こんにちは。
皆さんは「リモート アクセス ツール」と聞くとどんなものを想像しますか？
最近はヘルプデスクが遠隔でサポートを行う際に利用することも増え、便利なツールという印象を持つ方もいるかもしれません。しかし、セキュリティの観点からすると、リモート アクセス ツールは攻撃者が好む危険なツールの一つと言えます。

NRAS では独自の検知ルールを用いて、組織内で見慣れないリモート アクセス ツールがインストールや実行された際にアラートとして検知しています。今回、このアラートにより未承認の TeamViewer がダウンロード・実行されていることを確認した事例をご紹介します。

■ 3つのポイント

① リモート アクセス ツールの危険性

リモート アクセス ツールは、離れた場所から端末を遠隔で操作することができる便利なソフトウェアです。しかしながら、リモート アクセス ツールを許容するということは、外部から社内端末へ接続する経路を作ることと同義です。もちろん業務上必要となるケースもありますが、攻撃者が侵害後のアクセス維持手段として、正規のリモート アクセス ツールを悪用する事例は少なからず存在しており、セキュリティの観点からは不要な導入は推奨できません。そのため、「正規ソフトだから安全」ではなく、「誰がどの目的で利用しているか」を把握することが重要です。

② 正規ソフトのため一般的な AV や EDR では検知対象外

リモート アクセス ツールの多くは世界中で利用されている正規のソフトウェアであり、ツール自体に脅威が含まれるわけではないため、一般的なマルウェアのようにアンチウイルスや EDR が自動的に検知・隔離することは想定されません。それゆえ、通常では組織の管理外でユーザーがリモート アクセス ツールをインストールしたとしても、その事実に気づくことは困難です。今回も Microsoft Defender ではアラートとして検知されず、弊社独自の検知ルールにより TeamViewer の導入を把握することができました。

③ インシデントが発生する前に気付くことができた

今回の事例で最も重要だったのは、不正アクセスや情報漏えいが発生した後ではなく、TeamViewer のダウンロード・インストール段階で把握できたことです。ユーザーが TeamViewer を導入する最初のタイミングでアラートとして検知でき、結果として、実際のセキュリティインシデントへ発展する前に状況確認や利用目的のヒアリングを実施し、潜在的なリスクの早期発見に繋がりました。

■ 何がおこったか

今回のアラートのきっかけとなったのは、お客様の端末上で TeamViewer のセットアップ用ファイル（TeamViewer_Setup_x64.exe）が実行されたことを検知したことです。
ログを確認してみると、TeamViewer_Setup_x64.exe の実行により展開された TeamViewer_.exe が複数回実行されていることが確認できました。また、一連のログより TeamViewer のセットアップ用ファイルは Microsoft Edge のブラウザ経由でダウンロードされていたこと、その後ユーザー本人によりインストーラーを実行し、セットアップ処理を行っていた可能性が高い状況であることが確認できました。 さらに調査を進めたところ、セットアップの約 20 分後には端末から TeamViewer 関連ドメインに対する DNS の問い合わせを行っていることが確認でき、ユーザーが実際に TeamViewer を利用するために接続を試みていた可能性があることも判明しました。

今回の事例では、これまでご紹介してきた事例のような、マルウェアへの感染や第三者による不正アクセス等の痕跡は確認されず、攻撃を受けている状況ではないと推察されました。しかし、セキュリティの観点で考えると、TeamViewer のようなリモート アクセス ツールは端末に存在するだけでセキュリティリスクを引き上げることに繋がり、万が一侵害が発生した際に、攻撃者に悪用されてしまうことにも繋がりかねません。
そのため NRAS では、「悪意のあるプログラムかどうか」だけでなく、「なぜリモート アクセス ツールが導入されたのか」「組織として許可された利用なのか」という観点で監視を行い、必要に応じてお客様へ通知による確認を実施しています。 今回も TeamViewer が組織で広く使われているツールではなかったため、通知を実施したところ、当該ユーザーによる TeamViewer の利用は禁止されていたことが判明しました。お客様はユーザーへツールのアンインストールをご案内し、潜在的なリスクを減らすことができました。

■ NRAS でできること

今回はリモート アクセス ツールを初期段階で検知したことにより、お客様の環境をセキュアな状態に保つことができました。つまり、このケースは「攻撃を検知した事例」ではなく、「未承認のツール導入を早期に検知・阻止できた事例」だったと言えます。
NRAS の役割はマルウェアや攻撃を発見することだけではありません。お客様からお預かりしているログの中から将来的なリスクに繋がる可能性のある行為を早い段階で発見・是正することも重要な役割のひとつです。

：

私たちの真の目的は、今ある危険を取り除くことだけではなく、見えないリスクを減らし、リスクが起こりにくい環境を作っていくことにあります。
日々のログ・アラート監視ももちろんその一環です。日常業務をよりセキュアで安心な環境で行いたいと考えている方は、ぜひ NRAS をご検討ください。

【サービス詳細】
NR Automate Security（ NRAS）
https://nextread.co.jp/service-nras/

【関連記事】
「すごいぞ NRAS！対応事例のご紹介」シリーズ
・サポート詐欺被害を救ったセキュリティ相談サービス
https://nextread.co.jp/column-casestudy/nr-automate-security09/