External Remote Services
外部リモートサービス 

VPN、Citrixのようなリモートサービスにより、ユーザーは外部から企業の内部ネットワークリソースに接続できます。多くの場合、これらのサービスの接続と資格情報認証を管理するリモートサービスゲートウェイがあります。 Windows Remote Managementなどのサービスも外部から使用できます。

攻撃者はリモートサービスを使用して、最初にアクセスしたり、ネットワーク内にとどまったりする可能性があります。 [1] サービスを使用するために正当なアカウントへのアクセスが必要になることがよくあります。これは、クレデンシャルファーミングを通じて、または企業ネットワークに侵入した後にユーザーから資格情報を搾取することによって取得できます。 リモートサービスへのアクセスは、攻撃中にアクセスの冗長化の一部として使用される可能性があります。

ID: T1133
Tactic: Persistence, Initial Access
Platform: Windows
Permissions Required: User
Data Sources: Authentication logs
CAPEC ID: CAPEC-555
Contributors: Daniel Oakley; Travis Smith, Tripwire
Version: 2.0
Created: 31 May 2017
Last Modified: 17 July 2019

Procedure Examples

Name Description
APT18

APT18のアクターは、外部のリモートサービスにログインするために、正当な資格情報を使用します。[3]

APT41

APT41 は、サードパーティのサービスプロバイダーと対象となる支払いサービスとの間のVPNアクセスを使用して、オンラインの請求/支払いサービスを侵害しました。[15]

Dragonfly 2.0

Dragonfly 2.0 は、VPNとOutlook Web Access(OWA)を使用して、被害者のネットワークへのアクセスを維持していました。[7][8]

FIN5

FIN5 has used legitimate VPN, Citrix, or VNC credentials to maintain access to a victim environment.[9][10][11]

Ke3chang

Ke3chang regained access after eviction via the corporate VPN solution with a stolen VPN certificate, which they had extracted from a compromised host.[6]

Linux Rabbit

Linux Rabbit attempts to gain access to the server via SSH.[2]

Night Dragon

Night Dragon has used compromised VPN accounts to gain access to victim systems.[12]

OilRig

OilRig uses remote services such as VPN, Citrix, or OWA to persist in an environment.[4]

Soft Cell

Soft Cell established VPN access into victim environments.[14]

TEMP.Veles

TEMP.Veles has used a VPN to persist in the victim environment.[13]

Threat Group-3390

Threat Group-3390 は、攻撃中にVPNプロファイルを探して使用し、外部VPNサービスを使用してネットワークにアクセスします。[5]

Mitigations

Mitigation Description
Disable or Remove Feature or Program
機能やプログラムの無効化および削除

リモートで利用可能な不要なサービスを無効にするかブロックします。

Limit Access to Resource Over Network
ネットワーク上のリソースへのアクセスを制限

VPNなどの集中管理されたコンセントレータやその他の管理されたリモートアクセスシステムを介するリモートサービスへのアクセスを制限します。

Multi-factor Authentication
多要素認証

盗まれた資格情報を悪用する攻撃者の能力を低減させるため、リモートサービスアカウントに強力な二要素認証または多要素認証を使用してください、ただし一部の二要素認証の実装では二要素認証妨害のテクニックに注意してください。

Network Segmentation
ネットワークの分離

ネットワークプロキシ、ゲートウェイ、ファイアウォールを通しての、内部システムへの直接リモートアクセスを拒否します。

Detection

リモートサービスへの認証に、正当なアカウントの悪用を検出するためのベストプラクティスに従います。認証ログを収集し、異常なアクセスパターン、活動範囲、および通常の営業時間外のアクセスを分析します。

References