サイバーキルチェーンとは?サイバー攻撃の7つの段階と防御策を徹底解説

古代中国の兵法書『孫子』には「敵を知り己を知れば百戦危うからず」という有名な一節があります。この古の格言は、データセキュリティ専門家とハッカーとの攻防を表す言葉として、現代においても色褪せていません。自組織の防御策を講じるためには、ハッカーがどのように行動するのかを知らなければなりません。それこそが「サイバーキルチェーン」を理解すべき理由です。基礎を押さえていなければ、どれほど高度なサイバーセキュリティ資格を持っていても意味はありません。本記事が、システムを本気で守りたい方にとって大きな一歩となることを願っています。それでは始めましょう。

サイバーキルチェーンとは?

サイバーキルチェーンとは、サイバー攻撃の初期の計画段階から攻撃の完了までを、順序立てたフェーズ(段階)のリストとして定義したフレームワークです。つまり、ハッキング戦略の全体像を俯瞰できる鳥瞰図のようなものだと言えます。この概念は、Lockheed Martin(ロッキード・マーティン)が提唱したモデルに類似しており、同社のモデルでも標的型攻撃の各フェーズが記述されています。

サイバーセキュリティの専門家が、侵入者がどのようにネットワークへ入り込み、脆弱性を悪用するのかを分解して理解できれば、その知識は組織のネットワーク保護にも活かせるのです。

サイバーキルチェーンの7つのフェーズ

サイバーキルチェーンには7つのフェーズがあり、それぞれに異なる特徴があります。この連鎖は、典型的な窃盗犯の手口によく似ています。攻撃者は侵入を試みる前にまず対象を入念に調査し、その後いくつかのステップを経て、ようやく実際の略奪(データ窃取)に至ります。それでは、各フェーズを詳しく見ていきましょう。

1. 偵察(Reconnaissance)

攻撃の第一歩は、ターゲットを特定し絞り込むことです。これは完全に攻撃者の動機次第であり、標的は組織、コミュニティ、あるいは個人など誰でもあり得ます。ターゲットに選ばれるのは、攻撃者にとって価値があるとみなされる情報を持つ相手だからです。まず攻撃者は、被害者に関するあらゆる情報を可能な限り収集します。その後、ネットワークへの侵入や侵害に利用できる脆弱性を探します。大規模な組織は多層的なセキュリティを備え、サイバーセキュリティ資格を持った専門家を擁しているため、この段階には長い時間がかかることもあります。しかし、攻撃者がターゲットについて多くの情報を得るほど、脅威は確実に高まっていきます。

2. 武器化(Weaponization)

第二段階では、攻撃者は自身の目的に合わせて、高度な技術を駆使してマルウェアを作り変えます(リエンジニアリング)。攻撃者の動機に応じて、このマルウェアは組織のセキュリティ担当者にとって未知の脆弱性を悪用し、被害者のネットワーク防御を突破します。さらに、高度な手法によって、標準的なセキュリティプロトコルによる検出の可能性を下げます。

3. 配送(Delivery)

この時点で、攻撃者は被害者について十分に把握しています。あとは悪意のあるコードを送り込むだけです。最も一般的な手段は、メールの添付ファイル、罠となっているウェブサイト、リムーバブルメディア(USBメモリなど)の3つです。ただし、こうした送信・配信の活動には代償も伴い、攻撃者はデジタルフィンガープリント(足跡)を残すことになります。被害者のセキュリティシステムが十分に有効であれば、ネットワーク上の異常な挙動を検知し、必要な対応を取ることができます。日頃からのバックアップ取得やセキュリティレイヤーの追加は、確実に役立つでしょう。

4. 悪用(Exploitation)

この段階では、ネットワークやシステムの脆弱性が実際に悪用されます。ここでエクスプロイトを阻止するには、組織のニーズに合わせてカスタマイズされた防御機能が不可欠です。攻撃者は弱点に到達するとすぐに、被害者の作業環境の下に潜むスクリプトコードを使って悪用を開始します。

5. インストール(Installation)

ここでは、被害者のシステムにリモートアクセス用のバックドアがインストールされます。これにより、攻撃者はホスト環境内での持続的なアクセスを確立できます。「ホストベース侵入防止システム(HIPS)」の導入は一定の効果が期待できます。重要なのは、闇雲に対処するのではなく、マルウェアの意図を理解することです。防御側は、データ漏洩を防ぐために、この段階に達する前に必要な措置を講じなければなりません。

6. 指揮統制(Command and Control)

これは防御側にとって、C2(Command and Control)チャネルを遮断して対処できる最後のタイミングです。チャネルを遮断すれば、攻撃者はコマンドを発行できなくなり、防御側はその影響を未然に防ぐことができます。忘れてはならないのは、マルウェアが自動化されていることはまれで、通常は手動で操作されているという点です。侵入者の一般的な手口は、気づかれないように複数のワークステーションを掌握し、そこからデータを収集することです。したがって、こうした攻撃から身を守るための適切なツールを備えておくことが重要です。

7. 目的の遂行(Actions on Objectives)

攻撃者がシステムへのアクセス権を持ち続ける時間が長くなるほど、その結果は耐え難いものになり得ることを決して忘れないでください。被害を受けた側は脅威を迅速に検知し、さらに長期的に役立つツールや専門家の力を借りなければなりません。データセキュリティに必要な取り組みで後れを取らないようにしてください。そうしなければ、誰もあなたを助けることはできないのです。

しかし、すべての攻撃者がこの手順に従うと思ったら大間違いです。すべての攻撃は固有のものであり、成功のためにサイバーキルチェーンのフェーズを追加したり省いたりすることがあります。サイバーセキュリティの専門家たちは、「すべての攻撃者がこの手順に従ってくれれば、防御側には身を守るための時間と機会が数多く生まれるのに」と語ります。また、最新の脅威動向を把握し続けるために、サイバーセキュリティ関連のニュースにも常に目を光らせる必要があるとしています。

サイバーキルチェーンを逆手に取った防御策

よく見られるのは、データセキュリティの専門家が攻撃の高度さに圧倒されてしまうケースです。むしろ、攻撃の一歩一歩に着目すべきです。そうすることで、どんな攻撃も一瞬で完了するものではなく、時間をかけて進行するのだと理解できます。そして、私たちが十分に警戒していれば、攻撃が始まる前に食い止めることも可能なのです。

常に覚えておくべきは、サイバー攻撃を単発の「事件」としてではなく、連続的な「過程」として捉えるということです。そうすることで、攻撃を早期に特定し、阻止できる可能性が大きく高まります。あなたはどう考えますか?ぜひコメント欄でお聞かせください。