セキュリティチームの97%は、自組織のエクスポージャーが実際に悪用可能かどうかを判断できていません。あなたのチームは大丈夫ですか?レポートを読む
Filigran
脅威インテリジェンス

OpenCTIとOpenAEVでSharePointエクスプロイトに対する防御を検証する

9 分で読めます
Validate Your Defenses Against SharePoint Exploits with OpenCTI and OpenAEV

ランサムウェアオペレーターと国家主体のアクターは、企業ネットワークへの足がかりを得るためにMicrosoft SharePoint脆弱性を悪用するケースが増加しています。攻撃者は、パッチ未適用のオンプレミスSharepointサーバーを悪用し、エクスプロイトを連鎖させて権限を昇格し、標的環境にランサムウェアペイロードを展開しています。この攻撃は政府機関を含む数百の組織に影響を与えています。

この記事では、組織が脅威にさらされているかどうかを確認する方法と、OpenCTIとOpenAEVを使用して、これらの脅威に対する防御を理解し検証する方法について説明します。

Microsoft Customer guidance for SharePoint vulnerability CVE-2025-53770に従うことを強くお勧めします

Microsoft SharePointゼロデイエクスプロイトのリスク

最近の脅威インテリジェンスにより、以下のSharePoint脆弱性がランサムウェア侵入チェーンで積極的に使用されていることが明らかになっています:

これら2つの脆弱性は通常連鎖して使用されます。CVE‑2025‑53771はHTTPヘッダー(X-RequestDigest、Refererなど)を偽装してSharePointがリクエストを有効として受け入れるようにするために使用され、CVE‑2025‑53770は悪意のあるシリアライズされたペイロードを送信し、リモートコード実行をトリガーするために使用されます。報告されているポストエクスプロイト活動の中で、研究者はウェブシェルの展開、権限昇格、およびマシンキー窃取(永続化のため)を確認しています。

この記事は、OpenCTIとOpenAEVを使用してToolshellのような脅威に対する防御を強化するために防御者が取れる手順を概説していますが、公式ベンダー-カスタマーガイダンスの代替となるものではありません。

group sharpeoint

OpenCTIのナレッジグラフを使用することで、CVE-2025-53770に対する脅威アクターとマルウェアの関係を表現し、さらに作成することができます。

ステップ1 - OpenAEVを使用した脆弱性の検証

OpenAEVは、脅威に対する脆弱性のエクスポージャーを検証するために使用できます。

影響を受けるバージョンのSharePointを実行していますか?

  • Microsoft SharePoint Enterprise Server 2016
  • Microsoft SharePoint Server 2019
  • Microsoft SharePoint Server Subscription Edition

セキュリティ更新プログラムを適用しましたか?

  • CVE-2025-53770: 2025年7月20日にパッチ適用済み。
  • CVE-2025-53771-: 2025年7月20日にパッチ適用済み。

これらのパッチが適用されているか、またはこれらのバージョンが使用されているか不明な場合は、エクスポージャーをテストしてください。

screenshot 2025 07 25 at 17 03 52

OpenAEVは侵害および攻撃シミュレーションツールで、環境に対して実際の脅威シナリオをシミュレートできます。OpenAEVとNucleiの統合を使用することで、インターネットに面したウェブサーバーやSharepointサーバーを含む資産に対して、エージェントレススキャンを即座に実行できます。

XTM Hubで使用できるプレイブックをレビューする

Filigranは、特定のユースケース向けにカスタマイズおよび変更可能な多数の技術シナリオをXTMコミュニティに公開しています。

エクスポージャー検証のためのNucleiスキャンを作成/インポートする

独自に作成するか、既存のNucleiテンプレートをOpenAEVにインポートし、インフラストラクチャに対して実行します。

防御を検証する

OpenAEVエージェント、Nucleiスキャナー、EDRなどのエグゼキューターの組み合わせでテストを実行します。SIEM、EDRとの統合およびマシン上のレスポンスに基づいて結果を収集し、脆弱性があるかどうかを確認します。

結果により、予防または検知の防御機能があるか、また脆弱性が悪用可能かどうかを理解できます。

screenshot 2025 07 25 at 17 25 39

スケジュール設定と繰り返し

作成したOpenAEVシナリオをスケジュール設定し、すべてを100%制御できるまで12〜24時間ごとに実行して、防御を継続的に検証します。BASの結果が満足できるものになるまで、パッチ適用、セキュリティ強化、不要なサービスのロックダウンを繰り返します。MicrosoftとOpenAEVが提供する修復推奨事項を活用してください。

ステップ2 - OpenCTIを使用した脅威の理解

OpenCTIは、サイバー脅威インテリジェンスチームが脅威データを収集、相関、コンテキスト化することを可能にし、これらの脆弱性の背後にある脅威の全体像を理解するのに役立ちます。

OpenCTIが実現すること:

1. 脆弱性中心のインテリジェンス

OpenCTIは、複数のフィード(NVD、CIRCL、MISPなど)からCVEデータを取り込み正規化することで、以下を可能にします:

  • 影響を受けるシステムの特定
  • CVEを脅威アクター、侵入セット、マルウェアファミリーにリンク
  • CVEをMITRE ATT&CK技術にマッピング(例:T1078 - 有効なアカウント、T1059 - コマンドおよびスクリプトインタープリター)
screenshot 2025 07 25 at 17 43 10

CVE-2025-53770にリンクされた脅威情報を示す画像

2. 脅威アクターの相関

OpenCTIを使用すると、以下が可能です:

  • SharePointを悪用することが知られている脅威アクターの監視
  • これらのアクターをキャンペーンおよびツールセットにリンク
  • 実世界のインテリジェンスに基づく内部リスクプロファイルの構築
screenshot 2025 07 25 at 16 31 20

CVE-2025-53770およびCVE-2025-53771を悪用する際の脅威アクターの重複を調査するアナリストを示す画像

3. 資産の優先順位付け

OpenCTIをセキュリティログ(SIEM、EDR)および資産インベントリと脆弱性スキャナーと統合し、以下を相互参照してアラートを受け取ります:

  • 環境内のポストエクスプロイト動作
  • 脆弱性にリンクされた新しいTTPと攻撃者
  • 進化するエクスプロイトステータス(理論的vs.国家主体全体での積極的vs.コモディティマルウェアの採用)
screenshot 2025 07 25 at 16 57 27

ZIRCONIUMまたはViolet Typhoonのダイアモンドモデル - CVE-2025-53770にリンクされた脅威アクター

screenshot 2025 07 25 at 16 36 48

Storm-2603に関するOpenCTI Ask AIによる脅威レポート

ステップ3 - 脅威アクター動作の自動ハンティング

OpenCTI内のオープンソースおよびクローズドソースコミュニティ全体の既存の脅威インテリジェンスを、自動化プレイブックと組み合わせて活用し、CVE-2025-53770用のカスタムハンティングフィードを作成します。

数回のクリックで、グローバルな脅威インテリジェンスソースから収集したYara、Snort、Suricataルールをセキュリティツールに送信するノーコードプレイブックを作成できます。同時に、ブロックリストに入る可能性のあるIOCや検知に使用されるIOCを収集、エンリッチ、ラベル付けします。

screenshot 2025 07 25 at 17 58 46


このプレイブックは、OpenCTI内のすべてのナレッジイベントを収集し、IOCを抽出してラベル付けし、優先度の高い検知ユースケースのためにSIEMに直接送信します。

ステップ4 - インテリジェンス主導のテストと防御

OpenAEVは、実際の影響を与えることなく、自身の環境でSharePointエクスプロイトチェーンを安全にエミュレートするのに役立つ侵害および攻撃シミュレーションプラットフォームです。しかし、脅威を軽減しテストした後は、OpenCTIとOpenAEVの組み合わせを使用して、自動化されたエンドツーエンドの侵害シナリオを作成し、特定のエクスプロイトイベントへの対応時間をテストし、ランサムウェアインシデント対応計画をテストし、環境内でAPT動作をシミュレートして技術的な誤設定を修正することもできます

インテリジェンス主導の攻撃シナリオのシミュレート

SharePointを悪用するために使用される実際の手順を再現し、脅威アクターによる動作を段階的にシミュレートします。

  • 脅威アクター、脆弱性、または脅威キャンペーンへの関心に基づいてOpenCTIでシナリオを選択します。
  • シミュレートをクリックすると、OpenCTIは、指定された脅威インテリジェンスについて報告された攻撃パターンにマッピングされた攻撃ペイロードを含むシナリオをOpenAEVで自動的に生成します。
screenshot 2025 07 25 at 18 06 36

OpenCTIでは、脅威アクター、脆弱性、または脅威キャンペーンのシミュレーションをOpenCTIから直接実行できます。

検知パイプラインの検証

現在のスタックが以下を検知および対応するかどうかをテストします:

  • 不審なSharepointの悪用
  • 異常なアクセストークンまたは権限昇格
  • SharePointプロセスからのコマンド実行

または、OpenCTIの脅威インテリジェンスによって、業界、技術スタック、または地域に対する攻撃キャンペーンで現在使用されていると特定された他のTTP。

まとめ

SharePointの継続的なゼロデイエクスプロイトは、特にハイブリッドおよびエンタープライズ環境において現実的かつ活発です。以下を実現するために、OpenCTIやOpenAEVのようなツールを必ず活用してください:

  • 技術的および戦略的観点から脅威を理解する
  • 脅威インテリジェンスを内部のエクスポージャーに直接マッピング
  • 検知および対応メカニズムが準備できているかどうかを継続的に検証する

ご質問がありましたら、Slackコミュニティ channelでお気軽にお尋ねください

脅威管理またはシミュレーションプログラムの構築についてサポートが必要な場合は、Filigranチームにお問い合わせいただくか、環境の概念実証デプロイメントをリクエストしてください。

続きを読む

関連トピックとインサイトをご覧ください

当サイトでは、トラフィックの分析と体験向上のためにクッキーを使用しています。分析ツールは同意された場合にのみ有効になります。 プライバシーポリシー