欺瞞技術

デセプション技術は、攻撃者を誘い込んで正体を明らかにさせるため、ネットワーク全体に偽の資産、認証情報、データを配置します。正規ユーザーが触れる理由はないため、デコイとのやり取りは定義上、不審な行動です。

従来の防御は攻撃者を侵入させないことを目指します。デセプションでは、一部の攻撃者は侵入すると想定し、環境そのものを攻撃者に対抗する仕組みに変えます。

• デコイによって攻撃者の時間と労力を浪費させます。
• 接触はすべて、信頼度の高いアラートになります。
• 防御側は攻撃者の手法を学べます。

ハニーポットは、調査または攻撃を受けるよう設計された単一のデコイシステムです。本番環境での用途がないため、接続があれば偵察または侵害の兆候です。

ハニーネットは、サーバー、サービス、トラフィックを含む現実的な環境を模倣する、複数のハニーポットで構成されたネットワークです。単一の接点だけでなく、システム間を移動する攻撃者の動きを調査します。

ハニートークンはシステムではなく偽のデータです。偽の認証情報、デコイのデータベースレコード、追跡対象のAPIキーなどが該当します。これが使用された場合、誰かがアクセスすべきでないデータにアクセスしたことが分かります。

カナリアトークンは埋め込まれたトリガーです。開かれると外部に通知する特殊なドキュメント、URL、DNS名などが該当します。機密フォルダーに配置しておけば、共有フォルダーを閲覧する攻撃者がアラームを作動させます。

ほとんどのセキュリティツールは、アラートと誤検知を大量に発生させ、チームを圧倒します。デセプションはこの状況を逆転させます。デコイに触れる正当な理由はほとんどないため、そのアラートは精度が高く、調査する価値があります。

最初の足がかりを得た後、攻撃者は価値のある標的を探して横展開します。想定される経路にデコイ（偽の管理者共有や、魅力的に見えるホスト名など）を配置すると、実際の資産に到達する前にこの動きを早期に検知できます。

デコイは、業務を決して妨げないよう実際のシステムから明確に分離しつつ、攻撃者をだませるほど現実的でなければなりません。優れたデセプションは、命名と配置によって環境に溶け込みながら、完全に隔離され、監視されています。

デセプションには、次のような問題があります。

• エントラップメントは、自分のネットワークを防御しているため一般には問題になりませんが、一部の法域では誘引がグレーゾーンです。
• デコイを反撃に利用してはいけません。
• プログラムを文書化し、法務部門を関与させます。

デセプションは、予防策の代替ではなく、検知とインテリジェンスのレイヤーです。ファイアウォール、EDR、監視と組み合わせます。他の制御をすでに回避した攻撃者を捕捉できる点が強みです。

適切なデセプションの概念を特定します。

デセプション技術は、ネットワークを攻撃者に対抗する仕組みに変えます。

• ハニーポットはデコイシステム、ハニーネットはデコイネットワークです。
• ハニートークンやカナリアは、触れられるとアラートを発するデコイデータです。
• デコイとのやり取りから、精度の高いアラートを得られます。
• 予防策と並行して、デセプションを検知レイヤーとして使用します。