FIT東京フォーラム セキュリティセミナー

1

ミッションクリティカルな金融系業界に伝えたい

サイバーセキュリティ対策と人材育成
国立研究開発法人 情報通信研究機構
サイバーセキュリティ研究所
ナショナルサイバートレーニングセンター

花田 智洋 (Tomohiro Hanada)
2024/02/09

エヌアイシーティー

NICT: 国立研究開発法人情報通信研究機構

情報通信分野を専門とする我が国唯一の公的研究機関
重点5分野✓ 電磁波先進技術✓ 革新的ネットワーク✓ サイバーセキュリティ✓ ユニバーサルコミュニケーション✓ フロンティアサイエンス＋オープンイノベーション2エヌアイシーティー

NICT
スライド

サイバーセキュリティ研究所

3ナショナルサイバートレーニングセンター••

NICTの技術的知見、研究施設等を最大限に活用し、実践的なサイバートレーニングを企画・推進する組織として設置（2017年4月1日）
日本全体のサイバーセキュリティエコシステムの能動的な発展のため、インシデント対応の実務に携わる運用者及び革新的なセキュリティサービス等を開発するハイレベルな人材の育成を実施
セキュリティオペレーター（実践的運用者）の育成

セキュリティイノベーター（革新的研究・開発者）の育成

行政機関や民間企業等の組織内のセキュリティ運用者(情報システム担当者等)を対象➢ 年間約3000名の規模で、所属組織がサイバー攻撃を受けた段階等(＝「有事」)における実践的なインシデント対応能力を育成➢ 単なる「ユーザー」として既存ツールを利用するだけではなく、セキュリティマインドを持ち、革新的なセキュリ
ティソフトウェア等を自ら「研究・開発」していくことができるハイレベルな人材を育成(年間約40名)

➢

運用者全体

上級
セキュリティ
分析官レベル

開発者全体

ハイ
レベル層

準上級
データ解析者レベル
中級
システム管理者・運用者レベル
初級
システム管理者・運用者のアシスタントレベル

一般のシステム開発者層

4

スピーカー▌氏名: 花田 智洋 (Tomohiro Hanada)▌勤務先: 2017年1月～現在▌NICTサイバーセキュリティ研究所
ナショナルサイバートレーニングセンター(通称: ナショトレ)▌CYDER, RPCI, SecHack365, CIDLE,CYDERANGE開発等の事業に携わる▌前職: ～2016年12月末▌銀行システム担当のプロジェクトマネージャー▌業務外活動:▌情報セキュリティコミュニティ運営(2006-現在)▌SECCON実行委員長(2018-2022), 副実行委員長(2023-現在) 他

5前職で担当した業務の例

6▌ホスト、基幹システム系⚫勘定系システム、情報系システム、システム統合、営業店システム...

▌預金、チャネル系⚫ATM, コンビニATM, CAFIS, 統合ATM, インターネットバンキング...

▌分散系⚫営業推進支援、印鑑、電子還元資料...

▌トラブル対応のレスキュー 等...の経験を活かして
サイバーセキュリティの人材育成に携わっています。

Agenda▌トレンドとキーワードでがっちり！最近のセキュリティ動向▌セキュリティインシデント & インシデントハンドリング▌もしアナタの組織にインシデントが発生したら?

7

8

トレンド と キーワード で がっちり！

最近のセキュリティ動向ダークネット観測統計(過去10年)
年

年間総観測パケット数

ダークネットIPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2013

約128.8億

209,174

63,6822014

約241.0億

212,878

115,3352015

約631.6億270,973245,5402016

約1,440億

274,872

527,8882017

約1,559億

253,086

578,7502018

約2,169億273,292

806,877

2019

約3,756億309,769

1,231,331

2020

約5,705億307,985

1,849,817

2021

約5,180億

289,946

1,747,685

2022

約5,226億

288,042

1,833,012

1アドレスあたり

17秒に1回攻撃関連通信受信

2023年版は2月頃公開予定（パケット数、単位：万）
200
150
100

50
0
2013年

2014年

2015年

2016年

2017年

2018年

2019年

1 IPアドレス当たりの年間総観測パケット数

2020年

2021年

2022年

9

10

最近のセキュリティトレンド
#情報セキュリティ10大脅威 2023

情報セキュリティ10大脅威 2023

個人(五十音順)

組織

情報セキュリティ監査人が選ぶ情報セキュ JNSA 2023セキュリティ十大ニュース
リティ十大トレンド（2024年予測）

情報セキュリティ安心相談窓口の相談状
況
2023年第4四半期（10月～12月）

1

インターネット上のサービスからの個人情報 ランサムウェアによる被害の窃取

生成ＡＩの悪用と誤用により増加するセ マイナンバー相次ぐ紐付けトラブル、デジタ 2-1.「ウイルス検出の偽警告」に関する相キュリティ事故
ル庁に行政指導も談

2

インターネット上のサービスへの不正ログイ サプライチェーンの弱点を悪用した攻撃ン

他人事ではありません。日常化するランサ 元派遣社員の顧客情報持ち出し10年間、2-2.「宅配便業者・通信事業者・公的機
ムウェア被害
ずさんな内部不正対策
関をかたる偽SMS」に関する相談

クレジットカード情報の不正利用

内部不正による情報漏えい等の被害

国家支援型組織によるサイバー攻撃の深 全銀ネットでシステム障害 三菱UFJやり 2-3.「不正ログイン」に関する相談
刻化
そななど10の銀行で振込できず

スマホ決済の不正利用標的型攻撃による機密情報の窃取重要インフラを支える供給網（中小企業）がサイバー攻撃ターゲットに

偽警告によるインターネット詐欺

修正プログラムの公開前を狙う攻撃（ゼロ 重要性が高まる事前評価， 生成ＡＩ 内閣サイバーセキュリティセンターが不正侵 2-5.「ワンクリック請求」に関する相談
デイ攻撃）
のリスク
入被害

ネット上の誹謗・中傷・デマ

不注意による情報漏えい等の被害

フィッシングによる個人情報等の詐取脆弱性対策情報の公開に伴う悪用増加 人材の流動化に伴う営業機密の流出増 富士通への行政指導、サイバー攻撃対策 相談事例2 自社をかたる不審なメールの加とシステム品質に
発信

3
4
5
6
7

不正アプリによるスマートフォン利用者への ビジネスメール詐欺による金銭被害
8 被害
テレワーク等のニューノーマルな働き方を狙った攻撃

報道番組を装った総理大臣の偽動画拡 2-4.「暗号資産（仮想通貨）で金銭を散、AIのセキュリティリスク
要求する迷惑メール」に関する相談

クラウド設定不備によるセキュリティ事故の ランサムウェア感染により名古屋港の全多発ターミナルが機能停止

相談事例1 自社ウェブサイトを改ざんされ
偽ECサイトへリダイレクトする踏み台にされた被害

脆弱性管理体制の再検討の加速

ハマス・イスラエル戦争のサイバー攻撃余波、日本に相談事例3 偽のセキュリティ警告（サポート詐欺）からネットバンキングの不正送金をされた被害

止まらないランサムウェアの進化

偽セキュリティ警告(サポート詐欺)の月間 相談事例4 偽SMSのフィッシングから不相談件数が過去最高
正送金されたと思われる被害

9

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

10

ワンクリック請求等の不当請求による金銭 犯罪のビジネス化（アンダーグラウンドサー 経営課題として浮上，サイバー人材育成 ニンテンドーアカウントがパスキー対応 パス 被害
ビス）
ワード不要でログイン可能に
情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 監査人の警鐘- 2024年 情報セキュリティ十大トレンド | JASA
行政法人 情報処理推進機構
行政法人 情報処理推進機構(Japan Information Security Audit Association)
https://www.ipa.go.jp/security/10threats/10threats https://www.ipa.go.jp/security/10threats/10threats https://www.jasa.jp/seminar/sec_trend2024/
2024.html
2024.html

2024/1/24

2024/1/24

2024/1/9

JNSAセキュリティ十大ニュース
https://www.jnsa.org/active/news10/index.html

2023/12/26

情報セキュリティ安心相談窓口公開レポート | 情報セキュリティ |IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/anshin/reports/index.html

2024/1/23

最近の報道されたインシデント事例

11

スピーカーが個人でまとめている
最近のインシデント事例メモ抜粋※直近の2024年1, 2月報道分

12

インシデント事例ピックアップ#1: サイバーセキュリティと金銭被害#情報セキュリティ10大脅威 2023

情報セキュリティ10大脅威 2023

個人(五十音順)

組織

情報セキュリティ監査人が選ぶ情報セキュ JNSA 2023セキュリティ十大ニュース
リティ十大トレンド（2024年予測）

情報セキュリティ安心相談窓口の相談状
況
2023年第4四半期（10月～12月）

1

インターネット上のサービスからの個人情報 ランサムウェアによる被害の窃取

生成ＡＩの悪用と誤用により増加するセ マイナンバー相次ぐ紐付けトラブル、デジタ 2-1.「ウイルス検出の偽警告」に関する相キュリティ事故
ル庁に行政指導も談

2

インターネット上のサービスへの不正ログイ サプライチェーンの弱点を悪用した攻撃ン

他人事ではありません。日常化するランサ 元派遣社員の顧客情報持ち出し10年間、2-2.「宅配便業者・通信事業者・公的機
ムウェア被害
ずさんな内部不正対策
関をかたる偽SMS」に関する相談

クレジットカード情報の不正利用

内部不正による情報漏えい等の被害

国家支援型組織によるサイバー攻撃の深 全銀ネットでシステム障害 三菱UFJやり 2-3.「不正ログイン」に関する相談
刻化
そななど10の銀行で振込できず

スマホ決済の不正利用標的型攻撃による機密情報の窃取重要インフラを支える供給網（中小企業）がサイバー攻撃ターゲットに

偽警告によるインターネット詐欺

修正プログラムの公開前を狙う攻撃（ゼロ 重要性が高まる事前評価， 生成ＡＩ 内閣サイバーセキュリティセンターが不正侵 2-5.「ワンクリック請求」に関する相談
デイ攻撃）
のリスク
入被害

ネット上の誹謗・中傷・デマ

不注意による情報漏えい等の被害

フィッシングによる個人情報等の詐取脆弱性対策情報の公開に伴う悪用増加 人材の流動化に伴う営業機密の流出増 富士通への行政指導、サイバー攻撃対策 相談事例2 自社をかたる不審なメールの加とシステム品質に
発信

3
4
5
6
7

不正アプリによるスマートフォン利用者への ビジネスメール詐欺による金銭被害
8 被害
テレワーク等のニューノーマルな働き方を狙った攻撃

報道番組を装った総理大臣の偽動画拡 2-4.「暗号資産（仮想通貨）で金銭を散、AIのセキュリティリスク
要求する迷惑メール」に関する相談

クラウド設定不備によるセキュリティ事故の ランサムウェア感染により名古屋港の全多発ターミナルが機能停止

相談事例1 自社ウェブサイトを改ざんされ
偽ECサイトへリダイレクトする踏み台にされた被害

脆弱性管理体制の再検討の加速

ハマス・イスラエル戦争のサイバー攻撃余波、日本に相談事例3 偽のセキュリティ警告（サポート詐欺）からネットバンキングの不正送金をされた被害

止まらないランサムウェアの進化

偽セキュリティ警告(サポート詐欺)の月間 相談事例4 偽SMSのフィッシングから不相談件数が過去最高
正送金されたと思われる被害

9

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

10

ワンクリック請求等の不当請求による金銭 犯罪のビジネス化（アンダーグラウンドサー 経営課題として浮上，サイバー人材育成 ニンテンドーアカウントがパスキー対応 パス 被害
ビス）
ワード不要でログイン可能に
情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 監査人の警鐘- 2024年 情報セキュリティ十大トレンド | JASA
行政法人 情報処理推進機構
行政法人 情報処理推進機構(Japan Information Security Audit Association)
https://www.ipa.go.jp/security/10threats/10threats https://www.ipa.go.jp/security/10threats/10threats https://www.jasa.jp/seminar/sec_trend2024/
2024.html
2024.html

2024/1/24

2024/1/24

2024/1/9

JNSAセキュリティ十大ニュース
https://www.jnsa.org/active/news10/index.html

2023/12/26

情報セキュリティ安心相談窓口公開レポート | 情報セキュリティ |IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/anshin/reports/index.html

2024/1/23

インシデント事例ピックアップ#1: サイバーセキュリティと金銭被害▌昨日 2024/02/08 のニュースより⚫北朝鮮が４０００億円被害のサイバー攻撃に関与か 安保理制裁
委に専門家パネルが報告 - 産経ニュース
https://www.sankei.com/article/20240208PHILGCBIAVKJXGFSETZTCD4R7A/

13

インシデント事例ピックアップ#1: サイバーセキュリティと金銭被害▌ランサムウェア被害▌決済サービスの悪用▌秘密情報の売却、転用

14

Quiz: サイバー攻撃者の侵入方法

15▌攻撃者はどのような方法で組織内に侵入するのか？
正しいと思われるものをすべて選んでみてください。
忙しい組織内関係者を装って組織内ユーザーに接触し、組織内にアクセスするユーザー名やパスワードを聞き出す。
送信元を偽装し、ユーザーの業務環境に応じた件名や内容のメールを送り付け、添付したマルウェアやリンク先のマルウェアを実行させる。
組織内ネットワークの入り口であるVPN装置※1の脆弱性※2を悪用する。
セキュリティ対策が不十分な取引先や拠点等を足掛かりにする。
※1 VPN装置・・・VPNはVirtual Private Networkの略。組織内のネットワークと組織外のネットワークを安全に繋ぐ装置。
※2 脆弱性 ・・・ システムの不具合や欠陥。セキュリティホールと呼ばれる場合もある。

16

インシデント事例ピックアップ#2: 新しい働き方への脅威#

情報セキュリティ10大脅威 2023

情報セキュリティ10大脅威 2023

個人(五十音順)

組織

情報セキュリティ監査人が選ぶ情報セキュ JNSA 2023セキュリティ十大ニュース
リティ十大トレンド（2024年予測）

情報セキュリティ安心相談窓口の相談状
況
2023年第4四半期（10月～12月）

1

インターネット上のサービスからの個人情報 ランサムウェアによる被害の窃取

生成ＡＩの悪用と誤用により増加するセ マイナンバー相次ぐ紐付けトラブル、デジタ 2-1.「ウイルス検出の偽警告」に関する相キュリティ事故
ル庁に行政指導も談

2

インターネット上のサービスへの不正ログイ サプライチェーンの弱点を悪用した攻撃ン

他人事ではありません。日常化するランサ 元派遣社員の顧客情報持ち出し10年間、2-2.「宅配便業者・通信事業者・公的機
ムウェア被害
ずさんな内部不正対策
関をかたる偽SMS」に関する相談

クレジットカード情報の不正利用

内部不正による情報漏えい等の被害

国家支援型組織によるサイバー攻撃の深 全銀ネットでシステム障害 三菱UFJやり 2-3.「不正ログイン」に関する相談
刻化
そななど10の銀行で振込できず

スマホ決済の不正利用標的型攻撃による機密情報の窃取重要インフラを支える供給網（中小企業）がサイバー攻撃ターゲットに

偽警告によるインターネット詐欺

修正プログラムの公開前を狙う攻撃（ゼロ 重要性が高まる事前評価， 生成ＡＩ 内閣サイバーセキュリティセンターが不正侵 2-5.「ワンクリック請求」に関する相談
デイ攻撃）
のリスク
入被害

ネット上の誹謗・中傷・デマ

不注意による情報漏えい等の被害

フィッシングによる個人情報等の詐取脆弱性対策情報の公開に伴う悪用増加 人材の流動化に伴う営業機密の流出増 富士通への行政指導、サイバー攻撃対策 相談事例2 自社をかたる不審なメールの加とシステム品質に
発信

3
4
5
6
7

不正アプリによるスマートフォン利用者への ビジネスメール詐欺による金銭被害
8 被害
テレワーク等のニューノーマルな働き方を狙った攻撃

報道番組を装った総理大臣の偽動画拡 2-4.「暗号資産（仮想通貨）で金銭を散、AIのセキュリティリスク
要求する迷惑メール」に関する相談

クラウド設定不備によるセキュリティ事故の ランサムウェア感染により名古屋港の全多発ターミナルが機能停止

相談事例1 自社ウェブサイトを改ざんされ
偽ECサイトへリダイレクトする踏み台にされた被害

脆弱性管理体制の再検討の加速

ハマス・イスラエル戦争のサイバー攻撃余波、日本に相談事例3 偽のセキュリティ警告（サポート詐欺）からネットバンキングの不正送金をされた被害

止まらないランサムウェアの進化

偽セキュリティ警告(サポート詐欺)の月間 相談事例4 偽SMSのフィッシングから不相談件数が過去最高
正送金されたと思われる被害

9

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

10

ワンクリック請求等の不当請求による金銭 犯罪のビジネス化（アンダーグラウンドサー 経営課題として浮上，サイバー人材育成 ニンテンドーアカウントがパスキー対応 パス 被害
ビス）
ワード不要でログイン可能に
情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立 監査人の警鐘- 2024年 情報セキュリティ十大トレンド | JASA
行政法人 情報処理推進機構
行政法人 情報処理推進機構(Japan Information Security Audit Association)
https://www.ipa.go.jp/security/10threats/10threats https://www.ipa.go.jp/security/10threats/10threats https://www.jasa.jp/seminar/sec_trend2024/
2024.html
2024.html

2024/1/24

2024/1/24

2024/1/9

JNSAセキュリティ十大ニュース
https://www.jnsa.org/active/news10/index.html

2023/12/26

情報セキュリティ安心相談窓口公開レポート | 情報セキュリティ |IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/anshin/reports/index.html

2024/1/23

インシデント事例ピックアップ#2: 新しい働き方への脅威

17▌今週 2024/02/05 のニュースより⚫外務省のシステムに中国がサイバー攻撃、公電含む大規模な情報漏
えい…主要な政府機関のシステム点検 : 読売新聞https://www.yomiuri.co.jp/politics/20240204OYT1T50123/

18

今、VPN装置が狙われている▌ランサムウェアの侵入経路⚫約71%がVPN装置からの侵入
不審メールや
その添付ファイル 2件(4%)
リモートデスクトップからの侵入 5件(10%)

その他
7件(14%)

有効件数
49件

VPN装置からの侵入35件(71%)

警察庁 令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R05_kami_cyber_jousei.pdf

なぜVPN装置が狙われる？

▌VPNの利用が増えた▌VPN装置等のセキュリティ対策の不備▌組織内部に入りやすい19

もしアナタの組織のVPN装置がやられたら?

20▌企業や組織の内部ネットワークに攻撃者が「侵入」した後、情報窃取やランサムウェアを用いたファイルの暗号化などを行う。
▌情報窃取により、二重脅迫※される可能性もある。
周辺端末

装置
攻撃者

侵害端末

管理サーバー
機微情報※ 二重脅迫: 攻撃者は、ターゲット組織の情報を暗号化して、身代金を要求するだけでなく、さらに、窃取した情報を公開すると脅しをかけて身代金を払わせる攻撃。

出典：JPCERT/CC 「侵入型ランサムウェア攻撃を受けたら読むFAQ」を参考に作成
https://www.jpcert.or.jp/magazine/security/ransom-faq.html

[Case Study]もし銀行システムが攻撃されたら?
▌機器のメンテナンス等を行う際に接続するVPN装置の脆弱性を悪用し侵入▌業務用端末や様々なサーバーに不正ログイン、暗号化
営業推進
システム

汎用情報
検索システム

・・・
脆弱性

攻撃者

VPN装置

侵害端末

周辺端末

電子還元帳票システム

イントラ 人事
システム

・・・

21

VPN装置への対策▌パッチ適用▌認証強化▌監視強化▌ベンダーとの要件確認(再確認)

22

23

その他の対策▌VPN装置を突破されても、内部のセキュリティを強化していれば、被害拡大を防ぐことができる⚫OSやアプリケーションを最新バージョンにアップデートする⚫マルウェア対策ソフトを更新する⚫脆弱なパスワードを使用しない⚫定期的にバックアップを行う
等々

組織内ネットワーク

装置
攻撃者

セキュリティインシデント&

インシデントハンドリング

24

25

サイバー攻撃、セキュリティインシデントは▌システム障害と同様に突然発生する。
⚫忙しい⚫手が回らない⚫人が足りない⚫期限が迫っている⚫もっと支援が欲しい⚫…

26

セキュリティインシデントとは

27▌人為的なトラブルのほか、自然災害も含まれます。
▌悪意を持って引き起こされた不正アクセスやWebサイト改ざん等のサイバー攻撃のほか、運用ミス、端末やUSBメモリの紛失、災害等によって生じる問題もセキュリティインシデントです。
セキュリティインシデント
標的型攻撃
不正アクセス

信用失墜

Webサイト改ざん
DoS攻撃 / DDoS攻撃
運用ミス

類似

組織

機会損失

システム障害プログラムのバグ
仕様誤り
機器障害
運用ミス

コスト増
＊ DDoS攻撃(Distributed Denial of Service attack)： 分散型サービス拒否攻撃

インシデントハンドリングの流れ

28

インシデントに関する予兆等

タ
イ
ム
ラ
イ
ン
の
記
録

イ
ン
シ
デ
ン
ト
ハ
ン
ド
リ
ン
グ

PoC

検知
連絡受付

検知・連絡受付

トリアージ

検査・分析

インシデント
レスポンス

初動対応

報
告
・
公
表

対応方針の検討
証拠保全
封じ込め

根絶
復旧措置（暫定対応）

報
告
・
公
表

再発防止策（恒久対応）
の検討
事後対応

事後対応

※実際のインシデントハンドリングにおいては、
各組織のルールに則った対応をしてください。

インシデントハンドリングのフロー例

29

JPCERT/CC
インシデントハンドリングマニュアルより

インシデントハンドリングステップとシステム障害対応の対比
ステップ

内 容

⚫インシデントが発生した
検知・連絡
受付

旨の連絡を受領⚫関係各所に報告⚫事実関係や状況を確認

トリアージ⚫インシデントか否かの判断⚫対応の優先順位付け⚫対応方針の検討

インシデント
レスポンス⚫被害の原因を取り除き、元の状態に復旧⚫被害状況や影響範囲に

報告・公表

応じて組織内外に対して
報告・公表⚫報告書の取りまとめ

事後対応⚫振り返りの実施

インシデント対応の例

システム障害対応の例

Webサーバーから外部に不審な通信が発生しているとSecurity Operation Center(SOC事業者※) から報告を受けた。

市場への入金処理が大量に実施されていない
クレームが、運用オペレーションセンターに届いた。

調査の結果、サーバー内に不審なファイルを発見し、サイバー攻撃を受けており、速やかに対応が必要と判断した。

調査の結果、新機能リリースに伴うバッチ処理変更に漏れがあり、センターカット(集中記帳)用のデータ作成に失敗。速やかに対応が必要と判断した。

Webサーバーを停止した後、バックアップから復旧した。
攻撃に利用された脆弱性にセキュリティパッチを適用した。

30

センターカット用訂正データ作成、臨時ジョブ実行により、入金を処理実施した。
新機能に伴うバッチ処理の手順を追加した。

サイバー攻撃により個人情報が漏えいした疑いがあることを経営幹部に報告した。

システム障害により顧客に影響のある障害を発生させたことを経営幹部に報告した。

発生したイベントについて報告書に取りまとめた。

発生した障害について報告書に取りまとめた。

※ SOC事業者: 外部からネットワーク機器やサーバー類を常時監視し、サイバー攻撃の検出と分析、対応策のアドバイスを提供する組織、企業のこと

31

もしアナタの組織にインシデントが発生したら?

インシデントマネジメント と インシデントハンドリング▌インシデントマネジメント⚫CSIRTが「事前」の準備を含めた
インシデントに対して行う一連の業務

脆弱性対応(セキュリティ
パッチ適用等)インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント
関連業務(予行演習等)

注意喚起

32

インシデントマネジメント と インシデントハンドリング▌インシデントハンドリング⚫インシデント発生から解決までの一連の業務
脆弱性対応
検知・連絡
受付

報告
情報公開

トリアージ

インシデント
レスポンス(セキュリティ
パッチ適用等)インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント
関連業務(予行演習等)

注意喚起

33

34

教育・訓練
教育訓練の例

▌セミナー

脆弱性対応
(セキュリティ
パッチ適用等)▌ワークショップ
▌机上演習
▌実機演習

インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント
関連業務(予行演習等)

注意喚起

35

実践的サイバー防御演習

サイダー

2023

▌初級、 中級、準上級、オンライン(入門・プレCYDER)⚫最大4名のグループワーク、ハンズオン 等⚫国の機関、地方公共団体等の職員の方は受講料が無料⚫新作シナリオ続々、繰り返し受講が効果的⚫受講後に発生したインシデント対応に役立った例▌演習環境CYDERANGE⚫各グループに専用の演習環境を提供⚫NICTの強み① 大規模計算機環境＆StarBED▌そのときどきの旬なシナリオの提供⚫NICTの強み② 研究実績と攻撃観測データの蓄積

36

サイダー

とは
▌CYDER(Cyber Defense Exercise with Recurrence)✓実践的サイバー防御演習のことであり、サイバー攻撃を受けた際の一連の対応(インシデント対応)をPCを操作しながらロールプレイ形式で体験できる演習。
✓実際のネットワーク
環境を再現した
リアルな環境で一連の流れを体験。

37

38

CYDERの提供コース▌CYDERは、学習レベル、対象組織、演習形式によってコースが分かれており、受講目的やスキル等に合わせてコース選択可能。
レベル
対象組織
開催場所
演習項目
期間

事前学習
演習

Aコース

B-1コース

B-2コースCコース

プレCYDER

初級

中級

中級

準上級

－

全ての組織
全国47
都道府県
事前学習
ハンズオン
グループワーク
1日間

地方公共団体全国11地域
事前学習
ハンズオン
グループワーク

国の機関
重要社会基盤事業者等
東京・大阪
名古屋
事前学習
ハンズオン
グループワーク

2～5時間程度
1日間
1日間

国の機関
全ての組織

地方公共団体
等

東京

オンライン

事前学習
ハンズオン
グループワーク－

2日間なし
2～3時間程度CYDER Aコース 内容紹介

39

▌ある仮想組織の一員となって、そこで発生するインシデントに対応する。
▌インシデントハンドリングのフェーズごとに課題があり、1つ1つのフェーズの内容を体験することにより、理解を深める。

▌課題には、ディスカッション課題とハンズオン課題がある。
▌ディスカッション課題はグループで課題に取り組み、対策を検討する。

▌ハンズオン課題は、個人で課題課題に取り組み、実機を使用した技術的な調査解析を行う。

▌インシデント対応とはどのようなことをするのか、何を考えればよいのかを知り、普段からどのような準備をすればよいかを考えるきっかけとなる。

コンテンツ例 – 配布テキストから抜粋

40▌演習の説明、シナリオの舞台設定、課題の解説、詳細な
ハンズオン手順(ツール等の詳しい操作方法を含む)のテキストを提供。

41

実習課題例
課題
1

2

テーマ

検知・連絡受付、
トリアージ、対応方針の検討

ディスカッション

課題

ハンズオン
課題

発生している事象に対する対応の優先度付け

〇

証拠保全

3

封じ込め・根絶〇

4

復旧措置・再発防止策の検討

〇

5

報告・公表

課題概要

〇

インシデントに関する
証拠の保全(ハンズオン)〇

影響範囲の特定と対応方針の検討(ハンズオン)
インシデント収束に向けた
対応の検討
報告書作成

ディスカッション課題例
状況説明
現在2024/2/9 15:45です。
職員伊藤からCSIRTのPoCに、なりすましと思われるメールを受信したという一通の連絡メールが届きました。
■連絡メール（抜粋）
今朝、私のメールボックスに情報通信研究機構の花田さんという方からのメールが届きました。しかし、私はこの方とは面識がない上に、本文の文面に不自然な日本語が多いなど、不審な点が見られるため、念のためお知らせしました。

課題
この通報に対して どのような対応を取るべきか まとめてください。

42

43

ハンズオン課題例
状況説明※ vulnerability.shop は演習上の架空のホストです。

セキュリティ監視センターから以下の連絡がありました。
「あなたの組織から、悪意あるサーバーに向けて不審な通信が発信しています。
通信情報は以下の通り。
通信先ホスト名： vulnerability.shop※
通信先URL： http://vulnerability.shop/index/?87329...
上記の通信先ホストと通信している機器があるか、調査をしなさい。
もし、その機器が存在する場合、何台あるか、また、それぞれの機器のIPアドレス、通信回数についても調査しなさい。
組織内ネットワーク
攻撃者

プロキシー
サーバー

悪意あるサーバー
vulnerability.shop

ハンズオンの実施イメージ

膨大なログの中から不正な通信を見つけ出す

44

CYDER演習風景: Aコース
オリエンテーション

演習フロー説明

インシデント発生～事実確認

チューターによるサポート

マルウェア挙動調査

グループワーク

発表

報告書作成

確認テスト

45

CYDER Aコース 受講者の声 -アンケート結果より▌発生したインシデントに対して、初動時にとるべき対応、その後根絶に至るまで、今までは外部委託業者任せとなっていたが、その内容について少しでも理解することができたので自分と組織にとって非常に大きな成果だと思いました。
▌インシデント発生から収束までの流れを体験することはなかなかできないため、
とてもよかった。また、同じグループの人と情報交換(立場が近い人と話をすること)ができたことは本当に良かった。
▌組織ぐるみで、脅威対策の必要を感じた。元の知識不足もあり、理解が追い付かない
ところがあったが、専門的とは言わなくとも、知識を身に着けておくことは必要だと感じた。
⇨CYDER Aコースの受講により、自組織における準備の必要性や必要な対策について、気付きを得ていただけます。
なお、自組織のセキュリティリスクを可視化し、将来的にサイバー侵害を受ける可能性を調査するために、セキュリティアセスメントを使用することも有用です。

46

テンプレート47

CYDER | 資料請求 | https://cyder.nict.go.jp/request/index.html

繰り返し受講 をオススメする理由
インシデントハンドリングはさまざま。

セキュリティポリシー

導入システム

絶対的な正解はない▌共通要素はあるが部分的に違うシナリオを体験▌共通要素の洗練▌「想定内」の想定範囲が広くなれば、多少のことでは慌てなくなる

インシデント種類

48

まとめ▌トレンドとキーワードでがっちり！最近のセキュリティ動向▌セキュリティインシデント & インシデントハンドリング▌もしアナタの組織にインシデントが発生したら?
⚫インシデントマネジメント と インシデントハンドリング⚫教育・訓練⚫実践的サイバー防御演習(CYDER)

49

ナショナルサイバートレーニングセンター

50▌中途採用強化中。出向受け入れもやっています。ご相談ください。

日本を守る“サイバーセキュリティ”｜新R25 - シゴトも人生も、もっと楽しもう。 https://r25.jp/series/cybersecurity

51

ご参考資料

サイダー

2023年度実践的サイバー防御演習(CYDER)の概要

52

国の機関、地方公共団体及び重要インフラ事業者等の情報システム担当者等が、組織のネットワーク環境を模擬した環境で、実践的な防御演習を行うことができるプログラムを提供することにより、数千人規模でセキュリティオペレーターを育成
CYDER受講者数の推移 (累積数)2023年度コース概要

19448人16121人➢毎年 約 3,000人が受講➢ 演習は1日間 (Cコースは2日間)➢ 集合 (実地) 演習のほか、オンライン演習(個人学習)を実施➢ 組織当たり1名でも複数名でも参加可能➢ 重要社会基盤事業者、民間企業等は、受講料が必要
A/B/オンライン入門コース… 77,000円 (税込)
Cコース
… 121,000円 (税込)

年間約3,000人
が受講

13667人11019人
7929人
5263人
2254人

292人

507人 715人

2023年度実施内容および対象組織
コース名 演習方法 レベル

受講想定者（習得内容）

受講想定組織

開催地

開催回数

実施時期

初級

情報システム担当の経験2年以内相当の知識をお持ちの方(事案発生時の対応の流れ・ベンダーとの円滑な情報連携)

全組織共通

47都道府県

64回

7月～翌年1月

中級

情報システム担当の経験2年以上相当の知識をお持ちの方(主体的な事案対応・セキュリティ管理)

地方公共団体全国11地域

20回

10月～翌年1月

地方公共団体以外

東京・大阪・名古屋

13回

翌年1月

C

準上級

情報システム担当の経験3～4年以上相当の知識をお持ちの方(高度なセキュリティ技術)

全組織共通

東京

3回

11月～翌年1月

入門

入門

情報システム担当経験1年前後で知識のアップデートをお考えの方（集合演習Aコースの受講に必要な最低限の知識）

全組織共通

ー

インシデント発生時の対応の学習をこれから始める、または、始めたばかりの方（CSIRT担当者として知っておきたい基礎的な事項）

国の機関等、地方公共団体

A
B-1
B-2

集合演習

オンライン

プレ
CYDER

演習

※CYDERは、(ISC) 2 が提供する資格の認定継続に必要なCPEクレジット (継続教育単位) 付与対象の演習

5月～7月（受講者職場等）

随時

12月～翌年1月

登場人物相関の例

参考

⚫

⚫
⚫

外部委託業者

市の通信を監視
マルウェア対策製品保守、およびセキュリティインシデントサポート

ネットワーク保守・運用

プロキシサーバー通信監視担当

53

集合演習の課題出題例

参考

課題

テーマ

課題概要

１

検知・連絡受付

連絡受付に対する事実確認および対処

２

トリアージ（ログ調査）

事実確認のためのログ調査

３

トリアージ（ヒアリング）

現場当事者への指示・依頼

４

対応方針の検討

事実関係の整理、今後の対応方針の検討

５

証拠保全（ディスクイメージ調査）

事象の詳細調査（１）６

証拠保全（マルウェア解析）

事象の詳細調査（２）７封じ込め・根絶／報告・公表

事実関係の整理、封じ込め・根絶策検討

８

復旧措置・報告書作成

報告書作成

９

再発防止策の検討

改善点の洗い出し◼

54

はハンズオン課題、それ以外はディスカッション課題です。
※ディスカッションで検討した内容について、数チームに発表していただきます。その他チームからの質問、助言等の意見交換を行います。

参考

各グループそれぞれに提供するネットワーク構成例※

55

NICT が 構 築 し た 、 大 規 模 な シ ミ ュ レ ー シ ョ ン を 実 施 で き る 計 算 機 群 で す 。
本演習では、さいだ市のネットワークをシミュレーションし、演習環境として利用しています。

⚫

・・・

⚫

・・・