パスワードスプレーとは何か？攻撃を見つけて阻止するには？

2019 年、Citrix におけるデータ窃取 がサイバーセキュリティの世界を揺るがせました。攻撃者は、共有ネットワークドライブと、Citrix のコンサルティング業務で使われている Web ベースのツールに関連付けられたドライブから、業務文書を盗み出しました。 ハッカーはパスワードスプレー攻撃によって Citrix の IT インフラへのアクセスを獲得しました。これは 弱いパスワード を悪用する手法であり、その結果、ソフトウェア大手が適切なパスワード戦略を確立できずに、顧客を不必要に危険にさらしたのではないかという批判につながりました。

Citrix だけがパスワード セキュリティにおいて不十分な企業ではありません。脅威リサーチ チームが2019年初頭にすべての Microsoft ユーザー アカウントをスキャンしたところ、 4,400万人のユーザー が、他のオンライン サービスでセキュリティ侵害が起きた後にすでにオンライン上で流出していたのと同じユーザー名とパスワードを使っていることが分かりました。この傾向は憂慮すべきものです。なぜなら、 2020 Data Breach Investigations Report では、ハッキング関連の侵害の80％以上が、盗まれた（または紛失した）認証情報、もしくはブルートフォース攻撃のいずれかに関わっていることが明らかになっているためです。

パスワード スプレー攻撃は完全には防げませんが、検知して、攻撃の進行中にその場で止めることは可能です。この記事では、この種の攻撃がどのように展開されるのか、進行中の攻撃を見分ける方法、そして次の被害者にならないためにリスクをどう軽減できるのかを解説します。

パスワード スプレー攻撃とは？

典型的なブルートフォース攻撃は1つのアカウントを対象にし、アクセスを得ようとして複数のパスワードを試します。最新のサイバーセキュリティ プロトコルなら、この疑わしい挙動を検知し、短時間のうちにログイン失敗が一定回数を超えた場合にアカウントをロックできます。

パスワードスプレー（Password spraying）は、一般的なパスワードを多数用いて複数のユーザーアカウントにログオンを試みることで、従来の戦略を覆します。同一のアカウント群に対して別のパスワードを試す前に、まず多くの異なるアカウントへ単一のパスワードを試すことで、通常のロックアウト手順を回避でき、攻撃者がさらに多くのパスワードを試し続けられるようになります。

残念ながら、パスワードスプレー（Password spraying）攻撃が頻繁に成功するのは、多くのユーザーが password best practices に従えていないからです。実際、2019年にデータ侵害（data breach）で漏えいした「最もよく使われる上位200のパスワード」には、「12345」のような分かりやすい数字の組み合わせ、よくある女性の名、そして「password」そのものが含まれていました。十分な数のユーザー名を狙い、十分に大きな一般的なパスワードのリストを用意できる攻撃者であれば、いくつかのアカウントを必ず侵害できるはずです。

広く網を投げれば少なくともいくつかの成功が得られる可能性はありますが、今日の抜け目のないハッカーは、より精密なアプローチに頼っています。彼らは単一サインオン（single sign-on、SSO）認証を利用しているユーザーを狙い、複数のシステムやアプリケーションへのアクセスを可能にする認証情報を推測できることを期待します。また、連携認証（federated authentication）を利用するクラウドサービスやアプリケーションを使うユーザーもよく標的にします。このアプローチでは、連携認証によって悪意のある通信を隠せるため、攻撃者が横方向に移動（lateral movement）できるようになる可能性があります。

パスワードスプレー（Password spraying）攻撃によってアカウントが侵害されると、被害者は機密情報の一時的または恒久的な喪失に直面する可能性があります。組織にとっては、攻撃が成功した場合に業務が中断されるだけでなく、大きな収益損失や風評被害につながることもあります。

パスワードスプレー攻撃を検知する方法

従来の対策だけでは、パスワードスプレー攻撃を自動的に検知できない場合がありますが、確認すべき信頼できる兆候はいくつかあります。最も分かりやすいのは、短時間のうちに認証試行が大量に発生すること、特に誤ったパスワードによる失敗が集中している点です。関連する指標として、アカウントロックアウトの急増も挙げられます。

多くのケースで、パスワードスプレーは、SSO ポータルやクラウドアプリケーションを含むログイン試行の突然の急増につながります。悪意のある攻撃者は自動化ツールを使い、短時間のうちに数千回のログオンを試みることがあります。多くの場合、これらの試行は単一の IP アドレス、または単一のデバイスから行われます。

パスワードスプレー攻撃の被害リスクを軽減する方法

成功した攻撃を迅速に検知できることは重要ですが、攻撃者にたとえ短時間でも機密データへアクセスさせてしまうと、甚大な被害につながり得ます。堅実なサイバーセキュリティ戦略には、できるだけ多くの攻撃を阻止するために、多層的な防御を確実にする包括的かつ先回りの姿勢が必要です。以下のベストプラクティスに必ず従ってください：

• すべてのユーザーに多要素認証を必須にしてください。
• すべてのパスワードが 米国国立標準技術研究所（NIST）のガイドライン に準拠していることを確認してください。
• アカウントのロックアウト後にパスワードをリセットするための適切なポリシーを確立してください。
• 共有アカウント向けに、説明可能で堅牢なパスワード戦略を策定してください。
• 定期的にユーザー向けトレーニングを実施し、すべてのユーザーがパスワードスプレー（password spraying）の脅威を理解し、安全なパスワードを作成・維持する方法を把握できるようにしてください。

Netwrix ソリューションがどのように役立つか

パスワードスプレー攻撃から組織を守る最善の方法は、包括的な監査（auditing）、アラート（alerting）、レポート（reporting）によって、これらの攻撃を確実に検知してブロックできる IT セキュリティ ツールに投資することです。

Netwrix Auditor は、パスワードスプレー攻撃を示すイベントを含む幅広い疑わしいアクティビティを検知して通知します。そのため、システムとデータを守るためにすぐに対応できます。さらに、強力な監査（auditing）とレポート（reporting）も提供します。主な機能は以下のとおりです：

• Active Directory の監査（auditing）とアラート（alerting）。 Netwrix Auditor は Active Directory ログやその他のユーザー アクティビティを追跡し、成功したものも失敗したものも含め、すべての ログオン試行 が対象になります。疑わしいと判断するアクティビティについてアラートを設定できます。たとえば、ユーザーが管理者権限を取得するなどの単発の操作や、1 分以内に 4 回を超える失敗ログイン試行のように、指定した時間枠内で発生する一連の操作です。また、任意のユーザーのログオン履歴全体を簡単に確認できます。
• ユーザー行動の分析。 異常なアクティビティを統合的に可視化し、リスク主体をランキングすることで、侵害されたアカウントや悪意のあるインサイダーをいち早く見つけやすくなり、セキュリティ上の問題を回避するための対処を行えます
• ユーザー行動と死角（ブラインドスポット）の分析。 標準時間外のユーザーアクティビティ、1つのエンドポイントから複数ユーザーによって行われたログオン試行、複数のエンドポイントから単一ユーザーによって行われたログオン試行を簡単に精査することで、環境内をこっそりうろつく悪意のある攻撃者を見つけられます。

Netwrix Auditor は、セキュリティ体制を強化することにも役立つため、そもそもパスワードスプレー（password spraying）攻撃に対してより脆弱になりにくくなります。具体的には、次のことができます。

• 適用する パスワードポリシーのベストプラクティス ことで、ポリシー設定を完全に可視化し、変更があった際には通知（アラート）を受け取れます。
• 追跡する Azure AD のパスワードリセット により、クラウド上で強固なセキュリティを維持できます。
• パスワードを必要としないアカウント、またはパスワードの有効期限を「期限なし」に設定しているアカウントを見つけて保護します。
• 攻撃者に悪用される前に、非アクティブなアカウントを特定して無効化します。

要するに、Netwrix Auditor を使えば悪意のあるプレーヤーを早期に見つけられるだけでなく、そもそもネットワークに侵入する前に先手でブロックできます。