資料2-2

サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会
第1回
JPCERT/CCからの論点提⽰

⼀般社団法⼈JPCERTコーディネーションセンター

本資料の構成【参考】パート（スライド3〜6）
議論の前提となるポイントや本資料における各⽤語／概念について最⼩限まとめたもの【抜粋資料】パート（ライド7〜15）
右記「参考資料」を抜粋・編集したもの【情報共有の課題】タイミングのミスマッチ（スライ7）【情報共有の課題】共有内容のミスマッチ（スライ8）【情報共有の課題】専⾨組織間共有の障壁（スライド9）【公表の課題】公表までに⼀定の時間を要するケース（スライド10）【公表の課題】公表内容に納得感がないケース（スライド11）【公表の課題】他組織の公表等により未公表の事実が判明するケース（スライド12）【公表の課題】被害が未公表であることの影響（スライド13）

1【参考資料】パート※事前説明会及び検討会で説明しない資料
インシデント対応における情報共有の課題について（スライド18〜45）－「タイミング」のミスマッチが起きるケース－「情報の内容」のミスマッチが起きるケース－（セキュリティ）ベンダが情報共有できないケース

インシデント対応における公表の課題について（スライド46〜59）－公表までに⼀定の時間を要するケース－公表内容に“納得感”を得られないケース－他組織の公表等により未公表の事実が判明するケース－脆弱性悪⽤有無の情報の取り扱いで揉めるケース

被害組織保護の観点から（スライド60〜64）－検体解析情報から被害組織が推測されるケース－攻撃インフラの調査から被害組織が推測されるケース－公開情報から被害原因が推測されるケース【被害組織保護】未公表被害が公開情報となる場合（スライド14）

各情報の性質・留意すべき点について（スライド65〜72）【共有と公表】注意喚起／ノウハウ共有⽬的の公表（スライド15）「共有」と「公表」について（スライド73〜78）

Copyright ©2022 JPCERT/CC All rights reserved.

*

【参考】⽤語の定義

2

攻撃（情報）

攻撃に成功したもの（に関する情報）

攻撃試⾏

攻撃を試みるために⾏われたアクセス等

攻撃キャンペーン

⼀定期間内において特定の組織／分野に対して特定の攻撃⼿法／攻撃インフラを⽤いて⾏われる攻撃活動

マルウェア情報

マルウェアを解析した情報（※表層解析程度のものも含む）

マルウェア検体

マルウェア検体そのもの

攻撃インフラ

主にC2サーバ等の通信先や踏み台としたサーバ

TTP

攻撃者が⽤いた攻撃⼿法に関する情報「Tactics（戦術）、Techniques（技術）、Procedures（⼿順）」の略

攻撃グループ

攻撃を⾏った者を便宜上グルーピングし、またそれを呼称するもの

被害情報

サイバー攻撃の発⽣により被害組織にて確認される、技術情報とコンテクスト情報を含む情報

技術情報

マルウェア情報や攻撃インフラ、TTP情報など攻撃者による攻撃活動やまたはその痕跡を⽰すもの

コンテクスト情報

攻撃活動によって発⽣した被害や攻撃被害発⽣に対して取った被害組織の対処内容を⽰す情報

全容解明／把握攻撃に⽤いられた⼿法や攻撃インフラを明らかにすることや、攻撃キャンペーン全体を明らかにすること

フィードバック（情報）情報共有（提供）に対して、何らかの返答をすること（とその返答時の情報）専⾨組織専⾨機関やセキュリティベンダ

専⾨機関⾮営利でサイバー攻撃対処や分析、情報共有活動を⾏う組織

セキュリティベンダ

セキュリティ製品・サービスを提供することを主たる事業としている企業

ベンダ

いわゆるSierや運⽤保守ベンダ（製造）メーカー

ソフトウェア等の製造元（情報共有活動の）ハブ組織

情報共有活動で参加者間の情報伝達の仲介や、⼀部の分析、他の共有活動や専⾨組織との窓⼝を担う組織

Copyright ©2022 JPCERT/CC All rights reserved.

*

【参考】情報共有活動の類型
ハブ・スポーク型

n対n型

・専⾨組織等がハブ組織を務めているもの
・匿名で情報が共有されることが⼤半

・基本的にはお互い顔の⾒える形でおこなっているもの。特定の共有ハブはない。

例︓CS協議会、CISTA（JPCERT/CC）、J-CSIP

例︓NCA（⽇本シーサート協議会）、各ISAC※個⼈単位の「コミュニティ」活動もこのタイプ

間接／代理型・情報共有活動に参加していない組織と情報共有
活動参加組織間の共有をハブ組織等が担うもの
例︓CS協議会、CISTA（JPCERT/CC）

3

Copyright ©2022 JPCERT/CC All rights reserved.

*

【参考】情報共有と公表
⼀⾔に「共有」「⽬的」といっても、それぞれの⽬的に応じて実施されるタイミングが異なる

報告等

報告等
「全容解明」⽬的の共有活動※紫点線︓制度上求められている公表

報告
公表「ノウハウ共有」
⽬的の共有活動

情報共有

Copyright ©2022 JPCERT/CC All rights reserved.

調査

公表

公表

初動
対応

情報共有

・情報⼊⼿⽬的の共有活動
・被害（拡⼤）予防⽬的の共有活動※紫点線︓制度上求められている公表

情報共有

情報共有
4

被害予防⽬的
の共有活動

発覚

公表

攻撃

公表

⼆次被害防⽌等を⽬的とした速報／
注意喚起的な公表*

【参考】調査により各情報が判明するタイムライン
⼀程度の調査時間が経過しなければ判明しない情
報もある
情報量︓少

情報量︓多

（共有に必要な）情報の鮮度︓有鮮度︓無コンテクスト情報

被害組織名
業種／規模
被害内容

調査の時間

タイムライン（対応状況）
タイムライン（技術情報）
攻撃主体に関する情報※⼀程度の⻑期間が必要※下記が判明しないと調査できない場合も調査の時間※事案の公表までに判明しないケースも攻撃対象システム（被害対象の）対策状況

技術情報

脆弱性関連情報等

調査の時間※⼀程度の専⾨的知⾒による調査が必要その他TTP
マルウェア※⽐較的早期に判明する
通信先

5

Copyright ©2022 JPCERT/CC All rights reserved.

*

【参考】各共有活動が主に扱う情報共有活動の⽬的に応じて特定のタイミングで主に扱う情報の種類は異なる
情報量︓少

情報量︓多

（共有に必要な）情報の鮮度︓有鮮度︓無コンテクスト情報

被害組織名
業種／規模
ノウハウ共有⽬的の共有活動

被害内容
タイムライン（対応状況）
タイムライン（技術情報）
攻撃主体に関する情報

全容解明のための共有活動

攻撃対象システム（被害対象の）対策状況

技術情報

被害予防／拡⼤防⽌⽬的の共有活動

脆弱性関連情報等
その他TTP
マルウェア
通信先

6

被害予防／拡⼤防⽌⽬的の共有活動

Copyright ©2022 JPCERT/CC All rights reserved.

*

【情報共有の課題】タイミングのミスマッチ

参考資料︓
18〜25ページ参照「情報共有」とひとくくりになっているが、各組織の⽬的毎に適切なタイミングは異なっている
⼀⽅で、どの組織の⽬的に適したタイミングにも間に合っていない情報共有が多数⾏われてしまっている攻撃キャンペーンの期間

攻撃

発覚

初動
対応

情報量︓少

情報量︓多

（共有に必要な）情報の鮮度︓有被害組織の観点からの共有

⽬的①︓
調査に必要な情報の⼊⼿

情報共有活動
参加組織の観点からの共有

⽬的②︓
攻撃被害の未然防⽌

専⾨組織の観点
からの共有

鮮度︓無

⽬的③︓被害範囲の把握・被害拡⼤防⽌

共有に失敗して
いるケース

7

報告
公表

調査

Copyright ©2022 JPCERT/CC All rights reserved.

⽬的④︓全容解明
による適切な対処

上記①〜④には間に合わない共有

過去の事案の“掘り返し”*

【情報共有の課題】共有内容のミスマッチ

参考資料︓
26〜34ページ参照

必ずしも情報共有に適さない種類の情報もある
調査の進捗次第により共有活動に提供できる情報が限定的な場合、専⾨組織のサポートがないと情報共有効果が発⽣しない場合がある
公開レポートも出ているし、使っている製品でもう検知できるんだけど・・・

攻撃Xが来たことを観測したので共有します︕

情報“共有”

攻撃インフラAからの攻撃が⾒つかったので共有します︕

諸事情により確認できた攻撃の痕跡が限定的ログを⾒たけど、通信先Aからのアクセスはなかった
な・・・

情報“共有”
攻撃
インフラA

これは攻撃グループZの攻撃インフラでは︖

専⾨組織8

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃グループZは攻撃イ
ンフラBも使っているの
では︖

攻撃
インフラB

専⾨組織

*

【情報共有の課題】専⾨組織間共有の障壁

参考資料︓
35〜45ページ参照

被害組織の⽀援にあたる（セキュリティ）ベンダはそれぞれ様々なサー
ビス形態、契約形態の下で事案にタッチしているため、それぞれ外部に共有できる情報に差がある。あるいは、外部への情報共有⾃体ができな
い状況にある（セキュリティ）ベンダ

被害組織が直接の契約先でなかったり、被害先以外の利害関係者がいる

9

Copyright ©2022 JPCERT/CC All rights reserved.

（セキュリティ）ベンダ（セキュリティ）
ベンダ

サービス
提供先

NDA契約によりインシデント対応現場⾒つかった情報の外部提供ができない

契約上、対外的な情報提供が認められていない*

参考資料︓
47〜48ページ参照【公表の課題】公表までに⼀定の時間を要するケース

被害組織が「早期に公表したい」と考えていたとしても、調査進捗や関係者間調整により、公表時期は後ろ倒しになりがちである
攻撃

認知

初動対応

調査（精査）

侵害原因特定攻撃時期－認知時期の間が空けば開くほど、調査には時間がかかる（ログの保存期間の都合等）

侵害範囲特定報告等

公表

関係者間調整事前の報告／調整先が多ければ多いほど、公表までの準備期間が延びてしまう⇒被害組織が希望した時期に公表が間に合わないことも侵害原因／攻撃の全容解明の進捗次第で左右される被害範囲（内容）特定侵害範囲特定の進捗次第で
左右される
10

Copyright ©2022 JPCERT/CC All rights reserved.

*

【公表の課題】公表内容に納得感がないケース

参考資料︓
49〜50ページ参照

インシデント対応に並⾏して、速報的な第1報〜第n報〜最終報と複数回にわたってが公表されるも、厳しい反応が⾒受けられるケース
第1報

攻撃

認知

初動対応

原因の特定
検証
専⾨組織への相談

11

Copyright ©2022 JPCERT/CC All rights reserved.

・・・

第n報

第n報

最終報

調査（精査）【評価が低かったポイント】
原因調査が芳しくない状況で、「検証委員会」や再発防⽌策等が並⾏／先⾏して発表されている【評価が低かったポイント】
・原因調査が芳しくない状況で、外部専⾨知⾒を投⼊しているのか不明
・検証委員会は「検証」を⾏っているのか、原因調査に必要な知⾒提供をしているのか不明瞭*【ケース】の公表等により未公表の事実が判明するケース

参考資料︓
51〜54ージ参照

先⾏する被害組織Ａからの公表では詳細が明かされなかったところ、その後の取材や、⼆次被害先からの発表／⼆次被害先への取材等により、被害組織Ａからの公表内容以上の情報が後⽇明らかになるケース

被害組織A
攻撃者

サービスB

サービスB

被害組織C

被害組織側が、対応当時には⾮公表と判断していたとしても、その後の状況の変化に
より過去の攻撃動向／被害状況について注⽬が集まるなどして、公表せざるを得なく
なるケース
関係先への
報告等

関係先への
報告等

特定分野における過去の被害動向について注⽬が集まる
公表
公表

被害組織B

公表
被害組織A

12

Copyright ©2022 JPCERT/CC All rights reserved.

*

【公表の課題】被害が未公表であることの影響

参考資料︓
57〜59ページ参照

既に脆弱性の悪⽤被害があるにも関わらず、被害組織から未公表であるため、脆弱性公表時に「悪⽤情報」が含まれないケース【メーカー側公表】
・脆弱性がある・修正版公開・（悪⽤有無は⽰さない）

被害（悪⽤事実）について未公表

被害組織（ユーザー組織）

運⽤保守ベンダ／
代理店

メーカー【注意喚起】
・脆弱性がある・修正版公開悪⽤事案にタッチ
していない場合

JPCERT/CC

他のユーザー13

Copyright ©2022 JPCERT/CC All rights reserved.

*

【被害組織保護】未公表被害が公開情報となる場合

参考資料︓
61〜64ページ参照

攻撃被害を⽰す情報（漏洩情報、犯⾏声明等）が意図せず、被害認知前や公表前に公開情報となって拡散する場合がある
公表前の被害について第三者が推測可能な情報が公開情報として存在する場合がある
被害が今後発⽣する、あるいは発⽣しているかもしれない、と推測できる情報が公開
情報として存在している場合がある（※実際に被害が発⽣しているかどうかは別）
被害を観測しているもの

14

被害（事実）を推測しているもの

被害の可能性の推測

外形上攻撃被害が確認できる場合

漏えい情報の公開や犯⾏声明（内部）関係者による情報発信

解析結果からの被害の推測

OSINTによるインフラ調査

例︓
Webサイト改ざん、Webサーバ等へのマルウェア設置

例︓
第三者による漏えいデータの発⾒リークサイト掲載

例︓
従業員／顧客／取引先関係者によるSNS発信

例︓
公開解析サービス上の検体解析結果からの推測

例︓
SHODAN,Censys等による脆弱なホストの調査

Copyright ©2022 JPCERT/CC All rights reserved.

*

参考資料︓
75ページ参照【共有と公表】注意喚起／ノウハウ共有⽬的の公表（速報的な公表を除き）被害組織による公表は基本的に後ろ倒しになる傾向があるため、“注意喚起”⽬的の公表は、その喚起による効果をそもそも⾒込むことができない場合が多い
⼀⽅で対応「ノウハウ」の共有をするためには⼗分な調査と再発防⽌策が定まらなければならない
公表は後ろ倒しになる傾向（前述の通り）

攻撃

認知

初動対応

調査（精査）

情報量︓少

報告等

公表

情報量︓多

（共有に必要な）情報の鮮度︓有

鮮度︓無注意喚起効果がないタイミング

ノウハウ共有としての効果がない
タイミング

注意喚起効果があるタイミング

攻撃キャンペーン（あるいは特定の攻撃インフラ利⽤）

15

Copyright ©2022 JPCERT/CC All rights reserved.

*以下、参考資料

16

Copyright ©2022 JPCERT/CC All rights reserved.

*インシデント対応における情報共有の課
題について

17

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題【ケース】「タイミング」のミスマッチが起きるケース

情報共有時点では既に攻撃キャンペーンが終了しており、共有効果（※）を得ることができない
必ずしも「早期に共有」できたとしても、共有効果が得られない場合もある（後述）
初動
対応

発覚

攻撃

発覚

公表

共有

攻撃

調査

攻撃キャンペーンの期間
18

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題

情報共有の「効果」とは︖
よくある説明－（他の組織における）被害防⽌－（次の）攻撃抑⽌
これまで⾔及されてこなったポイント－攻撃の解明－攻撃の「規模」の把握

被害組織側、専⾨組織（共有ハブ組織）側、双⽅の⽬的が混在している

業界A

原因は不明

業界B

原因はWebサイトXの閲覧

どこまで感染しているか不明（全容解明できていない）

業界B⇒特定の業界や固有のシステムを狙ったものではなく、Webサ
イトAを閲覧した組織が感染
19

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題

情報共有の「効果」とは︖
各⽴場によって共有の⽬的は（多少）異なる（調査のための）不⾜している情報を得たい

情報共有のハブ組織（専⾨組織等）（情報展開のための）不⾜している情報を得たい＋（情報展開のための）標的となっている範囲／分野を把握したい20

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有活動が本当に被害予防をしているのか︖

情報共有の課題（セキュリティ）ベンダの製品／サービスなど⾒えないところで“情報共有”はなされている

製品／サービスA

製品／サービス
B

共有活動

検知可能に
製品／サービス
A

21

Copyright ©2022 JPCERT/CC All rights reserved.

時間差*情報共有の課題

事案の「掘り返し」

相当期間経過した事案に関する情報が“共有”されてもフィードバックすら難しい場合がある
情報の展開元が、攻撃活動に対する時間軸的認識が不⾜している場合、このよ
うなミスマッチが発⽣する
攻撃

発覚

攻撃

発覚

攻撃

発覚

攻撃

調査

既に対応終わった
のに・・・

調査

公表

︵遅すぎる︶共有

既に対応を終えているケース

公表

調査

調査

もうログはないか
ら調べようがない

当時のログの保存期間
22

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題

調査に必要な「時間」

全容が判明するまである程度の時間がかかる
断⽚的な情報であっても、ある程度判明した段階で外部に共有することが効果的調査に必要な時間

情報量︓少（共有に必要な）情報の鮮度︓有

情報量︓多

鮮度︓無

（短期的な）共有効果のある期間
23

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題

情報共有の現況と定義について「情報共有」とひとくくりになっているが、実際には⽬的／効果の異なる情報共有活動が分野毎／⽬的毎に設置・活動している

攻撃初期

事案発⽣中

攻撃活動後

⽬的︓攻撃被害の未然
防⽌

過去の事案の“掘り返し”
⽬的︓攻撃の早期認知・被害拡⼤防⽌
⽬的︓全容解明による
適切な対処

24

Copyright ©2022 JPCERT/CC All rights reserved.

*

「共有」の異なるタイミング／⽬的

情報共有の課題

いつ⾏う「共有」活動かによって⽬的／効果は異なる

25

短期的共有

中期的共有

被害組織
（個別組織）

被害未然防⽌早期検知（被害の）全容解明（原因特定、被害範
囲特定）

情報共有活動
（参加組織側全体）

被害拡⼤防⽌※個社対応フェーズに移る

情報共有活動（ハブ組織側）

攻撃範囲把握※個社対応フェーズ
に移る

専⾨組織

原因特定

（攻撃の）全容解明

Copyright ©2022 JPCERT/CC All rights reserved.

⻑期的共有

ノウハウ共有攻撃グループの動向把握*

【ケース】情報の内容のミスマッチが起きているケース

情報共有の課題

様々な理由で、検体のハッシュ値や検知名しか共有活動に提供できないケース

マルウェア名X
検体のハッシュ値A

同じ攻撃により設置されマルウェア

情報共有

マルウェア名X
検体のハッシュ値︖

違うハッシュの可能性もあれば、そもそもハッ
シュ値で検索できない可能性もある
26

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の課題

どのような扱い⽅が適切か

各事案対応にはいっている専⾨組織同⼠が「照会」を⾏うための「キー」情報として⽤いるハッシュ値以外のTTP情報等、「同じ攻撃活動ではないか」と推測させる他の情報とセットで⽤いて初めて効果があるのではないか
マルウェア名X
検体のハッシュ値A

ハッシュ値は違うが、同じ攻撃が他の組織でも発⽣しているのではないか

マルウェア名X
検体のハッシュ値B

ハッシュ値は違うが、検知名や特徴から同じ検体、同じ攻撃によるものではないか27

専⾨組織等

Copyright ©2022 JPCERT/CC All rights reserved.

照会

同じ攻撃により設置されたもの

⽀援中

⽀援中

専⾨組織等

*

必ずしもフィードバックを得られるわけではない

情報共有の課題

攻撃インフラに重複がない攻撃類型や、展開した情報が限定的である場合、必ずしも情報共有活動でフィードバックを得られない場合がある
共有してみたけど、フィードバックないな

攻撃インフラA／
⼿法Aによる攻撃共有
特にまだ攻撃を検知／認知していない場合

攻撃インフラB／
⼿法Bによる攻撃28

Copyright ©2022 JPCERT/CC All rights reserved.

ログを⾒たけど、通信先Aへの通信はなかったな*

情報提供（照会）と情報共有のギャップ

情報共有の課題

最初から「情報共有」活動への展開を依頼してくるケースもあれば、専⾨機関／セキュリティベンダでの「情報提供」（※専⾨機関／ベンダへの照会）として連絡してくるケースも混在している。
元々被害組織が情報共有活動に「期待していること」と実際に共有活動で得られる可能性のある情報とのギャップが、攻撃類型毎、共有タイミ
ング毎に発⽣してしまうところ、これを事前に被害組織側は知ること／予測することができていないため、情報共有側との間にミスマッチが発⽣する情報“提供”
照会結果の回答

専⾨機関

専⾨機関が想定する「情報共有」

29

Copyright ©2022 JPCERT/CC All rights reserved.

*

どのような情報の共有が必要か
技術情報
侵⼊⽅法
マルウェア／
ツール
被害組織A

通信先

※被害組織Aでは⾒つからな
かった情報

・同じ攻撃⽅法に関する情報が⾒つかる可能性がある・互いに⾜りない情報を補填し合える可能性がある※被害組織Bで侵⼊⽅法 は⾒つからな
かった情報

被害組織B

30

マルウェア／
ツール
通信先

Copyright ©2022 JPCERT/CC All rights reserved.

情報共有の課題

コンテキスト情報

対処内容、経緯
被害範囲、内容

被害組織の規模、業態、システム構成や、保有情報によって異なる

対処内容、経緯
被害範囲、内容*

「共有効果」が得られない攻撃類型があること

情報共有の課題

通信先が標的毎に異なる使⽤されるマルウェアが標的毎に異なる
通信元A

通信元B

マルウェアA

マルウェアB
31

Copyright ©2022 JPCERT/CC All rights reserved.

*

どういう情報の共有が共有効果があるのか

情報共有の課題

ある程度の期間内において、複数の標的組織に対して同⼀の攻撃インフラを使いまわしている場合
同⼀ハッシュ値を持つマルウェア等を⽤いる場合
特定の初期侵害⽅法／特徴的なTTPが⾒られる場合

32

攻撃インフラの使いまわし

特敵の初期侵害
⽅法／対象

通信元A

初期侵害⽅法C

通信元B

初期侵害⽅法C

Copyright ©2022 JPCERT/CC All rights reserved.

（その他）特徴
的なTTP／痕跡

同⼀／特定のマ
ルウェアの使⽤

その他TTP

マルウェアD

その他TTP

マルウェアD*

攻撃類型毎の共有効果

情報共有の課題

あらゆる種類の攻撃類型において必ずしもユーザー組織間での情報共有が有効とは限らない
ただし、専⾨組織間においては、攻撃類型を問わず、共有が有効なケースが多い「共有してみないと、共有が有効がどうかわからない」ケースもあり得るが、専⾨組織が展開予定の情報をある程度精査・補強する必要がある
攻撃インフラ︓使いまわし
TTP︓ある程度⼀致
例）標的型サイバー攻撃

共有効果あり※標的型サイバー攻撃︓いわゆる「Advanced Persistent Threat (APT) 」

33

攻撃インフラ︓バラバラ
TTP︓ある程度⼀致
例）（いわゆる）標的型ランサム攻撃

共有効果は限定的

攻撃インフラ︓バラバラ
TTP︓バラバラ※ただし、特定製品の脆弱性を悪⽤するケース例）Webサーバの脆弱性を突く不正ア
クセス

共有よりも注意喚起が有効

Copyright ©2022 JPCERT/CC All rights reserved.

※専⾨組織間では共有もなお有効※専⾨組織間では共有もなお有効*どのような攻撃類型は情報共有の対象に向いているか

情報共有の課題

広く知られているため、セキュリティ製品／サー
ビスでの検知が可能
スパムメール

スキャン

不特定多数

特定製品の脆弱性
を突く攻撃

特定の分野
特定のシステム

標的型攻撃

特定組織
34

Copyright ©2022 JPCERT/CC All rights reserved.

*

【ケース】インシデント対応組織における問題

情報共有の課題

被害組織とのNDA契約により、⾒つけたIoC情報を第三者に提供し情報共有できないケース

通信元A

インターネット上で観測可能であるが、公開レポート等ではまだ取り上げられていない
別の被害組織でも既に存在・感染しているかもしれな
いし、していない
かもしれないマルウェアX

マルウェアX

NDA契約

35

Copyright ©2022 JPCERT/CC All rights reserved.

共有したい・・・

他のセキュリティベンダ
情報共有活動参加組織*

情報共有の課題「公開情報」とは何か「⾮公開」情報というのは、対世的秘密（Confidential）なのか、絶対的秘密（Secret）なのか

マルウェアX

通信元A

分析レポートや公開
解析サービスマルウェアX

マルウェアX

攻撃インフラ上にDL元の検体がある場合NDA契約

36

Copyright ©2022 JPCERT/CC All rights reserved.

他のセキュリティベンダ
情報共有活動参加組織*

情報共有の理屈上の“理想”

情報共有の課題

被害組織／ユーザー組織側が個別に情報共有“コスト”を負担するのではなく、これらの組織をフォローしている（セキュリティ）ベンダ同⼠で⾒えている情報を共有すれば済むのではないか、と考えられがち（※とある情報共有活動⽴ち上げ時に関係省庁から出た意⾒）（セキュリティ）ベンダ

37

Copyright ©2022 JPCERT/CC All rights reserved.

（セキュリティ）ベンダ（セキュリティ）ベンダ*

情報共有の課題

理屈上の“理想”と“現実”

実際の（セキュリティ）ベンダ間の情報共有は後述の要因により、かな
り限定的なものにとどまっている（※サイバーセキュリティ協議会等、
JPCERT/CCがセキュリティベンダ等と情報共有を⾏っている現状から）共有可能なケースはかなり限定される（セキュリティ）ベンダ（セキュリティ）ベンダ（セキュリティ）ベンダ

契約上、対外的な情報提供が認められていな
いサービス／契約形態

特定の規模／業種に偏っている可能性
情報共有活動を頼めるようなベンダと付き合
いのない組織38

Copyright ©2022 JPCERT/CC All rights reserved.

*

運⽤保守ベンダ、セキュリティベンダ

情報共有の課題※あくまで弊センターから⾒たケース
インシデント対応といっても、実際には異なるスタンスでの関与の仕⽅をしているため、「触れられる情報」「外部に共有／活⽤できる範囲」はケース毎に差が出る
運⽤保守ベンダ（あるいはその関連会社）が調査を⾏うケース

39

Copyright ©2022 JPCERT/CC All rights reserved.

セキュリティベンダ

製品／サービス提供をしている関係
でスポットで解析依頼が来るケース

セキュリティベンダ

インシデント対応全般の依頼が個別契約で発注されるケース

アナリストコミュニティなど
から予備知識を⼊⼿している場
合がある*情報共有の課題（セキュリティ）ベンダの情報共有活動

主に事案対応にあたるセキュリティベンダ間で情報共有が⾏われる場合がある
セキュリティベンダとして被害対応、全容解明に必要な情報を得る⽬的であったり、被害組織の“代理”として情報共有によるフィードバック情報を得ることが⽬的
運⽤保守契約（いわゆる）
運⽤保守ベンダ

契約上許される範囲での情報の対外的取り扱い※インシデント対応時は別契約締結となる場合も

SOC事業者等

了承プロセス

セキュリティベンダ
（インシデント対応）

40

Copyright ©2022 JPCERT/CC All rights reserved.

公式／⾮公式な情報共
有活動／コミュニティ
活動*（セキュリティ）ベンダとしての情報共有

情報共有の課題

全容把握のための情報共有のニーズ把握していない攻撃イン
フラがあるのではないか

他の顧客

41

⾃社で⾒ている事案以外にもどのくらいの範囲で被害があるのか

Copyright ©2022 JPCERT/CC All rights reserved.

他社と同じ事案を⾒ているのではないか*

被害組織からどのように「了解」してもらうか

情報共有の課題

専⾨機関間、（セキュリティ）ベンダ間の情報共有が“詰まる”背景
基本的に被害組織の意向に左右される

情報共有（交換）により、⾒つけられていない感染や不正通信を⾒つけられるかもしれない

通信先B
侵⼊原因等

攻撃グループXが使う検体A（公開情報なし）
42

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃グループXが使う検体B（公開情報なし）*

情報共有の“滞留”ポイント

情報共有の課題

情報そのものは了承がなくとも「持ち出す」ことはできるが、情報が“逆流”したときに、「持ち出したこと」⾃体を責められてしまう恐れ
また、場合によっては、（セキュリティ）ベンダ側の不注意により外部展開された技術情報から被害組織が推測／特定されてしまう場合も想定される結果として、基本的に被害組織の意向次第となる
攻撃グループXに関する注
意喚起やその他情報発信
外部への共有許可はしていない

うちで⾒つかった
情報が流れている︕
攻撃グループXが使う検体AやTTP等（公開情報なし）
43

Copyright ©2022 JPCERT/CC All rights reserved.

*

情報共有の“滞留”ポイント

情報共有の課題

仮に、特定の被害組織だけで⾒つかった（と当該時点では思われた）情報は外部に共有していなかったとしても、被害組織から「⾃社だけで⾒つかった（と当該時点では思われた）情報を外部に無断で提供したのではないか」と疑われる可能性がある
攻撃グループXに関する注
意喚起やその他情報発信

外部への共有許可はしていない

うちで⾒つかった
情報が流れているのか︖︖
攻撃グループXが使う検体A（公開情報なし）
44

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃グループXが使う検体Bに関す
る公開情報

*

被害組織からどのように「了解」してもらうか

情報共有の課題

複数組織で既に同⼀検体／通信（左記）が⾒つかっている場合は前述の懸念がなくなるため、個別に了承は取らずに情報共有
を⾏う

情報共有活動

攻撃グループXが使う検体A（公開情報なし）
45

Copyright ©2022 JPCERT/CC All rights reserved.

*インシデント対応における公表の課題について46

Copyright ©2022 JPCERT/CC All rights reserved.

*

【ケース】公表までに⼀定の時間を要するケース

公表の課題

被害組織が「早期に公表したい」と考えていたとしても、調査進捗や関係者間調整により、公表時期は後ろ倒しになりがち
攻撃

認知

初動対応

調査（精査）

侵害原因特定攻撃時期－認知時期の間が空けば開くほど、調査には時間がかかる（ログの保存期間の都合等）

侵害範囲特定報告等

公表

関係者間調整事前の報告／調整先が多ければ多いほど、公表までの準備期間が延びてしまう⇒被害組織が希望した時期に公表が間に合わないことも侵害原因／攻撃の全容解明の進捗次第で左右される被害範囲（内容）特定侵害範囲特定の進捗次第で
左右される
47

Copyright ©2022 JPCERT/CC All rights reserved.

*

調査に必要な「時間」（再掲）

公表の課題全容が判明するまである程度の時間がかかる
断⽚的な情報であっても、ある程度判明した段階で外部に共有することが効果的調査に必要な時間

情報量︓少（共有に必要な）情報の鮮度︓有

情報量︓多

鮮度︓無

（短期的な）共有効果のある期間
48

Copyright ©2022 JPCERT/CC All rights reserved.

*

公表の課題第⼀報と第n報（続報）について公表は必ずしも単発ではなく、複数回にわたって⾏う場合もある。
あるいは、調査がほとんど進んでいない段階でも速報的な第⼀報が必要になる場合がある

攻撃

49

・対外サービス停⽌を伴う場合
・既に攻撃事実が公開情報となっている／なる蓋然性が⾼い場合・⼆次被害防⽌のため・法令等で求められている場合・調査まで相当の期間がかかると⾒込まれる場合
・被害範囲調査とは別にサービスの再開を⾏う場合
・被害全容は解明されていないが、⼀部判明した被害に係る⼆次被害防⽌のため初報（速報）

続報

認知

初動対応

Copyright ©2022 JPCERT/CC All rights reserved.

調査（精査）

報告等

公表*

公表までに情報提供等を受けた第三者の対応

公表の課題

情報の共有先以外にも公表前に被害事実に関する情報が伝わる関係者が複数存在している受け取った情報が各伝達先でどのように扱われるのか、（NDA契約を結ぶインシデント対応ベンダ等と⽐べて）必ずしも被害組織の意向でコントロールできない場合がある所管省庁への報告①

攻撃

認知

初動対応

専⾨機関への相談／報告

50

Copyright ©2022 JPCERT/CC All rights reserved.

調査（精査）

所管省庁への報告②

報告等

報告

報告

取引先

取引先

公表

*

公表の課題“注意喚起”⽬的の公表について（速報的な公表を除き）公表は基本的に後ろ倒しになる傾向があるため、“注意喚起”⽬的の公表は、その喚起による効
果をそもそも⾒込むことができないのではないか
攻撃

認知

初動対応

調査（精査）

公表
注意喚起効果がないタイミング

注意喚起効果があるタイミング

後ろ倒しになる傾向（前述の通り）

報告等

攻撃キャンペーン（あるいは特定の攻撃インフラ利⽤）

51

Copyright ©2022 JPCERT/CC All rights reserved.

*

“注意喚起”⽬的の公表について

公表の課題

被害組織単独の判断による“注意喚起”⽬的の公表（情報発信）が技術的に妥当でない場合がある

攻撃⽅法A
インフラB
マルウェアB

A攻撃による被害を受けた。インフラＢと通信するマルウェアＢが
⾒つかった

インフラC
マルウェアC52

Copyright ©2022 JPCERT/CC All rights reserved.

通信先Bとの通信がないかチェックしよう／通信先Bをブロックしよう*【ケース】未公表であることに「引きずられる」ケース

公表の課題

既に脆弱性の悪⽤被害があるにも関わらず、注意喚起に「悪⽤情報」が含まれないケース【メーカー側公表】
・脆弱性がある・修正版公開・（悪⽤有無は⽰さない）

被害（悪⽤事実）について未公表

被害組織（ユーザー組織）

運⽤保守ベンダ／
代理店

メーカー【注意喚起』
・脆弱性がある・修正版公開悪⽤事案にタッチ
していない場合

JPCERT/CC

他のユーザー
53

Copyright ©2022 JPCERT/CC All rights reserved.

*

被害組織が脆弱性悪⽤有無について公表することの可否

公表の課題

既知の脆弱性が悪⽤された場合は被害組織の判断で公表可能

A社「A社の製品／サービスBの脆弱性が悪⽤された」

認知

認知

未認知

未知の脆弱性の場合︓
告⽰制度に基づく調整が望ましい
既知の脆弱性の場合︓※告⽰制度上特段の制約
はない

⽀援

被害顧客

被害顧客C

セキュリティ
ベンダD

影響（可能性のある）範囲
54

Copyright ©2022 JPCERT/CC All rights reserved.

*

公表の課題脆弱性（悪⽤）情報のハンドリング問題

技術情報や攻撃⼿法について、既に第三者が認知している場合、「情報展開を許可する情報提供元」とは誰を指すのか「A社の製品／サービスBが攻撃に使われている」という情報情報共有とりまとめ組織

公表／共有不許可
A社
共有許可「A社の製品／サービスBが攻撃に使われている」という情報
認知

認知

認知

未認知

⽀援

被害顧客

被害顧客C

セキュリティ
ベンダD

被害顧客E

影響（可能のある）範囲
55

Copyright ©2022 JPCERT/CC All rights reserved.

*

被害組織保護の観点から

56

Copyright ©2022 JPCERT/CC All rights reserved.

*

被害組織保護未公表被害が公開情報となる場合

攻撃被害を⽰す情報（漏洩情報、犯⾏声明等）が意図せず、被害認知前や公表前に公開情報となって拡散する場合がある
公表前の被害について第三者が推測可能な情報が公開情報として存在する場合がある
被害が今後発⽣する、あるいは発⽣しているかもしれない、と推測できる情報が公開
情報として存在している場合がある（※実際に被害が発⽣しているかどうかは別）
被害を観測しているもの

57

被害（事実）を推測しているもの

被害の可能性の推測

外形上攻撃被害が確認できる場合

漏えい情報の公開や犯⾏声明（内部）関係者による情報発信

解析結果からの被害の推測

OSINTによるインフラ調査

例︓
Webサイト改ざん、Webサーバ等へのマルウェア設置

例︓
第三者による漏えいデータの発⾒リークサイト掲載

例︓
従業員／顧客／取引先関係者によるSNS発信

例︓
公開解析サービス上の検体解析結果からの推測

例︓
SHODAN,Censys等による脆弱なホストの調査

Copyright ©2022 JPCERT/CC All rights reserved.

*

被害組織保護

検体解析情報から被害組織が推測されるケース
ケース①
感染時に収集したクレデンシャ
ル情報を含むケース⇒ID＝メールアドレスのドメインから被害組織が推測されうる

ケース③

ケース②
検体内部やハードコードされたC2のドメイン名内に標的組織の略称（ドメイン名など）を含むケース※検体だけでなく通信先情報だけでも推測できる場合もある

標的組織のプロキシサーバなどNW内部の設定情報を検体内に含むケース【例】 Olympic DestroyerのVT上にあがった検体（A社）.＊＊＊.com

VT上や添付メールが確認された段階では実際に標的組織で感染が発⽣しているか不明

58

Copyright ©2022 JPCERT/CC All rights reserved.

なんらかの⽅法ですでに標的組織内に侵⼊している蓋
然性が⾼い

*

被害組織保護

攻撃インフラの調査から被害組織が推測されるケース

被害組織等を推測させる情報を含む場合がある
サブドメインに第三者の製品／
サービス名等が含まれる場合

サブドメインに標的組織を⽰す⽂字列が含まれる場合

IPアドレスA

IPアドレスA

ABCcom.ドメインA,com

XYZ-cloud.ドメインB,com

XYZ-cloud社のサーバ

XYZ社のサービスへの通信を偽装する意図

ABC社

59

Copyright ©2022 JPCERT/CC All rights reserved.

ABC社

XYZ-cloud社*

公開情報から被害原因が推測されるケース

被害組織保護

脆弱性の悪⽤について被害組織やメーカーから公表していなくても、OSINT調査等により「推測」はできるケース【メーカー側公表】
・製品Cの脆弱性がある
・修正版公開・（悪⽤有無は⽰さない）【被害組織側公表】
・不正アクセス被害があったことは公表
・原因は未公表

被害組織A（ユーザー組織）

運⽤保守ベンダ／
代理店

メーカーB

製品Cが稼働するホスト

他のユーザー60

Copyright ©2022 JPCERT/CC All rights reserved.

【調査結果】
・注意喚起のあった製品Cが稼働するホストがある
・被害組織Aもこれを使っていた専⾨組織
リサーチャー等*

各情報の性質／特性

61

Copyright ©2022 JPCERT/CC All rights reserved.

*

各情報の性質

情報の性質︓通信先情報

動的な情報であるため、（不正アクセスが⾏われた／確認された）「⽇時」とセットである必要がある
正規契約
〜X⽉１⽇

不正契約
X⽉2⽇〜

IPアドレスIPアドレスIPアドレス
X⽉2⽇〜

〜X⽉１⽇

ドメイン

被害組織／観測組織において、FWしか運⽤していなかったり、ログが不⾜するなどして、⼗分な情報が得られない場合もある
被害組織（ユーザー組織）マルウェア
62

Copyright ©2022 JPCERT/CC All rights reserved.

*

各情報の性質

情報の性質︓通信先情報
どこまでが「公開情報」なのか
公開情報
通信先Xを⽰す情報

Shodan,Censys等

不正通信元

パッシブDNS
データ

⾮公開情報
通信先Xを⽰す情報

被害組織（ユーザー組織）63

Copyright ©2022 JPCERT/CC All rights reserved.

＋
攻撃があった、という情報*

情報の性質︓通信先情報
第三者が“たどり着く”場合がある

各情報の性質

公開情報

Yという特徴を持つ
サーバ

公開情報

分析レポートや公開
解析サービス
不正通信元

検索で⾒つける

⾮公開情報

被害組織
（ユーザー組織）64

Copyright ©2022 JPCERT/CC All rights reserved.

Yという特徴を持つ
サーバ

どこかへの攻撃に使われているサーバではないか︖

事案対応による情報

⾮公開情報*

情報の性質︓その他攻撃に関する情報

各情報の性質☑︓共有効果が⾒込めるもの△︓効果が限定的と思われるもの
定性的な情報各タイミングの共有活動における共
有効果

攻撃者に
関する情報

標的とする分野・地域に関する情報

TTＰ情報（右記のものを除く）

マルウェア／攻撃
インフラに関する
情報

短期的効果※そもそも短期的な情報共有活動では絞り込めない可能性※そもそも短期的な情報共有活動では絞り込めない可能性△
可能な限り右記情報とセットが望ま
しい

✓

✓

✓
今後も継続／再活
動しうる攻撃に対する対策情報とし
て

△

中期的効果
（攻撃キャンペー
ンの継続中）
⻑期的効果（攻撃キャンペー
ン終了後）

65

定量的︖な情報✓⻑期的な攻撃活動の捕捉・追跡Copyright ©2022 JPCERT/CC All rights reserved.

✓
次の攻撃に備えた
分野別の周知など*

各情報の性質

情報の性質︓被害情報
Confidential

いずれ公表される可能性があるか

被害事実（「被害があった」という情報）

個社名

被害内容（侵害期間や侵害
範囲など）

✓

✓

✓

当該情報が第三者に関係するものである場合があるか
意図せず第三者が知り得る／推測する可能性があるか66

SecretCopyright ©2022 JPCERT/CC All rights reserved.

✓

漏えい情報

✓

✓
※スライド61のケースを参照*

情報の性質︓脆弱性関連情報（悪⽤有無情報）

各情報の性質脆弱性関連情報の取り扱いについては経済産業省告⽰やガイドラインで⽰されているところ、
悪⽤有無を⽰す情報については明⽰的な記載がない⇒参考︓情報システム等の脆弱性情報の取り扱いに関する研究会2021年度報告書
脆弱性の悪⽤事実について未公表

被害組織（ユーザー組織）【メーカー側公表】
・脆弱性がある・修正版公開・（悪⽤有無は明⽰せず）

運⽤保守ベンダ／
代理店

メーカー

悪⽤事案にタッチ
していない場合

専⾨組織【注意喚起等の情報発信】・脆弱性がある・修正版公開他のユーザー
67

Copyright ©2022 JPCERT/CC All rights reserved.

*

各情報の性質

ConfidentialとSecret（稀なケースを除き）基本的に同様の攻撃が同時多発的に発⽣している以上、時間の経過とともに、Confidential情報は（⼀部が）公開情報として存在するようになる「攻撃被害が発⽣した」という情報
被害の詳細に関する情報

被害公表
⼀部情報
対世的に秘密性を持つ状況⾒つかったマルウェアや通信先等の技術情報関係者間において秘匿される状況

公開情報として存在している状況

他の被害組織に存在する情報⾒つかったマルウェアや通信先等の
技術情報

68

Copyright ©2022 JPCERT/CC All rights reserved.

公開情報

ベンダレポートや
公開サービス等*

「共有」と「公表」について

69

Copyright ©2022 JPCERT/CC All rights reserved.

*

「共有」と「公表」の分離

共有と公表

2つの⽬的／⽅法／タイミングが混在すると、共有効果を得られ
なくなる

70

Copyright ©2022 JPCERT/CC All rights reserved.

*

「情報共有」と「注意喚起」と「ノウハウ共有」の違い

共有と公表

効果的なタイミングと、それぞれ着⼿するために必要な情報が集まるま
での時間が存在する
攻撃

認知

初動対応

調査（精査）

報告等

公表

調査に必要な時間
情報量︓少

情報量︓多

情報の鮮度︓有鮮度︓無被害防⽌／全容解明のための共有

71

注意喚起

注意喚起

想定される攻撃⼿法や脆弱性悪⽤の蓋然性を踏まえた注意喚起（「悪⽤情報なし」）

攻撃⼿法がある程度判明した上での注意喚起（「悪⽤情報あり」）

Copyright ©2022 JPCERT/CC All rights reserved.

その他の⽬的の共有

ノウハウ共有攻撃が全容解明されており、再発防⽌策も判明していな
ければならない*「共有」と「公表」を同時に⾏う必要があるケース

共有と公表

ランサムウェア攻撃被害のように、対外サービス停⽌や予防措置的なシ
ステム停⽌によるダウンタイム発⽣により、被害事実が直ちに公開情報となり、公表を迫られれるケース
情報漏洩系の他のインシデント対応とタイムラインが全く異なる（情報窃取⽬的の）標的型攻撃等“過去の攻撃”を時間をかけて対応できる

攻撃

発覚

調査

初動対応

公表

攻撃から公表まで1年以上のケースもランサムなどのリアルタイムインシデント

侵⼊からランサムウェ
ア実⾏まで数⽇間〜数時間という事案が多い

72

侵⼊

実⾏

Copyright ©2022 JPCERT/CC All rights reserved.

感染実⾏と同時にシステム障害や業務停⽌影響、リークサイト掲載等により被害が明るみに出る

公表
発覚

復旧
対応

調査︖

*

被害は発⽣していない事案に関する情報の共有

共有と公表

必ずしも共有すべき情報は「攻撃被害に関する情報」だけではなく、攻撃の「試み」に関する情報の共有も有⽤である
ただし、広く雑多な攻撃試⾏すべてを共有してしまうと、飽和状態になってしまう
攻撃インフラAからの攻撃試⾏攻撃は失敗

攻撃インフラAからの攻撃試⾏

設定等の運⽤状況により攻撃は失敗したケース

攻撃は成功

・・・

攻撃インフラAからの攻撃試⾏

73

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃は成功

*

共有と公表公開情報であっても共有効果のある情報

既にIoC情報等がレポート等で公開されている場合であっても、当該攻撃（試⾏）を観測した場合は情報共有することは有⽤である（セキュリティ）ベンダA

攻撃インフラYからの攻撃試⾏

製品／サービスA

攻撃グループXによる攻撃
インフラYを使った攻撃を発⾒した︕

設定等の運⽤状況により攻撃は失敗したケース

攻撃グループXに狙われている地域・業界

74

攻撃インフラYからの攻撃試⾏

製品／サービスB

攻撃インフラZからの攻撃試⾏

製品／サービスC

Copyright ©2022 JPCERT/CC All rights reserved.

製品／サービスAを導⼊していなくてもたまたま同じ攻撃を認知したケース*