リモートコード実行（RCE）とは？AIが悪用を加速させる仕組みと被害を抑える方法

リモートコード実行の脆弱性により、脆弱なサーバーが他人のコンピューターになります。攻撃者はアプリケーションが拒否すべき入力を送り、アプリケーションはそれをコマンドとして実行します。AIは攻撃者のリアルタイムを要していた作業部分を高速化します。

リモートコード実行（RCE）とは何ですか？

リモートコード実行は、攻撃者が事前アクセスなしにネットワーク経由でターゲットシステム上で自身のコードやコマンドを実行できる脆弱性の一種です。任意コード実行とも呼ばれます。いずれにせよ、攻撃者がマシンの動作を決定します。RCEの脆弱性は通常、信頼できない入力を実行するアプリケーションに由来します。シェルコマンド、テンプレート、逆シリアル化されたオブジェクト、ファイルアップロードハンドラなどが該当します。RCEエクスプロイトは、この欠陥を引き起こす特定の入力またはシーケンスです。

リモートコード実行の仕組み

攻撃は通常、直線的に進行します。攻撃者は脆弱なコンポーネントを実行している露出したシステムを見つけ、細工された入力を送り、サービスアカウントでコードを実行させます。最初のペイロードは小さく、通常はウェブシェルや何かをダウンロードするコマンドです。攻撃者が足場が機能することを確認した後に、より大きなツールが使われます。

Log4Shell（CVE-2021-44228）は、1つの脆弱性がどこまで広がるかの良い例です。2021年12月にApache Log4jロギングライブラリで公開され、ログに記録されたフィールド内の特別に作成された文字列1つで、脆弱なサーバーが攻撃者が制御するコードを取得して実行してしまいました。Log4jは多くのアプリケーションに組み込まれていたため、このバグは至る所で発生しました。

ほとんどのRCEバグは小さく始まります。以下の最初の関数はユーザー入力を直接シェルに渡します。2番目はシェルを破棄し、入力を検証します。

      # Vulnerable: input goes straight to a shell
import os
def ping(host):
    os.system("ping -c 1 " + host)   # host = "8.8.8.8; id" runs a second command

# Safer: no shell, validated input
import ipaddress, subprocess
def ping(host):
    ipaddress.ip_address(host)        # raises ValueError unless host is an IP
    subprocess.run(["ping", "-c", "1", host], check=True)

      

AIがリモートコード実行攻撃を変える方法

脆弱性のクラスは古いです。攻撃者は各段階を進む速度を変えました。

ターゲットがランク付けされます

インターネット全体のスキャンは何年も前から存在しています。AIは分類を支援します：スキャン結果はソフトウェアとバージョンごとにグループ化され、各システムが既知の脆弱性を持つ可能性に基づいてランク付けされるため、攻撃者は最も適した候補を最初に狙います。

パッチがエクスプロイトチュートリアルになります

ベンダーは防御者を支援するためにパッチや勧告を公開し、攻撃者もそれらを読みます。モデルはパッチの差分や勧告を取り込み、脆弱なコードパスを説明できるため、リバースエンジニアリングの作業を削減し、公開から実際のエクスプロイトまでの時間を短縮します。

1つのproof of concept、複数のバージョン

公開された概念実証は通常、1つのバージョンまたはフレームワークを対象とします。モデルはそれを別のバージョンや言語に移植し、既知の検出パターンを回避するためにペイロードを変更できます。

多段階攻撃はより少ないスキルを必要とします

多くのウェブ攻撃は2段階で行われます。小さなインジェクションでコードが実行されていることを確認し、次に2段階目でより大きなツールをダウンロードします。モデルはその連鎖を作成し、段階が失敗した場合に変更して再試行できるため、CMS、API、ポータルに対する多段階攻撃は以前よりも少ないスキルで実行できます。

フォローアップ作業はスクリプトで実行されます

コード実行後のフォローアップは繰り返し作業です：設定ファイルを読み込み、キーと資格情報を収集し、再起動後もアクセスが維持されるようにスケジュールされたタスクを作成し、隣接システムを探します。スクリプトおよびAI支援のルーチンはこれらの手順を毎回同じ方法で実行します。

同じチェーン、何百もの組織

ある組織に対して機能するチェーンは、数百の組織に向けられる可能性があります。上の各段階は次の段階を支え、追加のターゲットごとに攻撃者のコストは前よりも低くなります。

RCEエクスプロイト後の最初の数分間に攻撃者が行うこと

成功したエクスプロイト後の最初の動きはパターンに従います。攻撃者はサービスが書き込み可能なディレクトリにウェブシェルやローダーを配置し、再起動後もアクセスが維持されるようにスケジュールされたタスク、サービス、またはcronジョブを追加します。次に、設定ファイルやメモリからcredentialsやキーを引き出し、隣接するシステムを探査し始めます。

各ステップは確認できる痕跡を残します。これらのコマンドは、ウェブルートの最近のファイル変更とLinuxの新しいcronエントリを表示します。

      # Files changed in the web root in the last 24 hours
find /var/www -type f -mtime -1 -ls

# Recently modified cron entries
ls -lt /etc/cron.d /var/spool/cron 2>/dev/null | head
      

Windowsでは、このクエリは過去1日間に登録されたスケジュールされたタスクを一覧表示します。デフォルトでオフになっているため、最初にタスクスケジューラの操作ログをオンにしてください。

      Get-WinEvent -FilterHashtable @{
  LogName   = 'Microsoft-Windows-TaskScheduler/Operational'
  Id        = 106
  StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Message
      

このような手動チェックは1台のサーバーで機能します。数百のシステムにまたがると遅れが生じ、素早く動く攻撃者は次の予定されたレビュー前に完了してしまいます。

リモートコード実行を防止し、被害を制限する方法

パッチ適用と安全な入力処理は、依然としてRCE脆弱性に対する主要な防御手段です。その後のすべては、パッチが適用される前に欠陥が最終的に悪用されると想定しているため、目標は変更を迅速に検出し、侵害されたサービスの行動を制限することに移ります。

Netwrix Change TrackerはRCE攻撃が影響を及ぼしたシステムを監視します。構成のベースラインを設定し、ファイルの整合性監視を使用して、ウェブディレクトリに追加されたウェブシェルのような新規または変更されたファイル、およびWindows、Linux、Unix、ネットワーク機器の重要なシステムファイルや設定の変更を検出します。計画された変更モデルは観察結果を承認された変更要求と比較し、予定外の変更はレビューのためにフラグが立てられます。変更履歴は調査者にタイムラインを提供し、システムファイル認証はグローバルな評価データベースと照合して信頼できるファイルを確認します。

Netwrix PolicyPak は、コードがWindowsシステム上で実行されている場合に攻撃者ができることを制限します。 最小権限 の適用により、ローカル管理者権限が削除され、標準ユーザーの昇格ルールが設定されるため、侵害されたプロセスの権限が制限されます。PolicyPakを使用すると、ファイル所有者が事前にホワイトリストに登録されていない場合、アプリケーションやスクリプトの実行をブロックできます。

リモートコード実行防止チェックリスト

1. CMSプラットフォーム、VPNポータル、APIから始めて、定められたスケジュールでインターネット向けソフトウェアをパッチ適用してください。
2. 入力を検証およびサニタイズし、ユーザー入力がシェル、テンプレート、デシリアライザーに触れないようにしてください。
3. 最小権限でサービスを実行し、 不要な場所からローカル管理者権限を削除します。
4. 予期しない変更に備えて、ウェブディレクトリ、重要なファイル、および構成を監視します。
5. Windows システムで信頼されていないアプリケーションやスクリプトの実行をブロックします。
6. 調査がタイムラインから始まるように、検索可能な変更履歴を保持します。