この記事では、Cato Cloudセキュリティスタック内のIPSセキュリティサービスとインターネットファイアウォールがフィッシング攻撃からネットワークをどのように保護するかについて説明します。
Catoセキュリティスタックがフィッシング攻撃をどのように特定するか
フィッシングは、依然として組織にとって最も危険な脅威の一つであり、企業ネットワークや資格情報、その他の機密データへの侵入の初動ベクターとなることがあります。 セキュリティスタック内のCato IPSサービスとインターネットファイアウォールは、異なる技術を使用してトラフィックをフィッシング攻撃として識別し、ネットワークに侵入する前に攻撃をブロックします。
脅威インテリジェンスフィードに基づくIOC
Catoのセキュリティチームは、IOCs（Indicators of Compromise）に基づいてフィッシング攻撃のためのIPSおよびファイアウォール保護を作成します。 IOCは、知られているフィッシングキャンペーンに関するドメイン、URL、その他のデータを含むプライベートおよびオープンソースの脅威インテリジェンスフィードから集められます。 既知のフィッシングキャンペーンのIOCに一致するトラフィックは、IPSエンジンによって自動的にブロックされます。
トラフィック分析に基づくヒューリスティックとアルゴリズム
セキュリティスタックの別の保護レベルでは、フィッシングサイトの特性を基にしたヒューリスティックとアルゴリズムが利用されています。 セキュリティチームは、これらのネットワークデータを分析し、フィッシング攻撃の発信元サイトを特定できる保護を作成します。 例えば、フィッシングキャンペーンでは、ユーザーがこのリンクが正規のものであると信じ込ませるために偽のOffice365 URLを使用することがあります。 ユーザーが誤って悪意あるOffice365リンクをクリックした場合、IPSまたはファイアウォールがトラフィックをブロックしてフィッシング攻撃を防ぐことができます。
さらに、IPSには、最新のフィッシング攻撃技術に対抗するための高度な機械学習アルゴリズムと画像処理モデルを使用した保護が含まれています。 例：
IPSの機械学習アルゴリズムは、DGAやサイバースクワッティングなどの技術で新たに作成されたドメインを使用する攻撃を検出してブロックできます
IPSの画像処理モデルは、偽のアイコンを使用する悪意のあるサイトや、正規のサイトと同様のアイコン、グラフィック、その他の要素を使用するサイトを特定できます
セキュリティチームは常にCato Cloudのネットワークトラフィックを分析して、ヒューリスティックとアルゴリズムを改善し、新しいフィッシング攻撃を検出する能力を向上させます。
検出と緩和戦略
IPSのフィッシング保護は、さまざまな戦略を用いて攻撃を検出し緩和します。これにより、異なる段階でフィッシング攻撃をブロックする能力で保護を最大化することができます。 これらは保護戦略のタイプです：
アクセスのブロック - これらの保護は、閲覧する宛先をフィッシングサイトとして特定し、サイトへのアクセスをブロックします。 この戦略を使用した例には、以下に基づく保護が含まれます：
脅威インテリジェンスフィード
潜在的なフィッシングサイトを特定する機械学習モデル
新規登録ドメインの識別
疑わしいトップレベルドメインを識別するヒューリスティックス
未知のリソース内で正規のHTMLタイトルタグをレンダリングしていることを検出するヒューリスティックス
資格情報のブロック - 高度なフィッシングページ要素の検出 - これらの保護は、ユーザーがすでに悪意のあるサイトにアクセスし、ウェブページがブラウザで完全にレンダリングされた後でもフィッシング攻撃をブロックできます。 エンジンは高度なヒューリスティックスを使用して、Microsoftによって所有または運営されていないページ上の正規のOffice 365の視覚的および機能的要素を検出します。 攻撃者はますます信頼できるブランド資産を複製しており、信頼できるブランド資産と信頼できないドメインの間に不一致が検出された場合、IPSサービスは資格情報の提出をブロックすることによって決定的な瞬間に介入します。 重要なことに、ユーザーはブロックページを見ません。 代わりに、システムは資格情報がデバイスやブラウザセッションから離れるのを静かに防ぎます。 CMAには、フィッシングサイトに機密情報を挿入しようとした場合の脅威名を伴う対応するセキュリティイベントが生成されます。
ポストコンプロマイズ検出 - 高リスクのWebフォームでの資格情報提出の特定 - ユーザーが悪意があると確定できない疑わしいドメインにアクセスする場合があり、即座にブロックされません。 このような場合には、疑わしい活動の監視（SAM）サービスが重要なセカンダリ保護層を提供します。 SAMは、ハイリスクまたは信頼できないWebフォームとのユーザーのやり取りを継続的に監視し、資格情報の収集を示す行動を検出します。 ユーザーがそのようなサイトで企業の資格情報を入力または送信した場合、SAMは詳細なイベントを生成し、管理者に潜在的な危険を警告し、迅速な対応が可能になります。
これらの検出を可能にするには、TLSインスペクションを有効にする必要があり、暗号化されたトラフィックの検査を通じて悪意のあるページ内の正規のMicrosoft資産の誤用を特定できます。次のMicrosoftドメインでもTLSインスペクションを有効にする必要があります：windows.net
windows.com
msauthimages.net
msauth.net
msftauthimages.net
ブロックされたフィッシング攻撃のイベントレビュー
ホーム > イベントでセキュリティイベントを確認し、アカウントでブロックされたフィッシング攻撃を見つけることができます。 IPSによってブロックされたフィッシング攻撃やファイアウォールによってブロックされたフィッシング攻撃のための異なるイベントサブタイプがあります。 IPSイベントにおいて、脅威の種類は評判、またはフィッシングとして分類されることがあります。
これは、IPSによってブロックされたフィッシング攻撃のイベントの例です：
フィッシング攻撃のためのIPSイベントフィールド：
イベントタイプ - セキュリティ
イベントのサブタイプ - IPS
脅威の種類 - 評判
脅威名 - ドメインの評判に基づくシグネチャー – フィッシング
脅威の種類 - フィッシング
脅威名 - セキュリティチームがこのフィッシング攻撃に付けた名前
インターネットファイアウォールイベントフィールド - フィッシング攻撃：
イベントタイプ - セキュリティ
イベントのサブタイプ – インターネットファイアウォール
カテゴリ - フィッシング
IPSの緩和戦略は、イベント内のシグネチャIDの形式によって特定できます：
アクセスをブロックするシグネチャは、プレフィックス: cid_heur_ba_phishing_detection_を持ちます
資格情報の送信をブロックするシグネチャは、プレフィックス: cid_heur_bs_phishing_detection_を持ちます
危険なウェブフォームに対する資格情報送信を検出するシグネチャは、プレフィックス: cid_sam_cs_phishing_detection_またはcid_sam_suspected_phishing_submission_to_risky_web_formを持ちます
詳しくは、脅威の評判に基づくセキュリティイベントの分析をご覧ください。
フィッシング攻撃のためのXDRストーリーのレビュー
ストーリーワークベンチは、フィッシングを含む潜在的なマルウェア攻撃に対するストーリーを生成し、攻撃を調査するためのツールを提供します。 以下は、IPSによってブロックされたフィッシング攻撃に対するストーリーの例です。 このストーリーは、攻撃の説明、攻撃に関連するドメインやURLなどの情報を提供し、調査を支援します。
Catoがフィッシング攻撃をブロックしました - 次は何をする？
このセクションには、アカウントのフィッシング攻撃がIPSやインターネットファイアウォールによってブロックされた場合に、次に取るべき手順が記載されています。
フィッシング攻撃のターゲットとなった組織内のエンドユーザーを特定します。
エンドユーザーと話し、どのようなタイプの情報をウェブサイトと共有していたかを特定します。
エンドユーザーに以下のアクションを取るように指示します：
ウェブサイトのパスワードを変更する
ウェブサイトに関連するすべてのサービスから強制的にログオフする
共有した（または潜在的に共有した）データがリスクを孕むものかどうかを確認します。