自社の防御だけでは見えない委託先のリスク
自社のシステムを守っていても、個人情報を預けている委託先や、業務で利用する外部プラットフォームでインシデントが起きれば、自社にも影響が及びます。
外部組織が管理するプラットフォームのパッチ未適用による情報窃取や、個人情報の取り扱いを委託した企業の端末感染によって、顧客情報が漏えいリスクにさらされた事例が報告されています。
社内の監視に加え、委託先の公開資産や外部インフラにも目を向けることが、リスクを把握するうえで重要です。
マルウェアの動きを知る手がかりはC2通信
C2（指令・制御）サーバーは、攻撃者がマルウェアへ指示を送り、追加のプログラムや窃取した情報を受け渡すために使う外部サーバーです。
「P7 DarkSword」では、端末上のログを減らしながら情報を窃取し、攻撃者側と双方向に通信する仕組みが報告されています。また、「MATCHBOIL」は、C2サーバーから追加の不正プログラムや設定情報を取得し、端末で継続的に実行させます。
こうした攻撃を調べる際は、不審なファイルの解析と、外部の接続先・通信状況の確認を組み合わせることが有効です。
IPアドレスから関連インフラへ調査を広げる
不審なIPアドレスを見つけたら、その評価だけで調査を終えず、関連するドメイン、証明書、公開ポート、稼働サービスなども確認します。共通する特徴は、別のサーバーや移転先を調べる手がかりになります。
ただし、同じ証明書やサービス構成があるだけで、同一の攻撃者が管理しているとは断定できません。通信状況や履歴など、複数の情報を照合することが大切です。
Team Cymruの製品を活用する際も、目的に応じて調査と運用を組み合わせられます。
- Pure Signal Scout：不審なIP・ドメインに関連する情報を確認し、初動調査やアラートの優先度判断に活用
- Pure Signal Recon：通信や履歴情報を調べ、関連インフラへ調査を展開
- Pure Signal Radar：自社や第三者のインターネット公開資産をパッシブに把握
- Total Insights Feed：IP・ドメインのリスク情報や関連する脅威情報を、既存の監視・分析基盤へ取り込み
外部から得られる情報を社内ログや端末の検知情報と照合することで、追加調査や対応の判断につなげられます。
まとめ・お問い合わせ
委託先経由のインシデントや、外部サーバーと連携するマルウェアへの対応では、自社の内部情報と外部の脅威情報を組み合わせる視点が重要です。
「委託先の公開資産を把握したい」「不審な通信先から関連インフラを調べたい」「脅威情報を監視業務に活用したい」といった課題がありましたら、当社へご相談ください。Team Cymru製品の選定・導入・お見積もりをご案内します。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！