Windows Defender Application Control（WDAC）が新たな攻撃手法の標的となり、エンドポイント検出および応答（EDR）システムを無効化する危険性が明らかとなった。
攻撃者は、管理者権限を悪用してカスタムWDACポリシーを作成し、これをターゲットシステムに適用することでセキュリティ機能を効果的に回避する。この攻撃は、MITRE ATT&CKの「Impair Defenses」カテゴリーに分類され、組織のネットワーク全体を危険にさらす恐れがある。
既に「Krueger」と名付けられた概念実証ツールも登場しており、この攻撃手法の実用性を示している。専門家は、中央で管理されるWDACポリシーの強制や最小特権の原則の徹底、セキュアな管理ツールの利用を通じて対策を強化する必要があると強調する。セキュリティ向上に向けた新たなアプローチと、進化する脅威への即応が求められている。
WDACを狙った攻撃の背景とその巧妙な仕組み
Windows Defender Application Control（WDAC）は、企業や団体がデバイス上で実行可能なコードを厳格に管理するためのセキュリティ機能として設計された。しかし、この利便性と制御性を逆手に取った攻撃が問題視されている。管理者権限を取得した攻撃者が、カスタムポリシーを作成し、これをターゲットマシンに適用することで、EDRセンサーを無効化するという手法が浮上している。
この攻撃は、EDRやウイルス対策ソフトのような主要なセキュリティ機能を完全に回避する点で特に深刻である。ポリシーの改変後には再起動が必要なものの、リモート操作による強制再起動が可能であり、攻撃者の効率性は高い。この種の攻撃を成立させる要因の一つには、WDACポリシー自体がデバイスの信頼性を根底から操作可能な強力な権限を有していることが挙げられる。
この仕組みの背景には、セキュリティ管理が集中化されている環境においても、攻撃者がローカルレベルで設定を改変できる隙間があるという現実がある。専門家は、こうした機能の柔軟性が脅威となる現状を重視し、システム管理者に対して制限強化を呼びかけている。
Kruegerの登場がもたらす脅威とセキュリティ業界の挑戦
「Krueger」と呼ばれる概念実証ツールの存在は、この新たな攻撃手法を一層現実的なものにしている。セキュリティ研究者Logan Goinsによって開発されたKruegerは、攻撃者が作成したカスタムポリシーをメモリ上で実行するために最適化されており、ポストエクスプロイト段階での利用が見込まれている。
Kruegerの登場は、単なる理論にとどまらず、具体的な実践可能性を証明するものである。このツールが攻撃者の手に渡ることにより、組織の防御層が一層危険にさらされる。特に、一般的なセキュリティソリューションは、この種の攻撃を検知するのが難しいため、攻撃後の痕跡すら残りにくい。
こうしたツールの存在が示すのは、サイバー攻撃の進化が業界の対応をさらに難しくしているという事実である。サイバーセキュリティ分野は、既存の攻撃モデルに囚われない柔軟なアプローチと技術革新が急務であると考えられる。
防御策の進化と組織に求められる次世代のセキュリティ戦略
攻撃の巧妙化に対抗するため、組織にはより洗練されたセキュリティ戦略が必要とされる。特に、MicrosoftのLocal Administrator Password Solution（LAPS）のようなツールを活用し、ローカル管理者アカウントの権限を厳格に管理することは有効な手段の一つである。また、Group Policy Object（GPO）によるWDACポリシーの中央管理も、悪意のある改変を防ぐ重要な対策となる。
さらに、最小特権の原則を徹底することで、特定のアカウントがWDACポリシーにアクセスする可能性を制限できる。これにより、攻撃者が管理者権限を取得した場合でも、被害を最小限に抑えることが可能である。組織内でのセキュリティ文化の醸成と、IT部門がセキュリティツールやポリシーを定期的に見直すことが求められる。
フォーチュン500企業のCISOであるMark Johnson氏は、次世代の攻撃に備えるには多層的な防御体制が鍵となると述べる。この言葉が示すように、サイバー攻撃の複雑化に対応するためには、攻撃を先回りする意識と行動が不可欠である。