第13回和歌山県サイバーテロ対策連絡協議会
令和5年度テロ対策パートナーシップ和歌山総会

1

企業におけるサイバーセキュリティ対策について
国立研究開発法人 情報通信研究機構
サイバーセキュリティ研究所
ナショナルサイバートレーニングセンター

花田 智洋 (Tomohiro Hanada)
2023/09/29

スピーカー▌氏名: 花田 智洋 (Tomohiro Hanada)▌勤務先: 2017年1月～現在▌NICTサイバーセキュリティ研究所
ナショナルサイバートレーニングセンター(通称: ナショトレ)▌CYDER, RPCI, SecHack365,
CYDERANGE開発等の事業に携わる▌前職: ～2016年12月末▌銀行システム担当のプロジェクトマネージャー▌業務外活動:▌情報セキュリティコミュニティ運営(2006-現在)▌SECCON実行委員長(2018-2022), 副実行委員長(2023-現在) 他

2

3

トレンドとキーワードで確認する

最近のセキュリティ動向ダークネット観測統計(過去10年)
年

年間総観測パケット数

ダークネットIPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2013

約128.8億

209,174

63,6822014

約241.0億

212,878

115,3352015

約631.6億270,973245,5402016

約1,440億

274,872

527,8882017

約1,559億

253,086

578,7502018

約2,169億273,292

806,877

2019

約3,756億309,769

1,231,331

2020

約5,705億307,985

1,849,817

2021

約5,180億

289,946

1,747,685

2022

約5,226億

288,042

1,833,012

1アドレスあたり17秒に1回
攻撃関連通信受信（パケット数、単位：万）
200
150

100
50
0
2013年

2014年

2015年

2016年

2017年

2018年

2019年

1 IPアドレス当たりの年間総観測パケット数

2020年

2021年

2022年

4

最近のセキュリティトレンド
情報セキュリティ10大脅威 2023

5

情報セキュリティ10大脅威 2023

サイバー情報共有イニシアティブ
情報セキュリティ安心相談窓口の情報セキュリティ監査人が選ぶ#（J-CSIP） 運用状況
相談状況
情報セキュリティ十大トレンド
個人組織[2023年4月～6月]
2023年第2四半期(4月～6月)（2023年予測）
フィッシングによる個人情報等の詐取
ランサムウェアによる被害
3 ビジネスメール詐欺（BEC）の攻撃事 (ⅰ) 「ウイルス検出の偽警告」に関する 大規模社会インフラシステム障害により増1
例相談
大するサイバーリスク
ネット上の誹謗・中傷・デマ
サプライチェーンの弱点を悪用した攻撃
3.1 海外関連会社を狙った電話を併用 (ⅱ)「宅配便業者・通信事業者・公的機 ITサプライチェーンの統制強化
2する攻撃
関をかたる偽SMS」に関する相談
メールやSMS等を使った脅迫・詐欺の手 標的型攻撃による機密情報の窃取
3.2 偽造文書を使い海外取引先を狙っ (ⅲ) 「不正ログイン」に関する相談サイバーランサムによってあぶりだされる「怠3口による金銭要求た攻撃
け者システム管理者」や「ダメ経営者」
クレジットカード情報の不正利用
内部不正による情報漏えい
4 2つのCEO詐欺の続報(ⅳ) 「暗号資産（仮想通貨）で金銭を クラウド障害による社会的影響の拡大
4要求する迷惑メール」に関する相談
スマホ決済の不正利用
テレワーク等のニューノーマルな働き方を 4.1 複数組織へ行われたCEOを詐称す (ⅴ) 「ワンクリック請求」に関する相談
要注意！大事故につながるクラウドサービ
5
狙った攻撃
る一連の攻撃スのユーザ設定不備
不正アプリによるスマートフォン利用者への 修正プログラムの公開前を狙う攻撃
4.2 「日本語化（多言語化）」された (ⅵ) 「Emotet」ウイルスに関する相談
働き方改革に追いつかない組織管理6
被害（ゼロデイ攻撃）CEO詐欺の攻撃
7 偽警告によるインターネット詐欺
ビジネスメール詐欺による金銭被害
待ったなし！中小企業のセキュリティ対策
インターネット上のサービスからの個人情報 脆弱性対策の公開に伴う悪用増加
ディープフェイク等高度化する虚偽情報を8の窃取使ったネット詐欺に要注意
インターネット上のサービスへの不正ログイ 不注意による情報漏えい等の被害
経済安全保障上の観点からも重要なサ
9ン
イバー攻撃対策
ワンクリック請求等の不正請求による金銭 犯罪のビジネス化（アンダーグラウンドサー オープンソースソフトウェアの脆弱性懸念に10
被害
ビス）
対するSBOM普及の期待
情報セキュリティ10大脅威 2023 | 情報セキュリティ | 情報セキュリティ10大脅威 2023 | 情報セキュリティ | サイバー情報共有イニシアティブ J-CSIP（ジェイシッ
情報セキュリティ安心相談窓口公開レポート | 情報セ 監査人の警鐘- 2023年 情報セキュリティ十大トレンド
IPA 独立行政法人 情報処理推進機構
IPA 独立行政法人 情報処理推進機構プ）について | 情報セキュリティ | IPA 独立行政法人 キュリティ | IPA 独立行政法人 情報処理推進機構 | JASA (Japan Information Security Audit
https://www.ipa.go.jp/security/10threats/1 https://www.ipa.go.jp/security/10threats/1 情報処理推進機構
https://www.ipa.go.jp/security/anshin/rep Association)
0threats2023.html
0threats2023.html
https://www.ipa.go.jp/security/jorts/index.html
https://www.jasa.jp/seminar/sec_trend202
csip/about.html
3/2023/1/25
2023/1/25
2023/8/22
2023/7/20
2023/1/6

最近の報道されたインシデント事例
スピーカーが個人でまとめている
最近のインシデント事例メモ抜粋※直近の2023年9月報道分6

インシデント事例ピックアップ#1（お知らせ）名古屋港コンテナターミナル利用者様各位| 名古屋港運協会
https://meikoukyo.com/archives/3336

7

最新動向のピックアップ#1

中国を背景とするサイバー攻撃グループBlackTechによるサイバー攻撃について｜警察庁Webサイト
https://www.npa.go.jp/bureau/cyber/koho/caution/caution20230927.html
中国を背景とするサイバー攻撃グループ 警察庁などが注意喚起 | NHK | サイバー攻撃
https://www3.nhk.or.jp/news/html/20230928/k10014208601000.html

82023/09/27公開

インシデント事例ピックアップ#2

エムケイシステムへのランサムウェア攻撃、ソフマップと雇用関係にあった者の個人情報も漏えい可能性を完全に否定できず |ScanNetSecurity https://scan.netsecurity.ne.jp/article/2023/09/14/49950.html
弊社と雇用関係にあった方へ｜ソフマップ(Sofmap) https://www.sofmap.co.jp/news/2023/130

9インシデント事例ピックアップ#3

個人情報を含む書類の紛失について｜九度山町 https://www.town.kudoyama.wakayama.jp/soumu/2023-0801-1506-38.html【セキュリティ ニュース】個人情報含む技術者講習対象者リストを紛失 - 九度山町（1ページ目 / 全1ページ）：Security NEXThttps://www.security-next.com/148388

10最新動向のピックアップ#2

11▌能動的サイバー防御⚫日本政府が2022年12月
新たな国家安全保障戦略の1つとして導入を発表◼「国家安全保障戦略」「国家防衛戦略」「防衛力整備計画」⚫アクティブ・サイバー・ディフェンス(active cyber defence)◼被害に遭う前に攻撃を「無害化」被害に遭う前に攻撃を「無害化」、常識覆す能動的サイバー防御とは何か | 日経クロステック（xTECH）
https://xtech.nikkei.com/atcl/nxt/column/18/02559/082300001/「能動的サイバー防御」導入へ 背景と課題 NHK解説委員室 https://www.nhk.or.jp/kaisetsu-blog/100/486718.html「能動的サイバー防御」は効果があるのか？ ～注目が集まるoffensiveなオペレーションの考察～ - JPCERT/CC Eyes | JPCERTコーディネーションセンター公式ブログ https://blogs.jpcert.or.jp/ja/2023/08/effectiveness-of-active-cyberdefense.html

12

やらかす？やられる？

サイバー攻撃、セキュリティインシデントは▌突然発生する。
⚫忙しい⚫手が回らない⚫人が足りない⚫期限が迫っている⚫もっと支援が欲しい⚫…

13

14

とあるメール例15

とあるメール例16最近の報道されたインシデント事例 から見た 原因の例
▌やらかす

▌やられる

⚫BCCメール失敗
⚫紛失
⚫設定誤り

⚫不正アクセス⚫引っかかる、騙される

17

やらかす？
▌原因分析はしっかり行えているか⚫なぜなぜ分析(5 Whys)⚫根本原因の例
理解不足・確認不足、不慣れ・経験不足、慣れ・過信・慢心、プロセス、組織・体制、情報伝達、環境 等⚫根本原因を追求できない組織風土になっていないか▌再発防止策
⚫「再発」が本当に防止できるか⚫NG: 根性論、頑張ります、スローガン

18

やられる？
サイバー攻撃経路例:▌メール▌USBメモリ、外部記憶媒体▌Web, ドライブバイダウンロード▌リモートアクセス、リモートエクスプロイト▌汚染ソフトウェア、アプリ▌持ち込み機器、持ち出しPC▌サポート詐欺 等

19サイバー攻撃の分類

おおまかに▌直接的な攻撃▌詐欺的な攻撃20

直接的な攻撃の例
外部向けWebサービスを例に▌ページ内容を書き換えられてしまう▌登録ユーザーのデータを抜き取られてしまう▌登録ユーザーのデータを悪用されてしまう⚫成りすましで酷い書き込み、個人の住所の特定、他人を罠にはめて金銭的被害など▌登録ユーザーのデータを破壊されてしまう▌使用不能にされてしまう

21

詐欺的な攻撃の例

22▌調達品を仕入れようと検索で探し当てたサイトで購入したら、実は詐欺サイトだった▌DMで「セキュリティ侵害があったので急いでURLをクリックして解除を...」と届く▌SMS(ショートメッセージ)で｢ヤマト運輸ですがご不在だったので荷物持ち帰りました。再配送ご希望の場合はURL...｣と届く

詐欺的な攻撃のねらい▌悪者が感染させたい添付ファイルを開かせようとする▌悪者がクリックしてほしいリンクを開かせようとする▌検索結果から罠に嵌めようとする手口⚫Webサイト丸ごと成りすまし(フィッシング)⚫専門家でも見分けることが難しいほどの巧妙化▌関連分野のニュースを毎日チェックしていたとしても、引っかかる可能性はゼロではない▌もはや｢十分気をつけて引っかからないようにしましょう｣というのは無理

23

BCP有無が明暗を分ける▌[事例]秋田県建設・工業技術センター(2022)⚫BCP(業務継続計画)を策定していなかった⚫メール機能が回復するまで数ヶ月を要した▌[事例]つるぎ町立半田病院(2021)⚫災害時診療を前提としたBCPを策定済みだった→ただし、サイバー系BCPは策定されていなかったため、電子カルテの復旧(再稼働)には2ヶ月以上かかった⚫被害発覚後数日で診療再開▌サイバー攻撃を想定したBCPが必要な段階になってきている24

BCPと共に必要なもの
サイバーインシデント(事件・事案)への緊急対応力▌業務継続と同時に原因追及⚫原因がわからなければ再発する可能性がある▌被害に遭ったコンピューターは2次攻撃マシンになる可能性⚫要緊急隔離: どうやって切り離すか▌警察に捜査依頼するなら証拠保全が必要▌専門家との連携▌BCPでは想定しえなかった事態への対応

25

参考

サイバー攻撃によるインシデントの例▌アクセスを集中させて Web ページ閲覧などを不可能にしてしまう
DoS攻撃(Denial of Service attack)▌コンピューターウイルス(マルウェア)と感染後ファイル群を暗号化して身代金を要求するランサムウェア攻撃▌業務上のメール等を装って金銭を騙し取るビジネスメール詐欺(BEC)▌サーバーの脆弱性等を悪用してIDやパスワードの入力を回避し、勝手にデータを盗み出したり破壊したりする攻撃26

インシデントへの初動対応▌第一報の受領、分析、確認、優先順位付け等▌初動対応の影響は大きい⚫適切な対応、優先順位か⚫組織の方針に則っているか初期の判断の誤りを訂正するコストは時間経過とともに増大します27インシデントハンドリングの流れ

28

インシデントに関する予兆等

タイ
ム
ラ
インの記録

イン
シデン
ト
ハン
ドリン
グ

PoC

検知
連絡受付

検知・連絡受付

トリアージ

検査・分析

インシデント
レスポンス

初動対応

報
告・
公表

対応方針の検討
証拠保全
封じ込め

根絶
復旧措置（暫定対応）

報
告・
公表

再発防止策（恒久対応）の検討
事後対応

事後対応

※実際のインシデントハンドリングにおいては、各組織のルールに則った対応をしてください。

初動対応: 検知・連絡受付• 初動対応ミスからのリカバリーは、プロセスが進むほど大変になります。
• 早い段階で必要な知識を仕入れ、判断に活かすことでミスを防ぐ確率を高めます。
• 実際のハンドリング時には、予想外の突発事が起きることもあるので、踏んだ場数が重要になってきます。

29初動対応のポイント▌事前⚫どこから専門家に任せるか決めておく、任せ方を手順化しておく⚫攻撃被害に遭ったらどうするか、シミュレーションしておく▌事後⚫情報の確からしさを確認しながら着実に進む⚫優先順位決めの基本方針を合意しておく30ベンダーや他組織との関わり▌対応すべてを自組織で実施できる⚫・・・そんな組織はほとんど無い▌ベンダーや専門家がやっていること、言っていることを⚫理解できるか⚫評価できるか31初動対応のサンプル事例

参考

状況説明
現在2023/9/29 15:02です。
職員伊藤からCSIRTのPoCに、なりすましと思われるメールを受信したという一通の連絡メールが届きました。
■連絡メール（抜粋）
今朝、私のメールボックスに情報通信研究機構の花田さんという方からのメールが届きました。しかし、私はこの方とは面識がない上に、本文の文面に不自然な日本語が多いなど、不審な点が見られるため、念のためお知らせしました。

課題
この通報に対して どのような対応を取るべきか まとめてください。

32

注意喚起
▌職員の伊藤さんはなぜ気付けたのか▌伊藤さんと同じメールが来ていたらどうすれば良いか⚫(一般論として)メールに添付されたファイルを不用意に開かない⚫(一般論として)メールに記述されているリンクを不用意にアクセスしない⚫手元に類似するメールが来た場合はCSIRTへ通報▌注意喚起の発信で気をつけるべき点は？
⚫偽物では無い、正式な注意喚起かどうか⚫URL等そのまま伝えない(ヒューマンエラー防止)

33

参考ログ調査▌C&Cサーバーと通信してしまっている端末を突き止める
192.168.1.102 - - [14/May/2019:15:48:25 +0900] “GET
http://cyder.nict.go.jp/ HTTP/1.1“ 200 72428
477 ”http://www.nict.go.jp/” “Mozilla/5.0 (Macintosh;Intel Mac OS X 10.12; rv:60.0) Gecko/20100101
Firefox/60.0” TCP_MISS:HIER_DIRECT （ログサンプル）• 192.168.1.102＝端末に割り振られたIPアドレス• +0900＝世界標準時との時差(JST)• http://cyder.nict.go.jp/＝通信相手(Webページデータを取りに行くWebサーバー)• 200＝ステータスコード(正常に取得できた)• 72428＝取得したデータのサイズ(バイト)

34

35

膨大なログの中から不正な通信を見つけ出す証拠保全とは▌専門的調査に必要な作業▌｢汚染された｣証拠は証拠としての能力が著しく劣化⚫汚染例:✓攻撃者による証拠隠滅や改ざん✓攻撃対象となったサーバーの管理者による新たな行動記録✓システムの利用者による日常的なシステム利用✓機器故障による欠損、欠落、消失▌｢汚染された｣証拠は証拠データ全体の信用を損なってしまう36

サイバー犯罪者向けビジネスモデルの洗練▌プロフェッショナルサービス for サイバー犯罪の台頭▌質の向上、専門化、分業化▌仮想通貨によって金銭を(悪人にとって)安全に授受できるようになった▌ランサムウェアの変遷⚫情報を勝手に暗号化し、元に戻して欲しければお金寄越せ→情報を勝手に持ち出して例示し、破壊されたくなかったらお金寄越せ37

サイバー空間をめぐる脅威の情勢等 | 警察庁Webサイト

38

2023/09/21公開

IT, ICTシステムを抱えている限り▌今や被害に遭うことは不可避⚫｢いや、ウチは被害に遭ってないよ？｣▌今後サービスをICTの力によって拡大していくなら狙われる機会増だろう

39

どんな業界が狙われているのか▌ビジネスに関する情報のインパクト(＝盗まれたり破壊されたりしたらとても大変なことになる度合い)が大きいのは医療分野▌自動車系列で工場が止まる、という被害の形も出てきている▌社会的インパクトが大きい重要インフラが狙われる傾向が強まるのでは⚫2023年7月: 日本の重要インフラが攻撃され、コンテナ搬出入作業停止等の港湾物流運営に大きな支障が出た事例▌さらに身代金支払いについての社会的な締め付けもキツくなる

40暗号化されてしまったら？

41▌犯人の手を借りずに自前復号できる？
⚫まず無理。ただ、よほど弱い暗号実装であれば脆弱性を突いて復号することが可能な場合もあるだろう。

▌バックアップをとってあれば良い？
⚫バックアップを狙うものもある。バックアップの隔離性というか独立性次第。別媒体、別コンピューター、別ネットワーク、クラウドなど、どこにバックアップデータを置くか⚫バックアップサービスを即座に立ち上げor構築できるか▌このようなリスクへの対応も含んだBCP(業務継続計画)が重要

通報・相談しやすい環境の整備

42

サイバー空間をめぐる脅威の情勢等｜警察庁Webサイト

参考

インシデントハンドリングのフロー例

43

JPCERT/CC
インシデントハンドリングマニュアルより

参考

インシデントハンドリングステップの内容と具体例⚫
※SOC事業者とは外部からネットワーク機器やサーバー類を常時監視し、サイバー攻撃の検出と分析、対応策のアドバイスを提供する組織、企業のこと

⚫
⚫
⚫
⚫

⚫

⚫

⚫
⚫

44

セキュリティ人材は不足？

https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r02/html/nd134530.html

45

46

不足しているのはどんな人材か

1位 セキュリティ戦略・企画を策定する人
2位 セキュリティリスクを評価・監査する人
3位 ログを監視・分析して、危険な兆候をいち早く察知できる人
4位 セキュリティインシデントへの対応・指揮ができる人
5位 関係部署との調整をしながら、セキュリティ対策を推進・統括できる人

54.3％
39.3％
38.4％
35.7％
26.7％

NRI Secure Insight 2021より。
他の選択肢にセキュアなプログラミングができる人、ビジネス・事業部門側のセキュリティ担当者などがある。

47

では、どうしたら良いか？

インシデントマネジメント と インシデントハンドリング▌インシデントマネジメント⚫CSIRTが「事前」の準備を含めたインシデントに対して行う一連の業務

脆弱性対応(セキュリティパッチ適用等)

インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント関連業務(予行演習等)

注意喚起

48

インシデントマネジメント と インシデントハンドリング▌インシデントハンドリング⚫インシデント発生から解決までの一連の業務
脆弱性対応
検知・連絡受付

報告
情報公開

トリアージ

インシデント
レスポンス(セキュリティパッチ適用等)

インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント
関連業務(予行演習等)

注意喚起

49

50

教育・訓練
教育訓練の例

▌セミナー

脆弱性対応
(セキュリティパッチ適用等)▌ワークショップ
▌机上演習
▌実機演習

インシデントハンドリング

イベント分析

インシデントマネジメント

普及啓発

その他

インシデント
関連業務(予行演習等)

注意喚起

51

実践的サイバー防御演習サイダー

2023年度実践的サイバー防御演習(CYDER)の概要

52

国の機関、地方公共団体及び重要インフラ事業者等の情報システム担当者等が、組織のネットワーク環境を模擬した環境で、実践的な防御演習を行うことができるプログラムを提供することにより、数千人規模でセキュリティオペレーターを育成
CYDER受講者数の推移 (累積数)2023年度コース概要

19448人16121人➢毎年 約 3,000人が受講➢ 演習は1日間 (Cコースは2日間)➢ 集合 (実地) 演習のほか、オンライン演習(個人学習)を実施➢ 組織当たり1名でも複数名でも参加可能➢ 重要社会基盤事業者、民間企業等は、受講料が必要
A/B/オンライン入門コース… 77,000円 (税込)
Cコース
… 121,000円 (税込)

年間約3,000人
が受講

13667人11019人
7929人
5263人
2254人

292人

507人 715人

2023年度実施内容および対象組織
コース名 演習方法 レベル

受講想定者（習得内容）

受講想定組織

開催地

開催回数

実施時期

初級

情報システム担当の経験2年以内相当の知識をお持ちの方(事案発生時の対応の流れ・ベンダーとの円滑な情報連携)

全組織共通

47都道府県

64回

7月～翌年1月

中級

情報システム担当の経験2年以上相当の知識をお持ちの方(主体的な事案対応・セキュリティ管理)

地方公共団体全国11地域

20回

10月～翌年1月

地方公共団体以外

東京・大阪・名古屋

13回

翌年1月

C

準上級

情報システム担当の経験3～4年以上相当の知識をお持ちの方(高度なセキュリティ技術)

全組織共通

東京

3回

11月～翌年1月

入門

入門

情報システム担当経験1年前後で知識のアップデートをお考えの方（集合演習Aコースの受講に必要な最低限の知識）

全組織共通

ー

インシデント発生時の対応の学習をこれから始める、または、始めたばかりの方（CSIRT担当者として知っておきたい基礎的な事項）

国の機関等、地方公共団体

A
B-1
B-2

プレCYDER

集合演習

オンライン演習※CYDERは、(ISC) 2 が提供する資格の認定継続に必要なCPEクレジット (継続教育単位) 付与対象の演習

5月～7月（受講者職場等）

随時

12月～翌年1月

サイダー

2023

▌初級、 中級、準上級、オンライン(入門・プレCYDER)⚫最大4名のグループワーク、ハンズオン 等⚫国の機関、地方公共団体等の職員の方は受講料が無料⚫新作シナリオ続々、繰り返し受講が効果的⚫受講後に発生したインシデント対応に役立った例▌演習環境CYDERANGE⚫各グループに専用の演習環境を提供⚫NICTの強み① 大規模計算機環境＆StarBED▌そのときどきの旬なシナリオの提供⚫NICTの強み② 研究実績と攻撃観測データの蓄積

53

CYDER演習風景: Aコース
オリエンテーション

演習フロー説明

インシデント発生～事実確認

チューターによるサポートマルウェア挙動調査

グループワーク

発表

報告書作成

確認テスト

54

55

集合演習のメリット2023年度CYDER演習開催スケジュール
Aコース（初級）（全組織共通）
地域
北海道

東北

開催県
北海道
青森県
岩手県
宮城県
秋田県
山形県
福島県
茨城県
栃木県
群馬県
埼玉県
千葉県

関東
東京都信越
北陸

東海

神奈川県
山梨県
新潟県
長野県
富山県
石川県
福井県
岐阜県
静岡県
愛知県
三重県

開催日
8/22 札幌
10/5 網走
8/25 青森
10/11 盛岡
7/21 仙台
10/13 仙台
9/5 秋田8/30 山形
9/29 郡山
7/19 水戸
7/25 宇都宮9/26 高崎
9/22 さいたま
9/20 千葉
7/11 東京
8/10 東京
8/23 東京
9/29 東京
10/17 東京
10/18 東京
12/12 東京
1/12 東京
9/26 横浜
12/21 小田原
8/8 甲府
9/12 新潟
7/28 長野
11/10 茅野9/8 富山9/15 金沢
8/31 敦賀
8/29 岐阜
8/31 静岡
7/26 名古屋
9/22 名古屋
11/28 名古屋
9/15 津56

B-1コース (中級)(地公体向)
地域

近畿

中国

四国

九州

沖縄

開催県
滋賀県
京都府

大阪府
兵庫県
奈良県
和歌山県
鳥取県
島根県
岡山県
広島県
山口県
徳島県
香川県
愛媛県
高知県
福岡県
佐賀県
長崎県
熊本県
大分県
宮崎県
鹿児島県
沖縄県

開催日
8/4 大津
10/31 京都
7/28 大阪
9/12 大阪
11/28 大阪
12/6 大阪
11/7 神戸
8/29 奈良
10/27 和歌山
8/10 倉吉
11/2 出雲9/5 岡山8/25 広島
10/20 山口
10/31 徳島
9/8 高松
8/1 松山10/27 高知
8/22 福岡
12/14 福岡
11/14 佐賀
11/10 長崎
10/17 熊本
10/24 大分
10/13 日向
8/4 鹿児島
10/6 那覇オンラインコース（全組織共通）オンラインにより受講可能なコースを時期を分けて開催
第1期（5月16日から7月14日） 第2期（12月から1月予定）

開催地域
北海道
東北

関東信越
北陸
東海
近畿
中国
四国
九州
沖縄

開催日
11/2 札幌
11/8 盛岡
11/14 仙台
10/11 東京
12/13 東京
12/19 東京
1/10 東京
11/17 新潟
11/21 金沢
10/24 名古屋 11/29 名古屋
10/20 大阪
11/29 大阪
12/7 大阪
11/7 広島
11/17 岡山
11/22 高松
12/8 熊本
12/15 福岡
12/1 那覇B-2コース (中級)(国・重要ｲﾝﾌﾗ)
開催地域
関東
近畿
東海

開催日
1/11 東京
1/16 東京
1/17 東京
1/19 未定
1/23 東京
1/24 東京
1/25 東京
1/26 東京
1/30 東京
1/31 東京
1/23 大阪
1/24 大阪
1/19 名古屋

Cコース（準上級）（全組織共通）
開催地域
関東

開催日
11/21~221/25~26
1/30~31

東京
東京
東京

和歌山近郊で開催予定のCYDER▌Aコース▌B-2コース⚫10/27@和歌山 お急ぎください⚫11/28@大阪 満席(キャンセル待ち)⚫12/06@大阪 残席僅か

⚫1/23@大阪 11月頃受付開始予定⚫1/24@大阪 11月頃受付開始予定▌B-1コース⚫10/20@大阪 満席(キャンセル待ち)⚫11/29@大阪 満席(キャンセル待ち)⚫12/07@大阪 満席(キャンセル待ち)57

繰り返し受講 をオススメする理由
インシデントハンドリングはさまざま。

セキュリティポリシー

導入システム

絶対的な正解はない▌共通要素はあるが部分的に違うシナリオを体験▌共通要素の洗練▌「想定内」の想定範囲が広くなれば、多少のことでは慌てなくなる

インシデント種類

58

まとめ▌トレンドとキーワードで確認する最近のセキュリティ動向▌やらかす？やられる？
▌では、どうしたら良いか？
⚫インシデントマネジメント と インシデントハンドリング⚫教育・訓練⚫実践的サイバー防御演習(CYDER)

59

60

ご参考資料

登場人物相関の例

参考⚫

⚫
⚫

外部委託業者

市の通信を監視
マルウェア対策製品保守、およびセキュリティインシデントサポート

ネットワーク保守・運用

プロキシサーバー通信監視担当

61

集合演習の課題出題例

参考課題

テーマ

課題概要

１

検知・連絡受付

連絡受付に対する事実確認および対処

２

トリアージ（ログ調査）

事実確認のためのログ調査

３

トリアージ（ヒアリング）

現場当事者への指示・依頼

４

対応方針の検討

事実関係の整理、今後の対応方針の検討

５

証拠保全（ディスクイメージ調査）

事象の詳細調査（１）６

証拠保全（マルウェア解析）

事象の詳細調査（２）７封じ込め・根絶／報告・公表

事実関係の整理、封じ込め・根絶策検討

８

復旧措置・報告書作成

報告書作成

９

再発防止策の検討

改善点の洗い出し◼

62

はハンズオン課題、それ以外はディスカッション課題です。
※ディスカッションで検討した内容について、数チームに発表していただきます。その他チームからの質問、助言等の意見交換を行います。

参考

各グループそれぞれに提供するネットワーク構成例※

63

NICT が 構 築 し た 、 大 規 模 な シ ミ ュ レ ー シ ョ ン を 実 施 で き る 計 算 機 群 で す 。
本演習では、さいだ市のネットワークをシミュレーションし、演習環境として利用しています。

⚫

・・・

⚫

・・・

参考テンプレート

64CYDER | 資料請求 | https://cyder.nict.go.jp/request/index.html