Jamf Mobile Forensicsの説明

狙われやすい重要人物の保護

傭兵型スパイウェア、ゼロクリック攻撃、持続的標的型攻撃（APT）、国家主導型攻撃などの巧妙な攻撃は、ユーザの身元や業務内容、ユーザがアクセスできるデータに基づいて標的を定めます。こうした攻撃の実行には潤沢なリソースや資金が必要となるため、重要人物や影響度の高い組織が標的として狙われがちです。

AppleとGoogleはどちらも、スパイウェア攻撃の疑いをユーザに通知し、脅威の通知を受け取ったジャーナリスト、活動家、政治家、外交官などのユーザ向けにガイダンスを公開しています。CISAは政府・政治関係者などの個人が標的となるケースが多いと述べており、英国のNCSCによれば「職務上の地位や公的地位により、国家主導の攻撃者が関心を持つような機密情報へのアクセス権や影響力を有する個人」は狙われるリスクが高いとみなされています。

ただし、これは政府、メディア、政治とつながりのある従業員に限った話ではありません。テクノロジー、物流・運輸、天然資源・石油・ガス、製造、金融サービスといった業界の組織も、ユーザが保有するデータの価値の高さや事業を展開する場所を理由に、脆弱性が高くなっています。

高度な攻撃を発見し、社内のモバイルデバイスの完全性を確保するには、セキュリティ関連のチーム（SOC、フォレンジック、情報セキュリティ、ITチームなど）に、これまでよりも詳細なデータ分析から得られるデバイスインサイトが欠かせなくなっています。

このような状況で活躍するのが、Jamf Mobile Forensicsです。

Jamf Mobile Forensics

Jamf Mobile Forensicsは、モバイルデバイスを標的とした巧妙な攻撃に対する高度な検出、フォレンジック、分析の不足部分を補完します。脅威インテリジェンスと自動分析の機能によって、セキュリティチームの負担を軽減し、デジタルフォレンジック調査を強化し、対策や修復の時間を短縮します。

Jamf Mobile Forensicsの仕組み

詳細な自動ログ収集と自然なユーザエクスペリエンスを組み合わせることで、分析プロセスを簡素化し、セキュリティチームが巧妙な攻撃を迅速に把握して対応できるよう支援します。Jamf Threat Labs独自の挙動分析テクノロジーを搭載したJamf Mobile Forensicsのルールエンジンは、既知のインテリジェンス、異常、不審な挙動を用いて各スキャンの分析を自動化し、悪意のあるアクティビティやゼロデイ脅威を検出します。

セキュリティチームが実現できること：

• ゼロクリック攻撃、ワンクリック攻撃、APT攻撃をネットワークへの侵入前に特定する

• セキュリティ対策を回避する未知のエクスプロイトやペイロードを検出する

• セキュリティ侵害インジケータ（IoC）を分析して、悪意のあるアクティビティを特定する

• 個人情報を漏洩させることなく、傭兵型スパイウェアや高度な脅威を検出して対応する

エンドユーザデバイスのスキャン

デバイスをスキャンすることで、デバイスへの攻撃の有無、時期、方法、影響を検出できます。Jamf Mobile Forensicsでは、数週間かかっていたスキャンが数分で完了します。

Jamf Mobile Forensicsには、Threat Protectというエンドユーザ向けのモバイルアプリが含まれており、組織が設定した間隔でデバイスをプロアクティブにスキャンします。セキュリティチームはこのアプリを活用して、ユーザの作業を妨げたり個人情報（PII）を漏洩させたりすることなく、デバイスの完全性を継続的に分析できます。アプリは調査を実行する際に、システムログ、カーネルログ、証明書、クラッシュ、ソフトウェアなどのエンドポイントテレメトリを収集・分析し、既知および未知の脅威を検出します。

組織のワークフローやベストプラクティスに応じて、ケーブル接続のスキャンオプションも利用できます（通常はオンプレミスのお客様向け）。このタイプのスキャンは、モバイルデバイスをワークステーション（Macなど）に直接接続して実行します。

ログ収集の際に、パスワード、写真・動画、テキストメッセージ（iMessageなど）、連絡先、通話データ、アプリケーション内のデータなどの個人情報（PII）が収集されることはありません。

専門家による助言とインテリジェンス

Jamf Mobile Forensicsは、セキュリティの研究者、アナリスト、エンジニアで構成された社内チームであるJamf Threat Labsがサポートしています。チームは、高度なモバイルマルウェアや巧妙な攻撃手法に関する調査結果を定期的に公開しています。また、Jamf Mobile Forensicsルールエンジンの開発と継続的な改善にも取り組んでいます。

フォレンジック分析ワークフローの簡素化

Jamf Mobile Forensicsは、セキュリティチームが脅威の検出やフォレンジック分析を行う際に役立つ様々な機能を備えています。

• セキュリティオペレーションセンター：各種イベントを自動でインシデント別にまとめ、調査業務を簡素化します。セキュリティチームは、様々な時間間隔で発生したインシデントなど高度な攻撃についてデバイス全体を監視・管理でき、特定のインシデントに関する詳細なコンテキスト情報も確認できます。

• ルールエンジン：様々な種類の攻撃インジケータやセキュリティ侵害インジケータにタグを付け、許可リストやブロックリストに登録します。YARA、バンドル識別子、プロセス名など、多くの属性に基づいて複雑なルールを構築できます。

• AI分析：デバイスのクラッシュや異常を分析するために必要な手動の調査を軽減するAI調査アシスタントを搭載しています。デバイスの侵害の可能性に関する専門家レベルのインサイトを迅速に提供します。例えば、デバイスがアプリに対する標的型のリモート攻撃を受けた場合に、AI分析によって、アプリの異常な挙動、デバイスのハッキングやコード実行の有無、次のステップの推奨事項など、インシデントの包括的な概要を確認できます。

• MDMの導入：企業所有またはBYODのiOS・iPadOS・Androidデバイスへのモバイルアプリの導入を効率化します。

• 統合：強力なAPIを活用して、SIEM/SOAR、IdP、MDMなどと統合できます。

Jamf Mobile Forensicsの一般的な用途

出張の前後
スパイ活動のリスクが高い国に出張する従業員は、リスクを見極め、IoCを探知し、被害が広がる前に脅威に対応できるよう、詳細な分析を迅速に行うことが求められます。例えば、世界各地で職務に従事し狙われやすい立場にある職員を保護する政府機関は、様々なタイプの脅威に直面します。

デジタルフォレンジックとインシデント対応
デバイスを分析してデバイスの完全性を迅速に評価し、異常を特定します。これまで数週間かかっていた封じ込め対策を数分で完了します。

モバイル脅威ハンティング
iOSデバイスやAndroidデバイスをプロアクティブにスキャンし、ログ（OSレベルを含む）を分析して、デバイスにIoCがないかを調査したり、被害が生じる前に悪意のある攻撃を検出するためのルールを作成したりします。

Jamf Mobile ForensicsとJamf for Mobileの違い

Jamf for Mobileは、デバイス管理とコンプライアンス、モバイルセキュリティ（フィッシング対策、アプリのリスク監視、Web コンテンツフィルタリングなど）、アプリへの安全なアクセスを組み合わせた、Jamfの基盤モバイルプラットフォームです。Jamf for Mobileを導入することで、組織はユーザエクスペリエンスに配慮しながら、ITシステムを統合し、業務プロセスを拡充するソリューションを活用して、職場におけるモバイルデバイスの活用の幅を広げることができます。

Jamf Mobile Forensicsは、高度なフォレンジックレイヤーを追加することで、狙われやすい重要人物を標的型攻撃から保護します。モバイルデバイス上の異常な挙動、不審なアクティビティ、高度な脅威を調査するように設計されています。

Jamf Mobile Forensicsが防御する高度な脅威の種類

• 傭兵型スパイウェア：Predator、Pegasus、Graphite、Spyrtacusなどの商用監視ツールは標的型攻撃用に設計されており、iOSデバイスやAndroidデバイスの脆弱性を利用して侵入します。

• 持続的標的型攻撃（APT）：CISAによると、「APT攻撃者は豊富なリソースを有し、標的を定めて長期間にわたってネットワークやシステムに侵入することを目的とした、巧妙で悪意のあるサイバーアクティビティを行う」とされています。このタイプの攻撃は、初期防御システムをすり抜けて、長期間デバイスに留まる傾向があります。

• 国家主導型攻撃：政府機関アクターによって実行される攻撃で、APTと傭兵型スパイウェアの両方が使用されます。

• ゼロクリック攻撃：ユーザによる操作を伴わずに脅威アクターがモバイルデバイスを侵害するために使用する手法です。ゼロクリック攻撃とネットワーク経由の攻撃は、傭兵型スパイウェアツールの一般的な攻撃手法です。

モバイルデバイスフォレンジックの課題

• デバイスの可視性：エンドポイント管理、モバイル脅威防御、VPN/ZTNAといった基本的なセキュリティ機能は、一般的な攻撃は防御できても、高度な脅威を検出するために必要なデータや脅威の詳細な分析機能を備えていません。

• 手動によるフォレンジック：外部のフォレンジックコンサルタントを雇うには専門知識が必要で、コストの増加や対応時間の長期化を招き、個人情報が漏洩するリスクも伴います。

• 一時的なデバイス：ユーザエクスペリエンスの低下や余分なハードウェアの増加を招くだけでなく、シャドーITにもつながります。

Jamfでは、標的型攻撃に狙われやすい重要人物も含めたユーザ全体をソリューションの中心に据えています。