シ ス テ ム 監 査

2

Mar.2013＜研究論文＞

Advanced Persistent Threat（APT）の分類と対応策についての一考察
Classification of Advanced Persistent Threat（APT）,
and a proposal for reducing threats岩崎正治

Masaharu Iwasaki

原田

要之助

Yonosuke Harada

情報セキュリティ大学院大学 情報セキュリティ研究科
概要
APT（Advanced Persistent Threat）は、近年、その被害が世界各国の企業・組織で顕在化したことで、注目を集めている。2010 年 1 月に Google が被害を受けたことを公表し話題となった「Operation Aurora」、2010 年 6 月に発見され注目を集めた「Stuxnet」など、報告事例は増加の一途をたどっている。しかしながら、APT には明確な定義がなく、その対応策については対症療
法的なものであり、また体系的なものではなかった。本論文では、APT の定義を整理するために、用語としての歴史的経緯からの調査と用語の定義の適切さに対する考察を行う。そして、APT について攻撃対象の情報システム資産の CIA への攻撃のプロセスに着目した観点から特徴を見出し、「APT とは何か」ということについての考察を行う。その上で、APT に対する対応策の方向
性について論ずる。
APT（Advanced Persistent Threat）has been discussed in recent years because the APT has
caused huge damage to the company and organization around the world. For example, ”
Operation Aurora” which Google has been attacked with suffered a serious damage in Jan.
2010and” Stuxnet” which attached to SCADA and was discovered in Jun. 2010. After that the
number of incident reports published for APT is increasing. However, there is no clear definition
for APT, and there is no effective and systematic but only ad hoc treatments are taken. This
paper, first challenges to define APT through investigation of historical background as aterminology to cover incidents and then consider the appropriateness of a definition which
explains its activity and resulted damage. Also, the feature of APT has been categorized anddiscussed from the viewpoint of targeted information system asset CIA and of a process ofactivity and deep insight analysis has been carried out to discuss “what is APT?” Finery, thepotential direction of the possible measures against APT has been discussed.
【キーワード】Advanced Persistent Threat（APT）、Stuxnet、Operation Aurora

2012/4/10 受付、2012/11/5 受理

Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

1. はじめに3ている。

本章では、研究にあたる背景と研究目的についてまとめる。

1.2 研究目的
図１は、情報セキュリティ大学院大学原田

1.1 研究背景

研究室にて 2011 年 7 〜８月に実施したアン

サイバー攻撃は日々進化を続け、従来のよケート結果から、情報セキュリティに関する

うな単純な攻撃から、複合的な手段を用いる

用語の認知度の結果を示したものである。

攻撃へと高度化した。当初、高度化した攻撃

本アンケートは、一般の企業・組織に比べによる被害が顕在化したのは、主にアメリカ

情報セキュリティに対する意識・知識が高いの政府機関や軍事産業であった。しかし、高と想定される、プライバシーマーク 或いは度化した攻撃による被害は、アメリカの政府

ISMS 認証を取得している企業・組織の情報

機関や軍事産業以外の企業・組織でも顕在化

セ キ ュ リ テ ィ 担 当 者 に 対 し 実 施 し て お り、

していき、更にはアメリカだけでなく世界中「APT」に関する認知度は高くなることを予測の企業・組織でも顕在化してきた。そして、していた。しかし、「APT 攻撃」を知っていこのような攻撃は、近年 Advanced Persistent

るとの回答は、本質問の有効回答数（347）

Threat（APT）と呼ばれるようになった。

のうち 9.2%（回答数：32）にすぎなかった。

APT に類するサイバー攻撃の事例は、アメAPT の有名事例についても、「Stuxnet」は 5.4%

リカを中心とした海外において、2010 年頃（回答数：19）、「Operation Aurora」は 6.3%（回から数多くの事例が報告されている。日本に答数：22）、「Night Dragon」7.5%（回答数：

おいても、2011 年 9 月に報道された三菱重26）の認知度であった。本アンケートの回答

工などを対象としたサイバー攻撃は APT に類者は、先にも述べたように、一般よりも情報するといわれており、APT による被害が顕在

セキュリティに関する知識を持っていると見化してきているよう見受けられる。このよう込まれることから、日本の企業・組織においな世界的な情勢及び日本国内の情勢を背景て APT に関する認知度は、総じて低い傾向でに、企業・組織は APT に対する対応を迫られあったと考えられる a。

図1

情報セキュリティに関する用語の認知度【１】[ 出典：情報セキュリティ大学院大学 原田研究室 ; ” 2011 年 情報セキュリティ アンケート調査結果” , P.99 (2011)]

シ ス テ ム 監 査

4

Mar.2013

このような APT に対する認知度の低さは、示す。Google Trend 及び Google Insights for

日本の企業・組織において APT に類するサイ

Search で示される結果は、検索ワードに対す

バー攻撃への対応が後手に回っていることのる世間一般における時系列での関心度の遷移証左であると考えられたことから、APT に対を把握することに、適していると考えられる。

する対応策について検討を行う必要があると

図 2 が示す結果から、Operation Aurora に考えた。しかし、APT について研究を始めたよる被害が公表される 2010 年 1 月までは、

ところ、資料によって APT の定義が異なって「advanced persistent threat」が検索されるいた。このため、対応策についても対症療法

割合は非常に低かったことがわかる。また、的なものが多く、また体系的になっていな

図 3 が 示 す 結 果 か ら、2010 年 1 月 ま で はかった。そこで、APT の定義について明らか「advanced persistent threat」 に 関 連 す るにする必要があると考えた。

ニュースの Web サイトへの掲載が、ほとん

本論文では、APT の定義を整理するために、どなかったことがわかる。APT は 2006 年頃

用語としての経緯からの調査と用語の定義のアメリカ空軍で使用されはじめた用語である

適 切 さ に つ い て の 考 察 を 行 う。 そ の 上 で、と言われており【2】、2010 年 1 月に至るまで

APT の特性について整理し、APT の定義につAPT という用語が存在していなかったわけでいての考察を行い、APT に対する対応策の考は な い。 す な わ ち「advanced persistent

え方について考察する。

threat」という用語は、2010 年 1 月以前に
おいては、一般的には使用されない用語（専2. 用語としての経緯について
本章では、まず用語としての経緯を、関心

門用語）であったと考えられる。
一方、2010 年 1 月以降においては、図２・度と意味合いの推移から整理する。

図 ３ の 結 果 が 示 す よ う に「advanced

2.1 用語への関心度の推移

persistent threat」の検索ボリュームやニュー「advanced persistent threat」 に 対 す る

ス参照数は、一定程度の頻度を維持し続けてGoogle Insights for Search における検索ボきている。このことから、2010 年 1 月以降

リュームの動向を図 2 として、Google Trend「advanced persistent threat」は、一般的ににおけるニュース参照数の結果を図 3 として使 用 さ れ る 用 語 に 変 わ っ た と 考 え ら れ る。

図2

Google Insights for Search における「advanced persistent threat」の結果より抜粋 (2012.03.16 実行 )

Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

       	
  

図3

5

 	  Google Trend における「advanced persistent threat」の結果より抜粋 (2012.03.16 実行 )2010 年 1 月に、Google が Operation Aurora

対象より攻撃内容に重点をおいた観点で APTと呼ばれる一連のサイバー攻撃による被害をについての情報発信をおこなったこともあ

公表した頃から、各セキュリティベンダーがり、APT は、組織・企業に対する高度かつ継Operation Aurora などのサイバー攻撃の説明

続的なサイバー攻撃としての意味を持つように際し APT を用語として用いる

ようになっ

【３】

になった。

たことを踏まえると、Operation Aurora を契以上に述べた経緯を背景に、APT という用機として、APT はセキュリティベンダーの広語は、2010 年 1 月頃を境に、「アメリカの政報活動やメディアによる報道を通じて一般に

府機関や軍事産業を中心としたアメリカの組

関心を持たれるようになり、用語として広く

織・企業を対象としたサイバー攻撃」と「（一使われるようになったと考えられる。

般企業も対象とした）組織・企業に対する高2.2

度かつ継続的なサイバー攻撃」という２つの用語の意味合いの推移

2010 年 1 月までのサイバー攻撃による被害意味合いを持つようになった。

は、アメリカの政府機関や軍事産業に対するものが顕在化しており (「Moonlight Maze」b

3. 定義の分類について

や「Titan Rain」 が代表的事例 )、その攻撃

本章では、APT の定義の分類について、現の高度さや執拗性から APT と呼ばれるように状の整理を行なう。その上で、顕在化していなった。このため、2010 年 1 月以前においる APT による被害の現状を踏まえて、定義のては、APT という用語は、アメリカの政府機分類についての考察を行う。

関や軍事産業を中心とした、アメリカの組織・

3.1 定義の分類の現状

c

企業に対するサイバー攻撃としての意味合い

2 章で述べた経緯を経て、APT の定義は大きく二分され d、現在に至る。１つは、2010が強かった。
一方、Operation Aurora においてサイバー

年 1 月までの主流であった、アメリカの政府攻撃を受けていたことが顕在化した組織・企機関や軍事産業などの攻撃対象に着目した業には、Google【４】や Adobe Systems【５】などの、「Who」からの観点による定義である。もうアメリカの政府機関や軍事産業以外の企業が

１つは、2010 年 1 月以降に主流となった、。このため、Operation

一般企業に向けた攻撃方法や攻撃手法に着目

Aurora が APT に類するサイバー攻撃としてした「How」からの観点による定義である。

扱われたことは、アメリカの政府機関や軍事

前者に属する定義の例として Mandiant によ産業以外の企業も APT の対象であると認識をる定義を、後者に属する定義の例として NIST

広めていくことになった。さらに、2010 年

による定義を、表１に記す。

数多く含まれていた【６】

1 月以降は、各セキュリティベンダーが攻撃

シ ス テ ム 監 査

6
定義分類

定義例
[Mandiant の定義 ]【７】「Who」に依る定義

Mar.2013

The Advanced Persistent Threat (APT) is a term used todescribe a specific group of threat actors (multiple cells) that have beentargeting the U.S. Government, Defense Industrial Base (DIB) and the financial,manufacturing and research industries for nearly a decade.
[NIST の定義 ]【８】An advanced persistent threat is an adversary that possesses「How」に依る定義

sophisticated levels of expertise and significant resources which allow it tocreate opportunities to achieve its objectives by using multiple attack vectors(e.g., cyber, physical, and deception).

表１

APT の分類別 定義例

3.2 APT による被害の現状
Operation Aurora を契機として、APT は用語として広く使われるようになった。このため、APT は「How」の観点による定義で用いられることが多くなってきている。しかし、「How」の観点による攻撃方法に着目した定義に対し批判的な意見も多い。Mandiant は、「Operation Aurora 以降に用いられるようになった APT は、APT に慣れ親しんでいない組織が用語としての意味を希釈して創造したものであり、APT の意味が” advanced andpersisten threat” に変わってしまっている」、と指摘している【3】。用語としての経緯を踏まえると、APT の原義は「Who」の観点が基本であり、「How」の観点は拡大解釈された後

図４

APT による部門別被害【７】付の意味合いとも言える。しかし、以下に述べるように、APT に類するサイバー攻撃による被害は、アメリカの政府機関や軍事産業以外でも顕在化しており、攻撃対象が限定されているとは言い難いのが現状である。
図４は、Mandiant が 2011 年 3 月以前の18 ヶ月間に検出した、APT に類するサイバー攻撃による部門別被害の割合 e を示したものである。商業部門の被害が全体の４割程度の割合で最も多く、次いで軍事産業部門の被害が３割程度の割合となっている。このように、APT の被害はアメリカの政府機関や軍事産業以外にも広がっていることがわかる。また、表２は、図４における商業部門の被害における産業
別被害を示したものであり、幅広い業種で APTの被害が顕在化していることがわかる。

表２

商業部門における産業別被害【７】[ 出典：Mandiant Corporation; “Mandiant M-trends 2011 report” , P.5, (2011) ]Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

7

さらに、「Operation Shady RAT」f に見ら

表３は、McAfee の調査による「Operation

れるように【９】、APT に類するサイバー攻撃にShady RAT」における国別の被害企業・組織

よる被害は、アメリカの組織・企業以外にお数を示したものである。アメリカにおける被いても顕在化している。

害企業・組織数が 47 であるのに対し、アメリカ以外における被害企業・組織数は 24 と

国

被害

産業分類

組織数

アメリカ

47

被害

全体の約３割を占めている。このことから、

組織数

アメリカ以外の企業・組織においても、APTに類するサイバー攻撃による被害が顕在化し金融 / 会計

5

軍事産業

12

工業 / エネルギー

4

国際団体

4

情報通信

7

が顕在化していることがわかる。

政府機関

15

3.3

ていることがわかる。また、政府機関及び軍事産業における被害数が 34 であるのに対し、それ以外の被害数は 37 とほぼ同数であり、政府機関や軍事産業以外にも APT による被害
被害の現状を踏まえた APT の定義の分
類について

アジア

3

国際団体

3

インドネシア

1

国際団体

1

以上で述べた現状を踏まえると、現在被害

インド

1

政府機関

1

が顕在化している APT に類するサイバー攻撃

イギリス

2

情報通信

1

の対象は、「アメリカの政府機関や軍事産業

欧州

2

国際団体

2

を中心としたアメリカの組織・企業」ではな

情報通信

1

国際団体

1

政府機関

2

カナダ

4

く、「世界中の政府機関や企業・組織」であることが分かる。アメリカ空軍で APT という用語が使用され始めた当時においては、当時顕在化していた被害から「アメリカの政府機

韓国

2

工業 / エネルギー2

シンガポール

1

情報通信

1

国際団体

1

ていたと言える。しかし、「世界中の政府機

政府機関

1

関や企業・組織」における APT による被害が

情報通信

1

顕在化している 2011 年現在においては、
「ア

政府機関

1

メリカの政府機関や軍事産業を中心としたア

スイス

2

関や軍事産業を中心としたアメリカの組織・企業」が APT の攻撃対象という考え方は適し

台湾

2

デンマーク

1

情報通信

1

ドイツ

1

金融 / 会計

1

ベトナム

1

政府機関

1

「How」を重視した観点で APT の定義を考察

香港

1

情報通信

1

することが妥当である。

表３「Operation Shady RAT」による国別の被害企業・組織数【9】[ 出 典：Dmitri Alperovitch(McAfee); Operation
Shady RAT の全貌” , P.4、P7-9, (2011) より作成 ]メリカの組織・企業」が攻撃対象であるとする「Who」を重視する観点は、適さなくなったと言える。したがって、現状においては以上を踏まえ、APT の定義を見渡してみると、NIST の定義【8】が APT の定義としては一番適しているように見受けられる。しかし、
NIST の定義においては、APT の振る舞いの理由についての観点が不足している。よって、

シ ス テ ム 監 査

8Mar.2013

次章において、APT の振る舞いに着目した観第一段階：事前調査段階

点から、APT の特性についての分析を行う。

・攻撃対象の情報や攻撃対象のシステム情報などを外部から収集する。

4. APT の定義に向けて (APT の特性分析 )本章では、APT の特性について「How」を第二段階：侵入段階
・攻撃対象のネットワーク内に侵入する。多重視した観点からの整理・考察を行う。その岐にわたる手法を用いる。

上で APT の定義についての考察を行う。

第三段階：攻撃準備段階

4.1 APT の攻撃プロセスについて

・攻撃実行のための準備を実行する。システム
内部調査やシステム外部と通信を行う。

APT に類するサイバー攻撃で用いられる具
体的な攻撃手法は多岐にわたる。このため、

第四段階：攻撃実行段階

攻撃手法から APT の特性を考察することは難・攻撃を実行する。攻撃終了後は、第三段階しい。一方、APT に類するサイバー攻撃におに戻り攻撃を続行すること場合もある。

けるプロセスには、概ね共通した特徴と傾向

順番などの見解が分かれることの多いプロが見受けられる。よって、APT に類するサイ

セスを第三段階としてまとめることで、APT

バー攻撃のプロセスに着目し、APT の特性にのプロセスはシンプルに整理することができ

ついて考察を行う。

る。例として、IPA による攻撃プロセス段階【10】APT のプロセスは以下の 4 段階に分類でき

及び Mandiant による攻撃プロセス段階【11】との比較を表４として、下記に示す。

る。
本論文における
攻撃プロセス段階

IPA による攻撃プロセス段階

Mandiant による攻撃プロセス段階

第一段階

事前調査段階第０段階 攻撃準備段階

STEP1

Reconnaissance

第二段階

侵入段階

第１段階 初期侵入段階

STEP2

Initial Intrusion into the Network

STEP3

Establish a Backdoor into the Network

第三段階

攻撃準備段階第２段階 攻撃基盤構築段階 STEP5

Install Various Utilities

STEP7

Maintain Persistence

第３段階 システム調査段階 STEP4
第四段階

攻撃実行段階第４段階

攻撃最終目標の遂
STEP6
行段階

表4

Obtain User Credentials
Privilege Escalation / Lateral
Movement / Data Exfiltration

攻撃プロセス段階の比較[ 出典：IPA;「新しいタイプの攻撃」の対策に向けた 設計・運用ガイド 改訂第２版 , P.15,（2011）、Mandiant Corporation;“Mandiant M-trends 2010 report” , P.3, (2010) より作成 ]Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

9

また、各段階にて収集 / 使用される情報に象のシステムへ侵入するために利用する情報

着目することで、APT の特性を明確することである。具体的に攻撃者が必要とする情報は、ができる。APT においては、第一段階で収集

次の第二段階（侵入段階）において用いる手した情報（「情報Ⅰ」とする）を用いて、第法次第となる。もう１つは、攻撃対象のシス二段階と第三段階を実行する。そして、第三テムの仕様や運用に関わる情報であり、第三段階で収集した情報（「情報Ⅱ」とする）と、段階（攻撃準備段階）で使用するマルウェア

既に収集している「情報Ⅰ」を併せた上で、の設計などに必要となる情報である。

更なる第三段階での情報収集や、第四段階で【第二段階：侵入段階】の攻撃の実施 / 準備を実施する。このように第二段階では、攻撃対象のシステムへの侵「情報Ⅰ」と「情報Ⅱ」を組み併せて利用す

入が行なわれる。攻撃対象のシステムが属する点が、APT の特性であると言える。第三段

るネットワークにおける PC やサーバなどの階においては、攻撃対象のシステムの詳細情ノードにマルウェアがインストールされ、シ報やシステムのどこに情報があるのかというステムに対する攻撃の拠点 及び 情報収集の点について調査を行なっており、その結果を中継拠点とされる。侵入にあたっては、第一第四段階における攻撃に繋げている。第四段

段階（事前調査段階）で収集 / 分析した情報階にて実施される攻撃は、「情報Ⅰ」だけでが利用され、多岐に渡る手段が用いられる。

は難しい類のものであり、「情報Ⅰ」と「情現状ではスピアフィッシングの手法によりエ報Ⅱ」を組み合わせることで、実施すること

ンドポイントの端末が狙われることが多いが可能となっている。以上を図にしたものをが、他の手法を使用し攻撃対象のシステム内

図５として、下記に示す。

に侵入することもある点に留意が必要である。
【第三段階：攻撃準備段階】
第三段階として、システム内部の調査やネットワーク情報の収集の実施、マルウェアのダウンロード / アップデートや収集した情報の送信を目的としたシステム外部との通信、などの行為が行なわれる。この段階での行為は、第四段階（攻撃実行段階）における攻撃実行のための情報収集や環境整備などの

図５

APT の攻撃プロセス（４段階）

各段階についての説明を、以下に述べる。
【第一段階：事前調査段階】
第一段階として、攻撃対象についての様々な情報の収集 / 分析が行なわれる。この段階
での行為は、攻撃対象のシステム外にて行なわれることが多い。また、収集の方法は多岐に渡ることになるが、対象となる情報は、概ね以下の２つに分類できる。１つは、攻撃対準備行為となる。様々な行為が行われるが、①バックドア設定、②システム内部調査、③
システム外部 (C&C サーバなど ) への送信、④システム外部 (C&C サーバなど ) からの受信、⑤痕跡の削除（ログの改ざん / 削除）、
⑥システム内部への拡散、という６つに分類できる。以上の行為の、侵入された機器内における関係図をまとめると図６の通りとなる。
①バックドアの設定においては、攻撃者のシ ス テ ム 監 査

10Mar.2013

C&C サーバなどとの通信経路の窓口としての器への拡散では、ネットワークを通した新たバックドアの設定が行なわれる。②システム

な機器への侵入とマルウェアのインストー

内部の調査においては、システム内における

ル、②で収集したメールデータを利用した新様々な情報の収集が行われる。第四段階におたなスピアフィッシング、USB フラッシュメ

けるシステムへの攻撃実行や他の機器への拡モリを経由したマルウェアのインストールな散のための情報が収集される。収集される情どが行なわれる。拡散先の機器においても①

報は、システム情報とアカウント情報の２つ〜⑥の行為が繰り返し行われることになる。

に大別できる。③システム外部への送信にお第三段階におけるフローには様々な派生型

いては、①で設定したバックドアを通して、があり、一意となるものは存在しない。しか②で収集した情報が攻撃者の C&C サーバなし、①〜⑥の行為が行われ、且つ、②収集とどのシステム外部に送信される。送信された③送信と④受信のフローを中心行為として繰

情報は、④でダウンロードされるマルウェア

り返し行なわれる点は共通している。このこの設計 / 更新などのために利用される。④シとから、APT においては②③④が必須となっステム外部からの受信においては、③で送信ていることが言える。また、第三段階での行した情報などを利用し、C&C サーバなどのシ

為は、検知されないよう慎重に時間をかけて

ステム外部から、マルウェアのダウンロード

行なわれている。なお、①〜⑥のフローはマ/ インストールや、インストール済みマルウェ

ルウェアにより自動実行されるだけでなく、

アの更新、追加のシステム情報収集指示命令、攻撃者が RAT などを用いてリモート操作で行第四段階（攻撃実行段階）の実行命令などがう場合もある。

行なわれる。⑤痕跡の削除では、第三段階に【第四段階：攻撃実行段階】

おける行為のみならず、第二段階や第四段階

第四段階として、実際にシステムを攻撃すで行なわれる行為が記録されるログの改ざんる。第一段階から第三段階までは、この攻撃や削除が行なわれる。⑥システム内の他の機のための準備であり、APT に類するサイバー

図６

第三段階における行為関連図

Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

11

攻撃の目的は、この段階での攻撃の実行であどの設定ファイルにおけるパラメータ値や実る。攻撃後は、前段階の攻撃準備段階に戻り、

行コードなどを改ざんして、システムに異常攻撃者の必要に応じて継続的な攻撃の繰り返動作を行なわせる形態である。

しや他のシステムへの拡散を行なう。ここで第四段階で実行される攻撃については、（1）の攻撃は、目的ごとに情報セキュリティの Cのデータ窃取だけではないという点に留意が（機密性）、I（完全性）、A（可用性）に対応必要である。現時点で顕在化している APT にした、以下の３つに分類できる。

類するサイバー攻撃による被害がデータ窃取（1）情報の窃取（機密性）に集中しており、2011 年現在では（2）の提（2）提供データの改ざん（完全性）

供データの改ざんや（3）のシステムの作動（3）システムの妨害（可用性）

妨害が、ほとんど見受けられないため、デー（1）の情報の窃取は、攻撃者が必要とする

タ窃取のみが注目されがちではある。しかし、情報が窃取の対象となる。この多くは企業・

APT に類するサイバー攻撃では、その過程で組織の機密情報が対象となる。但し、必ずしシステムに関する詳細な情報を攻撃者は取得

も機密情報だけが窃取の対象となるわけではしており、システムの作動妨害や提供データない点に留意が必要である。攻撃者が次の攻の改ざんを行うことが可能であると考えられ撃に必要とする情報が対象となる場合もあることから、今後十分に考慮する必要がある。

る。攻撃者が窃取する情報の価値は、攻撃対さらに、（2）のデータ改ざんや（3）のシス

象者ではなく攻撃者によって決められるもの

テムの作動妨害を盾に、企業や組織への脅迫である。

が行われることも考えられる。

（2）の提供データの改ざんを目的とした攻4.2. APT の特性について

撃は、現時点においては確認されていない。

APT のプロセスにおいて、特徴的なのは第しかし、今後十分に起こり得る攻撃であると三段階（攻撃準備段階）である。この段階に考えられる。ここで改ざんの対象となるのは、おける行為は、繰り返し何度も、更に検知さシステムが他システムやユーザに提供するたれないよう慎重かつ時間をかけて行なわれてめに保有するデータである。例えば、GPS にいることから、APT のプロセスにおいて重視

よる位置情報や小売や証券における発注情報されていることがわかる。この第三段階（攻が対象になると考えられる。改ざんにあたっ

撃準備段階）の目的は、攻撃対象となるシスては、DB やファイルのデータを直接改ざん

テムの内部情報の収集である。従来の一般的する方法と、正当な処理を不正な値で行うこなマルウェアでの攻撃においては、ネットとによってデータを改ざんする方法が考えらワークまで含めた詳細なシステム情報を収集れる。

することはなく、実行できる攻撃に限界が（3）のシステムの妨害を目的とした APTあった。APT においては、収集と送信と受信に類するサイバー攻撃の例としては、Stuxnetのプロセスを繰り返すことにより、システムが挙げられる。システムを妨害するにあたっの詳細な内部情報を収集し、その情報に基づては、２種類の形態が考えられる。１つはコき、新しいマルウェアの作成やシステム内部

マンド実行型である。システムのシャットダに侵入済みのマルウェアを更新することがで

ウンやサービスの停止などを直接実行する形

きる。このことにより、従来よりも精緻な攻態である。もう１つが、改ざん型である。シ

撃が実行可能となる。第一段階（事前調査段

ステムの動作にあたり必要な ini ファイルな階）で、システムの仕様に関する詳細な情報

12

シ ス テ ム 監 査

Mar.2013が獲得できれば、第三段階（攻撃準備段階）

ことを述べた。システムの詳細な情報は、よにおけるシステムの詳細な内部情報の収集とり 精 度 の 高 い 攻 撃 を 実 現 で き る こ と か ら、

アクセス権の獲得により、実質的にシステム

APT を図 7 に示すように定義する。

を乗っ取ることが可能になる。従来の攻撃では、ボットネットに見られるように、端末の「APT は、攻撃対象のシステムに対して精度の乗っ取りまでは行えたが、システム自体の高い攻撃を実行するための、攻撃対象のシステ

乗っ取りまでには及んでいない。このことが、

ム内外における情報収集を重視する継続的な攻第三段階（攻撃準備段階）を重視する APT と撃プロセス及びそのプロセスに基づくサイバー

従来の攻撃との異なる危険性でもあるといえる。
また、APT によって、システムの妨害や提供データの改ざんが行える可能性があるということは、事例が少ないとはいえ、今後留意

攻撃」

図7

APT の定義

5. APT への対応策の考え方について
本章では、前章で述べた APT の特性及び定すべき事項であると考える。従来は、産業シ

義を踏まえ、APT に対する対応策の考え方にステムや組み込みシステムについては、汎用

ついて考察を行う。

OS や汎用機を使用していないこともあり、

APT に類するサイバー攻撃に対しては、シ特殊環境のシステムとして攻撃の可能性はな

ステムへの侵入防止が難しい。侵入方法が巧い ( 或いは、低い ) とされてきた。しかし、妙であることに加え、シグネチャベースでのStuxnet では、システムについての詳細な情検知が難しいためである。攻撃対象のシステ

報があれば、特殊環境のシステムに対してもムに対し精度の高い攻撃を実施するという特攻撃が行えることを実証した。Stuxnet の精性から、攻撃対象のシステムに特化したマル

密な攻撃をつくりあげたのは、高度な技術にウェアを使用する「攻撃のカスタム性」とい加え、攻撃対象についての詳細な情報である。

う特徴が APT には存在する。元々、APT に

APT においては、詳細なシステムの情報を収おいて利用されるマルウェアは、ウィルス対集するプロセスがあることから、特殊環境の策ソフトに代表されるシグネチャベースによシステムに対しても、精度の高い攻撃を今後る検知の対象にならないようステルス性の高引き起こすことが可能となる。産業用システ

いマルウェアが使用される。その上で特定のムや組み込みシステムに対して APT が行われ対象への攻撃を目的として作成されるため、る危険性について今後研究し、APT に対する検体として抽出される数が少なく、結果とし対応策をとる必要があると考える。特に、組て新たなシグネチャとして配布されることも込みシステムについては、家電や自動車など少なくなる。このため、ウィルス対策ソフトに広く普及したことで、社会的な影響が大きなどのシグネチャベースによる検知が難しくなっていることから、早急な研究が望まれい。さらに、頻繁なマルウェアの更新により、る。

新たなシグネチャとして認識することをより

4.3 APT の定義について困難とさせている。

4.2 節において APT の特性は、そのメソッ

APT に類するサイバー攻撃に対してシステドではなく、第三段階（攻撃準備段階）という、

ムへの侵入防止が難しいということを踏まえ収集と送信と受信によりシステムの詳細な情ると、従来の情報セキュリティにおける「攻報を収集することを重視するプロセスである

撃者をシステムに侵入させない」（境界防護）

Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

13という考え方を、「攻撃者がシステムに侵入

ムの特性を踏まえて、第四段階による攻撃が実しても、被害を最小限に抑える」という考え行された場合における、事業への影響の特定や方に改める必要がある。本研究内容を踏まえ復旧優先度、目標復旧時間・目標復旧レベルのて考えると、従来の境界防護の考え方は、第決定、必要なリソースの特定、すなわち、BIA

二段階に対しての対応策にあたると言える。

（Business Impact Analysis、ビジネスインパ

第二段階への対応策が効果的でないというこ

クト分析）を行うことが必要となる。なお、とを踏まえると、第三段階或いは第四段階にバックアップデータからの復旧を行う場合

ついての対応策が必要となる 。具体的な対は、APT で用いられるマルウェアが長期間シ応策については、今後の検討が必要となるが、ステム内部に潜んでいることを考慮して計画

基本としては、現在あまり考慮されていない、を作成する必要がある。可能であれば、シス

システム内部に侵入されることを前提としたテム導入当初のバックアップデータでシステ

システム設計が求められると考えられる。例

ムを初期状態に復旧してから、必要なデータ

として、について目標復旧ポイントまで回復できる準g・第三段階でのシステム内部における行為検備をしておくことが望ましい。

知や第四段階実行後に被害範囲を特定 で以上で述べてきたように、APT の特性を踏きるよう考慮したシステム設計（ログの改まえると、境界防護によりシステムの内部にざん防止や分析ができるように考慮）。

脅威は存在しない・存在させないという前提

・第四段階の実行による被害の発生を防ぐたではなく、システムの内部に脅威は存在してめに、第三段階を検知したらシステムを縮もシステムの保有する情報資産を守る或いは退可能なシステム設計。

システムの機能を維持する、という前提に基

h・第四段階を実行されても、必要最低限のシづきシステムの設計を行う必要がある。そのステム動作を維持できるよう BCP 的な発想

際には、システムの特性を踏まえ、APT のどをもったシステム設計。

の段階のどの行為に対する対応策が必要とな

・第三段階・第四段階での行為を制限させる

るかの検討も必要となる。また、システムのため、管理者権限を中心としたアクセス権

運用についても、設計の発想の転換に合わせ、の細分化。

脅威を検知することや脅威を検知した後の対などが必要になると考えられる。また、シ応策の整備を、より重視することが望ましい。

ステムの特性を考慮した設計も併せて必要と

そして、APT を踏まえて、システム設計・運なる。具体的には、機密データや個人情報を用が整合して動作するよう、システム監査で扱うシステムならデータの窃取防止を第一監査できるような仕組みが今後必要であるとに、社会インフラを担うシステムならシステ考える。

ムの妨害防止を第一にした観点が必要となる。

6. まとめ

第四段階が実行されてしまった場合の事後対

本稿では、APT に対して様々な解釈がある

応策について準備しておくことも、APT を防ぎ現状を踏まえ、用語としての経緯から、定義切ることが難しいことを踏まえると重要であの分類についての現状を整理した。その上で、る。BCP のように、事前対応策と APT により顕在化している APT による被害の現状を踏ま発生する被害を想定した事後対応策をセットでえて、定義の分類についての考察を行い、攻考えることが望ましい。そのためには、システ

撃方法を重視した（「How」の）観点で APT

14

シ ス テ ム 監 査

を捉えることが妥当であることを示した。

Mar.2013

謝辞「How」を重視した観点からの APT につい本研究を進めるにあたり、研究への取り組て、プロセスから特徴についての整理を行い、みや方向性、内容などについて温かいご指導

攻撃を３つに分類できることを示し、システを頂きました、情報セキュリティ大学院大学

ム内部における情報収集を重視したプロセス

林紘一郎前学長に心より感謝いたします。同であることを示した。また、その特徴から、

じく情報セキュリティ大学院大学の教授陣の精度の高い攻撃が可能となる、従来の攻撃とご指導やコメントに感謝いたします。また、は異なる APT の危険性について示した。その有益なコメントやアドバイスを与えていただ

危険性を踏まえ、今後組み込みシステムに対きました、原田研究室の方々や同期の仲間にしての APT による危険性があることも示しも謝辞を捧げます。

た。その上で、APT を以下のように定義した。
＜参考資料＞【1】情報セキュリティ大学院大学 原田研究室 ;「APT は、攻撃対象のシステムに対して精度の” 2011 年 情報セキュリティ アンケート調査結果”,

高い攻撃を実行するための、攻撃対象のシステ

http://lab.iisec.ac.jp/~harada_lab/enq/2011_

ム内外における情報収集を重視する継続的な攻questionnaire_result.pdf, P.99 (2011)

撃プロセス及びそのプロセスに基づくサイバー攻撃」【2】Richard Bejtlich; “What Is APT and What
Does It Want?” ,http://taosecurity.blogspot.com/2010/01/

以上に提示した APT の定義及び特性を踏ま

what-is-apt-and-what-does-it-want.html

え、APT に有効な対応策を実施するためには、(Last accessed 2011.09.05), (2010),

従来の境界防護により外部からの攻撃を防ぐ【3】McAfee Blog Central; ““Operat ion

こ と に 注 力 す る と い う シ ス テ ム 設 計 で は、“Aurora” Hit Google, Others” ,APT に対しては有効なセキュリティ対応策に

http://siblog.mcafee.com/cto/operation-

なりえないことを示した。その上で、今後は%E2%80%9Caurora%E2%80%9D-hit-google-

システム内部における脅威の存在を前提と

others/ (Last accessed 2011.01.02), (2010)

し、システムの特性を踏まえた上で、システ【4】Google; “A new approach to China” ,ムの機能の維持や情報資産を守ることができ

http://googleblog.blogspot.com/2010/01/

るよう、新しいシステム設計が必要となるこ

new-approach-to-china.htmlとを示した。

(Last accessed 2012.01.02), (2010)【5】Adobe Systems; “Adobe Investigates

7. 今後の課題について提示した定義に基づいた、システム内部に侵入されることを前提としたシステム設計の具体化とその妥当性・有効性についての検証

Corporate Network Security Issue” , http://
blogs.adobe.com/conversations/2010/01/
adobe_investigates_corporate_n.html(Last accessed 2012.01.02), (2010)が必要である。特に、その社会的な影響を考【6】McAfee; “Operation Aurora について” ,慮し、インフラを担うシステムにおける検討・

http://www.mcafee.com/japan/security/operation_

検証を行うことが望まれる。

aurora.asp (Last accessed 2012.01.02), (2010)【7】Mandiant Corporation; “Mandiant M-trends

Vol.26 No.2

「Advanced Persistent Threat（APT）の分類と対応策についての一考察」

2011 report” ,http://www.mandiant.com/
resources/m-trends/, P.1、P.5 (2011)

15の行き先は特定できていない。
c 2003 年 11 月に確認されたサイバー攻撃【8】NIST; “NIST SP800-39 Managing Information

で、アメリカ政府機関や軍事関連企業から

Security Risk: Organization, Mission, andのデータ窃取事例。アメリカ国防総省やアInformation System View (APPENDIX H)” ,メリカエネルギー省傘下の機関や NASA のhttp://csrc.nist.gov/publications/

研 究 所、Lockheed Martin や Northrop

nistpubs/800-39/SP800-39-final.pdf, Page H-4

Grumman などの軍事関連企業が攻撃対象(2011)になったとされる。NASA の研究所から窃【9】Dmitri Alperovitch (McAfee); “Operation
Shady RAT の全貌” ,取された機密情報はテラバイト単位であるとされる。

http://www.mcafee.com/japan/media/mcafeeb2b/d「Who」と「How」の両観点にふれているinternational/japan/pdf/threatreport/1108_shady-

定義においても、重視している観点に基づ

rat.pdf, P.4、P.7-9 (2011)

き「How」か「Who」に分類される。例【10】IPA; 「新しいタイプの攻撃」の対策に“として、IPA（「新しいタイプの攻撃」の対向けた 設計・運用ガイド 改訂第２版” ,策に向けた 設計・運用ガイド 改定第２版

http://www.ipa.go.jp/security/vuln/（2011.11））による APT の定義は「Who」

documents/newattack.pdf, P.15 (2011)と「How」の両観点にふれているが、「How」【11】Mandiant Corporation; “Mandiantの要素を重視していることから、「How」

M-trends 2010 report” ,http://www.mandiant.com/resources/m-trends/, P.3 (2010)に依る定義に類するといえる。
e 母数はほぼ 120（approximately 120）。
f 2011 年 8 月に報告されたサイバー攻撃で、
世界 14 カ国 72 組織 ( 企業 ) が攻撃対象に＜注＞なったとされる。

a 本アンケート実施後の 2011 年 9 月以降、

g 第二段階では、第一段階で収集された情報が三菱重工などを対象としたサイバー攻撃が利用される。第一段階における攻撃者の行為顕在化したことを期に、日本のメディアには、システム外で行われるため、第一段階において「APT」や「Stuxnet」などが用語対する対応策も難しい（極めて高度な世界的として用いられることが増えたこともあな社会的情報統制が必要となる）。この点もり、その認知度は高くなっていると考えら含め、第二段階後（システムへの侵入後）のれる。

第三段階以降に対する対応策が、APT に対し

b 1999 年に確認されたサイバー攻撃で、アては肝要となってくると考えられる。

メリカの政府機関からのデータ窃取事例。

h 窃取されたデータが特定できない場合は、可アメリカ空軍基地におけるデータ窃取被害

能性のある全データが窃取されたと想定するの確認を皮切りに、アメリカ国防総省やアことになる。データの窃取については、窃取

メリカエネルギー省の関連施設から大量のされたデータ次第で影響範囲が変わってくる

データが外部から窃取されたとされる。攻ため、窃取されたデータを特定するための対撃を受けたことを認識し、当時の専門家が応策を施しておくことは重要である。

対応策を施したにも関わらず、データの窃取を阻止できなかった。窃取されたデータ