BlackNurseとクラウドビジネスを妨害する攻撃

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

今週、新しい（ようで新しくない）攻撃が広がっています。こう表現するのは、攻撃自体にはそれほど目新しさがないためです。ICMP攻撃は90年代から存在しています。また、この攻撃は、インターネットの半分へのアクセスを妨害してニュースになるような、注目度の高い大規模なボリューム型攻撃とはまったく対照的です。これは、広く知られ、多用されているファイアウォールを標的とするDoS攻撃（「D」は2つではなく1つです）で、わずかな労力で事業を立ち行かなくさせる可能性があります。

このICMP（ping!）攻撃は、BlackNurse（今のところ、その名が付いた明確な理由は見当たりません）と呼ばれていますが、その仕組みの詳細な説明は省きます。このトピックについては、すでに多くの資料や解説が公開されています。まずは、Threat Post、El Reg、TDC SOC、Netresecなどをご覧ください。ここで注意を促したいのは、この攻撃がビジネス、特にクラウドベースのアプリに大きく依存する企業に壊滅的な混乱をもたらす可能性があることです。

この攻撃は、単に外部から内部へのアプリへのアクセスを妨害するだけでなく、内部から外部へのアプリへのアクセスも妨害するからです。TDC SOCは、そのレポートでこの点を明確に指摘しています。「攻撃が続いている間、LAN側のユーザーはインターネットとの間でトラフィックを送受信できなくなります」

LAN側。つまり、ファイアウォールの業務ネットワーク側です。

ファイアウォールは、攻撃者による企業ネットワークへの侵入を防ぐための戦術的な対策と捉えられがちです。城を囲む城壁、川沿いに積まれた土のう、猛威を振るう山火事を食い止めようとする防火帯のようなものです。しかし、企業におけるファイアウォールは、以前から2つの役割を担ってきました。外部から内部へのアクセスだけでなく、内部から外部へのアクセスも制御してきたのです。当初は、まだ発展途上だったインターネットへのアクセスを制限するために使用されていました。現在も、内部資産への感染に成功したマルウェアやウイルスによる「コールホーム」の試みを防ぐ対策を実施する仕組みとして利用されています。

今日、クラウドベースの生産性向上アプリが普及したことで、社内から社外へのアクセスが必要になっています。また、クラウドベースのアプリを利用するには、当然ながらインターネットへのアクセスも必要です。Salesforce.com、Concur、Google Docs、ソーシャルメディアなど、企業がアクセスする必要のある、社外に存在するアプリケーションは枚挙にいとまがなく、今も増え続けています。Skyhigh Networksのこちらのわかりやすいグラフが示すように、企業におけるクラウドベースのアプリケーション利用は着実に増加しています。実際、同社の2015年第4四半期レポートには、「現在、平均的な組織では1,154のクラウドサービスが利用されている」と記載されています。

ビジネスがクラウドに依存していることは、もはや疑いようがありません。

つまり、これらのサービスへのアクセスが中断すると、あらゆる企業にとって重要な業績評価指標の1つである生産性に深刻な影響が及びます。

したがって、BlackNurseのような攻撃は、ノートPCが1台あれば実行できるほど比較的容易でありながら、その単純さにもかかわらず極めて大きな混乱を引き起こします。このような攻撃の目的は単純で、リソースを消費させることです。ファイアウォールとWebサーバーのどちらを標的とする場合でも、低速で少量のトラフィックを送り続ける攻撃は、デバイスが正当なリクエストに応答できなくなるまでリソースを占有するように設計されています。問題は、このような攻撃は、大量のトラフィックを送り付ける攻撃よりも検知が難しい場合が多いことです。大量のトラフィックは目立つため、アラームや警告灯が作動し、何が起きているのかをすぐに把握できます。過去10年間、F5はこのような攻撃への対処方法を理解するために多大な労力を注いできました。幸い、その対処能力は向上しています。

しかし、低速で少量の攻撃は検知がより困難です。CPU使用率が突然100%に達し、応答しなくなります。ソフトウェアの問題かもしれません。ハードウェアの問題かもしれません。ほかにもさまざまな原因が考えられます。ログを精査し、この種の攻撃を示す少量のパケットを見つけ出すのは、干し草の山から針を探すようなものです。研究者によると、BlackNurse攻撃で発生するトラフィックはわずか15～18 Mbpsです。読み間違いではありません。この単位に「G」はありません。1秒あたり約40～50Kパケットであり、最新のファイアウォールにとっては微々たる量です。一方、Dynに対して記録されたDDoS攻撃は1 Tbps規模でした。こちらは「T」で、「G」より大きく、「M」よりもはるかに大きい単位です。

このような攻撃への対策として一般的に挙げられるのは、アプリをクラウドに移行することです。クラウドなら、ファイアウォールサービスは「リソースの制約」といった時代遅れの概念に縛られず、手間なく魔法のように拡張できると考えられています。しかし、実際にはそう簡単ではありません。企業には今も、社内ファイアウォールの内側にいる従業員がおり、それらのアプリ（およびその他のアプリ）にアクセスする必要があるからです。そして、従業員と「クラウド」の間にある社内ファイアウォールが標的になると、妨げられるのは従業員のアクセスです。

損なわれるのは生産性です。

企業は、受信トラフィックだけでなく送信トラフィックも妨害する攻撃によって、危険な状況に陥る可能性があることを認識する必要があります。BlackNurseにはすでに比較的簡単な緩和策がありますが、ほかにも緩和がそれほど容易ではない攻撃が存在する可能性があります。ファイアウォールの内側にあるアプリにも外側にあるアプリと同じくらい依存している現在、このような攻撃の可能性を詳しく検討する必要があります。

まだ評価していないのであれば、クラウド上のアプリにビジネスが現在どの程度依存しているか、また今後どの程度依存することになるかを早急に見極める必要があります。さらに、日常業務の遂行を妨げることを目的とした脅威に備え、そうしたアプリへのアクセスを保護する最善の方法も検討してください。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事