メインコンテンツまでスキップ

侵害事例から考えるデコイ配置設計

文書番号：2610.00002

要旨​

デコイは、攻撃者が次の接続先や取得対象を選ぶ場所に配置し、その接触を記録する仕組みと組み合わせて設計するのだ。本稿は国内7件・海外15件の公開報告を基に、侵害経路と89件の配置案を対応付けるのだ。対象は内部ネットワーク、運用文書、仮想基盤、SaaS、クラウドDBに及ぶのだ。各案は設計上の提案であり、実環境での検知性能や被害防止効果は未検証なのだ。

攻撃者が対象を選ぶ場所をどう見つけるか​

侵害後の攻撃者は、接続できる機器を探し、資格情報を集め、その権限で次の資産へ進むのだ。本稿では国内7件と海外公開レポート15件を基に、攻撃者が次の接続先や取得対象を選ぶ場所へ、どのようなデコイを配置できるかを考えるのだ。ここでいうデコイは、監視用のサーバー、アカウント、ファイル、データ領域など、攻撃者の接触を観測するための模擬資産を指すのだ。

各事例の前半は公開報告の内容、後半と図中のD番号は本稿の配置案なのだ。デコイを実際に設置していた事例や、設置すれば被害を防げたという実証を示すものではないのだ。図は配置判断に必要な資産とアクセス関係を整理した模式図で、物理配線や全サブネットを再現したものではないのだ。複数の侵害を扱うレポートは、報告された活動を整理しているのだ。

本稿は、内部ネットワークとアカウント管理の基礎を知る設計・監視担当者を対象とするのだ。2026年10月25日時点で参照した公開報告のうち、侵入後の探索、資格情報の利用、接続先や取得対象の選択を読み取れる事例を整理するのだ。全侵害の網羅や発生頻度の比較を目的とする標本ではなく、報告の詳しさによって描ける経路も異なるのだ。各節末に対応する参考文献を示すのだ。

デコイ全体の観測目的、責任分担、停止条件については企業向けハニーポットの設計と運用を参照し、本稿では個々の侵害経路への配置判断を扱うのだ。

配置と接触記録を一組で設計する​

配置は「攻撃者から発見できる場所」と「接触を記録できる場所」を組にして決めるのだ。ネットワーク探索に対するサービスの応答、運用文書に記載する接続先、管理一覧に登録する監視対象、共有やDBに置く合成データなどを、対象環境に合わせて選ぶのだ。本文のD1などの番号は、同じ事例の図と対応するのだ。

本文の「読み取りを監視する」は実装要件なのだ。ファイルや資格情報を置くだけで通知されるわけではないのだ。ファイルアクセスの監査、認証先のログ、SaaSやDBの監査機能を設定し、接続元・ID・対象・操作・時刻を外部の監視先へ集約するのだ。製品や契約によって取得できるイベントと遅延が異なるため、実際の読み取り、認証、変更を試して記録と通知を確かめるのだ。

偽資格情報は本番の権限と切り離し、必要ならデコイ専用の認証先で受け止めるのだ。合成データには個人情報や実際の秘密を含めないのだ。管理基盤へのデコイ登録も、通常の管理操作と不審な接触を区別できるようにするのだ。デコイから実資産への通信を制限し、検知後の調査・隔離・資格情報失効まで担当と手順を定めるのだ。

RDPはリモートデスクトップ接続、SMBはファイル共有などに使う通信、WinRMとWMIはWindowsの管理に用いる仕組みなのだ。以下では、同じ資格情報でも接続方式や操作対象によって記録するイベントが変わる点に着目するのだ。

国内の公開報告に沿った配置案​

01 大阪急性期・総合医療センター — 給食事業者の保守経路から院内へ​

国内｜2022年

調査報告は、給食事業者のVPN装置を侵入口と推定しているのだ。同装置には、認証情報の漏えいにつながる脆弱性CVE-2018-13379が残っていたのだ。接続に使うIDとパスワードは、過去の流出情報にも含まれていたのだ。事業者側では複数の機器に共通の管理者パスワードが設定されており、攻撃者はリモートデスクトップ接続を試みたのだ。

給食事業者のサーバーは、病院の給食サーバーとのファイル連携に、病院側の管理者資格情報を使用していたのだ。攻撃者はMimikatzを使い、この接続に利用される資格情報を入手したのだ。事業者側から病院側へ接続する専用回線では、リモートデスクトップ通信が常時許可されていたのだ。

攻撃者は病院の給食サーバーへ接続し、探索ツールを配置したのだ。同サーバーを起点に院内ネットワークを調べ、複数の院内サーバーへリモートデスクトップ接続を試みたのだ。院内でも管理者資格情報の共通利用があり、侵害が広がったのだ。給食サーバーは、委託先との接続点であると同時に、院内への展開元になっていたのだ。

図01 大阪急性期・総合医療センターの侵害経路とデコイ配置案

  • D1 委託先回線から見える保守用サーバー：専用回線から到達できる位置に、給食システムの保守先を模したデコイサーバーを置くのだ。リモートデスクトップの接続と認証試行を記録するのだ。病院側の接続先を調べる段階で接触していれば、院内への展開前に検知できた可能性があるのだ。
  • D2 連携設定に見える資格情報ファイル：ファイル連携サーバーに、別の連携先と専用の偽資格情報を記載したデコイ設定ファイルを配置するのだ。読み取りと、監視用接続先への認証を観測するのだ。病院側の資格情報を探す行動に、二つの検知機会を設けられるのだ。
  • D3 院内探索に応答するデコイサーバー：給食サーバーから探索できる院内セグメントに、業務サーバーを模したRDP・SMB対応のデコイを置くのだ。サービス調査、ログオン、管理共有へのコピーを監視するのだ。共通の管理者資格情報を使って接続先を広げる段階を捉える候補になるのだ。
  • D4 運用・バックアップ用の偽共有：院内の運用サーバーを調べる経路に、バックアップ一覧や復旧用データを模した共有を用意するのだ。合成ファイルへの読み取り、削除、上書きを監視するのだ。管理対象の探索から破壊操作へ進む過程で、接触を検知できた可能性があるのだ。

参考文献：

02 岡山県精神科医療センター — 保守用VPNと管理共有を経由した暗号化​

国内｜2024年

調査では、2024年5月13日からの不正アクセスが確認されたのだ。侵入口は保守用VPNと推定されているのだ。侵入後にはネットワークの探索、バックアップの調査と破壊、ドメイン内の利用者・コンピューター情報の取得が行われたのだ。セキュリティソフトウェアの無効化や削除も確認されたのだ。

Windows機器には共通の管理者資格情報が使われていたのだ。サーバーではリモートデスクトップ接続の痕跡が見つかったのだ。一方、暗号化された端末には、不審なアカウントによる多数のSMB接続が残っていたのだ。端末上には、RDP、PsExec、WMI、PowerShellによる遠隔操作の痕跡が確認されなかったのだ。

調査委員会は、攻撃者側の機器から端末の管理共有C$へ接続し、ファイルを遠隔から暗号化した可能性を示したのだ。暗号化処理を実行する機器と、ファイルを保持する機器が異なる経路なのだ。攻撃者はネットワーク探索と資格情報の利用を通じて、アクセスできる対象を拡大したと考えられるのだ。

図02 岡山県精神科医療センターの侵害経路とデコイ配置案

  • D1 保守用VPNの接続範囲に置くデコイ：保守接続後に探索できるネットワークに、RDPとSMBへ応答するデコイサーバーを配置するのだ。接続元、認証に使われたID、接続先サービスを記録するのだ。侵入者が院内の操作対象を探す時点で、検知の機会を作れるのだ。
  • D2 管理対象に見える偽のディレクトリオブジェクト：ドメイン内に、運用対象らしい名称のデコイ用コンピューターとアカウントを用意するのだ。対応するデコイへの認証や、対象オブジェクトへの変更操作を監視するのだ。ドメイン情報の探索から具体的な管理対象の選択へ進む行動を捉える案になるのだ。
  • D3 削除操作を捉える偽バックアップ領域：バックアップサーバーの探索範囲に、合成データだけを持つデコイ保管領域を配置するのだ。バックアップ一覧の参照と、ファイルの削除・上書きを監視するのだ。復旧手段を失わせる操作の途中で検知できた可能性があるのだ。
  • D4 管理共有経由の書き換えを捉えるファイル：端末の共有経路から見える位置に、書き換えを監視する合成ファイルを置くのだ。SMB経由の読み取り、改名、上書きをファイル側で記録するのだ。端末内で不正プログラムが実行されなくても、遠隔からの暗号化操作を捉える候補になるのだ。

参考文献：

03 日本年金機構 — 共通の管理者資格情報による端末間展開と共有探索​

国内｜2015年

2015年5月、標的型メールを契機として端末が遠隔操作されたのだ。5月20日の侵害では、攻撃者は約30分後に端末のローカル管理者権限を取得したと考えられているのだ。組織内の端末では同じ管理者IDとパスワードが利用されており、その資格情報を用いて数時間のうちに別の端末へ展開したのだ。

攻撃者は常時稼働する端末を足場として維持したのだ。共有ファイルサーバーを探索し、ファイル名の一覧や業務資料を取得したのだ。収集した情報は圧縮ファイルへまとめられ、外部へ送られたのだ。業務手順や組織に関する資料も探索対象となっていたのだ。

5月22日には、認証サーバーへの攻撃によってドメイン管理者権限を取得したと推定されているのだ。ただし、端末間の展開と共有ファイルの収集は、それ以前から進んでいたのだ。端末で使える管理者資格情報と、既に許可されていた共有へのアクセスが、初期の情報収集を支えていたのだ。

図03 日本年金機構の侵害経路とデコイ配置案

  • D1 端末群の中に置くデコイ端末：同じ管理単位の端末群に、利用者端末を模したデコイを配置するのだ。遠隔からの管理者認証とファイル配置を監視するのだ。取得したローカル管理者資格情報をほかの端末へ試す行動に接触点を作れるのだ。
  • D2 端末内の偽業務文書：利用者フォルダーに、業務手順や組織内の連絡資料を模したデコイ文書を置くのだ。読み取りとコピーを記録するのだ。足場となった端末で業務情報を集める段階に、共有サーバーとは別の検知機会を設けられるのだ。
  • D3 共有サーバー内の合成データ領域：共有ファイルの探索対象に、合成された個人記録や事務資料を収めたデコイフォルダーを用意するのだ。ファイルの閲覧と一括コピーを監視するのだ。持ち出し対象を選別し、圧縮用に収集する過程で検知できた可能性があるのだ。
  • D4 上位の管理先へ誘導する偽の運用資料：端末や共有の運用資料に、監視用管理サーバーの接続先と、実権限を持たない偽資格情報を配置するのだ。資料の読み取りと接続先での認証を記録するのだ。既存の端末権限から、さらに操作範囲を広げようとする行動を捉える案になるのだ。

参考文献：

04 NTTコミュニケーションズ — 海外運用系と仮想デスクトップからの侵入​

国内｜2020年

公開された調査結果には、二つの侵入経路が示されているのだ。一つは、海外拠点の運用サーバーからサービス監視用ネットワークを経由し、日本国内の運用サーバーへ到達する経路なのだ。攻撃者は複数の海外拠点を経由して移動したのだ。

国内の運用サーバーからは、工事情報を扱うサーバーへの接続が行われたのだ。また、社内Active Directoryの運用サーバーにも接続したのだ。後者を経由した認証サーバーへの不正な遠隔操作の試行や、ファイルサーバーへの不正操作が示されているのだ。盗まれた正規のIDとパスワードが、このアクセスに使われたのだ。

もう一つは、個人所有端末からインターネット経由でSSL VPNへ接続し、仮想デスクトップを通じて社内ファイルサーバーへ進む経路なのだ。運用系ネットワークを介する移動と、利用者の仮想デスクトップを介する移動は、それぞれ異なる入口から社内情報へ到達していたのだ。

図04 NTTコミュニケーションズの侵害経路とデコイ配置案

  • D1 海外拠点から見える運用サーバーのデコイ：サービス監視用ネットワークから到達できる範囲に、国内の運用対象を模したデコイを配置するのだ。運用用資格情報による認証と管理操作を記録するのだ。海外拠点から国内の操作先を探す過程で、接触を検知できた可能性があるのだ。
  • D2 認証基盤の管理先を示す偽接続情報：運用サーバー上に、認証基盤の保守先を示すデコイ設定ファイルを置くのだ。接続先は独立した監視用サーバーとするのだ。運用資格情報や管理経路を調べ、その情報を使って接続しようとした段階を捉えられるのだ。
  • D3 工事情報を模したデコイ保管先：工事情報を扱うサーバーと同じ探索範囲に、合成された構成資料や作業記録を置くのだ。文書の読み取りとダウンロードを監視するのだ。運用系への侵入後、業務情報を集める行動に対応した検知候補になるのだ。
  • D4 仮想デスクトップから利用できる偽共有：仮想デスクトップの利用者から見える共有領域に、合成された業務文書のデコイを配置するのだ。アクセス先と読み取ったファイルを記録するのだ。海外運用系を経由しない侵入に対しても、情報収集時の接触点を用意できるのだ。

参考文献：

05 アスクル — 委託先の管理者IDから社内と外部クラウドへ​

国内｜2025年

調査報告によると、攻撃者は業務委託先が利用する管理者IDを悪用し、社内ネットワークへ不正アクセスしたのだ。このIDは多要素認証の例外になっていたのだ。侵入後、ネットワークを調べ、管理者としてのログインを試しながら、追加の資格情報を集めたのだ。

攻撃者はセキュリティソフトウェアを無効化し、社内の複数サーバーへ侵害を拡大したのだ。複数種類のランサムウェアを配置し、10月19日に暗号化を実行したのだ。バックアップも削除や暗号化の対象となったのだ。侵入、資格情報の取得、展開、破壊の各活動は、期間をまたいで進められていたのだ。

社内の侵害から、外部クラウド上の問い合わせ管理システムで使うアカウントも取得されたのだ。10月22日には、このアカウントを利用した不正アクセスが行われたのだ。社内サーバーへの侵入が、別の認証情報を介して外部サービスへのアクセスへつながっていたのだ。

図05 アスクルの侵害経路とデコイ配置案

  • D1 委託先の管理範囲に置くデコイサーバー：委託先の遠隔接続後に見える範囲へ、管理対象らしいデコイサーバーを配置するのだ。ログインと遠隔管理操作を監視するのだ。盗まれた管理者IDで社内の対象を調べる段階に、接触点を作れるのだ。
  • D2 保守設定に見える偽資格情報：運用用フォルダーに、監視用サービスだけへ接続する偽資格情報を含む設定ファイルを置くのだ。読み取りと資格情報の使用を記録するのだ。追加の管理用IDを集める過程で、検知できた可能性があるのだ。
  • D3 停止操作を監視するデコイプロセス：侵入後に操作され得るサーバーへ、防御機能を模した無害なプロセスを配置するのだ。停止や設定変更を別の監視経路へ送るのだ。セキュリティ機能を無効化する操作が、このプロセスにも及んだ場合の検知候補になるのだ。
  • D4 復旧データを模した偽バックアップ：バックアップの探索範囲に、合成データを収めたデコイ保管先を用意するのだ。一覧の参照、削除、暗号化に伴う書き換えを監視するのだ。復旧手段を破壊する段階で、攻撃を捉える機会を設けられるのだ。
  • D5 外部クラウド向けのデコイアカウント：社内の接続情報に、合成された問い合わせ記録だけへアクセスするデコイアカウントを配置するのだ。クラウド側でログインとデータ取得を監視するのだ。社内で得た資格情報を外部サービスへ持ち出して利用する行動を検知する案になるのだ。

参考文献：

06 MirrorFaceの国内侵入 — 資格情報の取得から管理共有とタスク登録へ​

国内｜2023–2024年の観測

JPCERT/CCは、国内組織を対象とするMirrorFaceの活動で、外部公開機器の脆弱性を利用した侵入を報告したのだ。侵害された環境には、遠隔操作用マルウェアNOOPDOORなどが配置されたのだ。攻撃者はタスク登録などを使い、継続して操作できる状態を維持したのだ。

資格情報の取得では、認証を担うLSASSのメモリ、NTDS.dit、SYSTEM・SAM・SECURITYのレジストリーハイブが対象となったのだ。取得した管理者資格情報を使い、ファイルサーバー、認証サーバー、セキュリティ管理サーバーなどへアクセスが広がったのだ。

横展開では、SMBの管理共有C$を通じてファイルをコピーし、接続先へスケジュールタスクを登録する操作が確認されたのだ。共有へのアクセスはイベント5145、タスクの作成はイベント4698の調査対象となるのだ。ファイルを送り込む段階と、接続先で実行させる段階が分かれていたのだ。

図06 MirrorFaceの国内侵入の侵害経路とデコイ配置案

  • D1 管理共有を持つデコイWindowsサーバー：侵害された機器から見える範囲に、管理共有とタスク登録の操作を記録するデコイサーバーを置くのだ。認証、ファイルコピー、タスク作成を一連で監視するのだ。管理者資格情報を再利用して展開する段階を捉える候補になるのだ。
  • D2 セキュリティ管理サーバーのデコイ：運用対象の命名規則に合わせて、セキュリティ管理用のデコイを配置するのだ。管理画面へのアクセスとログインを記録するのだ。防御製品を集中管理する場所を探す行動に接触点を作れるのだ。
  • D3 取得後の使用を追跡する偽資格情報：デコイ端末上に、監視用サービスでだけ識別される資格情報を保持するのだ。資格情報が取り出され、そのサービスへの認証に使われたときに記録するのだ。メモリや認証情報保管領域の調査から、別資産への移動へ進む行動を捉える案になるのだ。
  • D4 ファイルサーバー内の合成機密文書：探索される共有領域に、合成された設計資料や組織情報を収めるデコイフォルダーを置くのだ。読み取りとコピーを監視するのだ。管理対象への展開後、文書を選別して収集する段階に検知機会を設けられるのだ。

参考文献：

07 国内VPN機器の侵害 — サービス探索と複数プロトコルによる横展開​

国内｜2024年末–2025年の観測

JPCERT/CCは、国内で確認されたVPN機器の脆弱性を起点とする侵害を報告したのだ。対象にはIvanti Connect SecureのCVE-2025-0282、CVE-2025-22457が含まれるのだ。侵入後にはFscanが使われ、接続可能なサービスが調べられたのだ。

探索では、ドメイン認証、FTP、データベース、SSHに対する認証試行が行われたのだ。SMBの脆弱性MS17-010を狙う操作も確認されたのだ。攻撃者は有効な資格情報を得ると、リモートデスクトップやSMBを使って別の機器へ移動し、マルウェアを配置したのだ。

継続的なアクセスのために、ドメインアカウントの追加やグループ所属の変更が行われたのだ。接続先ではサービスやスケジュールタスクも利用されたのだ。初期侵害されたVPN機器から、多様なサービスを持つ内部資産へ探索と認証を広げる活動だったのだ。

図07 国内VPN機器の侵害の侵害経路とデコイ配置案

  • D1 データベースサービスのデコイ：VPN側から探索できるセグメントに、データベース接続を受けるデコイを配置するのだ。認証試行、接続成功後の問い合わせ、合成データの参照を記録するのだ。データベースの認証情報を試す段階で検知できた可能性があるのだ。
  • D2 SSH接続先のデコイ：サーバー管理用の名称を付けたSSH対応デコイを用意するのだ。ログインに使われたIDと認証方式を記録するのだ。Windows系サービスだけでなく、UNIX系機器へ接続先を広げる行動にも接触点を設けられるのだ。
  • D3 SMB・RDP対応のデコイサーバー：管理共有とリモートデスクトップを備えたデコイを、内部の探索対象へ加えるのだ。脆弱性を狙う通信、資格情報によるログイン、ファイル配置を監視するのだ。接続先を探す段階から、侵入後の遠隔操作へ進む過程を捉える案になるのだ。
  • D4 ファイル転送サービスのデコイ：FTPで参照できるデコイを配置し、合成された連携資料やデータ出力ファイルを収めるのだ。認証試行とファイル取得を記録するのだ。ファイル転送サービスの探索に続く、情報の取得操作を検知する候補になるのだ。

参考文献：

海外の公開報告に沿った配置案​

08 ConfluenceからLockBitへ — 公開サーバーを起点とする複数方向への展開​

海外公開レポート｜2024年の侵入

攻撃者は公開ConfluenceのCVE-2023-22527を悪用し、サーバー上で操作を始めたのだ。MimikatzとNetScanを配置し、資格情報の取得と、接続可能なホストや共有の探索を進めたのだ。遠隔操作を継続するためのソフトウェアも導入したのだ。

侵害したConfluenceサーバーから、バックアップサーバー、ファイルサーバー、ドメインコントローラーへ、それぞれリモートデスクトップ接続が行われたのだ。ファイルサーバーでは、ドメイン管理者の資格情報を平文で記載した文書が閲覧されたのだ。バックアップサーバーでは、バックアップ製品の資格情報取得が試みられたのだ。

共有に対する書き込み確認に続き、データの持ち出しとランサムウェアの展開が行われたのだ。持ち出しは侵入から約1時間11分後に始まったのだ。暗号化は約2時間6分後に始まり、配布にはPDQ Deployも悪用されたのだ。各サーバーへのRDP接続元は、最初に侵害したConfluenceサーバーだったのだ。

図08 ConfluenceからLockBitへの侵害経路とデコイ配置案

  • D1 バックアップ管理先を模したRDPデコイ：公開サーバーから探索できる範囲に、バックアップ管理用のデコイサーバーを置くのだ。接続とログオンを記録するのだ。バックアップ製品の資格情報を得ようとして管理先を探す過程で、検知できた可能性があるのだ。
  • D2 管理者情報を含む偽文書：ファイルサーバーに、監視用管理サーバーの偽資格情報を記載したデコイ文書を配置するのだ。文書の読み取りと、資格情報を使った認証を監視するのだ。実際の管理者資格情報を集める行動に対応する接触点になるのだ。
  • D3 書き込み確認を捉える偽共有：ネットワーク探索の対象に、業務サーバーを模したSMB共有を加えるのだ。ファイルの作成、読み取り、削除を記録するのだ。書き込み可能な共有を探す段階で接触していれば、暗号化の準備を検知できた可能性があるのだ。
  • D4 配布対象に見えるデコイ端末：運用上の管理対象一覧に、隔離されたデコイ端末を登録するのだ。配布処理によるファイル配置と遠隔実行を監視するのだ。ソフトウェア配布機能を使ってランサムウェアを広げる段階に、別の検知機会を設けられるのだ。

参考文献：

09 Lunar Spider — 構成ファイルの資格情報から管理者として展開​

海外公開レポート｜2024年の侵入

税務書類を装ったJavaScriptの実行から侵入が始まったのだ。攻撃者はBackConnectを通じて端末を遠隔操作し、ディレクトリやファイルを調べたのだ。3日目には、端末に残されていたセットアップ用応答ファイルunattend.xmlを取得したのだ。

このファイルには、ドメイン管理者の資格情報が平文で残っていたのだ。攻撃者はその資格情報でプログラムを実行し、ドメイン内の資産を調査したのだ。4日目には、PsExecなどを使ってドメインコントローラー、ファイルサーバー、バックアップサーバーへ展開したのだ。

展開先でも認証情報を扱うメモリの取得が行われたのだ。バックアップ製品に保存された資格情報を取り出す操作も確認されたのだ。ファイルサーバーからの情報持ち出しも確認されたのだ。端末内の構成情報の読み取りが、ドメイン管理者権限の利用と複数サーバーへの移動につながっていたのだ。

図09 Lunar Spiderの侵害経路とデコイ配置案

  • D1 セットアップ情報を模したデコイファイル：構成情報を調べる場所に、監視用接続先と偽資格情報を記載したファイルを配置するのだ。読み取りとコピーを監視するのだ。ディレクトリの探索から構成ファイルを取得する過程で、検知の機会を作れるのだ。
  • D2 使用先まで用意した管理者資格情報のデコイ：管理者用に見える偽資格情報を、独立したデコイサーバーと組み合わせるのだ。取得した資格情報による認証を接続先で記録するのだ。ファイルを読むだけでは終わらず、権限を利用しようとした段階を捉える案になるのだ。
  • D3 ドメイン探索に現れるデコイサーバー：ドメイン内の管理対象として、ファイルサーバーや運用サーバーを模したデコイを用意するのだ。管理共有へのコピーと遠隔実行を監視するのだ。取得済みの管理者資格情報を使って対象を広げる場面で接触を期待できるのだ。
  • D4 バックアップ用の偽接続情報：バックアップ管理を模したデコイ環境に、別の監視用保管先へ接続する偽資格情報を置くのだ。設定の読み取りと、その資格情報による接続を記録するのだ。バックアップ側に保存された秘密を取り出し、再利用する行動を捉える候補になるのだ。

参考文献：

10 Cobalt StrikeとSOCKS — SMB・RDP・WinRM・WMIを使い分けた展開​

海外公開レポート｜2024年の侵入

偽装された実行ファイルが起動され、Cobalt Strikeが導入されたのだ。攻撃者は侵害したアカウントの権限を使い、SMBと遠隔サービス操作によって、ドメインコントローラーへ追加ツールを配置したのだ。SystemBCとGhostSOCKSを使い、内部へ接続するための中継経路も用意されたのだ。

ファイルサーバーは、別の機器を操作する足場として使われたのだ。同サーバーからドメインコントローラーへのWinRM接続は、PowerShellのイベント4103・4104などから確認されたのだ。バックアップサーバーではWMIを使う遠隔操作が行われたのだ。リモートデスクトップによる操作も併用されていたのだ。

攻撃者は共有されたアカウント情報を調べ、バックアップ製品の資格情報も取得したのだ。最終段階には、ファイルサーバーやバックアップサーバーへのRDP接続と、遠隔実行ツールによる展開が行われたのだ。一つの侵入で、複数の遠隔管理方式が使い分けられていたのだ。

図10 Cobalt StrikeとSOCKSの侵害経路とデコイ配置案

  • D1 SMBとサービス操作を観測するデコイ：管理対象に見えるデコイサーバーを置き、管理共有へのコピーと遠隔からのサービス作成を監視するのだ。攻撃者が追加ツールを送り込み、実行する過程で検知できた可能性があるのだ。
  • D2 WinRM接続先のデコイ：ファイルサーバーから見える管理範囲に、WinRMで接続できるデコイを用意するのだ。認証と遠隔コマンド実行を記録するのだ。ファイルサーバーを足場にして、別の管理対象へ移る行動を捉える案になるのだ。
  • D3 WMI・RDP対応の偽バックアップサーバー：バックアップ管理先を模したデコイに、WMIとRDPの接触を監視する機能を持たせるのだ。管理者資格情報の試行と操作内容を記録するのだ。攻撃者が接続方式を変えた場合にも、バックアップへの接触機会を作れるのだ。
  • D4 共有アカウント一覧のデコイ：運用用共有に、監視先だけで使える資格情報をまとめた偽アカウント一覧を置くのだ。文書の読み取りと記載IDの使用を記録するのだ。追加の資格情報を集め、移動範囲を拡大する段階の検知候補になるのだ。

参考文献：

11 Lynx — 取得済みの管理者資格情報から共有とバックアップを探索​

海外公開レポート｜2025年の侵入

侵入は、インターネットに公開されたRDPサービスへのログオンから始まったのだ。約10分後には、別のドメイン管理者アカウントでドメインコントローラーへ接続したのだ。調査では、管理者資格情報も侵入前に取得されていた可能性が示されているのだ。

攻撃者は新しいアカウントを作成し、管理者グループへ追加したのだ。ネットワーク探索ツールで共有や接続先を調べ、仮想化基盤も確認したのだ。その後も再接続を繰り返し、SMB接続先の探索とファイル収集を進めたのだ。集めたファイルは圧縮され、外部サービスへ送られたのだ。

バックアップ管理にもアクセスし、ジョブの削除などを行ったのだ。暗号化の段階では、複数のサーバーへリモートデスクトップで接続したのだ。侵入直後から管理者資格情報が利用されたのだ。初期端末で新たに資格情報を取得する操作は確認されず、管理対象やデータの探索へ進んでいたのだ。

図11 Lynxの侵害経路とデコイ配置案

  • D1 内部探索で見つかるRDPデコイ：内部サーバーの探索範囲に、管理用名称のRDPデコイを配置するのだ。認証と操作開始を記録するのだ。既に管理者資格情報を持つ攻撃者が、次の操作対象を探す段階で接触する候補になるのだ。
  • D2 仮想化管理画面のデコイ：管理用の名前解決や接続案内から、隔離された仮想化管理画面へ誘導するのだ。画面へのアクセスとログインを監視するのだ。仮想化基盤を調べ、管理権限を広げようとする行動に検知機会を設けられるのだ。
  • D3 持ち出し対象に見える偽共有：共有探索の対象へ、合成された契約資料や業務記録を収めたデコイを加えるのだ。ファイルの読み取りと一括コピーを記録するのだ。圧縮と外部送信に向けてデータを集める段階で検知できた可能性があるのだ。
  • D4 操作可能な偽バックアップ管理先：実データを持たないデコイバックアップ環境に、架空の保管一覧やジョブを用意するのだ。管理画面の操作と削除要求を監視するのだ。バックアップを失わせる操作を、合成データ側で受け止める設計になるのだ。

参考文献：

12 Cisco — 盗まれた企業資格情報からVPN・仮想デスクトップ・認証基盤へ​

海外公開レポート｜2022年

攻撃者は、従業員の個人アカウントに同期されたブラウザー情報から、企業の資格情報を取得したのだ。電話などで本人に働きかけ、多要素認証の通知を承認させたのだ。その後、正規の資格情報を使って企業VPNへ接続したのだ。

侵入後は複数のシステムへアクセスし、仮想デスクトップ環境を操作したのだ。さらにドメインコントローラーへの特権アクセスを得て、認証データベースNTDSの取得を試みたのだ。取得対象のファイルを、SMBを使ってVPN接続側へ移す動きも報告されているのだ。

攻撃ではコンピューターアカウントを使う横展開も確認されたのだ。リモートデスクトップや仮想デスクトップのファイル転送機能が利用されたのだ。利用者の資格情報を得る段階から、VPN接続後の仮想環境と管理基盤の操作へ進んでいたのだ。

図12 Ciscoの侵害経路とデコイ配置案

  • D1 VPN接続後の管理先デコイ：VPN利用者から探索できるネットワークへ、管理サーバーを模したデコイを配置するのだ。ログインと遠隔操作を記録するのだ。VPNの認証を通過した攻撃者が、内部の接続先を増やす段階で検知できた可能性があるのだ。
  • D2 仮想デスクトップ内の接続情報デコイ：仮想デスクトップの利用者領域に、監視用サーバーの接続履歴や偽資格情報を置くのだ。情報の読み取りと接続先での認証を監視するのだ。物理端末に戻らず仮想環境から展開する行動に、接触点を設けられるのだ。
  • D3 コンピューターアカウントのデコイ：監視用ホストに対応するコンピューターアカウントを用意するのだ。実資産の管理権限は持たせず、そのIDへの変更操作と認証試行を記録するのだ。コンピューターの資格情報を利用して移動する過程で、接触を捉える案になるのだ。
  • D4 認証情報のバックアップを模したファイル：管理情報の探索範囲に、認証基盤のバックアップに見える合成ファイルを置くのだ。読み取りとネットワーク経由のコピーを監視するのだ。認証秘密を集めて外部へ移そうとする段階の検知候補になるのだ。

参考文献：

13 ProxyShellからContiへ — メールサーバーの侵害と遠隔共有の暗号化​

海外公開レポート｜2021年の報告

報告の主事例では、公開ExchangeサーバーのProxyShell脆弱性が悪用され、Webシェルが配置されたのだ。攻撃者はネットワークとドメインの情報を調べ、認証情報を扱うプロセスのメモリを取得したのだ。管理者の利用状況も探索したのだ。

資格情報の取得から約13分後、Exchangeサーバーから別のサーバーへRDP接続が行われたのだ。攻撃者はさらに別のサーバーを操作拠点とし、ドメインコントローラーとバックアップサーバーへ展開したのだ。遠隔操作用ソフトウェアを追加し、継続して接続できる状態を作ったのだ。

Rcloneによるデータの持ち出しは暗号化に先行したのだ。暗号化プログラムは、保護されていない4台のサーバー上で実行されたのだ。そこから別のシステムの管理共有へアクセスし、共有先のファイルを暗号化したのだ。暗号化された機器すべてで、不正プログラムが動いていたわけではないのだ。

図13 ProxyShellからContiへの侵害経路とデコイ配置案

  • D1 メールサーバーから見えるRDPデコイ：公開メールサーバーから到達できる範囲に、運用サーバーを模したデコイを置くのだ。管理者資格情報によるRDP接続を記録するのだ。侵害した公開サーバーから内部へ移る段階を捉える候補になるのだ。
  • D2 ドメイン探索と対応付けた偽サーバー：ドメインの管理対象として、監視用SMBサーバーに対応するデコイオブジェクトを用意するのだ。対象の認証と共有へのコピーを記録するのだ。ドメイン内の探索結果から、新しい展開先を選ぶ行動に接触点を作れるのだ。
  • D3 偽のバックアップ共有：バックアップ先を調べる経路に、合成された保存データを持つ共有を配置するのだ。読み取り、削除、書き換えを監視するのだ。重要な管理対象への展開と、復旧データの探索を検知する案になるのだ。
  • D4 管理共有の中の書き換え監視ファイル：管理共有からアクセスできる場所に、業務データを模した合成ファイルを置くのだ。別ホストからの上書きや改名を監視するのだ。暗号化プログラムの実行元が離れたサーバーであっても、対象ファイルへの操作を捉えられる可能性があるのだ。

参考文献：

14 Atom Silo — 管理者IDを使ったWMI展開と防御機能への干渉​

海外公開レポート｜2021年

攻撃者は公開Confluenceの脆弱性を悪用し、バックドアを配置したのだ。正規プログラムに不正なDLLを読み込ませる方法を使い、遠隔操作を継続したのだ。その後、一つの侵害済み管理者アカウントを使って、複数のサーバーへ接続したのだ。

横展開では、WMIを使ってバックドアをコピーし、接続先で実行したのだ。攻撃者はログオンの記録やリモートデスクトップのセッション履歴を調べたのだ。RDPで対話的に操作し、Rcloneを使ってデータを外部ストレージへ送ったのだ。

ドメインコントローラーへ到達した後には、防御機能へ干渉するツールとランサムウェアが展開されたのだ。内部の管理経路を調べる行動、正規の遠隔管理方式を使う移動、防御機能の停止、情報持ち出しが組み合わされていたのだ。

図14 Atom Siloの侵害経路とデコイ配置案

  • D1 WMI経由の操作を捉えるデコイサーバー：管理者が操作するサーバー群に、SMBとWMIへの接触を監視するデコイを加えるのだ。ファイルのコピーと遠隔実行を記録するのだ。同じ管理者IDで複数の対象へ展開する行動を検知する候補になるのだ。
  • D2 RDP接続履歴のデコイ：探索される端末に、隔離された管理用デコイへ接続する情報を用意するのだ。接続先でRDP認証を監視するのだ。過去の接続先を調べ、その情報を次の移動に利用した場合に検知できた可能性があるのだ。
  • D3 防御機能を模したデコイプロセス：侵入後に操作されるサーバーに、停止を監視する無害なプロセスを配置するのだ。停止や削除の試行を独立した監視先へ送るのだ。防御機能を止める操作がデコイにも及んだ段階で、攻撃を捉える案になるのだ。
  • D4 収集対象となるデコイ文書群：業務共有に、合成された契約書や設計情報をまとめたデコイ領域を作るのだ。読み取りと一括コピーを記録するのだ。外部ストレージへの転送に向けて情報を集める段階に、接触点を設けられるのだ。

参考文献：

15 Akira — WindowsからWebカメラへ操作元を変えた暗号化​

海外公開レポート｜2025年の報告

攻撃者は外部向けの遠隔アクセス経路から侵入し、遠隔操作用ソフトウェアを利用したのだ。情報を持ち出した後、WindowsサーバーにRDP接続し、暗号化プログラムを準備したのだ。この試みは端末の防御機能によって阻止されたのだ。

攻撃者は内部探索で見つけていたWebカメラへ操作対象を変えたのだ。このカメラはLinux系の環境で動作しており、攻撃者はLinux向けの暗号化プログラムを実行したのだ。サーバー側の防御機能ではなく、別の機器を実行元として使ったのだ。

カメラからサーバーへSMB接続が行われ、サーバー上のファイルが暗号化されたと報告されているのだ。被害対象のファイルはサーバーにあったが、書き換えを行ったプログラムはカメラ側で動いていたのだ。内部機器間の通信が、別経路の暗号化を可能にしたのだ。

図15 Akiraの侵害経路とデコイ配置案

  • D1 初期の遠隔操作範囲に置くRDPデコイ：侵入後に到達できる内部ネットワークへ、RDP接続を記録するデコイサーバーを置くのだ。操作対象を探し、ログインを試す行動を監視するのだ。カメラへ移る以前の段階に検知機会を設けられるのだ。
  • D2 IoT機器を模したWeb・SSHデコイ：内部探索の対象へ、機器の管理画面やSSHを模したデコイを配置するのだ。サービス調査とログインを記録するのだ。Windows以外の操作先を探す行動が、デコイへの接触につながる可能性があるのだ。
  • D3 IoTネットワークから見える偽共有：カメラなどの機器から到達できる範囲に、合成ファイルを持つSMBデコイを用意するのだ。共有への接続とファイル操作を記録するのだ。端末エージェントを置けない機器が、サーバーのデータへ接触する段階を捉える案になるのだ。
  • D4 遠隔書き換えを監視する合成ファイル：ファイルサーバーの共有領域に、変更を監視するデコイファイルを配置するのだ。書き込み元と上書き・改名の内容を記録するのだ。暗号化の実行元がカメラであっても、ファイルに対する操作から検知できた可能性があるのだ。

参考文献：

16 Fire Ant — 仮想基盤からメモリとゲストOSへアクセス​

海外公開レポート｜2025年の報告

仮想化基盤を足場とした侵害の調査では、攻撃者が管理サーバーとハイパーバイザーを操作していたのだ。ゲストOSへ通常のログオンを行うだけでなく、仮想基盤の管理機能を使って、仮想マシンの状態を取得していたのだ。

攻撃者はメモリを含む仮想マシンのスナップショットを作成し、保存された.vmemファイルから資格情報を抽出したのだ。認証基盤を担う仮想マシンも対象となったのだ。抽出後にスナップショットを削除する操作も確認されたのだ。この取得は、ゲストOS内で資格情報取得プログラムを起動する方式とは異なるのだ。

さらに、ハイパーバイザーからゲストOSを操作する機能が悪用されたのだ。ゲストの資格情報確認を迂回する脆弱性の利用や、防御機能への干渉も報告されているのだ。仮想基盤の管理権限が、ゲストの情報取得と操作へつながっていたのだ。

図16 Fire Antの侵害経路とデコイ配置案

  • D1 管理対象一覧に登録するデコイ仮想マシン：正規の管理機能で、隔離されたデコイ仮想マシンを登録するのだ。管理側でコンソール操作、スナップショット作成、ゲスト操作を記録するのだ。攻撃者が管理対象を選び、状態を取得する段階に接触点を設けられるのだ。
  • D2 データストア内の偽スナップショット：仮想ディスクの保管領域に、合成データから作ったスナップショット風のファイルを置くのだ。管理基盤側で読み取りとダウンロードを監視するのだ。保存されたメモリや仮想ディスクを直接集める行動を捉える候補になるのだ。
  • D3 ハイパーバイザー管理先のデコイ：仮想基盤の構成情報から、独立した監視用ホストへ接続できる案内を用意するのだ。SSHなどの管理用接続を記録するのだ。取得した管理資格情報を使い、新しいホストへ操作範囲を広げる段階を検知する案になるのだ。
  • D4 メモリ取得後の使用を追跡する偽資格情報：デコイ仮想マシンのセッションに、監視先でのみ識別される偽資格情報を保持するのだ。抽出された資格情報が別の接続に使われたとき、認証先で記録するのだ。スナップショットの取得から資格情報の再利用へ進む行動に検知機会を作れるのだ。

参考文献：

17 UNC3886 — 仮想基盤の管理データからホストとゲストへ展開​

海外公開レポート｜2023年の報告

Mandiantは、侵害された仮想基盤の管理サーバーから、ハイパーバイザーとゲスト仮想マシンへ進む活動を報告したのだ。攻撃者はvCenter内の管理データベースを調べ、ESXiへの接続に使うvpxuserの資格情報を取得したのだ。

同じ管理データベースから、ハイパーバイザーとゲストの一覧も取得したのだ。接続を許可する設定を変更し、SSHを使ってハイパーバイザーへアクセスしたのだ。ネットワークを無差別に探すだけではなく、管理基盤が持つ接続先情報を利用していたのだ。

侵害済みのハイパーバイザーからは、VMware Toolsに関係するCVE-2023-20867が悪用されたのだ。ゲストOSの資格情報確認を迂回し、ゲスト内で操作できるようになったのだ。管理サーバーの秘密情報と管理対象一覧が、ホストへの接続とゲストへの操作の両方を支えていたのだ。

図17 UNC3886の侵害経路とデコイ配置案

  • D1 正式に管理登録するデコイホスト：隔離されたハイパーバイザーを、管理基盤の対象として登録するのだ。管理接続とSSHログインを監視するのだ。攻撃者が管理対象一覧から次の接続先を選ぶときに、デコイを候補へ含められるのだ。
  • D2 デコイ専用の管理サービス資格情報：デコイホストにだけ対応する専用資格情報を用意し、その認証を監視するのだ。実ホストの操作権限は付与しないのだ。管理基盤から取り出された資格情報が、ホストへのログインに使われる段階を検知する案になるのだ。
  • D3 ゲスト操作を監視するデコイ仮想マシン：デコイホスト配下に、業務サーバーを模した仮想マシンを作るのだ。管理基盤経由のファイル配置とコマンド実行を記録するのだ。通常のRDPやSSHを使わずに、ゲストへ操作を広げる行動を捉える候補になるのだ。
  • D4 仮想マシン設定・保管情報のデコイ：データストアに、合成された仮想マシン設定や保管一覧を配置するのだ。ファイルの読み取りと取得を管理側で監視するのだ。ゲストの構成や保存先を調べる過程に、認証以外の接触点を作れるのだ。

参考文献：

18 UNC3944 — 社内の接続案内からSSO・仮想環境・SaaSへ​

海外公開レポート｜2024年の報告

Mandiantが調査した活動では、ヘルプデスクへのなりすましなどを使ってアカウントへのアクセスが取得されたのだ。侵入後の探索では、SharePoint上のVPNや仮想デスクトップに関する接続手順が調べられたのだ。社内文書が、次のアクセス先を知る情報源になっていたのだ。

単一サインオンで利用できるアプリケーションの割り当てを広げる操作も確認されたのだ。仮想化管理やクラウドの権限を使い、新しい仮想マシンを作成する活動があったのだ。利用者向けの認証基盤から、管理用のアプリケーションへ操作範囲を拡大していたのだ。

別の観測では、Airbyteなど、SaaSのデータを同期・転送するサービスが悪用されたのだ。接続権限を使って業務データを読み出し、攻撃者側のストレージへ転送したのだ。端末間の遠隔ログオンだけでなく、文書検索、アプリケーション認可、データ連携が移動と収集に利用されていたのだ。

図18 UNC3944の侵害経路とデコイ配置案

  • D1 社内検索で見つかる偽の接続案内：社内文書の検索対象に、監視用VPN案内や仮想デスクトップ接続先を記載したデコイ文書を置くのだ。文書の閲覧と記載URLへのアクセスを記録するのだ。社内の利用方法を調べる段階で、接触を検知できた可能性があるのだ。
  • D2 SSOから見えるデコイ業務アプリ：アプリケーション一覧に、合成情報だけを扱う監視用アプリを用意するのだ。起動、ログイン、管理画面への遷移を記録するのだ。侵害したIDで利用できるサービスを調べる行動に、接触点を設けられるのだ。
  • D3 仮想環境の管理対象となるデコイ：仮想化基盤の管理一覧に、隔離されたデコイ仮想マシンを登録するのだ。構成参照、コンソール接続、スナップショット操作を監視するのだ。SSOから管理基盤へ進み、操作対象を選ぶ段階を捉える案になるのだ。
  • D4 SaaS内の合成データ保管領域：業務用の検索やデータ連携から参照できる位置に、合成文書だけを持つデコイ領域を作るのだ。読み取り、エクスポート、連携アプリからの取得を監視するのだ。画面上の閲覧を経ずに行うデータ転送も、検知候補として扱えるのだ。

参考文献：

19 UNC5537 — 盗まれた資格情報によるクラウドDB内の探索と取得​

海外公開レポート｜2024年

攻撃者は、過去の情報窃取型マルウェアによって盗まれた顧客資格情報を使い、Snowflakeの顧客環境へ接続したのだ。調査された事例では、対象アカウントに多要素認証が設定されていなかったのだ。企業の端末やドメインを新たに侵害せず、クラウドのデータベースへ直接入る経路だったのだ。

接続後は、利用者、ロール、接続セッションなどを調べたのだ。SHOW TABLESでテーブルを列挙し、SELECTで選んだテーブルのデータを取得したのだ。Web画面、コマンドライン、データベース管理ツールが接続に使われたのだ。

既存のデータ出力領域も探索されたのだ。その後、一時的なステージと呼ばれる保管領域を作り、COPY INTOでデータを書き出したのだ。出力を圧縮し、GETで攻撃者側へ転送したのだ。侵害の中心は、同じクラウドDB内での対象選択とデータ取得だったのだ。

図19 UNC5537の侵害経路とデコイ配置案

  • D1 テーブル一覧に現れるデコイデータ：業務処理から分離したスキーマに、合成された顧客記録などのデコイテーブルを用意するのだ。問い合わせ履歴から参照と書き出しを監視するのだ。テーブルを調べて内容を選別する段階に、接触点を設けられるのだ。
  • D2 データ出力領域の偽アーカイブ：検索可能なステージに、過去のデータ出力を模した合成ファイルを置くのだ。ファイルの参照とダウンロードを監視するのだ。既存の出力領域を調べ、そのまま取得しようとする行動を捉える候補になるのだ。
  • D3 連携設定を模した資格情報デコイ：データ連携の説明や設定資料に、独立した監視用DBの接続先と偽資格情報を記載するのだ。資料の閲覧と接続先での認証を記録するのだ。現在のDBから、別のデータ保管先へ探索を広げる行動の検知を狙えるのだ。
  • D4 接続先一覧から誘導する独立したDBデコイ：分析用の接続先情報に、合成データだけを保持するデコイDBを追加するのだ。ログイン、テーブル探索、データ取得を監視するのだ。攻撃者が接続情報を利用して別インスタンスへ移った場合に、検知できた可能性があるのだ。

参考文献：

20 Storm-0501 — 資格情報の取得を繰り返し、オンプレミスからクラウドへ​

海外公開レポート｜2024年の報告

Microsoftが報告した活動では、公開サービスの脆弱性や取得済み資格情報が侵入に使われたのだ。攻撃者はローカル管理者権限を得ると、Impacketを使って認証情報を取り出したのだ。取得した資格情報で別のサーバーへ接続し、そこで再び資格情報を収集したのだ。

ファイルに残った秘密情報や、パスワード保管ファイルも調査されたのだ。遠隔操作用のツールを配置し、管理権限を段階的に広げたのだ。ドメイン管理者権限を得た活動では、ID同期サーバーなど、オンプレミスとクラウドの接点になる資産も操作対象になったのだ。

クラウドへの移動には、同期サービスに関係する資格情報や、オンプレミスとクラウドで共通して使われるアカウントが利用されたのだ。情報の持ち出しや防御機能への干渉に続き、ランサムウェアの展開も行われたのだ。資格情報の取得と再利用が、資産間と環境間の移動をつないでいたのだ。

図20 Storm-0501の侵害経路とデコイ配置案

  • D1 資格情報の再利用先となる管理用デコイ：内部サーバーの探索範囲に、遠隔管理へ応答するデコイを配置するのだ。認証と管理共有へのコピーを記録するのだ。ある端末で取得した資格情報を別の対象へ試す段階を捉える候補になるのだ。
  • D2 パスワード保管ファイルのデコイ：運用フォルダーに、監視用サービスの情報だけを収めた偽のパスワード保管ファイルを置くのだ。ファイル取得と中の資格情報の使用を監視するのだ。追加の秘密情報を探す行動に対応した接触点になるのだ。
  • D3 ID同期管理を模したデコイサーバー：同期基盤の構成情報を探す経路に、監視用の管理サーバーと合成設定を用意するのだ。管理ログインと設定の読み取りを記録するのだ。クラウドへ進むための秘密情報を探す段階で、検知できた可能性があるのだ。
  • D4 クラウド側のアカウントと保管領域のデコイ：合成データだけへアクセスするクラウドアカウントを用意し、その接続情報をデコイ設定に記載するのだ。クラウド側の認証と読み取りを監視するのだ。オンプレミスで得た情報をクラウドへ持ち出して使う行動を捉える案になるのだ。

参考文献：

21 Storm-0501 — 同期IDと接続元端末を変えてクラウド管理権限へ​

海外公開レポート｜2025年の報告

報告された代表事例では、攻撃者は既にドメイン管理者権限を取得していたのだ。WinRMを利用して内部を移動し、ID同期サーバーを侵害したのだ。ドメインの複製機能を悪用するDCSyncによって、資格情報も取得したのだ。

クラウドへのログインは、多要素認証や条件付きアクセスによって一部が失敗したのだ。攻撃者は別のドメインへ移り、クラウドに同期される高権限の非人間用アカウントを利用したのだ。オンプレミス側でパスワードを変更して同期させ、クラウド側の認証手段を登録したのだ。

さらに、接続条件を満たすハイブリッド参加端末へ移動したのだ。その端末からクラウドへ入り、権限を拡大したのだ。クラウドの保管データを取得し、ストレージやバックアップを破壊する操作へ進んだのだ。資格情報だけでなく、アクセス元となる端末の状態も移動経路に組み込まれていたのだ。

図21 Storm-0501の侵害経路とデコイ配置案

  • D1 WinRMで到達する同期管理先のデコイ：管理者が探索できる範囲に、ID同期管理用に見えるデコイサーバーを置くのだ。WinRMの認証とコマンド実行を記録するのだ。取得済みのドメイン管理者権限で、クラウドへの接点を探す段階を捉える案になるのだ。
  • D2 クラウド運用アカウントのデコイ：管理資料に、クラウド運用用に見えるデコイアカウントを記載するのだ。実データへの権限は付与せず、認証試行と認証設定の変更を監視するのだ。別のIDを探して利用する過程に、接触点を設けられるのだ。
  • D3 接続元候補としてのデコイ端末：管理対象一覧に、ハイブリッド参加した隔離済みデコイ端末を用意するのだ。実サービスの管理権限は持たせず、ログオンと遠隔操作を記録するのだ。クラウドの接続条件を満たす端末を探す行動を検知する候補になるのだ。
  • D4 クラウド上の偽バックアップ保管先：クラウドの管理対象に、合成データだけを持つ保管領域を作るのだ。列挙後の読み取り、ダウンロード、削除要求を監視するのだ。権限拡大後にデータと復旧手段を探す過程で、検知できた可能性があるのだ。

参考文献：

22 3CX — 個人端末の侵害から企業VPNとビルド環境へ​

海外公開レポート｜2022–2023年

従業員の個人端末に導入された取引ソフトウェアX_TRADERが改ざんされており、その実行から遠隔操作プログラムが導入されたのだ。調査では、この端末で企業の資格情報が盗まれたと評価されたのだ。2日後には、その資格情報を使う企業VPNへの接続が記録されていたのだ。

企業ネットワークへの接続後、攻撃者はFRPを使って内部へ通信を中継したのだ。WindowsとmacOSのビルド環境が侵害されたのだ。Windows側ではシステムサービスのDLL読み込みを悪用する仕組みが配置されたのだ。macOS側には自動起動するバックドアが置かれたのだ。

攻撃者はビルド環境を通じて、配布されるソフトウェアへ不正な要素を組み込んだのだ。個人端末上のソフトウェア侵害が、企業の認証情報を介して開発基盤への侵入へつながったのだ。操作対象は利用者端末から、ソフトウェアを生成するサーバーへ移っていたのだ。

図22 3CXの侵害経路とデコイ配置案

  • D1 VPN利用者から見える開発管理デコイ：VPN接続後に探索できる範囲へ、開発用の管理サーバーを模したデコイを配置するのだ。ログインと遠隔操作を記録するのだ。企業ネットワークへ入った攻撃者が、開発基盤の接続先を探す段階に検知機会を作れるのだ。
  • D2 ビルド設定を模した偽資格情報：開発用フォルダーに、監視用ビルドサーバーへ接続する設定と偽の秘密鍵を置くのだ。読み取りと接続先での認証を監視するのだ。開発基盤の接続情報を集め、それを使用する行動を捉える候補になるのだ。
  • D3 管理一覧に現れるデコイビルド端末：実際の配布処理から分離したデコイ端末を、開発基盤の管理対象として用意するのだ。遠隔ログオン、ファイル配置、コマンド実行を記録するのだ。ビルドを行う機器へ操作範囲を広げる過程で、検知できた可能性があるのだ。
  • D4 署名・配布資料のデコイ保管先：合成された署名設定や配布用ファイルを収めたデコイリポジトリーを作るのだ。本物の署名鍵は含めず、読み取りと変更操作を監視するのだ。生成物や配布経路を調べ、改変先を選ぶ段階に接触点を設けられるのだ。

参考文献：

自組織での配置判断と検証の限界​

事例を横断すると、配置候補は接続境界だけに限られないのだ。委託先やVPNから見える管理先、資格情報が探される文書、仮想基盤の管理一覧、SaaSやDBの検索結果にも、攻撃者が対象を選ぶ機会があるのだ。自組織では、まず重要資産への経路を一つ選び、その経路上の探索と資格情報の利用を観測できる位置から設計するとよいのだ。

検知対象は「デコイに触れた」という事実から具体化するのだ。正規のスキャンやバックアップによる参照を把握したうえで、想定外のIDによる認証、通常業務で読まない合成文書の取得、デコイVMのメモリ取得、合成バックアップの削除などを調査につなげるのだ。接触が発生しない経路には別の監視が必要であり、脆弱性対策、権限管理、ネットワーク分離と組み合わせて運用するのだ。

導入時には、想定する接続元と権限で探索・読み取り・認証・変更を試し、対象IDと操作が記録され、担当者へ通知されるところまで確かめるのだ。正規の資産管理やバックアップでも同じ操作を行い、調査対象から除外する条件を決めるのだ。高権限の管理基盤から操作されるデコイでは、ログの転送先と隔離境界まで侵害の影響を受けない構成を検証するのだ。

配置案にある「検知できた可能性」は、当時の環境での検証結果ではなく、報告された行動がデコイにも向かった場合の条件付きの考察なのだ。特定資産へ直行する攻撃、監査対象外の操作、通知の遅延などでは接触を捉えられないため、配置数だけを検知範囲の指標にしないのだ。

結論：接触後の対応まで含めて配置を決める​

配置先は、ネットワーク上の空き場所ではなく、攻撃者が探索結果、管理一覧、文書、資格情報を使って次の対象を選ぶ場所から決めるのだ。そこで何を読んだか、どのIDで認証したか、何を変更したかを記録し、調査と隔離につなげるのだ。まず重要資産への一つの経路で、発見から通知・対応までを検証し、その結果を基に配置範囲を広げるのだ。