1件の通報から、攻撃の全体へ。
どの案件も同じ5つのステップで進みます。違いは、各ステップをどこまで深く行うかです。最初のページが消えても、そこで終わりにはしません。
検知
通報は、不正利用の連絡窓口、お客様からの報告、不正対策部門といったお客様自身の窓口と、ブランドを狙う攻撃の監視から届きます。通報はすべて案件として管理します。
- お客様にご用意いただくもの：ブランドとロゴ、お客様が攻撃を報告する窓口、承認権限のある連絡先を1つ。
- 通報を送る前に、そのページが本当にお客様になりすましていることを確認します。
調査・マッピング
攻撃ページは訪問者によって表示内容を変えることが多いため、被害者に見えるとおりに取得し、取得物は暗号学的ハッシュとともに改変せずに保管します。攻撃者のコードはテキストとして読み解き、重要な環境では実行しません。そのうえで、参照先のドメイン、アドレス、ホスト、リダイレクタ、ネームサーバー、証明書をすべて洗い出します。
- 兄弟インフラ：同じパターンで登録された他のドメイン、同じキットが動く他のサーバー。
- 情報の送信先：盗んだ情報の送り先。
関係者すべてに
同時に通報 インフラの各部分を、対処できる事業者に対応づけます。事業者と、それぞれが受け付ける窓口を整理した台帳を維持しています。受け手ごとに、必要な証拠を添えた通報を作成し、順番にではなく並行して送ります。
- ホスティング・クラウド事業者、レジストラ・レジストリ、DNS事業者、認証局、リンクサービス。
- ブラウザやセキュリティベンダー。テイクダウンの最中もユーザーを守るためです。
エスカレーション
と確認 すべての通報をフォローします。事業者が動かない場合は、レジストラやレジストリなど次の責任主体へ、窓口を変えてエスカレーションします。チケットが閉じられたかどうかではなく、コンテンツが本当に消えたかを確認します。
- ページ本体が停止した後も、レイヤーごとに結果を追跡し、対応漏れを防ぎます。
再開の
監視と学習 インフラ全体を監視し続け、再開されたら改めて通報します。得られた知見は、フィンガープリントと指標として検知システムに取り込みます。
- 知見は検知ルールに変換でき、隣接するインフラを早い段階で見つけられます。
お客様にお届けするものブラックボックスは
ブラックボックスはありません。
案件ごとのステータス
何を、誰に、いつ通報し、どうなったのか。
証拠ファイル
各通報の根拠となる取得データ、ハッシュ、調査結果。
結果の検証
チケットが閉じただけでなく、コンテンツが消えたことの確認。
インテリジェンス
お客様の案件から得られた指標とフィンガープリントを、お客様のシステムでもご活用いただけます。
行動規範攻撃者を
攻撃者を慎重に調べることも、仕事の一部です。
私たちはいくつかの原則を厳守します。
見るだけで、触れない
通常の訪問者に見える範囲を、管理された回線から確認するだけです。攻撃ページへの情報入力や、管理画面の操作は行いません。
アクセス制御を回避しない
ログインやチャレンジなどの障壁は、回避しません。
攻撃者のコードはテキストとして読む
攻撃者のコードはテキストとして読み、重要な環境では実行しません。
個人ではなく、インフラと挙動を示す
通報書には、そのリソースが何をしているかを記載します。個人を非難することはありません。