T

A

B

L

E

O

犯罪の実態を解明するには官民連携が不可欠

F

C

O

N

T

E

N

T

S

企業内でサイバー犯罪対策グループを立ち上げた

猪野 裕司 インタビュー… ……………………………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.08………………………………… 8
セキュリティツールを実践的に紹介する連載企画

Let's Try OSINT 体験

1. 環境準備編… ……………………………………………………… 9●はじめに本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security
Research Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2024. All rights reserved.

2

犯罪の実態を解明するには官民連携が不可欠
企業内でサイバー犯罪対策グループを立ち上げた

猪野 裕司
インタビューYuji Ino

リクルートのビジネスを毀損するネット犯罪の被害を減らすためにサイバー犯罪対策グループを立ち
上 げ た 猪 野 裕 司 氏。JSAC（Japan Security Analyst
Conference）2022 において「国内悪性プロキシサー
ビスとの闘争」と題したセッションを行い話題となった。対象となった 911 Proxy はその後テイクダウンされている。JC3 でも活発に活動している猪野氏に、官民連携のメリットなどをうかがった。

取材・文・撮影 = 吉澤 亨史
編集 = 斉藤 健一

帰国後、現在の上司の誘いでリクルートに入
現職以前「セキュリティは趣味」だった社しました。その上司とは元々同じ CTF チーム（sutegoma2）に所属しており、さまざまな形で

吉澤（以下、交流もありました。それまでは、趣味としてセキュ）：まず、猪野さんの略歴と現在のお仕事について教えてください。

リティの勉強会に参加していましたが、セキュリ

猪野：（以下、ティが仕事となったのは、現職になってからです。

）：リクルート入社以前は大手国

内 SI 企業に在籍していました。当初は研究開発部

他の記事によると、猪野さんがセキュリティに門に所属していたのですが、製品開発へと部門の興味を持つきっかけとなったのは、メールアカウ

方針転換がありました。クオリティを高めるようントが乗っ取られたからだそうですね。

な仕事は苦手で、0 を 1 にする研究開発の方が面あれは忘れもしない大学 1 年生の春でした。う白いと感じていたため、新規事業立ち上げの社内

る星やつらが大好きなとある大学教授から「あな公募に応募、事業開発部門へ異動しました。そのたのメールアカウントが乗っ取られています」と中で、米国のシリコンバレーに 4 年ほど駐在し、指摘されたのです。当時のインターネットは法律

現地ではベンチャー企業の発掘や海外製品の立ちもルールも何も整備もされていない状態で、攻撃上げなどに携わっていました。

もひんぱんに行われていました。しかし、その背後にある自由さに興味を持ちました。

しばらくアメリカに行かれていたのですね。
3

リクルート入社後はどのような業務をしているのですか？
しばらく CSIRT としてセキュリティインシデン
ト対応のハンドリングをしていました。ただ、気になったのは情報セキュリティではなく、ビジネ
スを毀損するような悪意ある人間がサービス中で活動していることでした。数はそれほど多いわけ
ではありませんが、そういった悪意ある人間の行
動によってサービス全体の品質が下がってしまう。それを何とかしたいと考えていました。
その代表格が不正トラベル※ 1 だったわけですね。
こうしたサイバー犯罪事件は、犯人を逮捕すれば終わります。しかし、そこにたどり着くまでに猪野裕司（いの・ゆうじ）
国内大手 SI 企業を経て 2016 年リクルートテク
ノロジーズに入社。リクルート CSIRT として、
リクルートで発生するさまざまなセキュリティ
事故の対応をリード。現在は、サイバー犯罪対策グループでカード不正やなりすましログインなどを専門とした分析、調査を実施。日本サイバー犯罪対策センター（JC3）幹事。

はいくつものハードルがあることに気づきました。
ほとんどの企業では、従業員が犯罪者の逮捕に関わることなど想定していませんよね。総論としては理解を得られても、各論になると承認を得られないことが多いのです。そこで、経営陣も参加する社内会議に働きかけてサイバー犯罪を着目する
リスクの 1 つとして、認定していただきました。
リスクへ対応する部署としてサイバー犯罪対策グないと判断されたものを徹底的に調査することでループを立ち上げ、ビジネスを毀損する犯罪を定す。さらっと流してしまいそうな軽微に見えるも

義、エスカレーションのフローを整備しました。

のでも、問題になりそうなら分析し、対策の必要

警察へ事件通報することについて、社内ではどのあるリスクを見逃さないようにしています。というのも、対策が再発防止につながると考えていのような意見が出たのでしょうか。

るからです。

犯罪者を逮捕することに対する炎上を懸念する

リスクを正しく把握してノウハウを蓄積すると声はありました。具体的には、犯罪者逮捕が報道

ともに、対応の幅を広げていくわけですね。

されると SNS などでリクルートに対してネガティ
ブな反応が起こるのではないか、というものです。

セキュリティ対策と違い、サイバー犯罪を未然

悪いことをした人に対して、あるべき対応を行うに防止することは、ユーザーの利便性などを考えことで炎上が起こることはないと主張しました。

ると非常に難しいのです。そこにコストをかけて実際に逮捕報道による炎上は起きていません。まも、解決はできません。ですが、明らかに度を超た、そうした事例を着実に積み上げていくことがえた不正をしている犯罪者が逮捕されれば、同じ実績となっています。

ような不正を行っている人たちへの大きな牽制にもなりますので、こうした活動を通じてサービス

現在もそうした不正を発見するための監視など

からサイバー犯罪の被害を減らしていきたいと考を行っているのですか。

えています。

サイバー犯罪対策グループの基本的な動きは、警察への通報する案件としない案件の違いは、事業側で見つかった問題のエスカレーションを受どのようなものなのでしょう。

けて解決することです。その中で、私が注力して通報する案件は、基本的に国内に痕跡が残っているのは、重大なインシデントまでにはいたら※ 1 不正トラベル：旅行関連のサービスを狙った不正行為の一種で、特に宿泊施設や航空券の予約などを対象としている。手口としては、主に盗まれたクレジットカード情報を使って旅行を手配し、被害者は知らない間に不正に購入されたサービスの代金を負担することとなる。

https://www.jc3.or.jp/threats/archive/topics/travel_fraud.html

4

事例であれば、不正利用からチャージバック（クレジットカードを保有する顧客が不正利用など理由に利用代金の支払いに同意しない場合にクレジットカード会社がその代金の売り上げを取り消すこと）の発生まで、数ヵ月かかります。チャー
ジバックが発生してから連絡するのでは遅すぎます。事件解決が困難です。能動的に分析をした上で、チャージバックが発生していない不正予約、
チェックイン前の不正予約などの情報を共有し、警察が実態を捜査できる状態を提供できるのがベストです。
事業会社からも捜査に必要となるさまざまな情報提供が必要ということですね。
目的に対して必要な情報を適切なタイミングで出さないと、お互いの共通のゴールである事件解決にたどり着けません。幸い、私が取り組んだ事

ミニ四駆が大好きだという猪野氏。講演を行ったり取材を受けたりするときは必ずタミヤの T シャツを着るのだという

件は、ログを分析することで、不正トラベルの状況を迅速に把握できました。

いて、犯人逮捕までの道筋が見えやすいもの、その中で影響が大きいものを優先しています。実行

警察との官民連携では、漠然と「今日から連携犯が海外にいて、犯行がすべてインターネット上

して行きましょう」ではなく、犯罪被害が発生しで行われ、その利益も海外で取得されるパターンており、証拠がある程度用意できるときに、犯人は事件解決が非常に難しいです。

を逮捕して欲しいと連携するものなのですね。
はい、警察との連携は、何かしらの課題を解決する目的とした方が良いです。

不正トラベル問題における官民連携

連携をお願いしてから、ある程度先が見えるま
での時間は割とかかるものなのでしょうか。用意

先ほどの不正トラベルの件では、JC3 との連携する情報や資料にもよると思いますが。

があったと聞いています。それも官民連携の 1 つ

ケースバイケースですね。割と時間がかかる傾と言えると思いますが、どのような経緯、背景が向があります。時間がかかる理由として、今の手あったのでしょうか。
JC3 はとても良い組織です。JC3 では警察官の続きではインターネット犯罪の立件に必要とされ方々とフラットに会話・相談ができ、きちんと対る証拠が多すぎるという点があります。プロバイ

応・協力していだけます。IT に詳しい警察官が多ダーやカード会社の情報開示の手続きにも時間がいので、JC3 を通じて事件相談することで、JC3かかりすぎます。知り合いの刑事さんなどは「ネッが警察と事業会社のハブになり連携しやすかった

ト犯罪はつらい」とぼやいていました。

と思います。他にも、最新の犯罪状況を共有して官民連携する上での企業にとってのメリットをいただけるので、非常に勉強になりますし、重要挙げるとすると犯人逮捕よる被害防止といった観な場だと考えています。

点になるのでしょうか。
言い方は悪いかも知れませんが、警察組織は私警察に事件捜査を依頼するのに、どのようなこたちが払っている税金で動いてもらえるセキュリとが必要になりますか。
警察に通報したら後はお任せ、というわけに

ティソリューションだと言えます。国から提供さは行きません。こちらも警察の捜査と歩調を合われている治安維持のサービスなので積極的に利用せながら、常に新鮮な情報を提供し続ける。ここしましょうということですね。また、警察によるが非常に重要となります。例えば不正トラベルの逮捕は効果も絶大です。再発防止策には逮捕がい5

ちばんわかりやすいですよね。やってた人がいな部で 100 ～ 200 IP アドレスくらいかなと考えていくなるわけですから。

たのですが、桁違いでした。これだけの数の不正
プロキシが国内に存在することは大問題だと考え、

国内悪性プロキシサービスとの闘いまとめた結果を 2022 年の JSAC で発表しました。
それが 911Proxy のテイクダウンにつながった

JSAC（Japan Security Analyst Conference） でのかも知れませんね。

の講演※ 2 について教えて下さい

つながってはいません。ただし、911 の始まり

もともと不正カード利用を追いかけていたことから FBI に逮捕されるまでの 1 つのストーリーとがきっかけで、国内のプロキシに気がつきました。

して完結したことは、他のプロキシ業者への牽制

同一アクターによる攻撃であるにもかかわらず、

サンプルとしてとてもいい事例だと思います。

IP アドレスの分布に偏りがないという特徴があり結果としてどのような収穫がありましたか。

ました。それらの踏み台となったプロキシを検出

レジデンシャルプロキシに取り組んでわかった

できれば、カードの不正利用を防げるのではない

ことは、プロキシの IP アドレスからのアクセスだかと考えたのです。

からといって全て悪性であるとは限らないという具体的には、どのように取り組んでいたのでことです。つまり、当初の目的としていたカード

しょうか。

不正への対応には役に立ちませんでした。ただし、プロキシの検出手法をいくつか検討しました。

不正があったときに、攻撃者がレジデンシャルプ

IP レピュテーションデータベース ※ 3 の利用を検ロキシを利用していたかどうかを調べるときには討しましたが、我々が所有する不正利用された IP

有効です。

アドレスを全く検出できませんでした。他の手法

カード不正以外で役立つ手法になったわけですね。

を検討していたときに、911Proxy ※ 4 がこれらの法執行機関が捜査をする上で、その IP アドレ

プロキシの入口サービスであるという話を聞き、スの属性情報として非常に役に立ちます。私たち検証してみたところ、確かに 911Proxy を通じても警察に届け出をするときに IP アドレスの履歴か不正に利用されているプロキシにアクセスできまら犯人の属性を判別することができます。その意した。そこで 911Proxy のデータの収集を始めま

味では JC3 経由で捜査機関へ提供することで、民した。2020 年 10 月のことです。収集したデータ

から官への情報提供として役立つ活動ができたとを用いて不正なトランザクションをチェックする思います。911Proxy は、有名セキュリティ・ジャー

と、リクルートで発生する不正なトランザクショ

ナリストによる OSINT 調査が行われ ※ 5、その直ンの 9 割以上がマッチしました。本丸を掴んだと

後には「重大なデータ侵害」があったとして、サー思いました。

ビスを停止しました。その後、新しいプロキシサー

どのような状況だったのでしょうか。

ビスが大量に出てきて、現在の状況の方が実は混

1 日あたり約 8 万件の IP アドレスが観測できま沌としています。

し た。911Proxy は 2022 年 7 月 22 日 に ク ロ ー ズ

プロキシサービスは人気が高く、需要が多いとしたのですが、その時までに収集できたユニークいうことですね。

IP アドレス数は 100 万以上、毎日、新しい IP アド

911Proxy の前と後では完全に不正追跡の状況がレスを 1000 ～ 2000 件収集しました。収集前は全変わってしまいました。利用するサービスが一極※ 2 国内悪性プロキシサービスとの闘争 https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_3_ino_jp.pdf※ 3 IP レピュテーションデータベース：IP アドレスの不正利用状況を収集したデータベース。IPQS（https://www.ipqualityscore.
com/）や spur.us（https://spur.us/）などがある。
※ 4 911Proxy：レジデンシャルプロキシサービス（住宅用の IP アドレスを利用したプロキシサービス）の 1 つ。世界中のユーザーの端末にウイルスを仕込みプロクキ出口として提供、犯罪者がオンラインで匿名性を保つのに寄与。2022 年 7 月、重大なデータ侵害を受けたとしてサービスを停止。
※ 5 A Deep Dive Into the Residential Proxy Service ‘911’
https://krebsonsecurity.com/2022/07/a-deep-dive-into-the-residential-proxy-service-911/

6

集中から群雄割拠の状態と不正プロキシマーケッ

から警察に通報する際の「お作法」を共有していトが完全に変わりました。変更に追従するために、きたいと考えています。

私たちは複数のサービスの監視を始めましたが、なるほど。

911 の時代に比べるとカバー率が全然足りていませ

カード不正の被害金額も増えている一方で、３ん。一つひとつのサービスの監視自体が 911Proxy

D セキュアの導入によって、インターネットにおに匹敵するほど大変なのです。このまま監視サー

ける不正カード被害がカード会社に行くようにビスを増やしていくことは体力的に厳しいため、なってしまったので、カード社会が成り立たなく

何か次の手を打たなければならないことが今の課なってしまうという危惧もあります。これを防ぐ

題です。また、このプロキシの状況を理解していには、悪事を働く人間を捕まえないといけません

る人が少ないことも危機感としてあります。

し、国内の受け子や海外にいる本犯たちの活動を少しでも妨害する必要があります。

今後も新しい領域を見つけたら個人としてはいかがですか？

足を踏み入れていく「少しでも良い景色が眺められるのであれば、結果はともあれ、まずは動いてみよう」というの最後に今後取り組んでいきたいことについて、が、私の行動指針です。ですから、今後新しい領教えてください。

域を見つけたら、どんどん足を踏み入れ、1 つで今後もレジデンシャルプロキシの根絶に向けても 2 つでも成果を出していきたいと考えています。

活動したいです。また、官民連携の強化として、

そしてインターネットの安全を高めることに寄与

民間企業が警察に対して円滑に通報できる社会をできればと思っています。

作り、インターネット犯罪が今よりも少なくなる

ありがとうございました。

状態を作りたいと思っています。そのために、民7

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2024.08
文＝ SHIELD Security Research Centerの請求書送付が行われたタイミングで、取引先の企業の内部情報は攻撃者に把握されている担当者になりすました攻撃者から口座変更の連絡が行われた。この際、口座情報の偽の証明書類が送付されており、書類には正規の取引先社長印が【概要】：決済権限を持った経理担当者や、権限が押されていたという※。

高く、機密情報を多く握っている幹部層など、社内の特定の人物を狙った攻撃が増加している。こ攻撃者はしっかりと時間をかけて対象の情報をのような攻撃は標的の同僚や上司など、組織内の収集し、特定人物を狙って攻撃する。具体的には、人間関係を入念に調べ、関係者になりすまして実Web 検索だけでなく、偽プロフィールを登録した施されることもあり、ばらまき型の攻撃よりも危SNS 上で対象組織のコミュニティやグループへ参険度が高い。攻撃者にはある程度の内部情報が知加しチャットを盗み見る、SNS 上で直接接触を図られていることを認識し、被害を受けないよう自り情報を聞き出すなどさまざまな OSINT（Open覚を持った行動が重要である。

Source Intelligence）を用いて情報収集を行っていると考えられる。

【内容】：組織内の特定人物を取り巻く人間関係や攻撃者に余計な情報を与えないよう、社外に公他社とのやり取りを入念に調べたうえで行われる開している情報の見直しや、意図せず公開された

詐欺被害が増加している。英エンジニアリング大

情報の確認および対処が必要となる。しかし、対手企業のアラップが約 40 億円の詐欺被害を受け策を行っても、何らかの原因で内部情報は流出すた事例がある。この事例では、同社の経理担当者

る可能性があり、どのような情報が攻撃者に知ら宛てに最高財務責任者（CFO）を名乗る人物かられているかを正確に把握するのは難しい。そのた

秘密取引の連絡が届き、会議参加を依頼された。

め、攻撃に遭った際、騙されないような予防対策

経理担当者が案内されたビデオ会議に参加するとを行うことが推奨される。例えば、取引先や同僚、同僚も同じ会議に参加していたため正規取引であ上司など、自身の関係者から届いた連絡であってると判断し、指示に従い約 40 億円の振り込みをも、少しでも通常とは異なる違和感を覚えた場合行った。実際には会議に参加していた同僚は全ては別の経路を使ってその関係者に直接コンタクト

ディープフェイクを利用した偽物であった。このを図り、当該連絡が正規のものであるのかを確認

事例から、決済の権限を持つ経理担当者が誰なのすることが対策として挙げられる。これは SNS 経

かという情報や、メールアドレス、標的の同僚と、由で接触を図られた場合も同様であり、相手が信

その容姿までもが攻撃者側に把握されていたこと

用に足る人物と確認できるまで必要以上の情報をが分かる。

提供しないよう注意すべきである。

国内でも某輸入販売業者が取引先の担当者を騙

社内の内部情報は攻撃者に把握されていること

る攻撃者に騙され、偽の銀行口座に送金した事例を認識した上で、被害に遭わないよう、やりとりがある。この事例では被害企業と取引先の正規のしている相手が信頼できる人物であるかの確認をやり取りが攻撃者に盗聴されており、取引先から心掛けるなどの自覚を持った行動が重要である。

［情報源］※ https://www.ipa.go.jp/security/bec/bec_cases.html

8

セキュリティツールを実践的に紹介する連載企画

Let's try OSINT 体験

1． 環境準備編

文＝ SHIELD Security Research Center1．はじめに
本稿は、各種セキュリティツールなどを実践的に紹介する連載企画です。今回から「OSINT 体験」と題して、3 回にわたり基礎となる考えの概説からツールを用いた調査方法までを紹介していきます。
OSINT とは、Open ｰ Source Intelligence の略で、公開情報からインテリジェンス（意志決定のためにデータや情報などを分析して得られる知見）を作成することを指します。
インテリジェンス作成の過程において、さまざまなソースから収集されたものが「データ」であり、デー
タを処理・利用したものが「情報」であり、情報を分析・作成したものが「インテリジェンス」となります。
OSINT は公的な利用可能なソースからインテリジェンスを作成するものですが、他にも人物から情報を収集する HUMINT（Human Intelligence）や、衛星写真や航空写真、地図／地形データから収集する
GEOINT（Geospatial intelligence）などがあります。
組織のサイバーセキュリティでは、OPSEC（Operational Security）を意識し、Web データやインフラに対する調査を行い、自組織に対してフィッシングメールなどの不審なメールが届いた際の調査や情報収集に役立てたり、ASM（Attack Surface Mnagement）などのように自組織の情報やインフラがインターネットからどう見えているか確認したりするのに活用可能です。
今回は、「1. 環境準備編」として、OSINT（Open-Source Intelligence）に関連する解析環境の準備か
ら情報収集の方法を紹介します。
1. 環境準備編
OSINT と OPSEC の概念を理解し、OSINT 用の仮想環境を準備します。その後、OPSEC を強化するた
めに VPN やプラグインを導入し、設定を確認します。
2. Web データ収集編
Web ブラウザを用いた Google Dorks と Web アーカイブサイトを用いたキャッシュ、クラウドスト
レージの調査サイトを紹介します。
３. Web/ インフラ調査編
ツールなどを用いて Web やインフラに対する情報収集の手法やツールを紹介します。
本稿の安全性には留意していますが、安全を保証するものではありません。OA 端末で実施するのではなく、分離された回線内および機器を利用することを推奨します。また、本稿は、実際のサイバー攻
撃事例に基づいてシナリオを作成しています。そのため、本稿には攻撃者が使用した攻撃手法やツール
名などの情報が記載されていますので、不正に使用しないようお願いします。
なお、本稿の内容を不正に使用すると「不正アクセス行為の禁止等に関する法律」( 不正アクセ ス禁止法）等に抵触することがありますので、十分にご注意下さい。
9

2．インテリジェンス・OSINT・OPSEC
2.1 インテリジェンスと OSINT
OSINT（Open-Source Intelligence）とは、洞察やインテリジェンスを得るために、ニュース記事、
ソーシャルメディア、政府報告書などの公的に利用可能なソースから情報を収集および分析することを指します。
OSINT は、あらゆる業界のほぼすべての人に利益をもたらすため、セキュリティの重要なコンポー
ネントです。法執行機関や諜報機関などの政府機関や、サイバー脅威情報、市場調査、採用、競合情報の収集を目的とする民間企業など、さまざまな組織で活用されています。CSIRT 活動の中でも、外部の脆弱性や脅威情報を収集する際や、インシデント対応時の調査の中で OSINT を用いることがあります。
●政府および諜報機関
・安全保障上の脅威情報を収集、地政学的な出来事を監視し、意思決定をサポート●法執行機関・犯罪行為に関する情報を収集し、犯罪ネットワークを監視し、捜査を支援●企業や金融組織・競合情報を収集し、市場動向を監視し、事業運営に対する潜在的なリスクを特定●サイバーセキュリティ専門家
・サイバー脅威を特定して監視し、脆弱性に関する情報を収集
・インシデント対応と脅威インテリジェンスの取り組みをサポート
2.2 インテリジェンスのプロセス
インテリジェンスのプロセスは５つのステップに分類されます。はじめに「1．計画」を行い、依頼者の目標を理解して、調査手法や制限、報告形式を決定します。次に、「2．収集」では、あらゆるソースからデータを収集します。その後、「3．加工と活用」と「4．分析と作成」で収集したデータから依頼者の質問に答えるために分析してレポートを作成します。最後に「5．普及と統合」で依頼者のニーズに応えたレポートを展開して利用してもらいます。レポート結果を元に、次の計画を立ててインテリジェンスのプロセスを回してきます。
１. 計画（Planning and Drirection）
・どのような手法が許可されているか、従う必要があるポリシーや法律を定義
・依頼者の最終的な目標を理解することが最も大切
２. 収集（Collectoin）
・OSINT で最も注目を集める部分であるがステップの１つにすぎない
３. 加工と活用（Processing and Exploitation）
・収集と分析の間のステップ、生データから使用可能な形式への加工を含む
・外国語から母国語への翻訳など
4. 分析と作成（Analysis and Production）
・情報や加工済みデータを確認し、依頼者のニーズに応えるレポート作成のための重要なステップ
5. 普及と統合（Dissemination and Integration）
・依頼者のニーズに応えた概要や調査結果などを含めたレポートを提供して利用される
10

2.3 OPSECOSINT を始める前に重要な考え方として OPSEC（Operational Security）を紹介します。OPSECは米国軍に由来する用語で、機密活動の計画と実行に関する一般に機密扱いされていない証拠を特定・制御・保護することで、潜在的な敵対者が能力と意図に関する情報を入手できないようにする
体系的で実証済みのプロセスを指します。このプロセスには、重要な情報の特定、脅威の評価・分析、脆弱性の分析、リスクの評価、適切な対策の適用という 5 つのステップが含まれます。
1. 重要な情報の特定
・機密情報が何である可能性があるかを理解する
2. 脅威評価
・潜在的なサイバーセキュリティの脅威を特定する・攻撃者が自組織に対して何を悪用できるかを考える
3. 脆弱性分析
・セキュリティ上の脆弱な箇所を特定する
4. リスク評価
・特定された各脆弱性に関連するリスクのレベルを測定する
5. 対策を適用
・特定されたリスクを最小限に抑えるための対策を策定する
OSINT 調査の実施者は、優れた OPSEC を備えている必要があります。端末がマルウェアに感染する可能性があったり、アクセス元 IP アドレスからアクセス元の組織が攻撃者に漏れる可能性があったりするため、リスク管理プロセスとして、「業務情報が含まれない端末・環境から、社内ネットワー
ク以外からアクセス」や「普段している個人アカウント・デバイスを使用しない」など OPSEC を意識する必要があります。
不適切な OPSEC の一例として、使用されていないソーシャルメディアのプロファイルをオンラインに残しておくことが挙げられます。理解すべき一般的なルールは、人はミスを犯す可能性があるということであり、常にミスの影響を軽減することであるべきです。 SANS のページに OPSEC のためのベストプラクティスが掲載されています※ 1。
また、Webcast「Best Practices and Lessons Learned from Starting Up OSINT Teams」も公開されているので、ぜひご参照ください※ 2。
※ 1 https://www.sans.org/blog/what-is-opsec/※ 2 https://www.sans.org/webcasts/best-practices-lessons-learned-starting-osint-teams/?msc=blog%20what%20is%20opsec

11

3．OSINT 調査
3.1 OSINT 調査環境の準備
OPSEC を確保するために、今回は Trace labs 社の仮想環境を用いて調査環境を準備します。Tracelabs 社のサイトにアクセスすると、図 1 のように OSINT 用の仮想環境が用意されていることが確認できます。実際には Github 上からファイルをダウンロードすることになります。今回は VirtualBox
向けのファイルをダウンロードして環境を構築します。

図 1 Trace Labs 社の OSINT 用 VM のダウンロードサイト（https://www.tracelabs.org/initiatives/osint-vm）

ダウンロードした ova ファイルをダブルクリックすると、図 2 のように VirtualBox の仮想アプラ
イアンスのインポートが表示されます。VirtualBox を解析用 PC にインストールしていない場合は、公式サイトから事前にダウンロードしてください※ 3。仮想環境のログイン ID と PASS はそれぞれ
osint / osint です。ログインすると図 3 のように OSINT 用にカスタマイズされた仮想環境を使用できるようになります。

図 2 VirtualBox への仮想環境のインポート

図 3 ログイン後の Trace Labs 社の OSINT 用仮想環境

3.2 OPSEC の確認準備した仮想環境を用いて OSINT 調査を実施していきますが、その前に OPSEC を確認してみます。
“WhatIsMyBrowser.com” ※ 4 は、アクセス元の情報を確認するサイトで、ブラウザの設定や IP アド
レス、システム情報などを確認できます。図 4（次ページ）は FireFox で “WhatIsMyBrowser.com”※ 3 https://www.virtualbox.org/※ 4 https://www.whatismybrowser.com/

12

にアクセスした結果ですが、Linux の Firefox 115 バージョンでアクセスしていることが表示されています。また、JavaScript や Coolies が有効化されていることがわかります。JavaScript が有効化されていると、Web サイトにアクセスした際に JavaScript でアクセス元の情報を収集できます。アクセス元の情報を可能なかぎり取得されないためにも無効化することを推奨しますが、JavaScript が有効化されていないと Web ページがうまく表示されない場合もあります。そのため、デフォルト
で無効化しておき、必要に応じて有効化するなど柔軟に対応することが必要です。

図 4 WhatIsMyBrowser.com で確認できる情報（その 1）

その他には、図 5 に示すように IP アドレスやコンピューターやブラウザーの解像度も表示されています。これらの情報が相手に伝わると、複数情報を組み合わせることでアクセス元を識別される可能性があります。そのため、自組織のネットワークから OSINT 調査を実施すると、組織が情報収集していることがアクセス先に伝わり、OPSEC が損なわれます。右下には TOR を使用しているかの項目も確認できます。TOR でアクセス元を秘匿するのに有効なソフトウェアですが、今回は VPNを用いて IP アドレスを秘匿する方法を紹介します。

図 5 WhatIsMyBrowser.com で確認できる情報（その 2）

13

3.3 VPN を用いたアクセス元 IP の変更方法
VPN とは “Virtual Private Network” の略称で、インターネット通信を暗号化し、IP アドレスを秘匿することでデータを第三者から保護するサービスのことです。テレワークを行うために、自宅から社内ネットワークへ VPN 接続し業務を行うためなどに使用されています。一方で、重大な脆弱性が公開され、認証情報の漏えいなどでサイバー攻撃者の侵入経路にも悪用されることもあります。
今回は、OPSEC を確保するために IP アドレスを秘匿する目的で VPN を使用します。
VPN は商用サービスが数多くあり、Google のサブスクリプション・サービスである Google Oneに含まれる Google One VPN や NordVPN などがあります。今回は、筑波大学が学術実験プロジェ
クトとして提供している “VPN Gate” ※ 5 を用いて VPN 接続する方法を紹介します。VPN Gate 学術
実験プロジェクトは、日本に所在する筑波大学における学術的な研究を目的として実施されているオンラインサービスで、グローバルな分散型公開 VPN 中継サーバーに関する知見を得ることを目的とされています。VPN Gate にアクセスすると、図 6 に示すように VPN 中継サーバーがある国とDDNS 名／ IP アドレスや使用可能な接続方式が確認できます。

図 6 VPN Gate で利用可能なサーバ一覧

図 6 の OpenVPN 設定ファイルをクリックすると、図 7 が表示され DDNS ホスト名か IP アドレスが設定されている ovpn ファイルをダウンロードできます。ダウンロードした ovpn ファイルを設定し、VPN サーバー経由でインターネットに接続できるようにします。

図 7 DNS ホスト名 または IP アドレスが設定された ovpn ファイル
※ 5 https://www.vpngate.net/ja/

14

ovpn ファイルを設定する方法を解説します。図 8 に示すように右上の赤枠で囲ったアイコンをクリックし、「VPN Connections」→「Add a VPN connection」を選択します。その後、「Choose a
VPN Connection Type」が表示されるので、「Import a saved VPN configuration」を選択し、ダウンロー
ドした ovpn ファイルを選択します。 ovpn ファイルを選択すると設定内容が反映されるため、図 9のように右下の「Save」をクリックして設定を保存します。

図 8 ovpn ファイルのインポート

図 9 ovpn ファイルに記載された設定を保存

ovpn ファイル設定後、図 10 のように “VPN Connections” から設定した VPN のチェックボック
スをクリックすることで、VPN 接続が成功したメッセージが表示され、VPN が接続された状態になります。

図 10 VPN 設定が適用された状態

15

VPN が接続された状態で、再度「WhatIsMyBrowser.com」へアクセスすると、図 11 のように “VPNGate” で選択した IP アドレスが表示されることが確認できます。このように自身の IP アドレスを秘匿して、Web サイトにアクセスできる状態になったことなったことを確認できます。

図 11 VPN 経由で「WhatIsMyBrowser.com」にアクセスした結果

3.4 コンテンツブロッカーの導入
ここでは Web ブラウザでサイトにアクセスする際に表示される不要な広告やトラッカーをブロッ
クするブラウザー用のプラグイン ”uBlock Origin” を紹介します。準備した仮想環境には Firefox がデフォルトでインストールされているため、Firefox 用の “uBlock Origin” を設定していきます。図
12 のように、Firefox 上で Firefox Browser ADD-ONS にアクセスし、右上の検索ボックスに “uBlock
Origin” を入力して検索します。

図 12 Firefox Browser ADD-ONS のページ（https://addons.mozilla.org/ja/firefox/）

すると、図 13 のように ”uBlock Origin” のページが表示されるため、“Firefox へ追加 ” をクリックします。クリック後、ポップアップが表示されますが、“Add” をクリックすることで、図 14（次ページ）のように Firefox の右上に “uBlock Origin” のアイコンが表示されるようになります。

図 13 uBlock Origin のページ

16

“uBlock Origin” の使い方を図 14 を参照しながら簡単に説明します。①の電源マークのようなものがフィルタリングの適用状況となり、青が有効、白が無効を示します。また、左下の ”More” をクリックすることで、左側のドメイン一覧が表示されるようになります。②で囲んだ緑や赤はブロックの状態を示しており、緑：許可、赤：ブロック、黄色：許可とブロックの状態を示します。また、③で囲んだ個所の＋が許可、－がブロックを表しており、＋が 1-9 個の要素を許可、＋＋が 10-99
個の要素を許可、－は逆にブロックしている要素を示しています。④をクリックすることで現在アクセスしているサイトの JavaScript をブロックされるように設定されます。

図 14 uBlock Origin の画面

図 15 に、uBlock Origin で JavaScript をブロックした状態で WhatIsMyBrowser.com にアクセスした結果を示します。JavaScript の有効化の個所を見ると、” No - JavaScript is not enabled” と表示されるようになったことから、設定が適切に動作していることが分かります。このように “uBlock
Origin” を用いることで不要な JavaScript が動作せず、広告のブロックが行われることから、アクセス元の情報を保護できるようになり OPSEC が強化されます。

図 15 uBlock Origin で JavaScript をブロックした状態で WhatIsMyBrowser.com にアクセスした結果

17

4．OSINT ツールのブックマーク
本稿の最後に OSINT に有益なツールがブックマークされたサイトを紹介します。図 16 のサイトは、さまざまなテーマごとに利用可能な OSINT ツールやサイトがまとまったブックマークです。興味があるテーマを確認して準備した仮想環境からアクセスして、どのようなツールなのか皆さんでそれぞれ試してみてください。

図 16 OSINT ツールのブックマークサイト（https://start.me/p/9ExLyR/osint-resources）

5．おわりに今回はここまでとなります。今回は、OSINT 体験「1. 環境準備編」として、OSINT の説明と調査のための仮想環境の準備を行いました。次回から準備した環境を用いて実施に OSINT 調査を実施します。

18