サイバーニュース.jp

世界のサイバーなニュースを配信

AIを活用した攻撃への対抗策：EDRとNDRの連携が不可欠

カテゴリ:

AI攻撃の進化と従来の防御の限界

サイバーセキュリティにおいて、攻撃者の絶え間ない革新は常に課題です。近年、攻撃型AIの台頭により、攻撃戦略は高度化し、その検知は一層困難になっています。Googleの脅威インテリジェンスグループは、敵対者が大規模言語モデル（LLM）を使用してコードを隠蔽したり、悪意のあるスクリプトをその場で生成したりしていると報告しており、これによりマルウェアがリアルタイムで変形し、従来の防御を回避しています。

これらの新たな攻撃を深く分析すると、前例のない洗練さと欺瞞が明らかになります。2025年11月には、Anthropicが初の「AIが指揮するサイバー諜報活動」について報告しました。この作戦では、初期アクセスからデータ流出まで、攻撃の全段階にAIが統合され、AI自体によってほぼ自律的に実行されました。

また、最近の傾向として、ClickFix関連の攻撃では、画像ファイル内にマルウェアを隠すステガノグラフィー技術が使用され、シグネチャベースのスキャンをすり抜けています。これらは正規のソフトウェア更新画面やCAPTCHAとして巧妙に偽装され、ユーザーを欺いてリモートアクセス型トロイの木馬（RAT）や情報窃取型マルウェアなどを自身のデバイスに展開させています。

さらに、攻撃者はソーシャルエンジニアリング、中間者攻撃、SIMスワッピングの組み合わせを使い、アンチウイルス（AV）の除外ルールをトリガーさせて無効化する手口も悪用しています。2025年10月のMicrosoftの脅威チームの研究によると、「Octo Tempest」と呼ばれる脅威アクターは、被害者に様々なセキュリティ製品を無効にさせ、メール通知を自動的に削除させることで、エンドポイントアラートをトリガーすることなくマルウェアを企業ネットワーク全体に拡散させました。また、エンドポイント上のAVソフトウェアを検出し無効化することに特化した動的で適応性の高いツールも容易に展開されています。

これらの技術はすべて、エンドポイント検出・対応（EDR）のようなレガシーな防御を回避できるという共通点を持っており、EDR単独での限界を露呈しています。AIの自動化とインテリジェンスを利用してデジタル防御を覆すこれらの新しい攻撃は、サイバー脅威の状況における根本的な変化を示しており、防御戦略の転換を急速に推進しています。

EDR単独の限界と統合防御の必要性

EDRとネットワーク検出・対応（NDR）は、それぞれ異なる防御上の利点をもたらします。EDRは本質的に各特定のエンドポイント内で何が起こっているかに焦点を当てていますが、NDRはネットワーク環境を継続的に監視し、組織を横断する脅威を検出します。NDRは、EDRが検出しないものを拾い上げ、典型的なネットワークパターンからの行動異常や逸脱を特定するのに優れています。

AIベースの脅威の時代においては、これらの攻撃がより高速かつ大規模に動作できるため、両方のシステムが連携して機能する必要があります。一部のEDRシステムは、AI駆動型攻撃の速度と規模に対応するようには設計されていません。NDRはこれらのネットワーク異常を検出し、この補完技術が提供できる追加の保護を活用して防御を強化し、ネットワークデータからより深い洞察を得ることができます。

EDRとNDRの連携による効果

今日の攻撃対象領域は拡大し、より複雑になっています。洗練された脅威アクターは現在、ID、エンドポイント、クラウド、オンプレミスインフラストラクチャにわたる脅威を組み合わせて、致命的な攻撃を実行します。これは、これらの各領域の対応するセキュリティシステムが、メタデータやその他の信号を共有し、これらの脅威を発見し阻止するために連携する必要があることを意味します。

攻撃者はこの複雑性の陰に隠れ、そのリーチを最大化し、影響範囲を拡大し、異なるハッキングツールを使用して様々な役割を担い、異なる中間ターゲットに焦点を当てながら身を隠します。2024年4月から活動している「Blockade Spider」というグループは、ランサムウェア攻撃にこれらの混合ドメインを使用しています。管理されていないシステムを発見してアクセスした後、ネットワークを横断して横方向に移動し、暗号化するファイルコレクションを検索して身代金を抽出しようとします。彼らのアプローチの全容は、NDRを使用して仮想システムとクラウドプロパティを可視化し、その後、攻撃がネットワークを横断して管理されたエンドポイントに移動した際にEDRを使用することで発見されました。

より悪名高いバリアントの一つは、Microsoftが2023年に観測したVolt Typhoon攻撃で使用されたものです。これは、EDR検出を回避するために「Living Off The Land (LoTL)」技術を使用した中国国家支援のアクターに起因しています。そのターゲットは、SOHOルーターやその他のIoTハードウェアなど、管理されていないネットワークエッジデバイスでした。アクターは、発信元パケットをテキサスのケーブルモデムから来ているように見せかけ、中国のIPアドレスへの直接リンクではないように変更することができました。この場合、決め手となったのはネットワークトラフィックでした。彼らはEDRを回避することに成功しましたが、NDRによって検出されたネットワークトラフィック量の変動は、発信元のケーブルモデムトラフィックが実際にははるかに悪意のある何かを隠していることを示していました。このケースでは、NDRはEDRシステムをすり抜けた悪意のある活動を検出することで、セキュリティセーフティネットとして機能しました。

リモートワークと新たな脆弱性

リモートワークの増加も脆弱性を高めます。VPNがリモートワーカーをサポートするために広く使用されるようになるにつれて、新たな悪用の機会が生じています。リモートネットワーク上の可視性の欠如は、信頼された接続上の侵害されたエンドポイントが、組織の環境に損害をもたらす可能性があります。VPNを実行しているローカルマシンがすでにマルウェアに感染していることをEDRが検出しない場合、そのマシンが企業ネットワークに接続すると、マルウェアは簡単に拡散する可能性があります。

侵害されたVPNは、通常のネットワーク運用および管理ツールの中に身を隠す横方向のネットワーク移動も隠蔽する可能性があります。例えば、Salesforceサプライチェーンの最近の2つの侵害は、AIを使用してOAuth認証情報を収集し、様々な顧客アカウントへの不正アクセスを得ることで達成されました。NDRは弱いエントリーポイントとトランジットポイントを特定し、最初に修正すべき最もリスクの高い領域を特定するのに役立ち、EDRは侵害されたアカウントがピボットポイントとして使用されている証拠を共有できます。

まとめと今後の展望

これらおよびその他の悪用事例は、EDRとNDRが連携して継続的に監視することの利点を浮き彫りにし、防御者が革新的な敵対者の技術を発見し、新たな脅威に迅速かつ決定的に対応できるようにします。AIが進展するにつれて攻撃者はさらに能力を高めるため、この統合アプローチはリスクを軽減し、組織が迅速かつ決定的に対応する能力を向上させるために不可欠です。

CorelightのOpen NDR Platformは、AI技術を活用したものを含む新しい種類の攻撃を検出できるようにSOCを支援します。その多層的な検出アプローチには、様々なユニークで異常なネットワークアクティビティを特定できる行動および異常検出が含まれています。攻撃者がEDRシステムを回避する新しい方法を開発するにつれて、NDRを展開するセキュリティチームは、企業の防御ゲームを強化することができます。

元記事: https://thehackernews.com/2026/01/winning-against-ai-based-attacks.html

投稿をさらに読み込む