インテリジェンス駆動型インシデントレスポンス ―攻撃者を出し抜くサイバー脅威インテリジェンスの実践的活用法

序文

　20年以上も前、私はMoonlight Mazeと呼ばれた大規模な不正侵入事案に初めて関与していました。これは、ロシア政府の支援を受けた攻撃グループによる不正侵入だと考えられていました。アメリカ空軍特別捜査局（AFOSI：Air Force Office of Special Investigations）での私の仕事は、データ収集、通信傍受、ネットワークや侵害されたシステムで、攻撃グループによる活動の分析を支援することでした。多くの攻撃対象に対して何度も行われた攻撃を分析していく中で、私たちは侵入されたシステムの後ろに手を伸ばし、「プラグを抜く」だけでは攻撃者を排除できないことを学びました。この攻撃グループは非常に忍耐強く、私たちのセキュリティ対策を見つけたら、同じ対象システムに数週間も再度アクセスしないというルールを徹底していました。攻撃者は、ネットワーク上の様々な対象システムへアクセスし、システムの稼働状況を確認し、バックドアを仕掛けました。同じ攻撃者によって何度も侵入されたことを受けて、この事案を担当していたタスクフォースは、「この攻撃グループは誰なのか？」「攻撃グループはどのように攻撃を仕掛けたのか？」「攻撃グループは侵入に成功した後、いったい何をしたのか？」といった疑問について、プレイブックをまとめ始めました。このプレイブックは、世界中にある多数の国防総省の拠点の防衛に役立てられました。Moonlight Mazeによる侵入を受けて、何が起きたでしょうか？ この攻撃の影響範囲と緊急性により、後にアメリカサイバー軍（U.S. Cyber Command）設立につながる組織、JTF-CND（Joint Task Force - Computer Network ...