Copilot가 여러분의 내부자 위협 탐지를 무력화했고, MITRE가 그 증거를 기록했습니다

MITRE ATT&CK는 유용한 내부 문서를 찾아 SharePoint를 마이닝하는 공격자를 위한 탐지 분석 AN1380을 공개합니다. 그 내용은 다음과 같습니다.

"권한이 있거나 거의 사용되지 않는 계정이 짧은 시간 내에 SharePoint 파일이나 메타데이터에 대량으로 접근하는 것으로, 이는 민감한 내부 문서에 대한 잠재적인 스크립트 기반 수집을 나타냅니다."

이는 누군가가 지난 분기의 계약 협상 내용을 요약해 달라고 요청했을 때 Microsoft 365 Copilot이 하는 일이기도 합니다.

동일한 행동, 동일한 텔레메트리입니다. 하나는 기법 T1213.002, 정보 저장소로부터의 데이터 수집: SharePoint입니다. 다른 하나는 라이선스를 보유한 직원이 자신의 업무를 수행하는 것입니다.

침해가 필요하지 않습니다

ATT&CK의 모든 기법은 먼저 어딘가에 들어가야 했던 공격자를 전제로 합니다. HAFNIUM, Ke3chang, Chimera는 MITRE가 이름으로 추적하는 국가 배후의 스파이 조직이며, 이 세 조직 모두 이 기법의 절차 예시에 등장합니다. HAFNIUM은 손상된 자격 증명을 악용해 SharePoint 데이터를 유출했습니다. Ke3chang은 spwebmember라는 이름의 전용 열거 도구를 실행했습니다. Chimera는 접근 권한을 확보한 후 문서를 수집했습니다. 이들 모두 들어갈 방법이 필요했습니다.

Copilot은 그중 어느 것도 필요하지 않습니다. CVE도, 도난당한 토큰도, 호스트에 설치된 도구도, 정책 위반도 없습니다. 이 흐름에 속한 그 누구도 해를 끼칠 의도가 없으며, 동의는 이미 몇 년 전, 지금은 소유자가 없는 사이트에서 상속을 구성한 누군가에 의해 부여되었습니다.

2020년 2월에 만들어진 기법은 변하지 않았습니다. 변한 것은 분모입니다. 저장소에 대한 대량 접근은 과거에는 스크립트를 의미했고, 스크립트는 과거에는 그곳에 있어서는 안 될 누군가를 의미했습니다. 이제는 라이선스를 보유한 모든 사용자가 그저 영어로 질문을 입력하는 것만으로 하루에도 몇 번씩 그 동일한 패턴을 만들어냅니다.

Scattered Spider의 정찰이 이제는 프롬프트가 되었습니다

MITRE는 캠페인 C0027 동안 Scattered Spider가 피해자의 SharePoint 환경에 접근해 "VPN 및 MFA 등록 정보, 헬프데스크 안내, 신규 입사자 가이드를 검색했다"고 기록합니다. 그 정찰은 헬프데스크를 겨냥한 소셜 엔지니어링 통화 이전의 사전 작업입니다.

이 정보에 도달하려면 예전에는 공격자가 네트워크를 침해해야 했습니다. 이제는 직원으로 인증할 수 있는 누구나 "누군가 MFA를 다시 등록해야 할 때 우리의 절차는 무엇인가요?"라는 질문을 던지기만 하면 접근할 수 있습니다.

침입 버전은 접근한 파일, 조사된 시스템, 디스크에 남은 흔적 같은 증거를 남겼습니다. AI 버전은 신규 입사자라면 누구나 던질 법한 질문 하나를 남깁니다.

두 가지 선택지가 있으며, 대부분의 팀은 이미 그중 하나를 우발적으로 선택했습니다

AI 사용이 워낙 만연해 있어서, IT 또는 SecOps 팀은 정찰일 수도 있는 프롬프트에 대한 알림에 파묻힐 것입니다. 이는 그들에게 두 가지 나쁜 선택지만을 남깁니다.

탐지를 재조정하기. 임곗값을 높이거나, 에이전트의 서비스 주체를 제외합니다. T1213.002에 대한 커버리지는 조용히 제로로 떨어지고, 그 기법은 여전히 예전만큼 잘 작동합니다.

또는 그대로 두기. 분석가들은 하루 종일 AI 활동을 선별하고, 경보 피로가 늘 하던 일을 하며, 어차피 탐지는 사장됩니다.

대부분의 조직은 실제로 결정을 내리지 않은 채 첫 번째를 선택했습니다. 누군가가 바쁜 한 주 동안 소음을 꺼두었고, 그 무엇도 기록되지 않았습니다. 오늘 ATT&CK 대비 여러분의 커버리지를 감사해 보십시오. 그 칸은 아마 여전히 녹색일 것입니다.

귀속 격차는 여섯 달 뒤, HR 사례에서 표면화됩니다

감사 로그는 한 사용자의 계정이 보상 모델에 접근했다고 말합니다. 사용자는 자신이 그것을 연 적이 없다고 말합니다. 둘 다 사실일 수 있습니다. 에이전트가 다른 무언가의 요약본 안에 그 문서의 두 줄을 표시했던 것입니다.

이제 그것을 조사해 보십시오. 의도는 내부자 위협과 단순한 사고를 구분하는 요소이며, 의도야말로 로그가 더 이상 규명할 수 없는 부분입니다. 행동 분석은 이를 더 어렵게 만듭니다. 그 기준선들이 인간의 리듬을 전제로 하는데, 같은 계정이 이제는 기계 속도의 버스트를 발생시키기 때문입니다. 정상의 범위는 모두에게 넓어지고, 이는 이상 행동을 하는 인간이 눈에 띄지 않고 지나갈 여지를 더 많이 남깁니다.

이미 Copilot을 도입했을 가능성이 높으니, 그것이 이미 도달한 곳부터 시작하십시오

기존의 대부분의 가이드는 여러분이 아직 그것을 켜지 않았다고 전제합니다. 이미 켰다면 물어야 할 세 가지 질문이 있습니다.

지금 당장 각 아이덴티티가 실제로 도달할 수 있는 곳은 어디인가? 문서상의 권한이 아니라, 실제 경로입니다. 중첩된 그룹, 상속된 사이트 권한, 프로젝트가 끝난 뒤에도 살아남은 공유 링크, 온보딩 이후 아무도 검토하지 않은 게스트 계정입니다.

지난 90일 동안 AI 주도 활동이 무엇을 건드렸는가? 정책이 필요해지기 전에 기록이 필요합니다.

어떤 탐지가 여전히 저장소에 대한 대량 접근을 공격자의 증거로 취급하고 있는가? 그것들을 찾아내고, 이번에는 의도적으로 결정을 내리십시오.

Netwrix 1Secure는 앞의 두 가지를 다룹니다. 클라우드와 온프레미스 저장소 전반에서 민감한 데이터를 발견하고 분류하며, 어떤 아이덴티티가 어떤 경로를 통해 그것에 도달할 수 있는지 매핑하고, 그 그림에 비추어 AI 주도 접근을 모니터링합니다. 세 번째 질문은 앞의 두 가지에 답할 수 있을 때까지는 방어 가능한 답을 가질 수 없습니다.

Copilot은 문제가 아닙니다. 그것은 Microsoft가 하겠다고 말한 대로, 여러분의 조직이 승인한 권한으로 작동하고 있을 뿐입니다. 문제는 여러분의 탐지 로직이, 이 패턴이 공격자를 의미한다는 가정을 그대로 담고 있다는 것입니다. 그 가정은 조용히 더 이상 사실이 아니게 되었고, 아무도 그것을 재검토하기 위한 티켓을 열어야 한다는 사실을 알지 못했습니다.