ポイント: ハッカーは、メインフレームから機密データを抽出するためにさまざまな技術を使用し、重大なセキュリティリスクをもたらします。これらの方法を理解することは、効果的な防御戦略にとって重要です。
- 一般的なツールには、データ転送のためのSCP、FTP、およびIND$Fileが含まれます。
- コマンドおよび制御チャネルが確立される可能性があり、検出を回避することがあります。
- 脅威の検出と応答における自動化は、メインフレームセキュリティにとって重要です。
前回のブログでは、ハッカーがどのようにしてメインフレームへの初期アクセスを得るのか[1]、そしてどのようにして特権昇格攻撃を実行してシステムを完全に制御するのかを説明しました。[2] 脅威アクターがメインフレームを完全に所有すると、そこに存在する機密データに完全にアクセスできるようになります。ランサムウェアは、ハッカーがサイバー犯罪から利益を得るためにデータを抽出する必要がないシナリオを作り出しましたが、機密データの盗難は、ますます厳しい罰金や顧客の信頼の喪失に直面する企業にとって依然として壊滅的なリスクです。
このブログでは、ハッカーがメインフレームから機密データを抽出するための主な方法に焦点を当てます。この知識は、システムを初めて保護する方法を理解し、侵害に対処するために異常で悪意のある活動を効果的に検出するために重要です。私の目標は、以下の質問に答える手助けをすることです：
- これは私のメインフレームで可能ですか？
- これらの活動の各種の侵害指標（IOC）に対するアラートは構築されていますか？
メインフレームデータ抽出技術
- ハッカーは、より複雑な方法に進む前に、システム上で利用可能なネイティブツールを使用するでしょう - 特にそれらのツールがWindows/Linuxにも広く普及している場合、多くの人がより馴染みがあります。ほとんどのマシンへの初期アクセスの主な方法は、侵害されたアカウント認証情報です。[3] ハッカーは、単にその認証情報を使用してセキュアコピー（SCP）を使用し、セキュアシェル（SSH）プロトコル経由でファイルをコピーすることができます。
- SSHが利用できない場合、ハッカーはファイル転送プロトコル（FTP）を使用して、システム上でアクセスを許可されたファイルを簡単にダウンロードすることができます。FTPは、ファイルを一括でアップロード/ダウンロードするのも簡単で、ジョブエントリーシステム（JES）モードでメインフレーム上でコマンドを実行するためにも使用できます。
- ファイルを転送するために設計された次のツールは、ネットワークファイル共有（NFS）で、これはLinuxに見られる分散ファイルシステムであり、ハッカーがファイルシステムを「マウント」してメインフレームからファイルをダウンロードできるようにします。
- メインフレームに直接組み込まれている別のファイル転送プロトコルはIND$Fileで、一般的なTN3270接続と侵害された認証情報のみが必要で、アクセス可能なファイルを単純にダウンロードすることができます。これは、IND$FILEがデフォルトのSMFレコードを記録しないため、監視が難しくなります。
- ハッカーがデータを抽出するために武器化できる最後のネイティブツールは、ネットワークジョブエントリー（NJE）プロトコルで、これはネットワーク内の複数のシステムにコマンド、メッセージ、ジョブを転送するために設計されています。システム同士がすでに通信しているため、ハッカーはNJEを使用して抽出したいデータを別のシステムに送信できます。
- あまり創造的になりすぎる前に、ハッカーにはしばしば見落とされる最後の能力が利用可能です。彼らは簡単に興味のあるデータセットをブラウズして、自分の個人システムにデータをコピー/ペーストすることができます。これは明らかに小規模なデータ量に制限されていますが、新しいアカウント用のユーザー名やハッシュ化されたパスワード、または暗号化キーのような小さな貴重なコンポーネントを盗む場合には非常に役立ちます。
- ハッカーが標準のファイル転送メカニズムを回避しようとする場合、彼らはコマンドおよび制御（C2）チャネルを構築しようとするかもしれません。これは、ネットキャットのようなソケットツールを使用して迅速に行うことができ、[4] より高度な方法ではCコードを持ち込み、自分の通信プロトコルをコンパイルできます。これにより、メインフレーム上のほとんどの典型的な追跡メカニズムを回避しますが、異常なポート活動を検索するために設計されたIOCが、メインフレームへの不正なC2チャネルを迅速に特定するはずです。
- ハッカーの最後の人気のある方法は、彼らが制御するクラウドストレージコンテナにファイルをアップロードすることです。Javaを使用して、ハッカーはメインフレームをAmazonのS3バケットに迅速に接続し、組織の外にすべての機密データをアップロードできます。
これらの方法をすべてメインフレームでシャットダウンすることは、これらのプロトコルが基本的な運用にどれほど重要であるかを考慮すると、ある程度不可能な作業です。これには、異常なユーザー活動を検出するために、リアルタイムでユーザーの行動をフィルタリングおよび監視する能力が必要です。ハッカーは、通常のスケジュールされた活動に隠してデータ抽出活動を行ったり、大規模な強奪を小さなチャンクに分割したり、通常のログを残さない方法を意図的に使用することで、セキュリティオペレーションセンター（SOC）にこの作業をさらに困難にさせます。これらの方法はメインフレームに特有ではなく、すべてMITRE ATTCKフレームワーク[5]で詳細に説明されており、ユーザーエンティティ行動分析（UEBA）プログラムをガイドします。
最終的には、可視性と自動化が、これらの攻撃の形態がメインフレームシステムに影響を与えないようにするための重要な要素です。だからこそ、BMCはクライアントがBMC AMI Securityを使用して現代のメインフレームセキュリティプログラムを構築する手助けをすることに取り組んでいます。AMI Securityは、メインフレーム上での検出と応答を自動化し、プラットフォームをSOCのツールやプロセスに統合します。メインフレーム環境を効果的に保護するためのステップについて知りたい場合や質問がある場合は、Christopher_perry@bmc.comに連絡するか、詳細についてはBMC Softwareを訪問してください。
[1]https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/↩
[2] https://www.bmc.com/blogs/top-10-privilege-escalation-hacks-for-the-mainframe/↩
[3]https://enterprise.verizon.com/resources/reports/dbir/↩
[4] https://kellgon.com/netcat-the-hackers-swiss-army-knife/↩
これらの投稿は私自身の意見であり、BMCの立場、戦略、または意見を必ずしも代表するものではありません。