目次
はじめに：境界防御で「接続元インフラ」を見る理由
クラウド、 SaaS、 API、 リモートアクセス、 ハイブリッド環境などの普及により、 企業が守るべきネットワーク境界は 以前よりも広く、複雑になっています。
同時に、 攻撃者が接続元を隠す方法も 巧妙になっています。
特に問題となるのが、 商用VPNや レジデンシャルプロキシなどを利用して 通信元を匿名化する手法です。
通信そのものが正常に見えていても、 その背後では 攻撃者が接続元を隠している 可能性があります。
そこで重要になるのが、 「この通信は何をしているのか」だけでなく、 「どのようなネットワークインフラから来ているのか」 という視点です。
本記事では、 高度なIPインテリジェンスを利用して 接続元インフラを可視化し、 既存の境界防御を補完する Spurについて紹介します。
通常ユーザーに見せかける匿名化インフラ
攻撃者は、 VPNやプロキシなどを利用することで、 実際の接続元を隠したり、 IPアドレスを切り替えながら アクセスしたりできます。
商用VPN
商用VPNは、 世界各地に配置された 共有の出口ノードを経由して 通信を行います。
プライバシー保護など 正当な目的でも利用されていますが、 攻撃者が接続地域を隠したり、 IPベースの制限を回避したりするために 利用することもできます。
一方で、 VPNを利用する正規ユーザーもいるため、 VPNからの通信を すべて遮断することは現実的ではありません。
レジデンシャルプロキシ
さらに判断が難しいのが、 レジデンシャルプロキシです。
レジデンシャルプロキシでは、 実際の一般消費者向けISP回線を経由して 通信が行われます。
そのため、 接続元IPだけを見ると、 一般ユーザーが自宅から 通常通りアクセスしているように 見える場合があります。
過去の悪性IP情報や 単純なジオロケーションだけでは、 このような通信を 判断しにくいことがあります。
既存のセキュリティ対策だけでは判断しにくい理由
WAF、 SIEM、 XDR、 Threat Intelligenceなどは、 現在のセキュリティ対策に 欠かせない仕組みです。
しかし、 それぞれ得意とする領域が異なります。
WAF
WAFは、 不審なペイロード、 攻撃シグネチャ、 異常なリクエストなどの検知に 優れています。
しかし、 正常な形式のログインリクエストが レジデンシャルプロキシや 商用VPNから送信されている場合、 通信内容だけでは リスクを判断しにくいことがあります。
SIEM / XDR
SIEMやXDRでは、 多数のイベントを集約し、 相関分析することができます。
一方で、 調査対象のIPが 本物の住宅回線なのか、 VPNなのか、 レジデンシャルプロキシなのかといった インフラ情報がなければ、 アナリストによる判断が 難しくなる場合があります。
従来のThreat Intelligence
過去に悪用された 既知の悪性IPを特定する仕組みも 引き続き重要です。
しかし、 新しく用意されたインフラや、 短期間で切り替わるクラウド環境、 レジデンシャルプロキシなどには、 まだ悪性IPとしての 履歴が存在しない場合があります。
そこで、 過去の履歴だけではなく、 IPアドレスの背後にある ネットワークインフラそのものを 判断材料に加える ことが重要になります。
Spurが提供する高度なIPインテリジェンス
Spurは、 接続元IPの背後にある ネットワークインフラを可視化する IPインテリジェンスソリューションです。
Spurでは、 次のような情報を セキュリティ判断に利用できます。
- VPNやプロキシの利用
- レジデンシャルプロキシインフラ
- TOR出口ノード
- ホスティングプロバイダーのインフラ
- モバイルプロキシ
- 接続タイプや振る舞いのパターン
- インフラの所有情報
- ネットワーク分類
- 匿名化に関連するリスク情報
Spurの役割は、 WAFやSIEM/XDRなどを 置き換えることではありません。
既存のセキュリティ情報に、 「このアクセスは どのようなインフラから来ているのか」 という新しいコンテキストを追加します。
Spurを活用できる5つのユースケース
1．アカウント乗っ取りの検知強化
不正ログインや Credential Stuffingでは、 攻撃者がレジデンシャルプロキシ、 商用VPN、 TORなどを利用して 接続元を隠すことがあります。
例えば、 アクセス地域やログイン操作には 大きな異常がなくても、 接続元がレジデンシャルプロキシであることが 分かれば、 リスク判断の重要な材料になります。
追加MFAの適用や、 不審なログインの 調査優先度を決める際に活用できます。
2．偵察・スキャン活動の検知
管理画面や インターネット公開システムへの 少数のアクセスだけでは、 単なるインターネット上のノイズなのか、 攻撃前の偵察なのかを 判断しにくい場合があります。
接続元が ホスティング環境、 匿名化VPN、 VPS、 レジデンシャルプロキシなどに 関連しているかを確認することで、 調査の優先順位を 判断しやすくなります。
3．API不正利用・スクレイピング対策
APIの不正利用や スクレイピングでは、 多数のIPアドレスに アクセスを分散することで、 単純なIP単位のレート制限を 回避する手法があります。
個々のリクエストは 正常に見えていても、 その背後にある レジデンシャルプロキシ、 モバイルプロキシ、 VPN、 ホスティングインフラなどを 判断材料に加えることができます。
WAF、 API Gateway、 Bot対策、 レート制限などの 判定を補強する用途に活用できます。
4．リモートアクセスの検証
普段は一般的なISP回線から 接続しているユーザーが、 突然、 商用VPNやTORなどを経由して 重要システムへアクセスした場合、 その変化はリスク判断の材料になります。
ユーザー、 デバイス、 認証情報などに 接続元インフラの情報を加えることで、 リモートアクセスを より多面的に評価できます。
5．SOCのアラート優先順位付け
SOCでは、 SIEM、 XDR、 WAF、 EDR、 認証システムなどから 多数のアラートが発生します。
単独では重要度が低く見える ログイン失敗やAPIアクセスでも、 接続元が匿名化インフラに 関連していると分かれば、 調査の優先順位は変わります。
SpurのIPインテリジェンスを 調査情報に加えることで、 アナリストは 「何が起きたのか」だけでなく、 「どのようなインフラから来た通信なのか」 まで含めて判断できます。
まとめ
VPNやレジデンシャルプロキシなどを利用すると、 不審な通信であっても 通常ユーザーからのアクセスに 近く見える場合があります。
そのため、 IPアドレスを単なる接続元として 確認するだけでなく、 その背後にある ネットワークインフラまで把握する ことが重要です。
Spurでは、 現在利用できるIPインテリジェンスとして、 次のような情報を セキュリティ運用に活用できます。
- VPNやプロキシの識別
- レジデンシャルプロキシの識別
- TOR出口ノードの把握
- ホスティングインフラの把握
- モバイルプロキシの把握
- 接続タイプやインフラの振る舞いの確認
- インフラ所有情報やネットワーク分類の確認
- 匿名化に関連するリスク情報の活用
これらの情報は、 アカウント乗っ取り対策、 偵察・スキャン活動の調査、 API不正利用やスクレイピング対策、 リモートアクセスの検証、 SOCのアラートトリアージなどに 活用できます。
Spurは、 既存のWAF、 SIEM/XDR、 認証基盤などを置き換えるのではなく、 接続元インフラという 新しい判断材料を追加して 既存のセキュリティ対策を補完する製品 です。
VPNやプロキシを経由したアクセスの評価、 アカウント乗っ取り対策、 API不正利用の調査、 SOCでのIP分析などで 課題をお持ちの場合は、 Spurの導入や利用方法について お気軽にお問い合わせください。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！