セキュリティチームに、組織が保有するインターネット公開資産をすべて挙げてほしいと頼めば、自信満々だが不完全な答えが返ってくるだろう。怠慢のせいではない。外部攻撃対象領域は絶えず変化しており、その変化のほとんどはセキュリティを経由しない。
マーケティングがキャンペーン用のサブドメインを立ち上げる。あるチームがステージング環境を出荷し、それを忘れる。買収によって誰も棚卸ししていないインフラが持ち込まれる。クラウドサービスがデフォルトでパブリックエンドポイントを取得する。ベンダーが、3年前に委譲したサブドメイン上で何かをホストしている。これらのいずれもチケットを発生させない。
外部攻撃対象領域監視(external attack surface monitoring)とは、資産台帳が「あるべきだ」と言っているものではなく、実際にインターネットから到達可能なものを継続的に発見し評価する実践である。
攻撃対象領域監視が対象とするもの
外部攻撃対象領域とは、資格情報なしに部外者が到達できるすべてのものを指す。ドメインとサブドメイン、IPレンジとそこでリッスンしているサービス、クラウドストレージのエンドポイント、露出した管理パネルやダッシュボード、APIエンドポイント、証明書、DNSレコード、そしてあなたの名の下で稼働しているサードパーティサービスである。
これを監査の問題ではなく監視の問題たらしめる性質が3つある。
予告なく変化する。 資産が出現してから、セキュリティ担当の誰かがそれを知るまでの間隔こそが重要な窓であり、四半期ごとのレビューではその窓が四半期分の長さになってしまう。
あなたがプロビジョニングした範囲を超えて広がる。 委譲されたサブドメイン、ベンダーがホストするサービス、買収で取得したインフラはあなたの攻撃対象領域の一部でありながら、通常あなたの資産台帳には存在しない。
興味深い資産とは忘れられた資産のことである。 保守されている本番サービスはパッチが当たり監視もされている。2年前に出荷されたプロジェクトのステージングボックスはそのどちらでもなく、それでいて同じ攻撃対象領域上にある。
重要な発見元
発見作業の大半は、公開情報源に対する収集の問題であり、単一の情報源だけで十分ということはない。
証明書透明性ログ(certificate transparency logs)。 公に信頼されるすべての証明書はログに記録されるため、CTは利用可能な中で最も信頼性の高いサブドメイン発見源となる。誰も宣伝していないホスト、公開する意図がなかった内部向けのような名前のホストまで見つかる。
パッシブDNSとDNS列挙。 過去および現在の名前解決データであり、あなたのゾーンにはもう現れないが、どこかで依然として解決されているホストを浮かび上がらせる。
レジストリとWHOIS。 ドメインの所有権と登録データであり、何年も前に取得された、あるいは防御的に登録されて棚卸しされていないドメインを見つけるのに役立つ。
ASNとIPレンジデータ。 どのアドレス空間が組織に帰属しているかを示し、攻撃対象領域のネットワーク側を固定する。
クラウドプロバイダーのレンジ。 あなたのアカウント内のパブリックエンドポイントであり、攻撃対象領域の中でも最も急速に拡大している部分であることが多い。
公開コードおよびパッケージリポジトリ。 それ自体独立した分野であるシークレット探索のためではなく、リポジトリがホスト名やエンドポイント、インフラを参照しており、それを見逃すと発見に漏れが出るためである。
求人情報と公開の技術コンテンツ。 求人情報はスタックを詳細に名指しする。これは自組織のフットプリントに関する正当なオープンソースインテリジェンス(OSINT)であり、同時に攻撃者が真っ先に読むものでもある。
これらの発見手法の背後にあるOSINT収集手法については脅威インテリジェンスとOSINTのためのレジデンシャルプロキシで扱っている。
自社ネットワークから見えるのは、より友好的なインターネットである
これはチームを驚かせる部分であり、観測地点(vantage point)を真剣に扱うべき最大の論拠でもある。
自社の攻撃対象領域を自社のコーポレートエグレスからスキャンすると、体系的に楽観的な結果が得られる。なぜなら自社のアドレスはしばしばアローリストに登録されているからだ。WAFルールはそれらを除外する。地理的制限はそれらには適用されない。レート制限はそれらに対して緩和されている。ステージング環境はオフィスのレンジに対して開かれている。コーポレートIPに対してファイアウォールされているリソースは、内部から見れば到達可能で問題なく見えるが、他のどこから見ても不可視である。まさにこれこそがあなたが測定しようとしていた違いそのものだ。
逆のことも起こる。内部向けを意図したサービスが、ルールの範囲設定を誤ったために外部から到達可能になっている場合、そのルールが除外している観測地点からは決してそれを見ることができない。
地理的要因がこれをさらに複雑にする。CDNとWAFの設定はリージョンごとに異なることが多く、あるサービスが一つの地域では露出していて別の地域ではブロックされていることがある。複数の市場に顧客を持つ組織は、それぞれの市場ごとに攻撃対象領域を持つことになり、一つの国から観測すればその一国分の攻撃対象領域しか報告されない。
関心のある地域でレジデンシャル出口を使うということは、ごく普通の部外者が見るのと同じ形で自社の攻撃対象領域を観測することを意味する。Shifterのゲートウェイでは、観測地点はp.shifter.io:443に対する認証情報の中に組み込む。
customer-USERNAME-country-de-sid-easm-de-04-ttl-600:PASSWORDcountry-deが観測地点を設定し、sid-easm-de-04がスキャン1回分の間、一つの出口を保持することで、結果が複数の観測地点にまたがって混在するのではなく、単一の観測地点に帰属するようにする。リクエストレートは控えめに保ち、エラー時にはバックオフすること。レート制限とリクエストスロットリングを参照。製品としての概要はサイバーセキュリティとOSINT向けプロキシページにある。
認可の境界内にとどまる
攻撃対象領域監視とは、あなたが所有する、あるいは契約上評価を認可されている資産の観測である。この境界は明示的に、書面で定め、あなたの好奇心よりも狭くしておく必要がある。
監視であり、悪用ではない。 発見と識別は一つの活動である。脆弱性を確認するために実際にプローブすることは別の活動であり、それはそれ自体の合意を持つ、範囲が定められ認可されたテストの内部で行うべきものだ。
子会社やベンダーの分も含め、書面で認可を得ること。 あなたのものに見える資産が、あなたのテストを許可しない条件の下でサードパーティによって運用されている場合がある。
パッシブな方法が使える場面ではパッシブな収集にとどめること。 証明書透明性、パッシブDNS、レジストリデータは資産とのやり取りを一切必要とせず、それでいて重要なものの大半を見つけ出す。
法務チームおよび自社の検知チームと連携すること。 誰にも知らされていないトラフィックを監視することは、インシデント対応のサイクルを無駄にし、しかも繰り返し起こる。
継続的であるとは、再スキャンではなく差分検出を意味する
攻撃対象領域監視の出力は資産一覧ではない。既知のベースラインに対する変化のストリームである。なぜなら一覧は精査するには大きすぎ、リスクを運ぶのは変化そのものだからだ。
各資産について、初回検出日時、最終検出日時、解決されたアドレス、開いているサービス、証明書の詳細と発行者、ホスティングプロバイダー、観測された地理、そして所有者を伴うベースラインを維持する。そして状態そのものではなく遷移に対してアラートを出す。
| 変化 | 重要な理由 |
|---|---|
| 新しいホストが出現 | セキュリティが知らない何かがデプロイされた |
| サービスが新たに到達可能に | ポートまたはエンドポイントが、意図的かどうかを問わず開いた |
| 証明書が期限切れ間近、または予期しない発行者から新規発行 | 期限切れは障害を引き起こし、予期しない発行は乗っ取りを示唆しうる |
| DNSレコードが新しい場所を指す | 廃止されたプロバイダを指す場合を含む、典型的なサブドメイン乗っ取りの構図 |
| DNSレコードは残ったままホストが解決を停止 | 攻撃者が主張できる宙ぶらりんのレコード |
| 技術的フィンガープリントの変化 | コンポーネントが置き換えられた、あるいは既知の脆弱性があるバージョンが出現した |
宙ぶらりんのレコードには特に注意が必要である。もはや存在しないクラウドリソースを指すCNAMEは見た目だけの問題ではない。なぜなら、次にそのリソースを登録できる者が誰であれ、あなたのサブドメインを引き継ぐことになるからだ。
頻度はリスクに応じて決めるべきである。証明書透明性はほぼリアルタイムであり、継続的に取り込む価値がある。完全な列挙は週次で通常十分である。重要な資産にはより速いループを充てるべきだ。
発見事項に責任者をつける、さもなければ何も修正されない
成熟した監視プログラムの失敗モードは、大規模で正確な資産一覧が存在するのに、誰もそれに基づいて行動しないことだ。
すべての資産には、インシデント発生時ではなく発見時点で割り当てられた所有チームが記録されている必要がある。発見事項には、スキャナーのスコアだけでなく露出度と資産の重要度を反映した重大度モデルが必要である。そして、所有者のいない資産を誰かの問題にする経路が必要だ。孤立した資産こそがインシデントへと変わっていくものだからである。
実際のリスクを反映する指標を追跡すること。資産がインターネット上に出現してから、あなたの資産台帳に出現するまでの時間である。その数字を縮めることこそが、このプログラムの存在理由である。
よくある質問
これは脆弱性スキャンとどう違うのか。
脆弱性スキャンは、すでに知っている資産を評価する。攻撃対象領域監視は、知らない資産を見つけ出す。だからこそこれは最初に、そして継続的に実行される。
すでに自社のインフラからスキャンしているなら、外部の観測地点は必要か。
必要である。なぜなら自社のインフラはしばしばアローリストに登録され、検証しようとしているコントロールから除外されているからだ。内部からのスキャンは、攻撃者が見るものより友好的なインターネットを測定してしまう。
証明書透明性だけで十分か。
それは単独で最も生産的な情報源であり、それだけでは十分ではない。パブリック証明書を一度も受け取ったことのないホストを見逃すし、実際にどのサービスがリッスンしているかについては何も語らない。
買収した企業の資産はどう扱うべきか。
買収を新たな攻撃対象領域として扱い、その資産台帳が正確だと仮定する前に、明示的に発見作業を実行すること。買収したインフラは、組織のフットプリントの中で一貫して最も記録が乏しい部分である。
結論
存在を知らない資産を防御することはできず、資産台帳は常に現実に遅れをとる。継続的な外部攻撃対象領域監視は、自社の管理から除外されていない観測地点から実際に到達可能なものを発見し、一覧を繰り返し述べるのではなく変化に対してアラートを出すことで、そのギャップを埋める。
複数の公開情報源から発見し、ユーザーがいる地域から観測し、収集作業は書面による認可の境界内にとどめ、ベースラインと照合して差分を取り、すべての資産に所有者を与えること。収集レイヤーの料金は料金ページにある。