米CISA(サイバーセキュリティ・インフラストラキュリティ庁)は2026年8月25日、政府施設セクターの組織Aと上下水道セクターの組織Bという2つの重要インフラ組織に対し、同じ手口 (similar tradecraft) を使って同時に実施したレッドチーム評価の結果をアドバイザリ(AA26-237A)として公開した。実際の侵害ではなくシミュレーションだが、成熟したセキュリティ体制を持つ組織でも何が刺さるかを赤裸々に示す内容で、CISAがこの種の評価結果を公表するのは異例中の異例だ。
1. 初期侵入
既定認証情報が残るWebアプリを発見・悪用し、内部メール経由でフィッシングを送信。4台のワークステーションに侵入。
2. 権限昇格
Machine Account Quota既定値(10)を悪用してアカウントを新規作成し、ADCS証明書テンプレートの
ESC1設定不備を突いて任意ユーザーの証明書を取得。3. 横展開
SCCMサーバーを照会してユーザーと端末を紐づけ、平文資格情報や設定ファイル、無期限のAWS IAMキーを次々回収。
4. 業務システム掌握
重要業務システム(SBS)3系統すべてに管理者アクセスを確立。DFSルートドライブ経由で全利用者の仮想デスクトップにも到達。
5. メール窃取
Entra IDアプリのMail.ReadWrite権限を悪用し、所有者端末からプライマリリフレッシュトークン(PRT)を窃取してSOC職員のメールを閲覧・確認。
組織AのSOCはこの一連の活動を検知できなかった。原因は技術的な穴ではなく運用の穴だ。中低severityのアラートが日常の誤検知(高severityだけで数千件)に埋もれ、複数SOC間の連携不足とエスカレーション手順の欠如が重なった。
一方、上下水道セクターの組織Bはスピアフィッシング後の「予期しないDLL読み込み」を検知し、10〜20分で端末を隔離した。だが隔離前にLDAP全列挙は完了済みで、MAQが1000という過大値に設定されていたため大量アカウント作成を許した。さらにADConnectDumpでMSOLアカウントの資格情報を窃取し、Seamless SSOのKerberos実装を悪用してMFA未設定のサービスアカウントからEntra IDへ侵入している。検知が早くても、既定値の放置ひとつで突破口は残る。
CISAが挙げた教訓は、アラートのノイズ削減とSOC連携の強化、ワークロードIDへの条件付きアクセス適用、トークンの検知・失効プロセス整備の3点。派手なゼロデイではなく、MAQやESC1のような地味な設定ミスの放置が重要インフラの生命線を突く、という現実を突きつけるレポートだ。
COMMENTS 0
No comments yet — be the first to leave one.