Nightmare Eclipseという名前で活動する研究者が、ShieldBreakと呼ばれる新しい概念実証エクスプロイトを公開しましたが、そのタイミングは厄介です。この公開は、Microsoftが大規模なPatch Tuesdayを締めくくったわずか数時間後に行われましたが、ShieldBreakは、利用可能なすべての更新プログラムをインストールしたマシンでも依然として機能します。このエクスプロイトはMicrosoft Defenderを標的とし、ローカルアクセスを持つ攻撃者に、Windowsマシンが付与できる最高レベルの制御である完全なSYSTEMレベルの特権を渡します。現時点では公式のパッチは存在しません。

これが注目に値するのは、技術的な仕組みだけではありません。パターンです。これは、同じ研究者による進行中のシリーズの中で、公に記録された10番目のエピソードであり、それぞれが類似したシナリオに従っています。Defenderの内部的な特権処理の欠陥、Microsoftが対応する前に公開される動作するエクスプロイト、そして修正が開発される間、数日から数週間に及ぶ露出期間です。

繰り返されるパターン

Nightmare Eclipseの開示方法は、Windowsセキュリティコミュニティで繰り返し語られる話になっています。脆弱性を静かに報告して調整された修正を待つのではなく、この研究者は動作するエクスプロイトコードを繰り返し公に公開し、Microsoftに事後対応を余儀なくさせています。このシリーズの以前のエントリ（同じ研究者がパッチが可能な間に別のWindowsゼロデイを公開したケースを含む）も同じリズムに従っています。開示が先、パッチは後、そしてしばしばかなり遅れて、というものです。

ShieldBreakは、このダイナミクスが大規模に展開されている最近の唯一の例ではありません。Windowsユーザーはまた、2つの別々のゼロデイがシステムレベルのアクセスを脅かした状況にも対処しなければならず、同じ短い期間内に、コアWindowsコンポーネントの特権昇格の欠陥が、稀なイベントではなく持続的なリスクカテゴリになっていることを浮き彫りにしています。

完全にパッチされたPCが完全に保護されたPCではない理由

ここでタイミングが重要です。ShieldBreakは、Microsoftが大量の修正プログラムを配信した直後に浮上しました。このPatch Tuesdayサイクルでは、数百の個別のバグに対処したと報告されており、攻撃者が他のインフラストラクチャを同時に標的にしていた際にMicrosoftが421件のバグをパッチしたと説明された規模と同様です。その規模のパッチ適用は確かに有用な作業ですが、ゼロデイの核心的な問題も示しています。ゼロデイは、定義上、パッチサイクルの外に存在するということです。マシンがMicrosoftが発行したすべての更新プログラムに完全に準拠していても、新しい欠陥が公開された瞬間に露出する可能性があります。なぜなら、ベンダーはまだ修正を開発して出荷する時間がないからです。

この文脈では、Defenderは特に機微な標的です。これは、ほとんどのWindowsユーザーがデフォルトで依存している組み込みのセキュリティツールであり、正確には最後の防御線であることを意図されているため、しばしば深く考えずに使用されています。セキュリティツールを特権昇格の侵入口に変えるエクスプロイトは、Windowsを最新の状態に保つことがそれだけで十分な保護であるという基本的な前提を弱体化させます。SYSTEMレベルのアクセスは、一度取得されると、事実上、攻撃者にマシン上でほぼすべてを行う能力を与えます。追加のマルウェアのインストール、他のセキュリティ制御の無効化、保存された資格情報へのアクセス、またはネットワーク全体でのラテラルムーブメントなどです。

これはあなたにとって何を意味するか

ほとんどの家庭ユーザーや中小企業にとって、ShieldBreakは即座にパニックになる理由ではありません。これを悪用するにはマシンへのローカルアクセスが必要であり、実際の使用では、通常、フィッシング、マルウェア、または別の脆弱性を通じて攻撃者が既に足場を築いた後の第2段階として使用されることが制限されます。しかし、このWindowsゼロデイパターンのより広い意味は真剣に受け止める価値があります。熱心にパッチを適用することは必要ですが、それだけでは特権昇格に対する保護を保証するにはもはや十分ではありません。

これが、単一の制御よりも多層防御が重要である理由です。ソフトウェアを最新の状態に保つことは依然として不可欠ですが、強力なエンドポイント監視、管理者権限を持つアカウント数の制限、ローカルで実行されるものに対する注意と組み合わせる必要があります。なぜなら、ほとんどの特権昇格エクスプロイトは最初に侵入ポイントを必要とするからです。この分野を密に追跡している読者は、LeakWatchで公開されている毎週のゼロデイおよびパッチ追跡などの進行中の脆弱性ラウンドアップをフォローして、どの欠陥が概念実証から積極的な悪用に移行したかを最新に保つこともできます。

実行可能な takeaways

ShieldBreakのパッチはまだありませんが、今すぐ実行する価値のある具体的な手順があります。可能な限りローカルの管理者特権を制限してください。このエクスプロイトやそれに類似したものは、攻撃者が既にマシンへの何らかのアクセスレベルを持っていることに依存しているためです。修正プログラムについてはMicrosoftの勧告に目を光らせ、利用可能になり次第適用してください。この特定のWindowsゼロデイは、パッチ適用だけでは完全な盾ではないことを証明していますが。馴染みのないソフトウェアや署名のないソフトウェアを実行しないようにしてください。初期アクセスは通常、実際の攻撃チェーンの中でより困難な部分だからです。そして、複数のエンドポイントを管理している場合は、Defenderのデフォルト設定だけに頼るのではなく、異常な特権変更をフラグできるエンドポイント検出ツールを検討してください。

ShieldBreakがこの物語の最後の章になる可能性は低いです。研究者が修正より先に動作するエクスプロイトを公開し続ける限り、Windowsユーザーは、各更新サイクル後にチェックするボックスとしてではなく、セキュリティを継続的な実践として扱うことが最善です。