PowerShell

ProxyNotShell：新たな脅威からシステムを守るために

- ProxyNotShellとはProxyNotShellとは、2022年に発見された、インターネット上で公開されているMicrosoft Exchange Server Onlineを狙った攻撃手法です。この攻撃は、特定のバージョンのExchange Serverにおけるプログラムの欠陥を巧みに組み合わせることで、本来であればシステム管理者のような権限を持った人にしか許されていない操作を、攻撃者が不正に行えるようにしてしまいます。ProxyNotShell攻撃では、CVE-2022-41082とCVE-2022-41010と呼ばれる二つの脆弱性が特に悪用されます。まず、CVE-2022-41082という脆弱性を利用して、攻撃者は外部からサーバーに不正な命令を送ります。この命令は、本来はシステム管理者のみが実行できるはずの「PowerShell」という強力な機能を、不正に実行させることを目的としています。次に、CVE-2022-41010という脆弱性を利用し、この不正なPowerShellの実行を可能にします。結果として、攻撃者はあたかもシステム管理者であるかのように、サーバーに対して様々な操作を実行できるようになり、情報を盗み出したり、システムを改ざんしたりするなどの深刻な被害が発生する可能性があります。ProxyNotShellは、発見後、Microsoftによって修正プログラムが公開されています。しかし、攻撃の手口は日々巧妙化しており、ProxyNotShellに類似した新たな脆弱性が発見される可能性も考えられます。そのため、常に最新の情報を入手し、システムのアップデートを適切に行うことが重要です。

脆弱性

PowerView：攻撃者に悪用されるネットワークツール

- PowerViewとはPowerViewは、本来はシステム管理者がWindowsネットワークの情報を効率的に取得するために作られたツールです。しかし、近年、その強力な機能を悪用し、攻撃者がネットワーク上のコンピュータやユーザーに関する情報を不正に収集するケースが増えています。PowerViewの最も危険な点は、Windowsに標準搭載されているPowerShellというスクリプト言語で動作することです。PowerShellはシステム管理で日常的に使われるため、PowerViewを使った攻撃は、他の攻撃ツールと比べて、攻撃者の侵入経路を複雑化させ、セキュリティソフトによる検知を困難にする可能性があります。PowerViewを使うことで、攻撃者はネットワーク上のコンピュータやサーバー、共有フォルダ、ユーザーアカウント、グループ、さらにパスワードポリシーなどの機密情報を入手できます。これらの情報は、攻撃者がネットワーク内を横断してより重要なシステムにアクセスするための足掛かりとして悪用される危険性があります。PowerViewは正規のツールであるため、その存在自体を検知することは困難です。そのため、PowerShellのログを監視し、不審なコマンドの実行がないかを確認することが重要です。また、PowerShellのバージョンを最新の状態に保ち、セキュリティパッチを適用することで、悪用可能な脆弱性を解消することが重要です。

不正アクセス

見過ごされる脅威：身近にあるサイバー攻撃ツール

- 悪用される日常的なツール普段私たちが何気なく使っているツールが、悪意のある者によって犯罪に利用されることがあります。本来は便利な機能を持つこれらのツールは、使い方次第で恐ろしい武器になり得ることを認識する必要があります。例えば、Windowsパソコンにはシステム管理を効率的に行うための便利な機能が備わっています。しかし、これらの機能は攻撃者にとってもシステムを深く操作する強力な道具になり得ます。Windowsに標準搭載されている「PowerShell」や「WMI」は、システム管理者が日常的に使用するものですが、攻撃者の手にかかれば、システムへの侵入や情報の盗み出し、さらに悪質なプログラムの拡散などに悪用される危険性があります。また、「ProcessHacker」や「PsExec」なども、本来はシステムの動作状況を監視したり、遠隔操作をしたりするための便利なツールです。しかし、これらのツールも攻撃者によって悪用されれば、パソコンを乗っ取ったり、重要な情報を盗み見たりするための道具になりかねません。これらのツールは、インターネット上で簡単に入手できる場合があり、使い方によっては非常に危険であることを認識しておく必要があります。普段からセキュリティソフトを導入したり、OSやソフトウェアを最新の状態に保つなど、基本的なセキュリティ対策を徹底することが重要です。また、身に覚えのないメールの添付ファイルを開いたり、不審なウェブサイトにアクセスしたりしないなど、一人ひとりが注意を払うことも重要です。

サイバー犯罪

WinRMの悪用を防ぐには

- WinRMとは WinRMは「Windows リモート管理」の略称で、離れた場所にあるWindowsパソコンやサーバーを、まるで目の前にあるかのように操作できる便利な機能です。この機能は、システム管理者が日々の業務を効率的に行うために欠かせない存在となっています。例えば、複数のWindowsパソコンに同じ設定を一斉に適用したり、離れた場所にあるサーバーの状態を確認したりする際に、WinRMは大活躍します。具体的な操作には、「PowerShell」というWindowsに標準搭載されているコマンドやスクリプトを使用します。このPowerShellを通じて、まるで遠隔操作ロボットを操縦するように、離れたWindowsパソコンやサーバーに対して指示を出すことができるのです。しかし、便利な機能には、相応のリスクがつきもの。WinRMも例外ではありません。セキュリティ対策を怠ると、悪意のある第三者にこの機能を悪用され、パソコンやサーバーを乗っ取られてしまう危険性があります。 WinRMを安全に利用するためには、適切な設定とセキュリティ対策が必須です。具体的には、通信経路の暗号化や、アクセス権限の設定などを適切に行う必要があります。これらの対策を怠ると、WinRMは便利なツールではなく、セキュリティ上の大きな穴となってしまいます。

ネットワーク

Just Enough Administrationでセキュリティ強化

- はじめにと題して今日のビジネスにおいて、情報システムはもはやあって当たり前のものとなり、その安定稼働は事業継続のために不可欠です。システム管理者は、この重要なインフラを支える、まさに「縁の下の力持ち」と言えるでしょう。しかし、それと同時に、管理者はシステムのほぼ全てにアクセスできる強力な権限を持っているため、その立場が悪用されるリスクも孕んでいます。もしも、悪意のある第三者に管理者権限を奪われてしまったら、企業は機密情報漏洩や業務システムの停止など、壊滅的な被害を受けてしまう可能性も否定できません。このような事態を防ぐために登場したのが、「必要最小限の管理」を意味するJust Enough Administration (JEA) というセキュリティ機能です。JEAは、システム管理者であっても、普段の業務で必要のない権限を制限することで、万が一、不正アクセスが発生した場合でも、その被害を最小限に食い止めるための強力なツールです。JEAを活用すれば、管理者は必要な作業だけを実行できるようになり、不要な権限は剥奪されるため、セキュリティリスクを大幅に低減できます。 JEAは、企業の貴重な情報資産とシステムを守るための、今まさに必要とされているセキュリティ対策と言えるでしょう。

セキュリティ強化