一部の脅威が見逃されてしまう理由とは？分散したシグナルをつなぎ合わせることで、攻撃が進行する前に兆候を捉える方法を解説します。

2026 年 8 月 25 日 Euler Neto 著

ウォッチガードの Threat Lab チームが最近検知した Grandoreiro のキャンペーンは、現在の脅威がさまざまな手法を組み合わせることで、検知を困難にし、より目立たない形で活動することを明確に示しています。

このケースでは、まずユーザーにリンクをクリックさせるよう仕向けたフィッシングメールから攻撃が始まります。そこから被害者は複数のリダイレクトを経由させられ、最終的に Dropbox や MediaFire といった人気のあるサービスから圧縮ファイルをダウンロードします。ファイルを開くとスクリプトが実行され、感染の次の段階が開始されます。また、デバイスにインストールされている正規のアプリケーションを利用して、悪意のあるコンポーネントを読み込みます。

この手法では脅威が見逃されやすくなります。個々の動作だけを見ると、どれも通常の操作に見える可能性があるためです。重要なのは、これらすべての動作の関連性を見ることで、この一連の動作を攻撃の流れとして認識できることです。

このバンキング型トロイの木馬の活動から得られる教訓は、このキャンペーンだけに当てはまるものではありません。現在の脅威が、単一の明確なアラートによって特定されることは、ほとんどありません。脅威が進行する前に認識するには、関与するコンポーネントが変化したり、正規の活動に紛れ込んだりしている場合でも、それぞれの動作がどのような状況で発生しているのか、そのコンテキストを理解する必要があります。

各ツールが攻撃の一部しか捉えられない場合

現在の攻撃キャンペーンでは、さまざまな活動が環境内の異なる領域に分散しています。それぞれのセキュリティツールは、自らの可視範囲で何が起きているかを把握しています。しかし、その情報だけでは、侵害が発生したことを判断するには不十分な場合があります。

セキュリティ対策が個別に機能していると、一連の攻撃チェーンであっても、互いに無関係な複数のインシデントの集合に見えてしまうことがあります。メールプラットフォームは不審なメッセージについてアラートを生成します。エンドポイント保護は異常なプロセスを記録し、ネットワークは通常とは異なる接続を検知します。また、アイデンティティ管理ツールは予期しないログインを検知します。これらのイベントが同じユーザー、デバイス、時間帯に関連付けられていなければ、アナリストが手作業でそれらの関連性を突き止めなければなりません。

こうした断片化は、リスク評価にも影響します。各アラートは、発生したイベントの一部しか示していないため、優先度が低く設定される可能性があります。しかし、全体像を見ると、初期アクセスから実行に至る明確な進行が見えてくることがあります。同時にアナリストは、複数のツールを切り替えながら、それぞれ異なる形式のログを確認し、タイムスタンプ、ユーザー、プロセス、デバイスが一致しているかどうかを判断しなければなりません。その結果、コンテキストの収集に時間を取られることで、封じ込めが遅れ、ほかのインシデントへの対応に割ける注意力も奪われてしまいます。

散在するシグナルから、明確な侵害の兆候へ

実際に侵害が発生しているかどうかを判断するには、環境全体で何が起きているのかを統合的に把握する必要があります。そのためには、多層的な可視性が必要です。環境内のさまざまなポイントから活動を観測し、それぞれの視点を組み合わせることで、脅威がどのように進行しているのかを把握できるようにします。メールからはやり取りの発端に関する情報が得られます。Web アクティビティからはアクセスした宛先やダウンロードに関する情報が得られ、エンドポイントからは実行されたプロセス、スクリプト、モジュールが分かります。ネットワークには、その後の通信が記録されます。また、アイデンティティ情報からは、どのアカウントが関与し、どのような操作を行ったのかを特定できます。

複数のシグナルが、同じユーザー、デバイス、プロセス、宛先、または時間帯に関連して発生すると、それらは単独で見た場合とは異なる意味を持つようになります。広く利用されているサービスからのファイルのダウンロードや、正規のアプリケーションの実行は、それだけを見れば通常の活動に見えるかもしれません。しかし、ユーザーが不審なリンクにアクセスした後にこれらの動作が発生し、その後に通常とは異なる通信が続いているのであれば、一連の流れ全体をより注意深く調べる必要があります。

また、振る舞いベースの検知によって、攻撃に使われる具体的なコンポーネントが変化しても、こうした関連性を特定できるようになります。正規のアプリケーションであっても、通常とは異なる場所からモジュールを読み込んだり、普段はやり取りしないプロセスを起動したり、通常の動作とは関係のない通信を確立したりしていれば、悪意のある目的で利用されている可能性があります。このような場合、異常なのは単一の動作そのものではありません。複数の動作がどのように発生し、どのようにつながっているかに異常があるのです。

さらに、この一連の流れは、数分、数時間、場合によっては数日間隔で発生することもあります。だからこそ、継続的な監視が特に重要になります。継続的に監視することで、新たな情報が得られるたびに新しいシグナルを取り込み、リスクレベルを更新できます。活動が一時的に途切れたからといって、脅威が消えたと判断することもありません。

最終的に、Grandoreiro のようなキャンペーンは、既知のシグナルを特定できるかどうかだけでは、検知の有効性を測ることはできないことを示しています。攻撃者がさまざまな領域に活動を分散させ、正規のツールを利用し、環境に応じてその振る舞いを適応させるようになる中、攻撃の全体像を浮かび上がらせ、その進行を時間の経過とともに追跡することがますます重要になっています。攻撃を見過ごしてしまうのか、早期に対応できるのかを分けるのは、攻撃者が足場を確立する前に、目立たないシグナル同士を結び付けられるかどうかにかかっています。この統合的な視点によって初めて、散在するシグナルを実行可能な意思決定へと変え、侵害が進行する前に、より的確な対応を取ることが可能になります。