内部偵察行為フェーズに新たな戦術も、高度化する標的型攻撃を阻止する方法とは

　標的型攻撃の多くは、まずエンドポイントを攻めることから始まる。攻撃者はメールの添付ファイルを開くように促す単純なステップやゼロデイエクスプロイトによりネットワークに侵入した後、目的のデータを探して周囲の捜索を開始する。このためのツールと手法は検出を回避するために常に更新され、今日ではファイルレス攻撃や環境寄生、自動化といった新たな手法も用いて内部偵察が行われている。

　しかし、攻撃者は侵入後、目的のデータにアクセスするまでに数千回にも及ぶ個別のアクションを実行する必要がある。防御側はそれらの活動から攻撃のシグナルを1つでも収集して分析できれば、攻撃者の先を行く対応が可能だ。

　本資料では、攻撃者が検出を回避するために使用する最新戦術の詳細とともに、これらの攻撃を早期段階で発見し、攻撃の成功を阻止するための適切なテクノロジーについて解説する。ユーザーとデバイスのネットワーク動作をプロファイリングすることで、将来的に内部偵察行為のツールや手法が変更されても検出できるという。