データ流出とは何ですか？AIがデータ盗難を加速させる仕組みと露出を減らす方法

攻撃者がデータベース、ウィキ、またはメールボックスに侵入すると、彼らが欲しいのは一つだけです：データ。エクスフィルトレーションにはmalwareや特別なツールは必要ありません。有効なログイン情報か、脆弱なウェブアプリケーションが一つあれば十分で、コピーは誰かが量を確認するまで通常のトラフィックのように見えます。AIは侵入から最高の記録を持ち出すまでの時間を短縮します。

データのエクスフィルトレーションとは何ですか？

データのエクスフィルトレーションとは、システム、ネットワーク、またはクラウドサービスから攻撃者が管理する場所への無許可のデータ転送を指します。セキュリティチームは動詞としても使用します：攻撃者がデータをエクスフィルトレートする。データ漏洩はその露出自体を指し、データリークは通常、偶発的な露出を意味します。エクスフィルトレーションは意図的であり、その背後には外部の攻撃者または内部者がいる可能性があります。

データ流出の例

データベースの乗っ取りを例に挙げます。攻撃者は脆弱なウェブアプリケーションを悪用し、レジストリデータベースを制御して数百万件のレコードをエクスポートします。イントラネットのダンプは異なります。盗まれたcredentialsを持つ誰かが会社のウィキ全体をコピーし、手順やアーキテクチャのメモも含まれ、時には credentialsを人々がページに貼り付けたこともあります。

Mailbox のエクスポートはより静かです。アカウントを乗っ取った後、攻撃者はMailboxを取得し、請求書、契約書、個人データを検索します。二重恐喝型ランサムウェアはさらに脅威を加えます。攻撃者はまずデータをコピーし、その後システムを暗号化し、身代金が支払われない場合はデータが公開されると被害者に伝えます。

一般的なデータ流出手法

ほとんどの情報流出は、いくつかのルートのいずれかに従います：

• 盗まれた認証情報： 有効なログインは通常のインターフェースを通じてデータを読み取りコピーするため、活動は通常の使用のように見えます。
• アプリケーションの欠陥： ウェブアプリ、CMSプラットフォーム、およびAPIの弱点により、攻撃者はログインなしで直接データを取得できます。
• 内部関係者： 従業員や契約者がデータを個人用ストレージ、USBドライブ、またはメールにコピーします。
• クラウド同期とアップロード： データが個人アカウントまたはファイル共有サービスに移動します。
• ステージングと転送： データを取り出す経路がどれであっても、攻撃者は通常、最初に大きなアーカイブに圧縮し、HTTPS、DNS、またはネットワークがすでに許可している別のチャネルを通じて送信します。

AIがデータの流出をどのように変えるか

データのコピーは決して遅い部分ではありませんでした。何を持ち帰るか選び、戻ってきたものを整理することが攻撃者の時間の大部分を占めていました。AIはまさにその作業を高速化します。

盗まれたデータは意味で検索されます

Loot miningは以前、キーワード検索や手動ブラウジングを意味していました。現在は、モデルがドキュメント、スプレッドシート、メールスレッドを読み取り、契約書、顧客記録、資格情報を抽出します。ファイル名が無意味でも可能です。大量のデータダンプは、人が読むよりもはるかに速く検索可能になります。

コピーする前にターゲットがランク付けされます

フォルダ名、ファイルのメタデータ、およびサンプルコンテンツは、どのsharesやデータベースに最も機密性の高い資料があるかをモデルに伝えます。攻撃者はまずそのデータを取得し、価値の低いファイルをスキップするため、転送はより小さく静かになります。

盗まれた記録は価格順に並べ替えられます

個人データ、健康記録、支払いデータ、知的財産はそれぞれ異なる再販価値と恐喝価値を持っています。モデルは盗まれた記録を種類別に分類し、特定のファイルを引用した恐喝メッセージを作成できます。自分の文書を名指しする要求は無視しにくいです。

コレクションはスクリプトで実行されます

列挙、コピー、圧縮、準備、送信。各ステップはスクリプト化および自動再試行が可能で、1つのルーチンが複数の組織に同時に実行できます。

従来のデータ流出 vs. AI支援

データ流出検知

異常な場所にある大容量のアーカイブ、日中と合わない送信量、見慣れない宛先への接続、データベースやメールボックスの大量読み取り、変な時間帯のファイル共有アクセス、触れたことのないデータを読み取るアカウントに注意してください。

ステージングは確認が比較的簡単なステップの一つです。このLinuxコマンドは、過去24時間に作成された大きなアーカイブを一覧表示します。

      find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null 
      

PowerShell バージョンは Windows でも同じことを行います。ファイル共有パスを指定してください。C: ドライブ全体のスキャンは時間がかかります。

      Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue | 

  Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } | 

  Select-Object FullName, Length, CreationTime 
      

このようなチェックは1台のサーバーで機能します。ファイルサーバー、SharePoint、メールボックス、データベース全体では遅れが生じ、大量の転送は通常、データが出た後にしか確認できません。より信頼できる管理は、保有しているものを把握することから始まります。

データ流出防止：盗む価値のあるものを減らす

Networkおよびendpointのコントロールは重要であり、それぞれがどのデータが機密かを知ることに依存しています。多くの組織は個人データ、支払いデータ、知的財産がどこにあるか、誰がアクセスできるかを把握していません。上記のすべての手法は、誰も分類、保護、記憶していないデータに対してより効果的に機能します。

Netwrix Data Classification はWindowsファイルサーバー、NetApp、Dell EMC、Nutanix Files、SharePoint、Microsoft 365、Exchange、SQL Server、Oracle、MySQL、Box、Dropbox、Google Drive全体で、機密性および規制対象のデータを継続的に検出します。あらかじめ定義されたルールはGDPR、HIPAA、PCI DSSをカバーし、カスタム分類法はビジネス固有のデータを処理します。

リスク評価により、どの機密データが最も露出しているかがわかります。自動修復により、機密ファイルは安全な場所に移動され、グローバルアクセスグループの権限が削除され、機密内容が編集されます。ROT検出は冗長、不要、些細なデータをフラグ付けし、削除できるようにします。データが少なく、より厳密に管理されることで、攻撃者が探す場所が減ります。

分類タグはファイルにも埋め込むことができ、DLPおよびIRMツールの精度を向上させます。分類は露出を減らし、他のコントロールに保護すべきものを伝えます。エンドポイントでの転送のブロックはDLPの役割であり、Netwrix Endpoint Protector はWindows、macOS、Linux上のUSBデバイス、ブラウザ、メール、AIツール全体にこれらのポリシーを適用します。

データ流出防止チェックリスト

1. ファイルサーバー、SharePoint、メールボックス、データベースなど、機密データの所在を見つけます。
2. 個人データ、支払いデータ、知的財産などの種類別に分類し、分類を最新の状態に保ちます。
3. グローバルアクセスグループから始めて、過剰な権限を削除します。
4. 冗長、古くなった、または些細なデータを削除またはアーカイブします。
5. 機密ファイルをオープン共有から管理された場所に移動します。
6. USBデバイス、ブラウザ、メール、AIツール向けにエンドポイントでDLPコントロールを適用します。
7. 大きなアーカイブや異常なアウトバウンド転送に注意してください。