F5 Office of the CTOの一組織であるAdvanced Threat Research Center of Excellenceは、インターネットを悩ませる最も広範な脅威の実態解明に注力しています。F5 Labsが重視する脅威インテリジェンスを補完するため、ATRCoEは高度な脅威調査を実施し、サイバーセキュリティリスクを外部の視点から捉えた見解を提示します。さらに、この調査を分析し、サイバーセキュリティ分野における説得力のあるソートリーダーシップと知見を生み出します。
Led by Dr. Aditya Sood博士が率いるこの新しいグループは、すでに高度な脅威を明らかにし、Virus Bulletin、Elsevier Magazines、BlackHat Arsenalなどの各種出版物や、Texas Cyber Summit、BSides Berlin、Hack-in-Paris、Secure 360、Virus Bulletinをはじめとする業界有数のセキュリティカンファレンスで研究成果を発表しています。主な研究成果の一部を以下にご紹介します。
- Collector-Stealer：ロシア発の情報窃取型マルウェア
- AZORult C&Cパネルの詳細分析
- Covid-19をめぐる脅威の状況
- Enfiladeツール：MongoDBのランサムウェア感染を検出
- ML/AIを使用したDGA（ドメイン生成アルゴリズム）攻撃の検知
- クリプトジャッキング：NVIDIAドライバーを使用するKubernetesクラスターの侵害
- IoT C&Cパネルを侵害して感染を発見
チームは、脅威リサーチャーと開発エンジニアで構成されています。
- Amit NagalはF5のプリンシパルデータサイエンティストです。機械学習とアナリティクスの分野で15年以上の経験を有し、MGS universityで発達科学の博士号を取得しています。以前はVerizonおよびJPMorgan Chaseに勤務していました。
- Bharathasimha Reddy DevarapallyはF5のソフトウェアエンジニアです。2020年にインドのNational Institute of Technology, Warangalでコンピューターサイエンスの学士号を取得しました。F5では脅威リサーチに積極的に取り組んでいます。
- Ruthvik Reddy SankepallyはF5のソフトウェアエンジニアです。BITS Pilani Hyderabadでコンピューターサイエンスの工学士号（B.E.）を取得しました。
チームが脅威を発見する方法
ATRCoEチームは、脅威の戦略面、運用面、戦術面、分析面に重点を置いています。高度な脅威がもたらすビジネスリスクと影響を把握したうえで、脅威リサーチのテーマを決定します。次に、それらの脅威を詳細に分析し、TTP（技術、戦術、手順）、KSA（知識、スキル、能力）、AIL（攻撃インフラストラクチャと発動基盤）を特定します。こうした背景を踏まえ、既存の研究を調査することでリサーチの基盤を構築し、課題に対処するための最適なアプローチを決定します。アプローチには、防御型、攻撃型、またはその両方を組み合わせたハイブリッド型があります。採用する手法は、プロアクティブ、リアクティブ、またはその両方を組み合わせたものです。オープンソースツールの開発や、さまざまなセキュリティポータルおよびカンファレンスでの研究成果の公開を通じて、脅威インテリジェンスを共有しています。
ATRCoEが脅威に注目する仕組み
調査テーマの選定には、社内で開発したTRIG（Threat Research and Intelligence Generation）フレームワークを使用しています。インターネット上で進行中の高度な脅威との関連性に基づいて、調査対象を選定します。ゼロデイ脆弱性を含む、深刻度が高く広く報道されている高度な脅威は、緊急性が高く、F5の製品に影響を及ぼすため、最優先で調査します。たとえばATRCoEは、国家を背景とする攻撃者が特に使用するAZORult、Collector-stealer、Blackguardなどの高度な脅威を分析しました。
さらに、ATRCoEは、サイバーセキュリティ上の課題に対処するため、ML/AIの活用にも取り組んでいます。たとえば、大量のDNS（Domain Name Server）ログとHTTP（Hypertext Transfer Protocol）ログをF5のSecurity Data Warehouse内で構造化して分析した後、データを詳しく調査し、注目すべき脅威の痕跡や脅威情勢の傾向を特定することで、現在の課題を把握します。具体例として、Covid-19をテーマにしたフィッシングサイトに関するチームの公開研究や、Project AstraによるDGA検出の研究があります。
ATRCoEの調査で使用するツール
チームでは、分析、自動化、インテリジェンスのために、社内で設計したカスタムスクリプト、nmap、masscan、wireshark、tshark、bro、Radare2/Cutter、Ghidra、pythonなどのオープンソースツール、Burp proxyなどのエンタープライズ向けツールを幅広く活用するハイブリッドアプローチを採用しています。
_____
この種の調査の性質上、新しいコンテンツの公開時期を予測することは困難ですが、近いうちにこのチームからさらに多くの情報が発信される予定です。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。