/ デセプション テクノロジーとは
デセプション テクノロジーとは
Overview
• Modern deception technology evolved the concept of the honeypot for the cloud-first, AI security-aware era. Deception uses machine learning for dynamic decision making, and the solution can identify everything from lateral movement to ransomware to AI-augmented attacks.
• Because legitimate users don’t interact with decoys, deception technology produces almost no false positives.
• Threat actors now use AI to automate reconnaissance at record scale. As enterprises build out their AI security programs, deception technology will be top-of-mind to address this risk.
• When paired with zero trust, deception technology provides a defense-in-depth approach so that enterprises get comprehensive threat detection and strict, identity-based security.
デセプション テクノロジーが重要な理由
どれほど優れた境界防御を施していても、サイバー犯罪者がネットワークに侵入する可能性は常に残ります。デセプション テクノロジーを利用すると、攻撃者を罠へと誘導し、価値のない偽の資産の探索に時間を浪費させることができます。そして、攻撃者の存在を明らかにし、行動の兆候を早期に察知して、対策に活用できる有用な情報を得られます。
現代のデセプション テクノロジーによる防御は、カウティリヤや孫子、ナポレオン、チンギス・ハーンなどが用いた欺瞞作戦の原理を大いに参考にしています。彼らは、はったりや偽装、欺瞞を駆使して広大な地域を征服していきました。サイバーセキュリティの世界では、防御側がデコイやルアーを使って攻撃者を欺き、ネットワークに足場ができたと錯覚させて存在を暴きます。
デセプション テクノロジーのメリット
大まかに言えば、デセプションの最大のメリットは、防御側が重圧を感じる必要がなく、攻撃側の活動の成否が問題になるという点です。ネットワークにデコイが配置されている場合、攻撃者はダミーの資産や誘導、罠に一度も引っかからずに完璧な攻撃を行わなければなりません。1つでもミスを犯せば、防御側の勝利です。
こうした防御態勢を実現するデセプションの具体的なメリットを5つ紹介します。
1. 脅威検出能力の向上
検出アプローチを精度の観点で整理すると、以下の2つは両極端にあたります。
- シグネチャーベースの検出：精度は高いものの、検出できるのは特定の脅威に限定されています。
- 行動分析/ヒューリスティック分析：幅広い脅威に対応しているものの、誤検出が発生しやすいという難点があります。
デセプション アラートは、上記2つのアプローチの長所を両立させており、高い精度で広範な脅威に対応できます。
2. ビジネス リスクの考慮
セキュリティ制御の大半は、現在のビジネス リスクを考慮したものではありません。例えば、ウイルス対策ソフトは合併を想定していません。しかし、デセプション テクノロジーは本質的にそのようなビジネス リスクに合わせて調整することが可能です。例えば、新製品を発売する場合はその発売に関連するデセプション対策が可能で、リスクがあると考えられる領域に緊密なセキュリティ制御を実行できます。
3. 保護範囲の拡大
デセプションは、盲点になりがちな環境も含め、組織全体に広く適用することができます。境界、エンドポイント、ネットワーク、Active Directory、アプリケーション レイヤー全体で脅威を検出するだけでなく、軽視されがちなSCADA/ICS、IoT、クラウドなどの環境も網羅することが可能です。
ポイント ソリューションとは異なり、デセプションは攻撃前の偵察からエクスプロイトや権限昇格、ラテラル ムーブメント、データ漏洩に至るまでのキル チェーン全体をカバーします。
4. 極めて低い誤検出率
誤検出が多発するとセキュリティ部門の疲弊につながります。デセプションは、その仕組み上、誤検出が本質的に極めて少ないのが特長です。これは、デコイと接触するのが攻撃者のみだからです。さらに、検出時のアラートでは攻撃者の意図に関するコンテキストも提供します。
ほとんどの行動分析は、機械学習を利用してベースラインの異常にフラグを立てますが、この方法では誤検出の発生率が高まる傾向があります。デセプションはすべてのアクティビティーが調査対象となる、アクティビティー ゼロのベースラインを確立しているため、詳細なIoC (侵害の痕跡)を提供できます。
5. レスポンスのオーケストレーション
レスポンスのオーケストレーション/自動化は、トリガーとなるイベントが100%確実な場合に最も有効となります。その場合でも、アラートを生成する製品自体が修復(アンチウイルスによる隔離など)を元々扱っているため、通常はアラートのオーケストレーションは必要ありません。
デセプション アラートは確実性が高くコンテキストに基づいているため、より複雑なシナリオ(デコイの認証情報がデコイの環境にリダイレクトされ、本物の環境ではブロックされるなど)や、特定のアプリケーションのイベント(デコイのSWIFTサーバーにアクセスしたアカウントが本物のSWIFTサーバーでブロックされるなど)を対象にしたオーケストレーションが可能です。
デセプション テクノロジーの仕組み
現代のデセプション テクノロジーは、アクティブ ディフェンス技術を使用して、攻撃者に対して敵対的なネットワーク環境を作り出します。後述するハニーポットと同様、今日のデセプション テクノロジーは、正当なユーザーが全くアクセスする必要のない偽リソースを本番環境の資産に見せかけてネットワーク上に多数配置するものです。そして、デセプションベースのアラートを利用して、悪意のあるアクティビティーの検出、脅威インテリジェンスの生成、ラテラル ムーブメントの阻止、脅威へのレスポンスと封じ込めのオーケストレーションを人間の介在なしに実行します。
最新のデセプション プラットフォームは、積極的で誤検出の少ない検出モデルに則っています。詳細な分析を利用して攻撃の背後にいる人物の目的を明らかにし、新たな脅威に発生前から適応し、レスポンスのオーケストレーションと自動化を実現します。デセプションによる防御は、シグネチャーやヒューリスティックによる検出に依存しないため、ほぼすべての攻撃ベクトルを網羅し、高度な標的型攻撃(APT)、ゼロデイ攻撃、偵察、ラテラル ムーブメント、ファイルレス攻撃、ソーシャル エンジニアリング、中間者攻撃、ランサムウェアなど、ほぼすべての攻撃をリアルタイムで検出することができます。
ネットワーク上の攻撃者を特定すると、攻撃に関して得た知識に基づいてデセプション環境をリアルタイムに操作することができます。考えられる例を以下に示します。
- デセプション用の資産を生成したり削除したりすることで、攻撃者の行動を誘導する。
- ネットワーク トラフィック、アラート、エラー メッセージを生成して、攻撃者が特定の行動を実行するように仕向ける。
- セッション乗っ取りツールを実装して、環境に対する攻撃者の認識を曇らせたり、歪めたりする。
- 障害を回避するために攻撃者が自分自身やアクセス元についての情報を開示しなければならない状況を作る。
デセプションは、サイバー攻撃者に余分な手間をかけさせるだけではありません。ほとんどの攻撃者は侵入しようとする環境についてすべてを把握しているわけではなく、何が本物かを見分けられません。この点を利用することで、攻撃側と防御側との力関係が根本的に逆転し、攻撃者が盗もうとしている資産とその理由や方法を具体的に知ることができるのです。
最新のデセプション テクノロジーとハニーポットの違い
ハニーポットは情報セキュリティにおける最初のデセプション ツールで、数十年前に開発され、現在でも使用されています。これは、ネットワークに侵入した攻撃者をおびき寄せるために設計した資産のことで、これを保護せずに監視します。ハニーポットにアクセスがあった場合、セキュリティ オペレーション チームは攻撃者の情報を入手するか、攻撃を止めるための措置を取ることができます。
ハニーポットやハニー クレデンシャルなどの旧来のデセプション テクノロジーは、本質的に受動的で静的なものです。すぐに時代遅れとなり、攻撃者の戦術の変化に対応できないため、検出を逃れた攻撃者がネットワークに潜伏する危険性は高まります。インターネットにアクセスできるハニーポットやハニーネットは、広範なスキャン活動と標的に対する偵察活動を区別できなければ、多くの誤検出を起こす可能性があります。
What Are Honeypots?
The first tool of information security deception, the honeypot, appeared several decades ago. Honeypots are unprotected but monitored assets designed to attract attackers who have breached a network. Once the honeypot is accessed, security operations teams can act to gain intelligence on the attacker or shut the attack down.
Older deception technologies like honeypots and honey credentials are reactive, static techniques. They can fall out of date quickly and can't keep up with changing attacker tactics, making it easier for attackers to evade detection and dwell in the network.
Honeypots and honeynets accessible to the internet can result in many false positives if the technology can't differentiate between broad scanning activities and targeted reconnaissance.
Honeypots vs. Modern Deception Technology
Deception technology represents the evolution of the honeypot for modern cybersecurity. Modern deception technology is a coordinated layer of decoys, lures, and breadcrumbs that adapt dynamically based on attacker behavior.
Honeypots are static, provide limited threat intelligence, and require manual configuration. Unlike honeypots, deception technology uses automated deployment models and provides granular detail on attacker TTPs.
従来型の検出テクノロジーの課題
サイバー デセプションの手法は、攻撃者がすでに境界防御を回避し、ネットワーク、エンドポイント、オペレーティング システム、アプリケーションにアクセスした状況を想定しています。他の脅威検出の手法はセキュリティ部門に脅威の発生を通知するように構築されていますが、現代の巧妙な攻撃に対しては不十分です。
ファイアウォールやエンドポイント検出などの従来型の検出ツールは、いずれも特定のタイプのセキュリティ(ネットワーク、アプリケーション、エンドポイント、IoTデバイスなど)を想定して構築されており、多くの場合に互いに独立して動作します。そして、これが以下のような問題を招きます。
- これらのツールはセキュリティ インフラの特定の部分のみを対象とするため、コンテキストを欠いた精度の低いアラートにつながる。
- 攻撃のシーケンスや被害の範囲を明らかにするために、セキュリティ アナリストが複数のツールを使い分ける必要があり、調査に長時間を要する。
- 高い誤検知率がアラート疲労を引き起こす。ESGによる2021年の調査によると、回答者のWebアプリケーションおよびAPIセキュリティ ツールから発せられたアラートの45％が誤検出。
さらに、既存の検出テクノロジーの多くは、脅威が外部と内部どちらに存在するかによらず、人間による攻撃よりもマルウェアからの保護を得意としています。悪意のある高度な攻撃者は、そうでない攻撃者に比べはるかに洗練された技術を持っており、正当なユーザーの行動を模倣して検出を逃れることに長けています。しかし、デセプション プラットフォームがあれば、攻撃者がデコイと接触した瞬間にその存在が明らかになります。
デセプションのユース ケース
デセプション テクノロジーで検知できる脅威のタイプ
デセプション テクノロジーは、偵察からデータ盗難まで、キル チェーン全体における脅威の検出に使用することができます。ユース ケースには大きく分けて3つのカテゴリーがあります。
- 境界デセプション防御：普通、外部からのすべてのトラフィックをモニタリングして潜在的な脅威を発見することは不可能です。デセプション用の資産を設定して外部に公開することで、この問題を単純化し、組織を標的にしている攻撃者についての実用的な情報が得られます。
- ネットワーク デセプション防御：正当なユーザーが決してアクセスする必要のないデコイを攻撃者に見える形で配置することで、進行中の攻撃を特定します。
- エンドポイント デセプション防御 ：デコイのエンドポイントは、攻撃者の目には盗み出すのにうってつけの資産のように映ります。これらの資産をモニタリングすることで、不審な行動だけでなく、ネットワーク上では正常ではあるものの、特定のエンド ポイント特定の時間帯に実行されないはずの行動も検出できます。
“Decoys reveal background reconnaissance at scale. ThreatLabz observed 89.9 million hostile interactions from 1.37 million unique attacker IPs across 520 customer environments in six months.”
—Read the Zscaler ThreatLabz 2026 Phishing and Initial Access Report |
Deception technology and decoys help enterprises understand their AI security risks, respond to attacks, and harden their AI security posture.
デセプション テクノロジーを利用すべき組織
業界では最近まで、デセプションは主に高度に成熟したセキュリティ機能を持つ組織にとって有効なものと考えられてきました。しかし、中堅、中小規模の組織にとっても、このテクノロジーには大きなメリットがあります。今やデセプションは、あらゆる形態や規模の組織においてセキュリティの主流となりつつあります。
成熟した大規模組織
セキュリティが十分に整備され潤沢な予算を持つ先進的な組織は、デセプションを活用して、脅威の検出、内部の脅威インテリジェンスの作成、脅威へのレスポンスを最適化しています。
こうした組織は、より高度な脅威の検出や誤検知率の低いアラート機能の活用を通じて、脅威へのプロアクティブな対応や既存のテクノロジーを利用した統合的なレスポンスの実行を目指しています。デセプションはこの市場セグメントに牽引され、より広く利用されるようになっています。
中堅、中小規模の企業
中堅組織のCISOや中小規模の組織のセキュリティ部門の予算は限られていますが、コンプライアンス上の問題など大きな脅威やリスクに対処することも少なくありません。少なくとも基本的なセキュリティ対策は確立されているかもしれませんが、より深刻な脅威を検出する能力を備える必要があります。このような組織には、以下の条件を満たすソリューションが必要です。
- 迅速に配備でき、すぐに効果を発揮できる
- 使いやすい上にメンテナンスの負荷が少なく、少人数の社内セキュリティ部門でも運用しやすい
- ポイント ソリューションではない(複数のテクノロジーを導入するほどの予算がなくても利用できる)
- クラウドやIoTを含む、幅広い領域に対応する機能を備えている
デセプションは上記すべての条件を満たしており、中堅、中小規模の組織でも、より高度な標的型の脅威に対抗できるようになります。
Zscaler:デセプションとゼロトラスト アーキテクチャーの統合
単一のセキュリティ テクノロジーやポリシーでは、攻撃者を100%阻止することはできません。最大限の保護を実現するには、複数のテクノロジーが連携し、情報を共有する必要があります。攻撃対象領域を最小限に抑え、インシデントの修復をいっそうスピーディーに行えるようにすることがポイントになります。
そこで最も効果を発揮する組み合わせの1つが、デセプション テクノロジーとゼロトラスト セキュリティです。ゼロトラストでは、すべてのアクセスとユーザーのリクエストは悪意のものであると仮定し、ユーザーのアイデンティティーとリクエストのコンテキストの両方が認証、許可されて初めて、必要最小限のリソースにのみアクセスできるようになります。これは「最小特権アクセス」と呼ばれます。
デセプションのデコイは、ゼロトラスト環境における罠として機能し、侵害されたユーザーやネットワーク上での脅威のラテラル ムーブメントを検出します。ラテラル ムーブメントは安全で隔離された環境ですべて追跡され、攻撃者がどの資産を狙っているのかに関するアラートが発せられます。また、攻撃者の動きを減速させることで、セキュリティ部門によるTTP (戦術、技術、手順)のモニタリングを可能にしてくれます。
Zscaler Deceptionはゼロトラストにデセプションを統合して、攻撃シーケンス全体を追跡し、Zscaler Zero Trust Exchangeプラットフォーム全体で自動レスポンスを行います。
Zscalerは、EngageフレームワークにおけるMITREのパートナーです。詳細はこちらをご覧ください。
他のセキュリティ制御で阻止できなかったユーザーの侵害やラテラル ムーブメントをZscaler Deceptionで検出
おすすめのリソース
Deception technology is a category of cybersecurity solutions that seed fake assets like false credentials or fake databases into enterprise environments. Because legitimate users have no need to engage with decoys, any interaction with a decoy is evidence of a cyberattack. When deception identifies an attack, the technology manipulates threat actors with inaccurate information to gather information on their TTPs.
Honeypots are standalone decoy systems that enterprises scatter across their environments. Deception technology builds upon basic honeypot technology by seeding decoys in addition to lures and breadcrumbs across the environment. While honeypots wait for threat actors to find those fake resources, deception technology actively encourages threat actors to engage with decoys and manipulates threat actors to gather threat intelligence.
Yes, deception technology detects both ransomware and lateral movement. Deception sends a high-fidelity alert and starts gathering threat intelligence the moment that ransomware tries to enumerate or encrypt a decoy file. Because deception seeds fake credentials on real endpoints, it can detect early lateral movement attempts whenever a threat actor uses those credentials to move further within the enterprise’s systems.
Zscaler Deception plants lures, breadcrumbs, and decoys across your environments to manage novel risks like AI-augmented attacks. The platform generates deterministic alerts that let your security teams respond quickly, without needing to spend time investigating the threat.
As a part of the cloud native Zscaler Zero Trust Exchange, Zscaler Deception can seamlessly implement threat detection across your entire enterprise.
Zero trust architectures minimize the attack surface via least-privileged access controls, but threat actors might still breach those controls. Zscaler Deception ensures that security teams can quickly respond to threat actors who breach their systems. By working together, Zscaler Deception and zero trust architectures create a defense-in-depth strategy that layers tight access control on top of rigorous threat detection capabilities.
Deception technology uses decoys such as fake servers, databases, AI training data, and GenAI apps. Lures include resources like fake API keys, usernames, and files. Deception also uses breadcrumbs, which are a type of lure that’s placed on an endpoint and used to entice attackers to try to move laterally or escalate privileges in the environment.
Yes, deception technology uses AI. Deception technology uses machine learning to create decoys that look and behave similarly to the enterprise’s legitimate systems. Behavioral baselining helps deception technology understand what typical network and user behavior looks like so that suspicious activity is identified sooner. Security teams use GenAI to manipulate threat actors in their decoy environment and gather threat intelligence.
Deception technology reduces attacker dwell time by manipulating the threat actor the moment that the technology detects suspicious behavior. Deception lures the threat actor into engaging with decoy systems and data, which convince the threat actor that they’re compromising business-critical systems. But legitimate business data is protected from the attack, and the enterprise gathers valuable threat intelligence in the process.