サイバー攻撃の犯人はどう見分けるのか|戦闘識別(12)

「戦闘識別」というテーマで取り上げる最後のお題は、もっとも面倒で始末が悪い分野であるサイバー空間だ。攻撃者は正体を隠すことを前提に行動するため、「誰が攻撃したのか」を突き止めること自体が難しい。今回は、サイバー空間で攻撃者を識別するための手掛かりについて考えてみたい。→連載「軍事とIT」のこれまでの回はこちらを参照

閉じる

まともな攻撃者なら正体は隠す

もちろん、何も考えないで自宅や職場から攻撃を仕掛けたり、荒らし行為を仕掛けたりすれば、「足がつく」可能性は高い。身近なところで、インターネットにおける「発信者情報開示」という仕組みがある。

だから、サイバー空間でなにかしらの攻撃を仕掛けようとする者は、当然ながら足がつかないように細工をする。そのため被害者側からすれば、単純に送信者のIPアドレス情報だけ見ても参考にならないし、それを真に受けて反撃したところで、誤爆するだけである。

とはいえ、手がかりがまったくないかといえば、そういうわけでもない。攻撃に使用するツールや手口、攻撃の対象、攻撃者の行動(activity)など、小さな手がかりを集めて、積み上げることで攻撃者の正体に迫る。そういう地道な取り組みこそが、実はもっとも早道ではないかと思われる。

誰が狙われるか、何が狙われるか

例えば、システムを機能不全に陥らせるとか、機微情報を窃取するとかいうのは昔からあるサイバー攻撃だが、攻撃者は当然ながら、なんらかの意思や意図の下で、そういう攻撃を仕掛けていると考えるのが自然である。

それなら、誰が狙われたか、どんなシステムが・どんな情報が狙われたか、といった話は、攻撃者の属性や意図に近付くための、ひとつの手がかりになり得よう。

それと関連して、攻撃者が国家あるいは特定の組織をバックにしている場合、「どういう情勢・状況の下で攻撃が行われたか」も参考になる可能性がある。A国とB国の間でなんらかの政治的緊張が発生していて、そんなときにA国の重要インフラに関わるシステムが攻撃対象になった、なんていうことがあれば、やはり下手人として真っ先に疑われるのはB国である。

その分かりやすい具体的事例が、エストニアに対して2007年に仕掛けられたサイバー攻撃の一件。エストニアの首都、タリンの中心部にあったソ連時代の戦没者慰霊碑を、郊外にある軍の墓地に移すという決定がなされた件がトリガーである。この動きに対してロシアが抗議して、両国間での外交問題に発展した。

• 

  タリン郊外に移設された「ブロンズ・ソルジャー」。2007年の移設を巡る対立は、エストニアへの大規模なサイバー攻撃の引き金となった　Liilia Moroz / Wikimedia Commons (CC BY-SA 4.0)

その後で、エストニアに対して熾烈なサイバー攻撃が仕掛けられたのは御存じの通りだが、こうなれば「ロシア以外の誰がそんなことをするんだ?」となるのは当然の流れといえよう。

しかも、標的になったのは金融や政府機関といった、国の根幹に関わる部分。いいかえればエストニアという国家を機能不全に陥らせることを企図した攻撃であるから、個人が自己顕示欲や面白半分で仕掛ける攻撃とは訳が違う。

何で攻撃したか、どう攻撃したか

RAT(Remote Access Trojan)や、その他のマルウェアを仕込まれたことが発覚した場合はどうか。

まず、マルウェアの現物を捕獲(?)できれば、コード構造、暗号化方式、難読化のための手法、開発に使用しているライブラリやその他の開発環境に関する情報といったものが、ひとつの手がかりになる可能性は考えられる。直接、特定の組織や個人に行き着くところまで期待できなくても、「以前のこの攻撃と今回の攻撃は、犯人が同じではないか」ぐらいのことは分かるかも知れない。

また、標的型攻撃など、攻撃の手法やその際に用いた経路(いわゆるthreat vector)、あるいは電子メールやWebサイトで用いている文面や誘導のやり方などに、攻撃者の個性が現れる可能性がある。

例えとしてはやや適切でないかも知れないが、漢字が使われている日本語のコンテンツなのに、その漢字がところどころおかしい、なんていう話は、spamメールやフィッシング詐欺の分野でチョイチョイ見られる話である。

ただ、これも意図的に他国の人間を装い、濡れ衣を着せる手段になり得るので、「キリル文字が出てきたからロシア関連だろう」とか「日本語では出てこない漢字が出てくるから中国関連だろう」などと即断するのは問題があろう。

攻撃者も週末は休む?

生身の人間が手作業で攻撃を仕掛けている場合、しかもそれが個人のお遊びではなく「仕事」であった場合には、「平日の特定の時間帯に攻撃が仕掛けられる、あるいは攻撃が増える」といったパターンが現れる可能性がある。

すると「この時間帯にワーキングアワーになる国はどこだ?」という話になる。平日なのに攻撃が止むことがあれば、「この日に祝日になる国はどこだ?」というパターンもあり得よう。

もっとも、これはあまりにも露骨すぎて、攻撃側が何も隠蔽措置を講じないとは考えにくい。自動化ツールを使って当人が寝ている間に仕事をさせるとか、他国にあるコンピュータを乗っ取ってbotとして使うとかいう手段で容易に欺瞞できるので、単純にアテにするのは落とし穴にはまりそうだ。

サイバー空間だけでは犯人は見つからない

今回は、分かりやすい種類の話をいくつか取り上げてみた。こうして見ると、一発で攻撃者に行き着けるような「銀の弾丸」はなさそうであるし、それがまた、攻撃者にとってサイバー攻撃が有用なツールたり得る理由にもなっている。要するに否認性の面で優れているのである。

すると、先にいくつか例示してきたような「サイバー空間で得られる情報」だけでなく、リアル・ワールド(ミート・スペース)で得られる情報など、手に入るあらゆる情報を組み合わせて、活用するという話にならざるを得ないのではないか。役に立ちそうなものなら、SIGINT(Signal Intelligence)でもHUMINT(Human Intelligence)でもドンドン使いましょうという話である。

ちなみに、エンターテイメントの分野でサイバー攻撃がらみのあれこれを取り上げている一例として、トム・クランシーの小説『米中開戦』がある。実はこれ、原題は“Threat Vector”といい、邦題よりもはるかに、作中で出てくるサイバー攻撃の実態を反映している。なんでこんな邦題にしてしまったのか。