APT攻撃とは?目的や手法と攻撃の例を踏まえた対策を解説

サイバー攻撃にはいくつもの種類があり、近年、特に危険視されているものがAPT攻撃です。中長期的に国や特定の企業に攻撃を仕掛けるもので、データの窃取や改ざんを目的としています。
非常に危険な攻撃ですが、知名度が低く正しい対策を取れていない企業が多いことも事実です。今回は、サイバー攻撃の中でもAPT攻撃にフォーカスし、攻撃の概要から目的、防御するための対処法なども解説します。

APT攻撃とは

APT攻撃とは、特定の組織や個人を狙って実行される、計画的かつ継続的なサイバー攻撃です。入念な事前準備を伴うことが多く、世界的には大きな被害が多数報告されています。

APTとは「Advanced Persistent Threat」の頭文字を取ったもので、日本語では「高度標的型攻撃」と表現されることもあります。高度な攻撃技術を利用して、継続的にデータを窃取したり改ざんしたりし続けることが特徴です。攻撃方法は1種類でなく、複数の方法を組み合わせて、多角的に攻撃を繰り広げてきます。

なお、一般社団法人JPCERTコーディネーションセンターが公開している「高度サイバー攻撃(APT)への備えと対応ガイド」では、以下のように定義されています。

• 明確な長期目標に基づく作戦行動のような活動が見られる
• 活動を遂行するために巧妙に仕組まれたインフラ／プラットフォームがある
• 標的とする組織の従業員に対する諜報活動を行う能力がある
• 目的達成のために、様々 なテクニックやソフトウェアを組み合わせることができる
• 侵入検知や各種インシデント対応措置に対して速やかに適応し攻撃手法を改変する能力がある

【引用】高度サイバー攻撃(APT)への備えと対応ガイド_一般社団法人 JPCERT コーディネーションセンター

APT攻撃の目的

APT攻撃の目的は、システム侵入し情報を窃取したり改ざんしたりすることです。その点では、一般的なマルウェアを用いた攻撃と大差ありません。

ただし、APT攻撃は国家戦略やスパイ行為として実施されることがあり、より特殊な目的を持つ可能性があります。例えば、国防に関する情報を少しずつ盗み出し、それを踏まえた戦争が勃発するなどです。これは極端ですが、一般人には考えられないような目的を持っている場合があります。

APT攻撃の手法

APT攻撃の手法は、主に「共通攻撃手法」と「個別攻撃手法」です。
まず、共通攻撃手法は、システムへの侵入を目的とした攻撃です。ネットワークや接続されているデバイスに攻撃を仕掛け、アクセス権などを得ようとします。アクセス権を手に入れるため、マルウェアや専用のスクリプトなどが利用されるケースが大半です。

また、個別攻撃手法は、特定のデバイスを制御することを目的とした攻撃です。例えば、データを管理するためのデバイスを乗っ取り、特定のデータを窃取したり改ざんしたりします。事前に、デバイスを乗っ取るためのIDやパスワードなどを入手しておき、それを利用して攻撃する方法です。

APT攻撃と標的型攻撃の違い

APT攻撃と似たものに、標的型攻撃と呼ばれるものがあります。ただ、実はこれらは根本的には似ているものであり、大きな違いはありません。

ただし、上記でも触れたとおりAPT攻撃については、期間が長く、何かしら特殊な目的を持っている場合があります。また、攻撃の手法も一般的な攻撃ツールではなく、念入りに準備された独自のツールが利用される点も違いと認識しましょう。

APT攻撃の特徴

APT攻撃の特徴として、以下が挙げられます。

• 非常に入念な準備がおこなわれる
• 攻撃の期間が中長期である
• より高度な攻撃方法が選択される

APT攻撃は、特別な目的を持っていることが多く、一般的な標的型攻撃とは特徴が少し異なります。目的としては似た部分がありますが、対象となる情報やシステムが特別であるため、準備や攻撃の時間が長くなりがちです。
また、国家や国に関わる企業などが攻撃の対象となる場合があり、これらから情報が流出すると、国民の安全性に影響を及ぼす可能性があります。攻撃を防げなかった場合の代償が、非常に大きいものであると考えて良いでしょう。

APT攻撃による被害の例

APT攻撃を受けることによって、具体的に受ける被害を挙げると以下のとおりです。

• パソコンやサーバーへの不正アクセス
• データの改竄
• 情報漏洩

詳細をご説明いたします。

パソコンやサーバーへの不正アクセス

APT攻撃によって、パソコンやサーバーにバックドアがセットされると、不正アクセスの原因となりかねません。一般的に、APT攻撃は短期的な攻撃ではなく、中長期的に攻撃を繰り返すものです。そのため、攻撃に対して適切な対処ができないと、継続的に不正アクセスを受けてしまいます。

また、このような不正アクセスは、利用者が気づかないうちに実行されることが大半です。気づかぬうちに、何度もパソコンやサーバーに不正アクセスされ、さらなる問題を引き起こすことになってしまいます。

データの改竄

パソコンやサーバーにアクセスできてしまうため、データを改ざんされる可能性があります。攻撃者は、手当たり次第に情報を改ざんすることが考えられ、すべてのデータが失われてしまうかもしれません。

例えば、従業員情報が改ざんされると、従業員が社内システムを利用できなくなります。また、取引データが改ざんされると、取引先への支払いに支障が出るでしょう。

どのようなデータであっても、改ざんがあってはなりません。
なお、一般的に改ざんといえば「何かしら目的を持ち意味のある内容に変更する」とのイメージを持たれがちです。しかし、攻撃者による改ざんはそのようなものではなく、意味のないデータが大量に記録されてしまいます。

情報漏洩

データの改ざんだけではなく、漏洩につながることが考えられます。パソコンやサーバーにアクセスできてしまうと、そこから各種データを参照できるでしょう。第三者の目にデータが触れている時点で、情報漏洩であると考えるべきです。

また、攻撃者がデータを窃取し、それをさらに漏洩させることも考えられます。例えば、インターネットにデータを公開し、誰でも閲覧できる状況にするなどです。このような状況に陥ると、社会的信用力の失墜につながるなど、甚大な被害を受けることになりかねません。

加えて、漏洩したデータから被害が発生すると、それらの補填が必要です。例えば、クレジットカード情報が漏洩すると、不正に利用されるかもしれません。情報が外部に流出するだけではなく、そこからさらなる被害を生む可能性もあります。

APT攻撃を防ぐための3つの対策

APT攻撃を防ぐためには、多層防御を採用すべきです。多層防御とは、以下の3つを同時に実装することを指します。

• 入口：侵入の防御
• 内部：感染拡大の防止
• 出口：漏洩対策

各防御の方法を解説いたします。

入口：侵入の防御

最初に、攻撃者が内部ネットワークに侵入することを防御しなければなりません。侵入されてしまうと、何かしらの攻撃が開始されてしまうため、これを未然に防ぐことが大切です。一般的に、攻撃に対して防御するだけであれば、被害はごく一部だと考えられます。ネットワークへの侵入を防ぐためには、ファイアウォールを利用して通信を制御すると良いでしょう。

特定の通信のみ許可したり防御したりすることで、攻撃者からの通信を効率よく制御できます。また、IDS/IPSといった仕組みを導入して、外部から不正な侵入を防ぐことも大切です。

APT攻撃のようにネットワークの内部に侵入されてしまうと、そこからの対処に多くのコストが必要となってしまいます。可能な限り、侵入できないように防御することを優先するようにしましょう。

内部：感染拡大の防止

どんなに対策しても、新しい攻撃の手法や人間のミスなどによって、侵入を許す可能性があります。そのため、侵入されても感染の拡大を防げるように対策しましょう。大量のパソコンやサーバーがマルウェアに感染すると、正常に業務をおこなえないなど、大きな問題に発展してしまいます。

感染拡大を防止するためには、ネットワークからの切り離しが非常に重要です。例えば、APT攻撃を受けたパソコンをネットワークから切り離し、どのパソコンやサーバーとも通信できないようにします。また、システムのデータベースが攻撃されたならば、それを切り離して、接続してくるパソコンに影響が及ばないように対策しなければなりません。

仮に、APT攻撃による侵入を許しても、感染が拡大しなければ被害は最小限に抑えられます。気づかないうちに被害が拡大し、大量のパソコンやサーバーにマルウェアが存在する状況を避けるような対策が必要です。

出口：漏洩対策

漏洩対策は、ネットワーク内部に侵入された後、データを漏洩させないための対策です。仮に侵入されてしまっても、データの漏洩が発生しなければ、外部の関係者に迷惑をかけてしまう可能性が下がります。一般的には、データを外部へ転送しようとする際に、自動的に暗号化する手法です。

例えば、専用のツールを導入することで、外部へのアクセスを監視できます。もし、海外のサーバーなど不審な宛先へとアクセスしようとしているならば、その通信を遮断するなどの設定が可能です。ネットワーク内部から出られないようにすれば、情報が漏洩することはありません。

また、通信を遮断するのではなく、暗号化して意味のわからない文字列に変換する方法もあります。通信自体は成立しますが、内容を解読することは不可能であるため、情報漏洩を防ぐことが可能です。