ディーアールエス ホワイトペーパー

サイバー攻撃の最新事情と革新的対策
2018年頃からサイバー攻撃の手法には大きな変貌が見られ、セキュリティ対策は万全、と自負していた企業・組織においても、サイバー攻撃被害のインシデント報告が見られるようになってきております。
では、サイバー攻撃はどのように変貌しているのでしょうか？最新のサイバー攻撃の実情を概観し、現時点で考え得る最善策を提案します。

2020年10月 ディーアールエス株式会社

1

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

最新のサイバー攻撃手法と対処すべき課題
サイバーセキュリティ情勢は、2018年より急速に新たな攻撃手法が増加しています。その背景として、ダーク
ネットマーケット※1でのサイバー攻撃の商用化が指摘され、サイバー攻撃を組織的に行っているグループが高度な攻撃を行うことにより収益性を高めていることが挙げられます。攻撃者は、防御を回避するためにあらゆる手段を講じて日々改良を図っています。攻撃者からの攻撃を防御し続けることは容易なことではありません。
このような環境において組織はどのように対処を行うべきなのでしょうか。
※1 ダークネットマーケット：ダークウェブ領域を用いて違法商品の販売または仲介取引を行うブラックマーケット

近年の最新サイバー攻撃手法は、以下の4つの手法に集約することができます。

① 標的型 配布攻撃

③ 外部サーバ不正アクセス攻撃② 標的型 水飲み場攻撃④ サプライチェーン攻撃

これら4つの攻撃手法の具体的な手口について以下説明します。

標的型 配布攻撃① 標的型 配布攻撃（その１：メール添付ファイルによるマルウェア感染攻撃）
標的型メールを送信し添付ファイルを開封させることで、遠隔操作ウイルス（Remote Access Trojan：RAT）に感染させてバックドアを設置。その後、C&C（Command andControl）サーバ※2 と通信を開始して対象のPCをシステム内へ侵入するための踏み台PCを攻撃の起点として利用する攻撃手法です。近年ではウイルス対策ソフトからの検知を回避するため、Windowsの正規命令型プログラミングである PowerShellを利用することで検知を回避する手法が多く用いられています。また Windowsの共有ライブラリである DLL（Dynamic Link Library）を用いた DLLインジェ
クション※3 や DLLプリロード※4 により、RATを正規プロセスの中に寄生させ永続的に踏み台PCとして利用する※5 例があることも指摘されています。

出典：IPA「標的型サイバー攻撃の脅威と対策」※6※2 C&Cサーバ：ボットネットや感染コンピュータのネットワークに対し、不正なコマンドを遠隔で頻繁に送信するために利用されるサーバ※3 DLLインジェクション：ルーチンやリソースへ本来の処理とは異なる処理を行わせるために、DLLイメージを注入してDLL関数の呼び出しを横取り(インターセプト)する攻撃手法※4 DLLプリロード：DLLを検索する順序を不正に操作し不正なDLLをロードさせる攻撃手法※5 トレンドマイクロ発表。監視対象の26％の組織にて RATによるC&Cサーバへの接続と、更に45%に接続の疑いが見られた。 https://blog.trendmicro.co.jp/archives/18783※6 https://www.ipa.go.jp/security/publications/hakusyo/2019.html

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

2

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策① 標的型 配布攻撃（その２：フィッシングメールによるマルウェア感染攻撃）
大手ベンダーやECサイトからのメルマガを装い、メール中の URLへアクセスさせて Drive by downloadによってマルウェアを感染させる攻撃手法です。最近ではランサムウェアに代わり、ネットワーク内に自由に出入りをするためにバックドアを生成するマルウェアや、データを破壊するワイパー型と呼ばれるマルウェアに感染させる事例が報告されています。
【インシデント事例】※72018 年1 月、仮想通貨交換業者のコインチェック株式会社が運営する取引「Coincheck」が不正アクセスを受け、仮想通貨「NEM」が不正流出する事件が発生。この事件では SNS等を通じて同社の技術者らにソーシャルエンジニアリングによる事前工作が仕掛けられたという。攻撃者は、事件の半年余り前から SNS 等を通じて同社のシステム管理権限を持つ技術者らを特定し、それぞれに対して偽名で交流を重ねていった。時間をかけて交流を重ねたことにより技術者らから信用を得た攻撃者は、URLリンク付きの標的型攻撃メールを技術者らに送信し、技術者らはこれを疑うことなくクリックし、ウイルスに感染してしまったという。その後、外部ネット
ワークからウイルス感染した端末を経由して社内の NEM サーバにアクセスされ、RATにより NEMの秘密鍵を窃取後、同秘密鍵を利用して NEMを不正送金した。
※7 出典：IPA「情報セキュリティ白書2019」 https://www.ipa.go.jp/security/publications/hakusyo/2019.html① 標的型 配布攻撃（その３：クラウドメール認証搾取攻撃）
アプリケーションの更新情報などを装ったフィッシングメールにより、添付ファイルや メール中の URLにアクセスさせてマルウェアに感染させることで、攻撃者によるリモートコントロールを許す C&C通信を実行し、Office365等のクラウドメール認証情報が窃取される攻撃が報告されています。一度、Office365等への不正アクセスを許可してしまうと、他のサーバへのアクセス情報など容易に窃取される危険性があります。

① 標的型 配布攻撃（その4：Living off the Land攻撃）
Dynamic Data Exchange（DDE）機能など正規のWindowsや OS/2のツールを用いた Living off the Land攻撃（気づけない攻撃）が多用されているとの報告があります。この攻撃手法の場合、従来のウイルス対策ソフトや機械学習型の検知ソフトではキャッチできず、攻撃を受けている事に気付けないという事象が生じることになります。※8※8 トレンドマイクロ:「正規」を隠れ蓑にする攻撃者－2017年一年間の国内での標的型サイバー攻撃を分析 https://blog.trendmicro.co.jp/archives/18783

正規機能を悪用する攻撃（72%）※9※9 トレンドマイクロ「国内標的型攻撃分析レポート 2019 年版」：P11をグラフ化 https://www.trendmicro.com/ja_jp/business.html

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

3

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策① 標的型 配布攻撃（その５：Lateral Movement攻撃）
C&C通信を用いた攻撃手法の応用で、踏み台PCを用いてシステム内部を横に展開（Lateral Movement）することにより、Active Directory（AD）サーバへ侵入された被害事例があります。

標的型 水飲み場攻撃

https://news.livedoor.com/article/detail/8583435/② 標的型 水飲み場攻撃（その１：偽装無線LANによるマルウェア感染攻撃）
現在の日本では、無線LANアクセスポイントの SSID名は自由に設定することが許されています。それを悪用し、公式には「FREE AP1」と「FREE AP2」のみしか無いところに「FREE AP3」という SSID名で無線LANを開設し、アクセスしてきたユーザーの PCへバックドア（Darkhotel ※10 ）やキーロガーをインストールさせ、内部サーバやメーラー認証情報が窃取されるという被害が報告されています。
※10 ホテルに限らず、無線LANサービスを偽装してアクセスさせ、バックドアのスパイウェアを仕掛けるスピアフィッシング攻撃のことを Darkhotelと呼びます。

② 標的型 水飲み場攻撃（その２：サプライチェーン攻撃（アップデート型））
下記事例のようなソフトウェアのアップデートサーバを改ざんし、アップデートファイルの中にマルウェアを混入させるソフトウェアサプライチェーン攻撃が報告されています。
【インシデント事例】
2017年6月 税務会計ソフトウェア「MeDoc」のアップデートデータが改ざんされる
2017年8月 PC最適化無料ツール「CCleaner」にマルウェアが混入される② 標的型 水飲み場攻撃（その３：不正ソフトウェア攻撃）
フリーウェアを偽装してダウンロードさせ、ソフトウェアが起動することによってマルウェアがインストールされる手法が報告されています。

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

4

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

外部サーバ不正アクセス攻撃
脆弱性を利用した直接攻撃
OSやアプリケーションの脆弱性を利用し、インターネットを経由した直接の侵入攻撃手法です。最近の調査では57％の組織にて脅威兆候の検出が見られ、その内33%は侵入されている可能性が高いとの報告があります。※11※11 出典：トレンドマイクロ「国内標的型攻撃分析レポート2019年版」
https://resources.trendmicro.com/jp-docdownload-thankyou-m139-web-apt-report-2019.html?aliId=eyJpIjoiR2pOeU1mZXliSkxzMnhLZSIsInQiOiJ1U1l0YmNrbEdKbm80Z3FWZU1jN093PT0ifQ%253D%253D

サプライチェーン攻撃（取引型）
取引先や委託先を経由した不正アクセス攻撃
取引先や委託先が利用するウェブ発注システムに存在するSQLインジェクション脆弱性を悪用し、クレジットカード情報などが窃取された被害が報告されています。ターゲットとなる企業において多層防御を整備していたとしても、周辺のセキュリティ対策が脆弱な取引先や委託先をターゲットとして踏み台にする方が成功率が高くなる可能性が大きいと言われています。多くの企業に跨る問題であるため、セキュリティ対策のコントロールが難しいという側面があります。

出典：IPA「サイバー攻撃はサプライチェーンを狙う」※12※12 https://www.ipa.go.jp/files/000062279.pdf

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

5

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

サイバー攻撃の被害実態
過去3年間の国内サイバー攻撃インシデントの業種別被害状況
過去3年間で発生したサイバー攻撃の被害件数を見る限り、制御システムによって安全性が担保されていると考えられてきた「製造業」が「金融業」にならぶ水準に至っているのは特筆すべき点と思われます。攻撃手法
としてはネット販売サイトサーバの脆弱性を突いた不正アクセス、または決済ページの改ざんによるクレジットカード情報の窃取という被害が報告されています。
#業種

被害件数

割合

1

ECサイト

66

21.9%

2

行政

38

12.6%

3

流通

29

9.6%

4

大学

26

8.6%

5

金融

23

7.6%

6

製造

21

7.0%

7

協会団体

12

4.0%

8

SNS

11

3.6%

9

SaaS

113.6%

10

出版

10

3.3%

11

その他

55

18.2%

合計

302

100.0%

2016年9月1日～2019年8月31日に発生したサイバー攻撃被害データ（公開情報より弊社独自集計）

国内企業、組織へのサイバー攻撃の統計
JNSA(日本ネットワーク協会)の「2018年情報セ キュ リ テ ィ イ ンシ デ ン ト に関 す る 調査 報告書」※13によると、国内企業における個人情報漏洩 イン シ デ ン ト の１ 件 あ た りの 損 害 賠償 額は6億3千万円にも及ぶとされ 、企業にとっては相当に大きなインパクトを及ぼすものであると思われます。
※13 出典：JNSA 「2018年 情報セキュリティインシデントに関する調査報告書」https://www.jnsa.org/result/incident/data/2018incident_survey_sokuhou.pdf

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

6

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

2017年 個人情報漏えいインシデント トップ10※14
#業種

漏洩件数

漏洩の原因

1

クラウドサービス

約 750万件

脆弱性攻撃2

情報サービス

約 480万件

脆弱性攻撃3

卸売業・小売業

約 310万件

脆弱性攻撃

4

協会団体

約 63万件

脆弱性攻撃

5

流通

約 46万件リスト型攻撃6

情報サービス

約 17万件

脆弱性攻撃

7

人材派遣約 12万件

脆弱性攻撃

8

金融

約 12万件

脆弱性攻撃

9

卸売業・小売業

約 11万件

ウェブサイト改ざん攻撃

10

卸売業・小売業

約 11万件脆弱性攻撃※14 インターネット上に公開された個人情報漏えいインシデント情報を対象に当社が独自調査。

JIPDEC(日本情報経済社会推進協会)とITR社による「企業IT利活用動向調査
2019」 ※15 によるとインシデントの認知状況では、「社内PCのマルウェア感染」、及び情報機器、モバイル用PC、スマートフォン、携帯電話、タブレットの紛失・盗難が高い比率となっています。
経年比較では 2019年は「Webサイトへの不正アクセス」（13.1%）や「外部からのなりすましメールの受信（17.8%）が増加しています。これは標的型攻撃やビジネスメール詐欺の増加を反映していると言え、従来型のマルウェア感染や機器類の紛失・盗難への対策に加え、このような新しいサイバー攻撃への対策が必要な状況であると考えられます。
過去1年間に認知した情報セキュリティ・インシデントの種類（経年比較）※15 https://www.jipdec.or.jp/sp/topics/news/20190326.html

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

7

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

セキュリティベンダのレポートから見る統計
2019年度における国・地域別で最も脅威の検出数が多かったアメリカに次ぎ、日本はワースト2位となっています。サイバー攻撃の大半は金銭を目的としたサイバー犯罪に分類されますが、年々その手口は多様化・巧妙化、平均的な技術力の向上が認められます。サイバー犯罪は攻撃手法やツールがインターネットで容易に入手可能であり、参入障壁が低い分野と言えます。そのためサイバー犯罪の背後にいる攻撃者の絶対数が増えてきていると考えられます。また、 2019年に特に目立ったのは Emotetによる攻撃で、サイバー犯罪の傾向としてはスパイ活動を主な目的とするいわゆる「標的型攻撃」の増加です。

出典：Paloalto Networks「2019年の振り返りと2020年の脅威予測」 https://blog.paloaltonetworks.com/2019/12/threat-intel-2019-review-2020-prediction/?lang=ja

メールによる文章ファイルを使ったマルウェア攻撃
従来のメール攻撃は、exeファイルなどの実行ファイルをメールに添付して攻撃対象に発信する手法が中心でしたが、2017年以降は文章ファイルによる攻撃が主流になっています。特に、日本国内においては実行ファイル型よりもMS Wordなどの文章ファイル型が利用されるケースが圧倒的に多く、グローバルと比較しても比率が突出しています。

2018 年にメールで検出されたマルウェの種類※16ファイルタイプ
文章ファイルWindows 実行ファイル

日本での検出数

グローバルでの検出数

3,976,742 種

22,281,844 種

687,537 種

11,041,490 種※16 https://www.paloaltonetworks.jp/company/in-the-news/2018/2018-playback-2019-prediction

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

8ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

境界防御技術とエンドポイント防御技術
これまで取り上げたサイバー攻撃に対し、私達はどのように対策を図るべきでしょうか。近年は守るべきシステムの領域に合わせた多層防衛による対策を取る方法が一般的です。つまり、セキュリティ対策の主要な防御手法として「境界防御」と「エンドポイント防御」の２つが挙げられます。

境界防御技術（ファイアーウォール、UTM、NGFW、IPS、WAFなど）
境界防御技術はインターネットに接続されたLAN内のサーバやパソコンと、インターネットの間に設ける外部からの通信に対してセキュリティ対策を行う機能全般を指します。インターネットへ接続している場合、外部からの侵入によってデータの流出や改竄(かいざん)、破壊などを招くリスクがあります。その中でもファイアーウォールは、このような被害を防ぐための仕組みとして外部との接点を監視し 、特定のIPアドレスやポートに対する通信制御（通信可否）を設定して、不正なアクセスを検知した場合に通信を遮断します。
しかし一方で、許可している通信ポリシー（Webやメールなど）の中でやりとりされる不正な通信や攻撃までを防御することはできません。また、UTMや IPSなどファイアーウォールより高性能な通信パケットを監視して不正なアクセスやウイルスを検知する製品においても原則として “過去の実績に基づく脅威情報との比較 ”を行うものであるため、従来にはないパターン（未知の攻撃）に対してはすり抜けられてしまう可能性は否めません。

エンドポイント防御技術（ウイルス対策ソフト、EDRなど）
エンドポイント防御技術は、主にユーザーが利用しているパソコン内で防御を行うことや、追跡する手法です。ウイルス対策ソフトが主要な製品として流通していますが、ウイルスであるか否かを判断する方法としては過去のパターンに基づく”検知駆除型”に分類されます。ウイルス対策ソフトでは過去の脅威情報を集めたパターンファイルを常に最新の状態にパターンファイルを維持した場合であっても、世に知られていない最新の攻撃方法（未知の攻撃）には対処が出来きません。また、ウイルス対策ソフトベンダが発表する検知率や防御率に関しては、世の中に存在するウイルスのうち僅か4%のみが既知の攻撃であり、96%は未知の攻撃であると言われているため、検知精度は非常に低いと言わざるを得ません。これは、攻撃者が攻撃を成功させるために、一度使用したウイルスや再利用せず新たなウイルスを生み出している背景があると推測されます。
上記２つの防御手法は明確に防御する領域が異なります。境界防御のみでは正しい経路で侵入しようとするウイルスやマルウェアを検知できず、また、エンポイント防御における従来型のウイルス対策ソフト
では未知の攻撃を検知することができません。では、どのように対策するべきなのでしょうか。

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

9

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

革新的な防御手法のご紹介
AppGuard® の防御性能とコストパフォーマンス
AppGuard®と呼ばれるエンドポイントプロテクション製品は、米政府機関にて採用以来 20年間１度も破られたことがない実績を誇っています。Windows OSに対する不正な挙動やアプリケーションの挙動範囲を監視することによってマルウェアの行動を遮断する全く新しい概念によって防御を実現しており、さらに、従来型のウイルス対策ソフトのような定義ファイルが不要であるという特徴も併せ持っています。

AppGuard® は、内閣サイバーセキュリティセンター(N ISC)においても高く評価され 、2018年7月25日に発行された「政府機関等の対策基準策定のためのガイドライン平成30年度版」において、基本対策事項の記述の中にAppGuard® の機能定義が反映 ※17 されています。現在考えられる最善の不正プログラム対策製品であると言えます。
※17 https://www.nisc.go.jp/active/general/pdf/guide30.pdf “p.206”

従来製品群とAppGuard® の防御率・誤検知率比較

従来製品群と AppGuard® の機能比較表

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

10

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

AppGuard® の３大特徴
AppGuard ® は、Windows OS が本来有する設計思想を確実に実行させることをポリシーに設計されています。その為、Windowsと非常に高い親和性を持っています。さらに AppGuard ® を利用することで以下3つの効果が期待できます。

１）CPU負荷の大幅な軽減によるストレスフリー
ウイルス対策ソフトのファイル更新やファイルスキャン※18 はクライアントPCの動作遅延を引き起こし、業務の効率を妨げる原因となっていました。
AppGuard ® にはこういった動作は発生しません。また、1Mバイトという非常に軽量なエンジンでマルウェアの動作を遮断します。ストレスフリーな状態でセキュリティ安全にでPCを利用することができます。
※18 次世代型アンチウィルスソフトと呼ばれる製品（振る舞い検知型・機械学習型・ディープラーニング型・脅威インテリジェンス型等）は、検出した攻撃情報をエージェントと同期する必要がありますので定義ファイルの更新は不可欠です。

２）セキュリティポリシーの統制が可能に組織内でソフトウェア利用統制のルールを設けて運用することは安全対策上必須である一方、統制が非常に困難です。
AppGuard ® は 「ユーザー領域 ※19 からのアプリケーション起動制御」と「システム領域 ※20 への改竄処理の防止」機能によって不審な実行ファイルやスクリプトの起動を自動で阻止します。AppGuard® はシャドーIT※21 の抑止を可能にしますので、安全管理措置の効果が期待できます。
※19 ユーザー領域：ユーザー空間ともいう。データコードをロードする空間であり、プロセスが動作され、システムコールを経由してシステムスペースへアクセスする。
※20 システム領域：カーネル空間ともいう。CPUやメモリなどのハードウェアを抽象化し、アプリケーションがアクセスできるメモリ領域を定義し、実行を許可する。
※21 シャドーIT：組織の正式な許可を受けずに、スタッフが業務システム内で利用しているデバイスやソフトウェアのこと。セキュリティホールとなりうるが制御しにくい特徴がある。

３）セキュリティパッチ更新管理の軽減
AppGuard® は、組織の管理者が個別に指定するアプリケーションと、広く世界中で利用されているアプリケーションに対して以下 3つの行為を禁止しています。

① レジストリの改竄② システム領域の改竄③ 他アプリのメモリに対する読み取り/書き込み

これらの機能の組み合わせによって、仮に Windows OS の脆弱性を悪用されたとしても攻撃のプロセスを無力化することが可能になります。AppGuard ® はWindows OS の構造的な機能に基づいた防御措置を図っているため、WindowsOSや利用アプリのバージョンアップの徹底化に工数負担の軽減が期待できます。

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

11

ディーアールエス ｜サイバー攻撃の最新事情と革新的対策

いかがだったでしょうか。これまでのセキュリティ対策はサイバー攻撃を特定・検知して駆除する方法でしたが、この手法を続ける限り、新たな攻撃手法を日々調査・分析して対応することが求められます。
AppGuard ® は Windows OS が本来有する設計思想に基づき、不正なプロセスを許可させない全く新しい概念のエンドポイント対策製品です。未知のサイバー攻撃も阻止することが可能となります。

本書の作成にあたっては細心の注意を払っていますが、記述内容に誤りや欠落があっても当社はいかなる責任を負わないものとします。
また、本書の記述内容は予告なしに変更される場合があります。本書に記載されている各社の社名、製品名及びサービス名は、各社の商標または登録商標です。

ディーアールエス株式会社〒100-0004
東京都千代田区大手町1-9-2
大手町フィナンシャルシティ グランキューブ19F

大代表 TEL：03-6860-1200
https://www.drs.co.jp

ディーアールエス株式会社は AppGuard® 販売代理店です。

検証利用のご相談、ライセンス導入支援、AppGuard 運用サポート支援サービス（24時間365日対応）まで対応致します。ご興味をお持ちの際はお気軽にご連絡下さい。

https://www.drs.co.jp ｜ © 2020 DRS Co. Ltd.

12