要約

  • LACNICは10月7日、Guillermo Pereyraによるカナリアトークンの解説を公開した。2025年のGrafana Labsの事例を使い、おとりの認証情報が検証された際に警報を出す仕組みを説明している。
  • Grafanaの講演記録は、04:30の攻撃イベント、TruffleHogによる検証中の06:15の作動、08:00の対応、11:00のログ調査を別々に示す。タイムゾーンは記載されず、最初の時刻が最初の侵入を示すともしていない。

作動時刻は侵入開始時刻ではない

秘密情報は、おとりに触れられる前に盗まれていることがある。LACNICが新しい解説で取り上げた事例は、この二つの時点を分けて読む必要を示す。10月7日、LACNIC BlogはGuillermo Pereyraによるカナリアトークンの説明を掲載した。ファイル、認証情報、URL、ドメイン名などにおとりを置き、特定の操作が加わると警報を送る手法だ。記事には、著者の見解がLACNICの見解を必ずしも反映しないとの免責文がある。これは一般向けの解説であり、LACNICがトークンを導入したことや関連する被害を受けたことの証拠ではない。

この解説はGrafanaの事例を早期警告の例として紹介する。GitHubのリポジトリから秘密情報を盗んだ攻撃者が、実際にはカナリアだったAWS鍵の有効性を確認しようとした。LACNICは警報が即時に届き、侵入が数分以内に封じ込められたと説明する。一方、Grafana自身の公開記録は、短い説明より多くの段階を示している。

Grafana Labsの2025年のセキュリティ告知によると、設定に問題のあったGitHub Actionsワークフローから、限られた数のトークンが露出した。不正アクセスは自動化システムに限られ、本番環境やリリース成果物には及ばなかったという。同社は露出したトークンを無効化し、認証情報をローテーションし、ワークフローを監査し、アクセスログを調べた。告知時点でも調査は続いており、同社は影響を受けた五つのリポジトリ内に侵入がとどまった可能性が高いとしていた。

後のGrafanaCON講演記録は、カナリアが検知した動作を具体化している。秘密情報を探すツールTruffleHogは、稼働中のサービスに対して認証情報を検証できるという。登壇者は04:30を攻撃イベント、TruffleHogの検証中にカナリアが作動した時刻を06:15、その後の対応を08:00、Lokiのログ調査を11:00としている。タイムゾーンは示されていない。これらは講演で示された時系列であり、時刻を統一したインシデント記録ではない。04:30だけでは初回アクセスの時刻は分からず、トークンは盗難後の検証を記録している。

講演の時刻では、06:15の作動から08:00の対応まで1時間45分ある。ただし記録は、08:00が最初の実作業か正式なエスカレーションか、また封じ込めがいつ完了したかを説明していない。この時系列は「数分以内の封じ込め」という解説の記述を否定するものでも、それを独立に裏付けるものでもない。警報、対応、封じ込めには別々の時刻が必要だと示している。

こう読むと「即時」の範囲は明確になる。トークンは、配置したおとりに特定の操作が加わった時点で警報を出せる。しかし、それだけではワークフローがいつ侵害されたか、誰が認証情報を得たか、アクセスがどこまで及んだか、脅威が封じ込められたかは分からない。講演によれば、警報は認証情報の検証を知らせ、影響範囲の確認にはログと追加調査が必要だった。

登壇者が説明した対策も、おとりを増やすだけではない。秘密情報をVaultへ移し、ZizmorとTruffleHogのスキャンを必須化し、カナリアの配置範囲を広げ、過大なGitHub App権限を縮小し、利用者教育も行った。これらは露出経路、権限範囲、再発可能性に対処する措置だ。カナリアは防御全体の一つの信号であり、他の統制に代わるものではない。

LACNICの解説は、公開トークンサービスが一部のツールに識別されることや、警報を誰かが見なければ役に立たないことにも触れている。Grafanaの登壇者は、TruffleHogが認識済みの無料Thinkstトークンを検出して検証をスキップすると説明した。すべてのツールやトークンに当てはまる話ではないが、警報が出ないことだけで秘密情報が検索されなかったとは言えない。LACNICは誤検知もほとんどないとする一方、測定値や分母を示していない。実際の信号はトークンの種類、置かれた経路、他のソフトウェアの動作に左右される。

持ち帰るべき教訓は、カナリアが侵入の最初の瞬間を見つけるということではない。おとりの秘密情報は後続の操作を早く表面化させうる。その警報が人に届き、調査に必要な記録が残り、チームが認証情報を無効化して権限を狭められることが条件となる。

出典