phishing-surface-monitor

プロジェクトについて

Phishing Surface Monitor は、従業員や顧客に到達する前に、組織を狙った phishing 攻撃を検知するために設計された能動的防御システムです。phishing — 信頼できる送信元から来たように見せかけた fraudulent communications を送る手口 — は、cybersecurity における最も効果的な attack vector であり続けており、成功した侵害の 90% 以上を占めます。 このシステムは、潜在的な phishing インフラを特定するために複数のデータソースを監視します。Certificate Transparency (CT) Logs は、世界中で発行されたすべての SSL/TLS certificate の公開記録です。組織のドメイン名やブランドキーワードを含む certificate をこれらのログで監視することで、攻撃者が類似ドメインを登録し、その certificate を取得したタイミングを検知できます。多くの場合、certificate 発行から数分以内です。Passive DNS Monitoring は、文字置換、homoglyph 攻撃、単語の挿入/削除などの高度な typosquatting アルゴリズムを用いて、保護対象ドメインと視覚的または音声的に類似した新規ドメイン登録を追跡します。Visual Similarity Analysis は、perceptual hashing とスクリーンショット比較を用いて、無関係なドメイン上にホストされていても、組織の視覚的アイデンティティをコピーしたクローンサイトを特定します。 潜在的な phishing ドメインが検知されると、システムはドメインの類似性、登録時期、ホスティングインフラ分析、過去のパターンなど複数要因に基づいて脅威スコアを割り当てます。高信頼度の検知は、主要ホスティング事業者や domain registrar との統合 abuse reporting ワークフローを通じて、自動 takedown 要請をトリガーできます。 また、このシステムは検知したすべての脅威の履歴データベースを維持し、トレンド分析、キャンペーントラッキング、業界関係者や法執行機関との情報共有を可能にします。

なぜ重要か

phishing 攻撃はますます高度化しています。現代の phishing campaign は、有効な SSL certificate、プロフェッショナルに設計されたランディングページ、正当な通信とほぼ見分けがつかない、慎重に作られた social engineering の物語を使用します。従来の email security gateway は多くの phishing email を捕捉できますが、SMS (smishing)、social media、QR code、その他のチャネルを介して届けられる攻撃は防げません。 効果的な anti-phishing 防御の鍵は、配信前の検知です。偽メールやメッセージが送信される前、セットアップ段階で phishing インフラを特定することです。Certificate Transparency の監視は特に強力です。padlock アイコン付きで正当らしく見せたい攻撃者は、SSL certificate を取得する必要があり、それが公開 CT logs に検知可能なシグナルを生み出すからです。 phishing surface を先回りして監視する組織は、悪意あるドメインが使われる前に takedown でき、ユーザーに届く phishing 攻撃の量を減らせます。これは、洗練された phishing campaign の頻繁な標的となる金融機関、医療機関、テクノロジー企業にとって特に重要です。

ステップバイステップガイド

1. 監視するドメイン、ブランド名、キーワードを設定します。主要ドメイン、よくあるスペルミス、ブランド名、製品名、役員名を監視設定に追加してください。システムは、複数のアルゴリズム (bit-flipping、homoglyph substitution、keyword insertion) を用いて typosquatting の変種を自動生成します。
2. Certificate Transparency と passive DNS の監視フィードを有効化します。CT monitor は主要な CT log サーバー (Google Argon、Cloudflare Nimbus、DigiCert、Let's Encrypt) に接続し、新しい certificate をほぼリアルタイムで処理します。DNS 監視は主要 domain registrar と WHOIS データベースからの新規登録を追跡します。ポーリング間隔は組織のリスクプロファイルに応じて設定してください。
3. 感度とノイズのバランスを取るために検知閾値を設定します。'high' 感度はより多くの潜在脅威を捕捉しますが、false positive も増えます — 高リスク組織 (金融、医療) に推奨です。'medium' 設定は多くの組織にとって良好なバランスを提供します。false positive 率に基づいて週次で閾値を確認・調整してください。
4. 自動 takedown ワークフローを incident response プロセスと統合します。高信頼度の phishing ドメインが検知されると、システムはホスティング事業者、domain registrar、Google Safe Browsing へ abuse reports を自動送信できます。takedown の状況は監視ダッシュボードで追跡し、自動 takedown が定義した SLA 以内に完了しない場合は手動でエスカレーションしてください。

使用技術