Copilotがインサイダー脅威検知を機能不全にし、MITREがその証拠を記録しました

MITRE ATT&CKは、有用な内部文書を求めてSharePointをマイニングする攻撃者向けの検知アナリティック、AN1380を公開しています。その内容は次のとおりです。

「特権アカウントまたはめったに使われないアカウントが、短い時間枠内にSharePointのファイルやメタデータに対して大量アクセスを行うこと。これは、機微な内部文書のスクリプトによる収集の可能性を示している。」

これはまた、誰かが「前四半期の契約交渉をまとめて」とMicrosoft 365 Copilotに依頼したときに、Copilotが行うことでもあります。

同じ挙動、同じテレメトリです。一方は手法T1213.002、情報リポジトリからのデータ:SharePointです。もう一方は、ライセンスを持つ従業員が自分の仕事をしているだけです。

侵害は不要です

ATT&CK内のあらゆる手法は、まずどこかに侵入しなければならなかった攻撃者を前提としています。HAFNIUM、Ke3chang、Chimeraは、MITREが名指しで追跡する国家支援型のスパイ活動グループであり、この三つすべてが、この手法の手順例に登場します。HAFNIUMは侵害された認証情報を悪用してSharePointデータを持ち出しました。Ke3changはspwebmemberという専用の列挙ツールを実行しました。Chimeraはアクセスを確立した後に文書を収集しました。彼らのいずれもが、侵入するための手段を必要としていました。

Copilotにはそのいずれも必要ありません。CVEもなく、盗まれたトークンもなく、ホスト上のツールもなく、ポリシー違反もありません。この連鎖の中の誰一人として害を加える意図はなく、同意はすでに何年も前に、今ではオーナーのいないサイトで継承を設定した誰かによって与えられていました。

2020年2月に作られた手法は変わっていません。変わったのは分母です。リポジトリへの大量アクセスは、かつてはスクリプトを意味し、スクリプトはかつて、そこにいるべきではない誰かを意味しました。今では、ライセンスを持つすべてのユーザーが、英語で質問を一つ入力するだけで、一日に何度もその同じパターンを生み出しています。

Scattered Spiderの偵察は、今ではプロンプトです

MITREは、キャンペーンC0027の中でScattered Spiderが被害者のSharePoint環境にアクセスし、「VPNおよびMFAの登録情報、ヘルプデスクの案内、新入社員向けガイドを検索した」と記録しています。その偵察は、ヘルプデスクへのソーシャルエンジニアリング電話をかける前の下準備です。

この情報にたどり着くには、かつては攻撃者がネットワークに侵入する必要がありました。今では、従業員として認証できる誰もが、「誰かがMFAを再登録する必要がある場合、私たちの手順は何ですか」という質問をするだけで手に入ります。

侵入版は、アクセスされたファイル、探査されたシステム、ディスク上の痕跡といった証拠を残しました。AI版が残すのは、新入社員なら誰でも尋ねそうな一つの質問だけです。

二つの選択肢があり、ほとんどのチームはすでに偶然にどちらかを選んでいます

AIの利用があまりに広く浸透しているため、IT部門やSecOpsチームは、偵察である可能性のあるプロンプトに関するアラートに埋もれてしまうでしょう。これにより、二つの悪い選択肢しか残されません。

検知を再調整する。しきい値を上げるか、エージェントのサービスプリンシパルを除外します。T1213.002に対するカバレッジは静かにゼロになり、その手法はこれまでどおり有効に機能し続けます。

あるいは、そのままにしておく。アナリストは一日中AIの活動をトリアージし続け、アラート疲れがいつものように作用し、いずれにせよ検知は死んでいきます。

ほとんどの組織は、実際に決断することなく最初の選択肢を選んでしまっています。誰かが忙しい週の間にノイズを消し、何も記録に残りませんでした。今日、ATT&CKに照らして自社のカバレッジを監査してみてください。おそらくそのセルはまだ緑のままのはずです。

帰属のギャップは半年後、人事案件として表面化します

監査ログには、あるユーザーのアカウントが報酬モデルにアクセスしたと記録されています。そのユーザーは、自分は一度も開いていないと言います。両方とも真実である可能性があります。エージェントが、別の何かの要約の中に、その文書の二行を表示していたのです。

さて、それを調査してみてください。意図こそが、インサイダー脅威と単なる偶発的な出来事とを分けるものであり、その意図こそが、もはやログでは特定できないものです。行動分析はこれをさらに難しくします。なぜなら、それらのベースラインは人間のリズムを前提としているのに、同じアカウントが今では機械並みの速度でバーストを発生させているからです。「通常」の範囲は誰にとっても広がり、それによって異常な人間の行動が気づかれずに済む余地が増えます。

おそらくすでにCopilotを導入済みのはずなので、それがすでに到達した場所から始めましょう

既存のガイダンスの大半は、まだ有効化していないことを前提としています。すでに有効化した後に問うべき三つの質問はこちらです。

各アイデンティティは今この瞬間、実際に何に到達できるのか。書類上の権限ではなく、実効的な経路です。入れ子になったグループ、継承されたサイト権限、プロジェクトが終わった後も生き残った共有リンク、オンボーディング以降誰もレビューしていないゲストアカウントです。

過去90日間、AI主導の活動は何に触れたのか。ポリシーが必要になる前に、まず記録が必要です。

どの検知が、リポジトリへの大量アクセスを依然として攻撃者の証拠として扱っているのか。それらを見つけ出し、今度は意図的に判断してください。

Netwrix 1Secureは、最初の二つをカバーします。クラウドとオンプレミスのリポジトリ全体で機微なデータを検出・分類し、どのアイデンティティがどの経路を通じてそこに到達できるかをマッピングし、その全体像に照らしてAI主導のアクセスを監視します。三つ目の質問は、最初の二つに答えられるようになるまでは、擁護できる答えを持ち得ません。

Copilotが問題なのではありません。Copilotは、Microsoftが行うと言ったとおりのことを、御社が承認した権限の範囲内で行っているだけです。問題は、御社の検知ロジックが、このパターンは攻撃者を意味するという前提をそのまま組み込んでいることであり、その前提はいつの間にか真実ではなくなっていたのに、それを見直すためのチケットを起票すべきだと誰も気づかなかったことです。