1. はじめに
パロアルトネットワークスでソリューションコンサルタントをしています末松隆郎です。
先日の年末年始休暇シーズンに入り大手企業にサイバー攻撃が相次いでいて、一時的にシステムに不具合が起きたり、サイトが閲覧しづらくなったりするなどの影響がありました。サイバーセキュリティの業界で業務に従事していて感じることは、日本において年々ランサムウェア・サイバー攻撃といったキーワードを聞く機会が増えていることです。
弊社のUnit 42チームでは先日「2025 Unit 42 Global Incident Response Report」を発行しました。本レポートでは日本を含むグローバルでの最近の脅威トレンドをまとめ、守る側の組織が対策すべきポイントをあげています。少し要点をとりあげますと、脅威の状況を変える5つの新たなトレンドと以下をあげています。
- 脅威アクターは、従来のランサムウェアや恐喝に加えて、意図的に業務を妨害するように設計された攻撃を行っています。
- ソフトウェアサプライチェーンとクラウドへの攻撃は、頻度と巧妙さの両方で増加しています。
- 自動化と合理化されたハッカーツールキットによって侵入の速度が上昇し、20%のケースで侵入後1時間以内にデータ流出に成功しています。
- 国家が組織を標的にして情報を盗み、国家の取り組みに資金を提供しているため、組織は内部脅威のリスクが高まっています。
- AIを利用した攻撃の初期の観察では、AIが侵入の規模と速度をどのように増幅できるかが示されています。
また、レポートでは各脅威に関して詳細についてまとめ・分析しています。その結論として、守る側の組織における優先事項として以下を挙げています。
ゼロ トラストの導入を加速：暗黙の信頼を排除し、最小権限アクセスを強制し、ユーザーとデバイスを継続的に検証することが重要です。
クラウドと ID セキュリティの強化：多要素認証(MFA)、ジャストインタイム アクセス、継続的な監視を実装して、攻撃対象領域を減らしましょう。
内部脅威の監視：IT請負業者の審査を強化し、特権アクセスを監視し、ID、ネットワーク、行動データを相関させます。
検出と自動応答の強化： AIドリブンの自動化を使用して、応答時間を数時間から数分に短縮します。セキュリティ ログの分析を自動化して、優先度の高い脅威をより迅速に検出します。
セキュリティ運用の強化： 企業全体の包括的な可視性と、ノイズ内の信号を識別するテクノロジーで SOCを強化します。
本レポートについて、より詳細な内容をまとめています。興味がある方は、こちらからダウンロードしてください。
Unit 42では、サイバー攻撃をうけたお客様に対してインシデント・レスポンスサービスを提供しています。昨年も日本企業様から相談をうけて対応した案件がありました。ひとつの事例をあげますと、ある日本企業の主要拠点にはすでにEPP/EDR製品を導入していました。しかし、EPP/EDR製品を導入していない海外拠点にいる従業員が端末上でフィッシングメールを開封してしまいマルウェアに感染しました。その後、RDPによるラテラルムーブメント（横展開）されて、日本拠点のサーバー端末郡へ到達。最後にランサムウェア攻撃に成功してしまいました。
パロアルトネットワークスでは豊富なポートフォリオを保有し様々なセキュリティ製品・ソリューションを提供しています。これらを導入することによって「100%安全なセキュリティ」を提供できれば理想ですが、現実としては100%の安全は実現できていません。
サイバーセキュリティの専門家の中では、企業にとってサイバーアタックによって侵入されることを前提にした対策も必須だという認識が一般的です。万が一、侵入を許したとしてもいかに早く検知し、いかに早く対応するかが重要です。
この観点では本記事ではご紹介するUNIT42が提供するサービスが役立ちます。
２．Unit 42とは
Unit 42のサービスを紹介する前に、後述するサービスを提供するチームUnit 42について少し紹介をさせてください。Unit 42とはパロアルトネットワークスの中で脅威インテリジェンスと専門知識をもった専門集団です。お客様へ提供しているエンドポイント、ネットワーク、クラウドで検出された5,000億件/日のイベントを分析し脅威インテリジェンスとして活用し、脅威の分析・モデリングや脅威ハンティングなど様々な活動を実施しています。Unit 42は200名以上の脅威リサーチャーで構成されており、専門分野も細分化されておりリバースエンジニアリング、マルウェア解析、クラウドセキュリティなど各分野の専門性を持ったエンジニア・アナリストで構成されています。年間1,000件以上のインシデントレスポンスサービスを提供しています。
３. Unit 42コンサルティング・サービス
Unit 42では、豊富な脅威インテリジェンスと優秀な人材を強みに有事におけるインシデント・サービスと診断・アセスメントなどのコンサルティングサービスを提供しています。
大きく大別すると２つに分けられます。
・平時における体制評価・アセスメント・ぺネトレーションテストなどの予防的対策
・インシデント被害が発生した有事におけるインシデント・レスポンス対応
Unit 42では様々なコンサルティング・サービスを提供しています。
いくつかのサービスを取り上げて、もう少し詳しくご紹介させていただきます。
- デジタル フォレンジックとインシデント レスポンス
- サイバーリスク アセスメント
- SOC アセスメント
- パープルチーム演習
- AIセキュリティ アセスメント
デジタル フォレンジックとインシデント レスポンス
脅威インテリジェンス主導で、発生したセキュリティインシデントの範囲・深刻度、性質を判断し、その後高度なツールを活用して証拠収集、検出・分析など調査を実施します。
その後、封じ込めおよび根絶を実施後には調査結果をレポートします。調査・対応をとおして再発防止策を含むセキュリティ対策の実装するためのガイドやセキュリティ体制の向上につながる改善を適用します。対応できるセキュリティインシデントは、ランサムウェア・標的型攻撃(APT)、ビジネスメール詐欺（EBC）、ランサムウェア交渉など多岐に渡ります。
平時に事前契約をしていただき、セキュリティインシデント発生時に早急に対応を開始するためのUnit 42リテーナーサービスも提供しています。
サイバーリスク アセスメント
お客様組織のインフラ、業務、リスク態勢について必要な情報を収集し、目指すゴールと目標を定義します。その後、現在運用されている関連文書のレビュー、関係者へのインタビュー、必要に応じて技術テストを実施します。アセスメントの実施で得られた調査結果をレポートします。レポートには特定されたフレームワークとエンゲージメント成果物ドラフトが含まれ、整合性を確認できます。また、発見事項と改善案を得ることができ次の活動へ繋げる情報を得ることができます。例えば、金融セクター向けの場合、米国の非営利団体であるThe Cyber Risk Institute (CRI)が2024年2月に発表し、 米国標準技術局（NIST）のサイバーセキュリティ・フレームワーク（CSF）v2.0との整合性がとれたCRI Profile v.2.0に準拠したアセスメントも提供しています。
SOC アセスメント
攻撃の可能性が高い脅威グループを明確化した上でその攻撃手法を模倣した擬似攻撃を実施します。現在のSOC体制の評価ができるような結果をレポートし、改善策（ベストプラクティス）を提示します。
パープルチーム演習
レッドチームとブルーチームに分かれてアタッカーが侵入し権限昇格させるような擬似攻撃を実施します。この擬似攻撃に対するSOCチームの対応へのレスポンスタイム及び内容に対して評価し、改善策を提示します。本サービスはすでにお客様組織においてCSERT/SOCなどの体制が整備されており、その組織の体制評価や改善点の発見などができます。また、攻撃側(Red Team)と防御側(Blue Team)に分かれ、攻撃側が実行する各種のサイバー攻撃活動を防御側がセキュリティイベントの監視を通じて検知し、分析および対処を実施することで攻撃を未然に防ぐ実地訓練としてペネトレーションテスト「Threat-Led Penetration Testing（TLPT）」も提供しています。
AIセキュリティ アセスメント
最後にまだ他社であまり見られないユニークなアセスメントサービスとしてAIセキュリティアセスメントをご紹介します。企業のAI活用に関する脅威に対処するために、社員の生成AI利用の検出と、AI対応アプリケーション開発の堅牢を目的に自社内のAIを開発、運用のリスク、データ、処理のリスクをアセスメントします。
４．最後に
いかがだったしょうか？本ブログではUnit 42チームのご紹介と提供している主要なサービスをご紹介しました。最後に様々なサービスがありどのサービスから検討して良いかわからない方のためにサービス選定について少しお話しさせていただきます。
まず、最初に検討していただきたいのはセキュリティインシデント発生という有事に備えた
「デジタル フォレンジックとインシデント レスポンス」サービスをリテーナー（プレペイドクレジット）でご契約いただくことです。この事前契約によってセキュリティインシデントが発生した時にすぐに調査を開始することができます。
もしこのような契約がない場合には、インシデント・レスポンスを開始するまでにお見積や関連するペーパーワークが必要となります。ランサムウェア被害が発生した時には、１分１秒を争う状況下では担当者は精神的なストレスに直面します。リテーナー契約があることによって、初動から専門組織と一緒に対応できることは大きなメリットとなります。
また、大きなインシデントが発生せずに、リテイナーのクレジットをすべて消費しなかった時には、残ったクレジットをUnit 42のサイバーリスク管理サービス等に適用できます。セキュリティ体制の評価やテストなどに転用することができます。