MITRE ATT&CK®評価ラウンド6 検知率95％記録
株式会社アンラボは、非営利研究開発団体である 「マイター(MITRE)」 が実施した 「MITRE ATT&CK®評価のエンタープライズ部門ラウンド6 (MITRE ATT&CK® Evaluations Enterprise Round 6) に参加し、95％の検知率を記録して卓越した脅威検知および分析能力を証明した。
今回の MITRE ATT&CK®評価とアンラボの結果が持つ意味について紹介する。
MITRE ATT&CK®評価の紹介
まず、MITRE ATT&CK®評価を主催するマイター（MITRE）は、国家安全のためにアメリカ政府の支援を受けて研究を行う非営利団体であり、政府、民間、学術界などと協力し、公益的な R&D 事業を進めている。サイバーセキュリティ業界では、マイター・アタックフレームワーク（MITRE ATT&CK Framework）を通じて攻撃者の戦術（Tactics）、技術（Techniques）、および手順（Procedures）を研究・定義していることで広く知られている。
「MITRE ATT&CK®評価」は、マイター（MITRE）が実施するグローバルセキュリティ製品評価であり、既知の攻撃グループの行為に対する対応能力と技術力を中心に評価する。主な攻撃グループが使用する最新の攻撃手法を再現し、各攻撃段階におけるセキュリティソリューションの検知有無、検知の証拠およびコンテキストの提供有無などをテストする。各ソリューションの順位付けや競争のための分析ではなく、MITRE ATT&CK®の知識ベースを中心に、各セキュリティ企業が脅威検知にどのようにアプローチしているかを示すことに焦点を当てている。
今年で6回目となる MITRE ATT&CK®評価は、実際の攻撃グループが使用する手法との類似性や脅威シナリオの完成度など、さまざまな面で世界的に最も信頼されるセキュリティ製品テストの1つとして認められている。今回のラウンド6には、19社のグローバルセキュリティ企業が参加し、アンラボは韓国企業として唯一、ラウンド3から4回連続で評価に参加している。
[図] MITRE ATT&CK®評価ラウンド6参加企業
評価の構成
MITRE ATT&CK®評価は、大きく分けてサイバー脅威シナリオ（Scenario）を構成する段階（Step）と各段階を構成する詳細段階（Substep）で構成されている。これに基づき、マイター（MITRE）は脅威シナリオを模擬実行し、参加企業のソリューションのセキュリティ能力を評価する。
サイバー脅威の検知および分析能力を評価する「検知（Detection）」部門では、各詳細段階で収集された証拠のコンテキストと情報を総合し、以下の[表]ように評価する。検知評価は「None」から「General」、「Tactic」、「Technique」の順で、検知された脅威情報の精度と詳細度が高くなることを意味する。
|
カテゴリー |
説明 |
|
N/A |
評価に反映されない場合 |
|
None |
詳細な証拠がない、または要件に適合しない場合 |
|
General |
不正、疑わしい、または異常な行動が発生したかを説明できる証拠 |
|
Tactic |
特定の行動の背景や潜在的な意図など、戦術的な（Tactic）コンテキストを提供する証拠 |
|
Technique |
特定の行動の戦術（Tactic）を超えて、方法や詳細な内容など、技術（Technique）に関するコンテキストを提供する証拠 |
今回のラウンド6からは、分析情報なしで残される基本的な証拠に与えられる「Telemetry」評価が除外された。これはサイバー脅威のコンテキストを推測できない情報は意味のある証拠として認められないことを意味し、より高いレベルの脅威検知および分析能力、正確性を要求していることがわかる。
攻撃グループのシナリオ
MITRE ATT&CK®評価ラウンド6では、過去のラウンドのように特定の攻撃グループの手法を模擬実行するのではなく、さまざまな攻撃グループの手法を組み合わせてシナリオを構成した。今回の評価のシナリオは、Windows および Linux でのランサムウェアグループ（LockBit & CL0P）および macOS（macOS）に対する北朝鮮攻撃グループ（DPRK）の実際の脅威行為を基に構成されている。
各シナリオの詳細は以下のとおりである。
ランサムウェア
ラウンド6では、LockBit と CL0P ランサムウェアの行為を模擬実行した。世界で最も広く配布されているランサムウェアの一つである LockBit は、精巧なツールを使用し、Windows と Linux システムをダブルターゲットにすることで知られている。CL0P は、TA505 グループに関連するランサムウェアファミリーであり、さまざまな地域や産業でデータを奪取、暗号化、漏洩させる戦略を活用している。
北朝鮮攻撃グループ（DPRK）
北朝鮮は、核能力の強化を目指して、グローバル金融、軍事、技術分野を標的にサイバー攻撃を行っている。macOS をターゲットにした攻撃を強化し、敏感なシステムへの侵入能力を持っている。ラウンド6では、合法的な macOS ユーティリティを悪用し、敏感なデータを収集および漏洩させるモジュール式マルウェアを基にシナリオを構成した。
95％の検知率！アンラブの結果が特別な理由
アンラボは、自社の△次世代エンドポイント検知および対応ソリューション「AhnLab EDR」、△エンドポイントセキュリティプラットフォーム「AhnLab EPP」、△SaaS型セキュリティ脅威分析プラットフォーム「AhnLab XDR」で、今回の評価の「検知（Detection）」部門に参加し、ランサムウェア領域で95％の検知率を記録した。
ユーザーの視点から、今回のアンラボの評価結果は、次の点で注目に値する。
1. 高度化した脅威に対する卓越した検知および分析能力
アンラボは、検知部門のランサムウェア（Ransomware）領域で、Windows および Linux にわたる59個の詳細段階（Substep）のうち56個を検知し、95％の検知率を記録した。また、これに関する詳細な証拠と攻撃分析情報を提示した。下の図を見ると、アンラボの検知結果は世界中の参加企業の中でも競争力のある水準であることが分かる。
[図] MITRE ATT&CK®評価ラウンド6 参加企業の検知率
*上記[図]は、アンラボが独自に分析した結果であり、マイター（MITRE）は参加者ランキングを算定しない
特に、アンラボは検知した56個の詳細段階のうち49個で最高評価の「Technique」を受けた。これにより、ユーザーは自社製品の証拠情報を通じて脅威行為の「コンテキスト（Context）」を総合的に理解できる。 サイバー脅威が高度化を重ねる中で、コンテキストを理解した検知(Context-Aware Detection)は、最適化された脅威対応(Optimal Threat Response)のキーである。脅威対応の観点から、アンラボの検知結果は、自社のソリューションを使用する顧客にとって大きな意味がある。
2. 製品の継続的な発展
アンラブは、前回のラウンド5で82％の検知率を記録した。今回のラウンド6から「Telemetry」が除外され、評価基準が厳しくなったことを考慮すると、95％の検知率を記録した今回の結果は、自社のソリューションに革新的な進展があったことを示唆している。
実際に、アンラボは過去3回の MITRE ATT&CK®評価参加を通じて最新の脅威に対する製品能力を検証し、改善点を把握して補完する作業を進めて現在に至った。また、ソリューションのバックエンドとフロントエンドに AI などの新技術を積極的に適用してソリューションを発展させている。今後も、このような作業を継続して高度化するサイバー脅威を正確に検知・対応するとともに、顧客の製品使用性（Usability）を高めるための研究開発に拍車をかける計画だ。
実際の評価脅威検出内容
最後に、今回のラウンド6で自社ソリューションがランサムウェアグループの手法をどのように検知したのか、ランサムウェア LockBit シナリオの例を通じて説明する。
1. Substep 11.01 – 自動ログインの有効化
ランサムウェアグループ LockBit の攻撃手法を模擬実行したシナリオのStep 11では、攻撃者はサーバーquirrell（10.111.9.202）で持続性を維持するためにサブキーを変更し、自動ログインを有効にする。
このための詳細段階として、Substep 11.01では、ユーザーGORNUK（攻撃者）がHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon パスのサブキーを変更し、自動ログインを有効化する行為を発現した。
[図] Substep 11.01 の検知画面
AhnLab EDR は、GORNUK が自動実行（autorun）のために署名されていないプロセスを使用してプログラムを登録するフローを相関図として示した。レジストリキーのパスと名前（AutoAdminLogon）を正確に検知し、それに対応するTID（TA0006 Credential Access / T1552.002 Unsecured Credentials: Credentials in Registry）を提供し、防御者が攻撃者の自動ログイン有効化のためのサブキー変更行為を詳細に理解できるようにした。
2. Substep 12.01 – 正常ツールを使用したパスワードダンプ
続いてStep 12では、攻撃者が Chocolatey を使用して Firefox ブラウザのパスワードをダンプし、ドメイン管理者権限を回復させて Linux KVM サーバーにアクセスする。
このため、詳細段階の Substep 12.01では、まず cmd.exe が choco を実行し、FoxAdminPro をインストールする。
[図] Substep 12.01 の検知画面
AhnLab EDR は、cmd.exe が FoxAdminPro をインストールするまでの過程を相関図で示し、choco 実行に関するパス、TID（T1072 Software Deployment Tools）、および詳細情報を提供し、ユーザーが行動の流れを包括的に理解できるようにした。
3. Substep 12.03 – Webブラウザの資格情報ストレージへのアクセス試行
次に、攻撃者はcmd.exeを通じてC:\Users\gornuk\AppData\Roaming\Mozilla\Firefox\Profiles\ohbrdd1o.default-release\ のパスに FoxAdminPro をインストールし、Web ブラウザの資格情報ストレージにアクセスしてアクセス権を取得しようとした。
[図] Substep 12.03 の検知画面(1)
AhnLab EDR は Firefox の資格情報ストレージへのアクセス行為を検知し、それに関する詳細情報、TID（TA0006 Credential Access / T1555.000 Credentials from Web Browsers）、および行動を実行するための CMD コマンドを提供した。
[図] Substep 12.03 の検知画面(2)
[図] Substep 12.03 の検知画面(3)
AhnLab XDR もこの行動に対する相関図、検知名、ファイル情報、およびその他の詳細情報を提供し、ユーザーが脅威をより深く理解できるようにした。
アンラボは今回の評価で、上記の3つの Substep すべてにおいて最高評価である「Technique」を受けた。しかし、個別の検知結果より重要なのは、ユーザーが「自動ログイン有効化 > Web ブラウザパスワードダンプ > Web ブラウザ資格情報ストレージへのアクセス」といった実際の脅威行動のコンテキストを理解できるようにしたということである。これらの情報を関連付けて分析すれば、実際の環境で攻撃者が発現する行動とその意図を理解し、対応と予防ができるという点で非常に重要な意味を持つ。
MITRE ATT&CK®評価ラウンド6の結果は、マイターのウェブサイトで確認できる。本評価に参加したアンラボの製品に関する詳細情報は、アンラボのウェブサイトで確認できる。
