最初の24時間を技術的に見る：攻撃者はいかに早く、新たに露出した資産を列挙し、標的にするか
文：Topher Lyons – Sprocket Security
新しいアセットがパブリックIPアドレスを取得した瞬間、時計が動き出す。遅いものではない。容赦なく自動化されたものだ。これは公開されたばかり」と「これが活発に調査されている」の間のギャップは、数日ではなく数分である。
これは理屈ではありません。SprocketのASMコミュニティ・エディションを使えば、Sprocket Securityが顧客の環境全体で継続的に目にしていることであり、まさに攻撃者が頼りにしていることなのです。
最初の24時間技術的なタイムライン
T+0: アセットが公開される。
開発者が新しいクラウドインスタンスをプッシュする。ファイアウォールルールの設定ミスでポートが開かれる。ベンダーのポータルが、誰もフラグを立てなかったサブドメインで立ち上がる。原因が何であれ、インターネットにルーティング可能なエンドポイントが新たに存在することになり、セキュリティは通知を受け取らない。
T+5分からT+60分：スキャナーが発見。
自動化されたスキャン・インフラは、公衆インターネット全体を常時スキャンしている。Shodan、Censys、ShadowServerなどが、新しいホストを定期的にインデックス化する（Censysだけでも数万ポートをカバー）。
1時間以内に、あなたの資産はオープンポートをカタログ化し、バナー情報（ウェブサーバのバージョン、TLS証明書、SSHフィンガープリント）を取得し、既知の脆弱性データベースとレスポンスシグネチャを比較します。
T+1からT+6時間：列挙が始まる。
この時点で、アセットがShodanとCensysのクエリに表示されます。自動攻撃ツールは独自のリコンパスを開始します。サービスのバージョン、オープンな管理ポート（3389のRDP、22のSSH、8080/8443の管理パネル）、関連するドメインやサブドメインに軸足を置くTLS証明書を探します。
新しいアセットに証明書があれば、攻撃者はあなたが監視していたものに触れることなく、あなたの広範なインフラについて多くを学ぶことができる。
T+6～T+12時間：アクティブ・プロービング。
受動的な発見から能動的な標的への転換。GreyNoiseのデータは、この時間帯にスキャナーの活動が急増することを示しています。SSHとRDPに対するクレデンシャル・スタッフィングが始まる。ウェブサービスはディレクトリブルートフォースで攻撃され始める。ElasticsearchやRedisのようなデータベースは、認証されていないアクセスを探られる。フレームワークは既知のCVEに対してテストされる。
このどれもが、人間が手を下す必要はない。ボットネットが24時間体制で、大規模に対応する。
T+12時間からT+24時間：侵害。
Unit 42の研究者は、クラウドプロバイダー（RDP、SSH、SMB、Postgres）に320のハニーポットを展開し、何が起こるかを確認した。80％が24時間以内に侵害された。
悪用可能な脆弱性、誤認識、またはデフォルトの認証情報を使って実行されているものについては、それが “公開されたばかり “から “すでに所有されている “になるために必要なすべてだ。
a.fl_button { background-color：#border：1px solid #3b59aa; color：#text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; margin：4px 2px; cursor: pointer; padding：12px 28px; } .fl_ad { background-color：#width: 95%; margin: 15px auto 15px auto; border-radius: 8px; border：1px solid #d6ddee; box-shadow: 2px 2px #728cb8; min-height: 200px; display: flex; align-items: center; } .fl_lef>a>img { margin-top: 0px !important; } .fl_rig>p { font-size: 16px; } .grad-text { background-image: linear-gradient(45deg, var(–dawn-red), var(–iris)54%, var(–aqua)); -webkit-text-fill-color: transparent; -webkit-background-clip: text; background-clip: text; } .fl_rig h2 { font-size: 18px!important; font-weight: 700; color：color: #333; line-height: 24px; font-family：font-family: Georgia, times new roman, Times, serif; display: block; text-align: left; margin-top: 0; } .fl_lef { display: inline-block; min-height: 150px; width: 25%; padding：10px 0 10px 10px; } .fl_rig { padding：10px; display: inline-block; min-height: 150px; width: 100%; vertical-align: top; } .fl_lef>a>img { border-radius: 8px; } .cz-news-title-right-area ul { padding-left: 0px; } @media screen and (max-width: 1200px) { .fl_ad { min-height: 184px; } .fl_rig>p { margin: 10p10px; } .fl_rig { padding：0 10px 10px 10px; width: 100%; } } @media screen and (max-width: 400px) { .cz-story-navigation ul li:first-child { padding-left: 6px; } .cz-story-navigation ul li:last-child { padding-right: 6px; } } }.
攻撃者と同じように攻撃面を見る
Sprocket Security ASM Community Editionは、攻撃者が探しているもの（隠されたAPI、忘れられたサブドメイン、誤った設定のサービス）を、攻撃者が先に見つける前に発見します。
外部攻撃サーフェスを無料で継続的に可視化します。
実例誰も知らなかった隠しAPI
上記のタイムラインは、何が公開されているかを知っていることを前提としています。最も危険なエクスポージャのいくつかは、あなたのチームが公開されていることを知らない資産であり、それを見つけるための経路はまさに攻撃者が使用するものです。
最近の発見では、ASMは公開されているロジスティクスのウェブアプリにフラグを立て、URL列挙の一環として、ブラウザに提供されているコンパイル済みのJavaScriptバンドルをプルダウンして分析しました。
そのJSファイルにはバックエンドAPIへの参照が含まれていた。どの資産目録にもない。誰かが明示的に公開したものでもない。しかし、生きていて、公開されていて、完全にオープンだった。
人間のテスターは、攻撃者が行うのと同じリクエストを実行した：
curl -s 'https://logisticsapi.[redacted].com/Logistics/api/customernotes/2631' | jq
サーバーは応答した。トークンも認証情報もない。
エンドポイントIDを繰り返し、テスターは以下の情報を引き出した：
- 顧客名、メールアドレス、アカウントノート
- 顧客アカウントのクリアテキスト認証情報
- デフォルト・デバイスのユーザー名とパスワード
- 配備されたデバイスの内部ネットワーク情報
- 従業員の名前とメールアドレス
公開ウェブサイトからJS分析、隠しAPI、認証されていないデータダンプまでの完全なチェーンは、攻撃者ツールが列挙中に行うことを正確に反映しています。ここでの違いは、Sprocket Securityが最初にそこに到達したことです。
複合的な問題：あなたは自分が何を持っているかを知らない
Unit 42のアタックサーフェス調査によると、平均的な組織の外部アタックサーフェスは、毎月300以上の新しいサービスによって変化しています。外部からアクセス可能なクラウドサービスの20％以上が、毎月入れ替わる。
セキュリティ・チームが追いついていないほとんどの情報漏えい調査の根本原因は、同じ文言のバリエーションに帰着する：「それがインターネット上にあるとは知らなかった。
あなたが知らない資産は、パッチを当てることも、監視することも、事態が悪化したときにオフラインにすることもできません。そして、上の例が示すように、誰かが意図的にデプロイしたものではないことが多い。
誰も見ようと思わなかったJavaScriptファイルで参照されたバックエンド・サービスなのだ。
発見から検証へ：ASMからペンテストへの道
隠されたAPIを見つけることが第一段階だ。何が実際に悪用可能で、ビジネスにどのような影響があるのかを見極めるには、人の目が必要です。
これがSprocket Securityが構築したパスです。ASMコミュニティ・エディションは、アセットを発見し、JavaScriptバンドルを引き出し、サブドメインをマッピングし、ネットワークの外から実際に見えるものを表示します。
何か予期せぬもの（公開されるべきではないAPI、誰もフラグを立てていない管理パネル、異常な証明書）が見つかった場合、それは直接、人間が主導するテストに反映されます。
この例はまさにそうだ。ASMの列挙はJavaScriptの参照を表面化させた。人間のテスト担当者は、認証されていないアクセスを検証し、公開されたエンドポイントをマッピングし、明確な修復ステップとともに実際のデータ暴露を文書化した。スキャナーのアラートではありません。実際の発見です。
継続的なASMディスカバリーが、ターゲットを絞った人的テストに反映されることで、”当社の攻撃対象領域はXであると考えている “ことと、”攻撃者が実際に見ているものはこうである “ことのギャップを埋めることができるのです。
攻撃者より先に資産を見つける
最初の24時間の問題は、より迅速なパッチ適用によって解決されるものではない。攻撃者に見つかる前に、何があるかを知ることで解決するのです。
Sprocket ASMコミュニティ・エディションは、攻撃者の視点に立った外部攻撃対象の継続的な可視化を無料で提供します。
何が公開されているかを確認し、何が公開されているか知らなかったものを発見し、実際に重要なものに優先順位を付けます。
時計はすでに動いている。
Sprocket Securityがスポンサーとなり、執筆しました。
Comments