世界最大級のイベントの舞台を標的にしたサイバー脅威の増加

脅威ハンティング チームは、多層防御の思想に基づくオペレーションによって顧客のデバイスとネットワークを検査し、保護しました。また、ID、ログイン、ファイル アクセスの行動監視にも力を入れ、輸送、電気通信、医療などの重要機能を担う顧客を含め、さまざまな分野の関係者を幅広くチェックしました。

全体として、エンドポイントの数が 10 万以上、ID が 14 万 4,000 件以上、電子メール フローが 1,460 万件以上、認証が 6 億 3,460 万件以上、ネットワーク接続数が数十億件以上という膨大な数のエンティティとシステムが、人間主導の脅威ハンティング活動と問題対応サポート活動を含めた 24 時間無休監視体制の対象となりました。

たとえば、このイベントの緊急医療対応施設として指定されたいくつかの病院や医療サービスは、ファンと選手に重要なサポートや医療サービスを提供する機能を担いました。そうした医療施設は医療データを保有しているため、攻撃の標的として大きな価値があります。Microsoft の脅威ハンティングでは、マシンによる活動と人間による活動の両方において、シグナルのスキャン、汚染されたアセットの分離、ネットワークに対する攻撃の阻止に脅威インテリジェンスを活用しました。担当チームは各種の Microsoft Security テクノロジを組み合わせて利用して、医療ネットワークを標的とするランサムウェア準備アクティビティを検出し、隔離しました。また、サインインの試行失敗が繰り返し発生した場合については記録を残し、以降のアクティビティをブロックしました。

医療サービスには緊急性が求められるため、デバイスやシステムについては常に最高レベルの性能を発揮できるようにしておく必要があります。病院や医療施設の役割は、すぐにサービスを提供できる備えと、サイバーセキュリティ体制の健全性を常に両立させなくてはならない難しいものです。攻撃が成功した場合、短期的な影響としては、医療施設がデータと IT を利用できなくなることが考えられます。医療従事者が患者データを更新する際に使えるツールは紙とペンだけになり、緊急事態や集団トリアージが必要な状況における救命医療の提供能力は低下する可能性があります。長期的な影響としては、悪意あるコードで設置されたスパイの仕組みによってネットワーク内部の状況が知られ、さらに広範なランサムウェア イベントで深刻なサービス障害が発生することが考えられます。また、このようなケースからデータ盗難や恐喝への可能性が開かれることもあり得ます。

大規模な国際的イベントは、脅威アクターにとって常に格好の標的ですが、そうした活動の動機はさまざまです。脅威アクターの活動を支援している国家権力は、攻撃によって大きな地政学的利益を得るためなら多少の巻き添えを食うことも仕方ないと考えているように見えます。また、スポーツや会場関連の IT 環境を巨額の金銭的利益獲得のチャンスと見なしているサイバー犯罪グループにとっては、大規模イベントは今後も格好の標的であり続けるでしょう。