数の脅威アクターが、GlobalProtectポータルの高深刻度の脆弱性を悪用している。
  • Palo Alto Networksの公式ガイダンスに従ってパッチを適用し、その後、攻撃者がすでに内部にいる兆候を調査する。
  • ネットワークをセグメント化し、権限を制限して、1つのゲートウェイの侵害ですべてが露出しないようにする。
  • 必要になる前にバックアップを検証する。

Palo Alto GlobalProtectの脆弱性をめぐるランサムウェアの活動は、エッジデバイスへのアクセスがどれほど迅速に恐喝へと転じ得るかを示している。その最初の足場の後で何が起こるかを知るには、BlackCat/ALPHVのプロファイルを読み、それから自分のゲートウェイを確認してほしい。