T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

マツダが取り組むサプライチェーン・セキュリティの強化……………………………… 3
部品サプライヤー約 20 社のセキュリティ担当者と対話した松本 正宏氏

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.09………………………………… 9
セキュリティツールを実践的に紹介する連載企画

Let's Try Windows システム確認 ! 1．自動起動プログラム確認編… …………………… 11●はじめに
本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security
Research Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

マツダが取り組む
サプライチェーン・セキュリティの強化
部品サプライヤー約 20 社のセキュリティ担当者と対話した松本 正宏氏
聞き手 = 丹京 真一（日立システムズ）
構成・原稿・撮影 = 斉藤 健一

近年、ランサムウェアを用いたサイバー攻撃の被害が多く報じられている。その大部分がサプライチェーン企業のセキュリティ対策の不備を突いたものだと言われてる。企業にとって、サプライチェーンのセキュリティ強化は喫緊の課題だ。
このような状況の中、自動車メーカーのマツダでは、セキュリティ担当者が部品サプライヤー各社を訪れ、現場の技術者と対面でヒアリング調査などを行ったという。今回は、この取り組みの責任者である松本 正宏氏（写真右）に話を伺った。聞き手は弊社の丹京 真一（写真左）。ヒアリング調査で集めた現場の声は自動車業界だけに限らず、幅広い業界で参考になるはずだ。
また、対談を通じて国際社会や自動車業界が一丸となって進めている自動車のセキュリティの取り組みの一端を垣間見ることができるだろう。

3

年に商品企画から生産まで、ものづくり領域全体
開発の期間短縮から品質向上、を通して、三次元 CAD データをフル活用する取さらに「価値創造」までを担う MDI

り組みを開始しました。理論上、コンピューターの中で自動車を組み上げることができれば効率的）：松本さんとは普段から「協働のなはずです。当時コンピューターの処理能力も向会」 ※ 1 などでご一緒させていただいており、毎上してきたので、機は熟したと判断し、導入に踏回興味深い話を伺っています。特に、MDI（MAZDA

み切ることとしました。

丹京（以下DIGITAL INNOVATION）や、サプライチェーン・

社内での反響はいかがでしたか。

セキュリティの取り組みなどは、ぜひとも本誌読当時は、バブルがはじけた危機の中で生き残り者にもお伝えしたいと考えています。そこで私がをかけた開発期間短縮プロジェクトとして全社横

聞き手となり、自動車業界の事例を IT 業界に活か断的に取り組みました。その結果、データの一元すことができないか、そのような視点も交えなが管理、各工程のコンカレント（同時並行）化などら話を進めて行きたいと思います。よろしくお願のメリットを活かすことができ、デザイン決定かいします。

ら量産開始までの期間を、取組み前の 27 ヵ月か松本（以下）：わかりました。よろしくお願い

ら約半分の 15 ヵ月まで短縮することができたのします。それではスライドを使って話を進めます。

です（次頁 図 1）。ここでキーとなるのが「デジマツダでは、合理化を目指して生産領域にコン

タルモックアップ」でした。

ピューターをいち早く導入していましたが、1996

コンピューター上で自動車を組み上げるにはすべ

丹京 真一（たんきょう・しんいち：写真左）株式会社 日立システムズ セキュリティリスクマネジメント本部 主管技師長
国内外のグループ会社も含め、全社のセキュリティを統括し、統制、技術、セキュリティインシデント
発生の対応、人材育成全般に関わる。2022 年広島県警サイバー犯罪対策テクニカルアドバイザーに就任。
APWG(Anti Phishing Working Group) の Steering Committee Member。

松本 正宏（まつもと・まさひろ：写真右）マツダ株式会社 MDI 業務設計部主査
1991 年入社。CAD/CAM の社内開発に携わる。その後、フォードグループ内の CAD/CAM ツール開発のため米国勤務を経験。マツダ・メキシコ工場の設立にも携わる。2015 年の帰国後は IT インフラ担当となり、セキュリティとの関わりを深めるようになる。現在は IT に限らず、全社の情報セキュリティを担当。
R&D・生産・サービス領域と IT 領域との間のセキュリティプロセスの作成や、CSIRT でインシデント対応などを行い、経営に報告を行っている。
※ 1 協働の会：JNSA、IPA、JPCERT/CC、JASA 連携による情報交換会。国内外のサイバーセキュリティ問題に関して、業界・分野を越えた交流の場を提供している。運営は JNSA 脅威を持続的に研究する WG。

4

お話を伺っただけで大幅なコストダ

1996‐‐ MDIによる業務革新
従来

商品企画

デザイン

設計

試作

実験

ウンが予想できます。
量産準備

次がエンジンです。内燃機関の燃料噴射や、化学反応による燃焼特性をモデル化し、コンピューター上で検証しデータ一元化

商品企画ながら、走りと燃費、排ガスの相反を、

デザイン

MDI

コンカレント化により10年で50％の期間短縮

設計

試作
実験

高い次元で両立させました。これにより、走行性能も環境性能の高いエンジン（SKYACTIV）を提供できるようになっ

量産準備

たのです。
開発の期間短縮だけでなく品質向上に

図 1 MDI による製品開発の期間短縮

もデジタル化が役立っているのですね。

てのパーツをデジタル化する必要があると思います

現在、MDI の取り組みは、より広く・より横断が、実際にはどれくらいの点数なのでしょうか。

的に展開しています。モデルベースの考え方を用

約 3 万点になります。当然、マツダだけではい、ロボットや治具を動かす設備信号など、全て実現できません。部品サプライヤーにもご協力いをバーチャル空間で統合し、プロセス全体を可視

ただいてはじめて可能となりました。引き続き化しました。いわゆる「デジタルツイン」です。

2010 年には MDI は「価値創造」のフェーズへと

最近では、販売プロセスの管理も可視化していま移行します。デジタルを活用したマツダらしいクす。一見すると簡単そうに見えるのですが、なかルマ作りを行うもので、その事例の 1 つが、デザなか大変でした。物流倉庫・工場・販売店などそ

インテーマ「魂動（こどう）」※ 2 の実現です。デ

れぞれの在庫は、これまですべて縦割りで管理さザイン画やデジタルモデルから実車へと作り上げれていました。これを一元的に管理して可視化しる工程をデジタル化したのです。具体的には、効たのです。取り組みの背景にはコロナ禍がありま率を重視しながらも、魂動デザインの実現を目指した。売れる場所に売れる自動車をどのようにし、金型切削の CAM データと、デジタルモデル

持って行くかを日々検討したのです。

の一致性を、各段に向上させ、「匠の技の量産化」

お話を伺い、IT 業界のわれわれも見習うべき点を実現しました。

が多々あると痛感しました。データベース化やシマツダの自動車はヨーロッパ車のようなデザイ

ステム化が遅れていますし、個人のノウハウや属ンの一貫性がありますが、これも「魂動」の一環

性によらない体制を作りたいのですが、なかなかなのですね。

うまく行きません。

はい。また、衝突試験をコンピューター上で再自動車がコネクテッドになり品質情報や利用状現しました。衝突試験というのは、試作車を作っ

況のデータを収集・分析して迅速に対応できるよて壊すわけですから、そのコストは大きなものとうになりました。ですが、コネクテッドになるとなります。MDI に取り組む前までは、何度か試験

セキュリティ対策にも力を入れなくてはなりませを行わなくてはなりませんでしたが、衝突時に、ん。MDI ではセキュリティにも取り組んでいます。

乗員が受けるダメージのメカニズムの解明と、モ

自動車向けサイバーセキュリティでは、適切なソデル化により、衝突実験をコンピューター上で、フトウェアアップデートを確保するためのプロセ

CAE により再現できるようになりました。いまでス整備が法規によりレギュレーション化されていは、すべての衝突形態を 3 週間以内でシミュレー

ます。各メーカーは自動車のライフサイクルにわションできるまでになっています。

たりセキュリティを保証することになっています。

※ 2 魂動（こどう）－ SOUL of MOTION：クルマをただの鉄の塊ではなく、生き物のように生命感を感じさせるものにする。まるで意志を持って動き出しそうな緊張感と、体温を持ち呼吸しているかのような温かみをもった、生命感をカタチにするデザインコ
ンセプト。

5

自動車業界が、サイバーセキュリティ

M A ZDA D IG ITA L INNOVAT IO N

セキュリティの取り組み

2018

2019

2020

2021

★11/19★11/23
WP.29(GRVA)
特定改造等の許可制度施行
法規/ CS/SU法規
社会 ドラフト発行
情勢★サイバーセキュリティ経営ガイドライン(2015,2017)★自動車産業サイバー★自工会サイバー
自動セキュリティ部会発足 セキュリティガイドライン
車業★J-Auto-ISAC
界設立★Jeep cherokeeハッキング（2015）★CSIRT（2017）
マツダ★情報セキュリティ委員会★取引先説明会★取引先説明会★取引先説明会★CS/SU法対象取引先説明会への関心が高いとは認識していました
2022

が、その背景には、業界内部の横のつ

2023

★7/1
国内UN-R155/156
新型車

ながりの強さがあるという印象を持ち★サイバーセキュリティ
経営ガイドラインV3.0★自動車産業サイバーセキュリティ
ガイドラインV2.0

ました。
はい。横のつながりについては後ほ★他社インシデント

どあらためてお話しします。前述した★セキュリティレベルアップ活動
緊急時対応プロセス

MDI では「デジタルモックアップ」をセキュリティプロセス改善

活用しています。これには部品サプラ
イヤーの協力が不可欠です。ですから、
部品サプライヤーがサイバー攻撃の被図 2 自動車のセキュリティに関する社会・業界・マツダの取り組み

害に遭うと、自動車の生産だけではな
く、設計もストップしてしまうのです。昨年、大サプライチェーン・セキュリティ

手自動車メーカーの部品サプライヤーがランサム強化の取り組みウェアに感染するというインシデントが発生しました。マツダとしてもサプライヤーの企業、1 社
1 社を直接回ってヒアリングし、緊急対応時プロ

引き続き、サプライチェーンのセキュリティにセスを作ることにしたのです。

ついて伺いたいと思います。

直接回られたのは何社ですか。また、部品サプ

まず、背景にある社会情勢や自動車業界の動ライヤーは全体で何社あるのですか。

きから説明します（図 2）。社会情勢では 2015 年

約 20 社です。国内部品サプライヤーは約 800にサイバーセキュリティ基本法が施行され、2018

社になります。

年には WP29（自動車基準調和世界フォーラム）20 社を選ばれた基準はあるのでしょうか。

が CS（サイバーセキュリティ）と SU（ソフトウェ
アアップデート）の法規策定に乗り出し、それぞはい。前述の自工会が作成したガイドラインにれ「UN-R155」と「UN ｰ R156」として採択され、はチェックリストがあり、サプライチェーンの多日本国内においても 2022 年 7 月から新型車へのくがすでに回答を寄せている状況でした。また、適用が開始されています。また、2015 年には経

中には複数の自動車メーカーに部品を供給してい済産業省よりサイバーセキュリティ経営ガイドラる企業もあり、他社が先んじて対応してくれたとインも発表され、2023 年には Ver.3.0 に改訂されころもありました。マツダがピックアップしたのています。

は、広島を地盤に活動する部品サプライヤーで、自動車の製造に大きな影響を与える企業です。

サイバーセキュリティ経営ガイドラインには、

ピックアップの基準がわかるのと同時に、業界

インシデント発生に備えた体制構築の 1 つとしての横のつながりを垣間見ることができました。

「サプライチェーンセキュリティ対策の推進」が駆動装置系、ボディシャーシ系、内装・外装部品

挙げられています。
自動車業界では、2015 年のジープ・チェロキーなどさまざまな企業を回りました。チェックリストのハッキングが大きな転機となりました。日本自に定めてある対策状況をヒアリングするのと同時に、動車工業会（自工会）による「自動車産業サイバーサイバー攻撃を受けたときの緊急対応時プロセスがセキュリティガイドライン」の制定や、業界内であるか確認したり、インシデント発生時にはマツダの情報共有や連携の推進を図る J-Auto-ISAC の設側に報告するようお願いしたりしました。
その結果はいかがでしたか。

立などが相次ぎました。マツダとしては、まず
CSIRT を設立し、CS/SU 法規に対応するための委結論を先に言うと、サイバーを起点とした緊急員会を立ち上げ、取引先の企業とともに取り組み

対応時プロセスがある企業はほとんどありません

を続けています。

でした。企業によっては火災や地震を想定したも6

のがありましたが、サイバーと火災とでは対応が異なります。火災は気づいた時に消火できる可能性もありますが、サイバーでは気づいた時点で被害が大きくなっていることもあります。故に早め
早めの対応が必要です。
部品サプライヤーの現場の声
製造業と IT 業界での違いはありますが、サプ
ライチェーンのセキュリティはわれわれも取り組
まなくてはならない喫緊の課題です。参考のため

対談は終始なごやかな雰囲気の中で行われたいくつか質問をさせてください。インシデント発

プライチェーンを兼ねています。例えば、マツダ

生時の報告ですが、もう少し具体的にお話いただと他社でガイドラインに違いがあると困るわけでけますか。

す。ですから統一しようという流れになりました。
こうした状況が、自動車業界全体のコンセンサス

例えば、マルウェアに感染したけれど駆除できを生む背景になっているのだと思います。

た場合は報告の必要がなかったり、反対に拡散の恐れがあるマルウェアの場合やネットワークへのIT 分野だと IPA などがガイドラインを提供して侵入、さらに警察等外部からの指摘があった場合いますが、受け取る側が自分ゴトとして捉えていは報告するといった具合です。

ないように思います。皆が関わらなくてはならな
い仕組みを作る必要がありそうです。そういう形報告することによって部品サプライヤー側にはできちんと足並みを揃えないと全体の安全を担保

何かメリットがあるのでしょうか。

するのは難しいかもしれません。

報告が上がれば、われわれが支援するつもりです。ヒアリングでは各社の体制だけでなく、端末

教科書的なガイドラインでは一般論が前提と台数やシステム構成をお聞きしているので、報告なっており「あれもやりましょう」「これもやりから状況を推察することもできます。

ましょう」と書かれています。ですが、部品サプ
ライヤーそれぞれの担当者から話を伺うと、いろヒアリングというと、部品サプライヤー側からいろと工夫されていることがわかりました。

は警戒されませんか。

それは人員や予算の話でしょうか。

警戒というか、われわれのような自動車会社のIT 部門の人間が部品サプライヤーを訪問することはい。予算や人員が限られているからこそ、今は、今までになかったことなので、最初は気まずのメンバーでできることに注力し、それ以外は利い雰囲気でした（笑）。ですから、まず「監査に便性を捨ててセキュリティ優先の運用をしていた来たわけではない」ということを強調します。そりします。教科書的なガイドラインに沿っているのうえで、自動車業界で発生したインシデントな

わけでもありませんし、ユーザーからすれば非常どをお話していると、こちらが訪れた意図などをに不便なのですが、セキュリティ対策としては有理解し、協力していただけるようになります。

効なケースも数多くあります。

対面での真摯な話し合いが信頼に結びつき協力
規範の遵守性とを得られたのですね。

対策の有効性のジレンマ

さきほども触れましたが、自動車業界では自工会が独自のチェックリストを作成し、部品メー

今の話題を端的に示している図があります（次カーなどに協力を要請していました。また、部品頁 図 3）。高橋正和氏の著作 ※ 3 に掲載されていメーカーによっては、複数の自動車メーカーのサ※ 3「CISO のための情報セキュリティ戦略 ｰ 危機から逆算して攻略せよ」（技術評論社 2023 年 1 月刊）
図は著者の許諾を得た上で転載

7

考え方だったと思います。ですが、こ「規範への遵守性」と「対策の有効性」のジレンマの考え方をアップデートすべき時期が来ているように思えます。例えば、問マネジメントの評価（監査的視点）

コントロール可能な領域

規範・お手本

あるべき姿

施策

実情

法規・規準
ガイドライン

ビジョン
計画

マネジメント

遵守性

手法・製品
サービス

題が発生したときにパッチを出して終脅威わりでよいのか。また、システム構築
時には想定されていなかった問題が発生した場合、それは納品後のことなの

有効性で知りません、と言い切れるのか。シ

有効性の検証（デバッグ・システムテストの視点）

ステムの安全な稼働という根本に立っ高橋正和[著] 「CISOのための情報セキュリティ戦略-危機から逆算して攻略せよ」 技術評論社 2023
p.3 図1-1 「規範への準拠性と対策の有効性」よりて考えるべきだと思います。
従来の自動車はハードウェアとして

図 3 規範の遵守性と対策の有効性のジレンマの「モノ」を売るというビジネスだっるものです。ちなみにこの書籍には私も協力してたと思います。販売後のサービスは部品のメンテ

おり、高橋氏より謝辞をいただいています（笑）。

ナンスなどが主でした。一方、自動車の中のソフ

図の右から左への矢印は、現実の脅威に日々対処

トウェアは、エンジン制御に始まり、自動運転へしている現場の技術者の視点です。一方で、左かと発展しています。こうしたソフトウェアをサイら右への矢印は、経営者の視点となります。

バーセキュリティ法やソフトウェアアップデート

はい。業種にかかわらず、経営層は規範やガイ法により、自動車のライフサイクルを通じて維持

ドラインなどの話題を好みますね。

しなくてはなりません。加えて、コネクテッド・

仕事柄、部品サプライヤーの経営者の方ともおサービスによってさまざまな価値を提供するよう話する機会があるのですが、「現場をよく見てくになりました。

ださい」とお伝えしています。現場の技術者の方々

ソフトウェアやサービスの比重が増していますね。

は本当に頑張っておられます。それがよくわからはい。ユーザーに使い続けてもらう中で、ソフないという経営者がいらっしゃれば、間をつなぐ

トウェアは常に進歩していかなくてはならないと役割の人を立てることをお勧めしています。それ思います。もはや「納品して終わり」の世界ではがセキュリティ体制づくりなのだと思います。

ないのです。今、われわれは自動車のソフトウェ

まさに橋渡し人材ですね。「現場から経営」「経アをメンテナンスしながらサービスを続けること

営から現場」どちらの話も理解でき、それぞれをにチャレンジしています。

通訳できる存在です。経営と技術者との間のコ

まさしく、時代の変革期にいることを実感しま

ミュニケーションは本当に難しいと思います。技した。これまでのお話を伺い、自動車業界の取り術者からすると、経営に事実を報告しているつも組みは非常に興味深く、今後の IT 業界が参考にす

りでも、実は伝わっていないということも多いのべき点が多々あったと感じています。本日はありです。経営がわかる言葉に変換しつつも、事実はがとうございました。

事実として歪曲なく伝えなくてはなりません。経営の意向を現場に伝える時も同様です。そして、松本さんご自身もマツダ社内でそういう存在として活躍されているのだと思います。
IT の世界においてベンダーはどこまでサービスを提供すべきなのか
IT 業界では、システムを開発・納品までが仕事で、保守については別途というのが、これまでのマツダ広島本社のエントランスロビーにて撮影

8

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.09
文＝ SHIELD Security Research Center
は実際のシステムなどを使用して演習を行うもの
セキュリティインシデント対応能力のである。一方、TTX は単に机の上で実施するとい向上についてう意味ではなく、FTX のような実際のシステム等を使用せずに模擬演習することを意味する。
TTX を大きく 2 つに分類したものを図に示す。

【概要】
サイバー攻撃を完全に防ぐことは困難であり、

1 つは図の左上「技術習得型 TTX」である。主に攻撃を受けることを前提に被害を軽減するためのIT 部門を対象としてインシデントの原因調査等の対応能力の向上が求められている。本稿では、対技術習得を目的としたものである。もう 1 つは図

応能力の向上のために事業者等がサービス提供しの右下「問題検証型 TTX」である。インシデントている演習や自組織で行う演習について、その目発生時にその組織のインシデント対応計画などに的や対象者、内容の違い、組織の環境を踏まえた

従った適切な対応ができるか検証することを目的

訓練の重要性について解説する。

としたものである。

【内容】

TTX は一般的なインシデント対応の流れを学びな

また、それぞれの内容も異なる。技術習得型
さまざまな組織からインシデント対応に関するがら、その中で証拠保全やログ解析などの技術的演習が提供されており、組織によって「サイバー要素も習得するものである。一方、問題検証型演習」や「インシデント訓練」など名称や内容がTTX はその組織独自のインシデント対応計画など異なる。これらの演習は大きく実働演習（Fieldのルールに従った組織的対応のシミュレーション

Training Exercise「以下、FTX」）と机上演習（Table

を行うとともに、インシデント対応計画などに問Top Exercise「 以 下、TTX」） に 分 け ら れ る。FTX

題がないかを検証するものである。さらに、問題検証型 TTX においては、複数部署にまたがるインシデント対応を模擬体

一般的なもの技術的対応能力の向上

・証拠保全
・ログ解析
・マルウェア解析 など

目標とする
総合的な
対応能力

技術習得型 TTX

験することで、組織の横断的対応の観点についても検証を行う。これらの検証結果から判明した問題を踏まえてインシデント対応計画などの見直しを行い、その見直し結果を次の組織特有のもの

演習に反映するというサイクルを繰・インシデント対応計画
・各種規定 など

応能力の向上を図っている。上述のり返すことにより組織の総合的な対通り、その組織の環境を踏まえているかどうかという点で一般的な演習

問題検証型 TTXより有益であるが、特定の組織を想定した演習であるため汎用的に利用

組織的対応能力の向上できるものではないというデメリッ
トがある。

図 TTX の種類と位置づけ

9

技術習得型 TTX の代表として NICT（国立開発

類を確認しつつ実際に演習環境を操作しながら原研究法人 情報通信研究機構）が主催する CYDER

因調査等を行う。このような外部組織が提供する（実践的サイバー防御演習）がある。CYDER では技術習得型 TTX は受講者が所属する組織の環境を

仮想組織を演習舞台とし、セキュリティ関連規程

踏まえたものではなく、一般的なインシデント対の抜粋や演習環境を準備して、受講者はその規程

応能力の向上を目的としたものである。

［情報源］
https://cyder.nict.go.jp/

10セキュリティツールを実践的に紹介する連載企画

Let's Try Windows システム確認！

1．自動起動プログラム確認編

文＝ SHIELD Security Research Center1．はじめに各種セキュリティツールを実践的に紹介する連載企画、「レッツトライツール」が Vol.50 よりスタートしました。第一弾では「HDD 保全」の工程を 3 回にわたり紹介してきました。今回からは「Windows
システム確認」と題して Microsoft 社が提供する「Sysinternals Suite」として利用可能な、いくつかのツー
ルの使い方を確認します。
「Sysinternals Suite」は、多数のトラブルシューティング ユーティリティをまとめたバンドルです。誰でも無償で利用することができ、Windows マルウェアの動的解析などにも利用可能なツールです。
「Sysinternals Suite」を有効活用することで、コンピューターに感染した Windows マルウェアを見つけ出したり、Windows マルウェアの挙動を確認したりすることができます。
一方、「Sysinternals Suite」が動作するコンピューターでは、活動を停止する Windows マルウェアも存在します。
「第二部

Windows システム確認」は次の 3 部構成となっています。

1. 自動起動プログラム確認編
Autoruns を利用して、Windows の自動起動プログラム設定を確認します。
2. プロセス確認編
Process Monitor を利用して、Windows 上で起動するプロセスの動きを確認します。
3. ネットワーク状況確認編
TCPView を利用して、Windows 上でのネットワーク状況を確認します。
今回は、「1．自動起動プログラム確認編」として、Windows 起動時に自動的に起動するプログラムの登録例、Autoruns での確認方法を確認します。マルウェアが自動起動登録する可能性が高いといった特徴をもとにした、マルウェアの感染確認などに利用可能となります。
なお、本稿の安全性には留意していますが、安全を保障するものではありません。OA 端末 ( 社内ネッ
トワーク接続機器 ) で実施するのではなく、分離された回線内および機器を利用することを、推奨します。

11

2．Windows サンドボックスの準備
本稿では、Windows 標準で提供されている軽量なサンドボックス環境である「Windows サンドボックス」を使用します。「Windows サンドボックス」とは、「Windows 10 May 2019 Update」で追加された Windows の新機能です。Windows

OS の中に仮想的なコンピューター (Windows OS) を作り出すことができ、安全にソフトウェアの検証などを行うことが可能です。
Microsoft 社のドキュメントによると「Windows サンドボックス」の前提条件は下記の通りとなっています※。
・Windows 10 Pro または Enterprise ビルド バージョン 18305 または Windows 11 を使用していること（Windows Home エディションはサポート対象外）
・ARM64 (Windows 11 バージョン 22H2 以降 ) または AMD64 アーキテクチャ
・BIOS で有効化された仮想化機能
・少なくとも 4 GB の RAM (8 GB 推奨 )・空きディスク領域 1 GB 以上 (SSD を推奨 )・少なくとも 2 つの CPU コア ( ハイパースレッディングを使用した 4 コアを推奨 )2.1 Windows サンドボックスの有効化
Windows サンドボックスは以降の手順で利用可能となります。すでに設定をしている方は不要となります。また、前期前提条件を満たしていない方は、「Windows サンドボックス」は利用できませんので、通常の Windows 上で実施してください。
① optionalfeatures.exe の実行
Windows ロ ゴ キ ー + R キ ー で「 フ ァ イ ル 名 を
指 定 し て 実 行 」 ダ イ ア ロ グ ボ ッ ク ス を 起 動 し、
「optionalfeatures.exe」を入力します。
もしくは、Windows 左下の Cortana( コルタナ ) に「optionalfeatures.exe」と入力しても起動できます。

② Windows サンドボックスの有効化
Windows の機能ダイアログボックスが立ち上がるので、「Windows サンドボックス」にチェックを入れ、「OK」を押下します。
「Windows サンドボックス」のインストールが始まりますので、インストールが完了しましたら再起動します。

※ Windows サンドボックス

https://learn.microsoft.com/ja-jp/windows/security/application-security/application-isolation/windows-

sandbox/windows-sandbox-overview

123．Autoruns の実行
3.1 Autoruns の準備「Autoruns」とは、「Sysinternals Suite」に含まれる、Windows 起動時に実行されるプログラムを確認するためのツールです。
「Autoruns」および「Sysinternals Suite」は下記などから、ダウンロードすることができます。
・「Autoruns」
https://learn.microsoft.com/ja-jp/sysinternals/downloads/autoruns
・「Sysinternals Suite」
https://learn.microsoft.com/ja-jp/sysinternals/downloads/sysinternals-suite
今回は、Windows v14.1 をダウンロードしました。ダウンロードした zip ファイルを、アクセス可
能なフォルダーにて展開します。フォルダー構成は、以下の通りとなっています。今回は、筆者はAutoruns64.exe を利用します。皆様は、利用されている環境に合わせて、選択をしてください。

3.2 自動起動プログラム確認
Autoruns を起動します。初回起動時には、利用規約の確認が入ります。内容を確認して、「Agree」
を押下します。起動すると、自動起動するプログラムの登録状況などが確認できます。

自動起動するプログラムの登録箇所として以下の項目が挙げられます。

13【レジストリ】
レジストリとは、Windows のシステムやソフトウェアの設定情報です。レジストリには、自動起動を設定するための箇所がいくつか存在します。代表的な自動起動に関するレジストリは下記の通りです。
[HKLM¥SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥Run][HKLM¥SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥RunOnce][HKCU¥SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥Run][HKCU¥SOFTWARE¥Microsoft¥Windows¥CurrentVersion¥RunOnce]
HKLM は、コンピューターにログオンした際に実行されます。この場合は、ログオンした際に登録されているプログラムが自動実行されます。HKCU は、現在ログオンしているユーザーがログオンした際にのみ実行されるといった違いがあります。なお、RunOnce は、一度だけ自動実行され登録されているキーは削除されるといった特徴があります。
Autoruns では、【Logon】タブで確認できます。
「Windows サンドボックス」を利用した今回の例では、Microsoft Edge が登録されていることが確認できます。
【スタートアップ】
スタートアップは、格納されているプログラムを起動時に実行するフォルダーです。起動したいプ
ログラムのショートカットなどを保存しておくことで、起動時にプログラムを実行できます。
Autoruns では、【Logon】タブで確認できます。
「Windows サンドボックス」を利用した今回の例では、何も登録されていません。
【タスク】
定例の作業を自動化するなどの目的で、Windows には「タスクスケジューラ」が標準で用意されている。「タスクスケジューラ」を活用することで、プログラムを起動時に実行することができます。
Autoruns では、【Scheduled Tasks】タブで確認できます。
「Windows サンドボックス」を利用した今回の例では、何も登録されていません。
3.3 状態の保存
次に、現在の自動実行プログ
ラムの登録状況を保存します。
メニューバーの「File」→「Save」
より、自動実行プログラムの登録状況を保存してください。保存したファイルは「5.1 自動起動
プログラムの差分確認」で利用
します。

14

4．自動起動するプログラムの設定
4.1 レジストリから自動起動するプログラム
Autoruns の 機 能 を 確 認 す る に あ た り、 こ こ で は サ ン プ ル と し て 自 動 起 動 設 定 が な さ れ る
Microsoft 社の Teams をインストールしてみます。
① Teams（サンプルとなるプログラム）のインストール
下記より、Teams をダウンロードしてインストールしてください。
https://www.microsoft.com/ja-jp/microsoft-teams/download-app
インストールする Teams は下記どちらの Temas でも問題ありません。環境に合わせてご選択く
ださい。また、アカウントを利用してログインをする必要はありません。

②レジストリエディターの起動
インストールが完了したら、レジストリーキーの登録状況を手動で確認してみます。Windows ロ
ゴ キー + R キーで「ファイル名を指定して実行」から「regedit.exe」を起動してください。「レジストリエディター」が起動したら、
HKEY_CURRENT_USER → SOFTWARE → Microsoft → Windows → CurrentVersion → Runの順でフォルダーを開きます。「com.squirrel.Teams.Teams」といった Teams に関するキーが登録されていることを確認します。

15

4.2 スタートアップフォルダーから自動起動するプログラム①スタートアップフォルダーの確認
スタートアップフォルダーは、Windows ロゴ キー+ R キーで「ファイル名を指定して実行」ダイアロ
グボックスを起動し、「shell:startup」を入力することで確認できます。
も し く は、「%AppData%¥Microsoft¥Windows¥S
tart Menu¥Programs¥Startup」で当該フォルダーを確認できます。
②サンプルファイルの追加
フォルダが開いたら、「スタートアップ」という名称のテキストファイルを保存します。
これで、スタートアップフォルダーを利用して「スタートアップ .txt」というテキストファイル
が起動時開くように登録できました。

4.3 タスクから自動起動するプログラム①タスクスケジューラの起動
Windows ロゴ キー + R キーで「ファイル名を指定して実行」から、「taskschd.msc」を入力することで確認できます。
もしくは、Windows 左下の Cortana( コルタナ )に「タスクスケジューラ」と入力しても起動でき
ま す (Cortana( コ ル タ ナ ) か ら、「taskschd.msc」
でも可 )。
②タスクの作成（その 1）
タスクスケジューラが起動したら、左タブの「Task Scheduler Library」( ❶ ) を選択し、右タブの Create Task( ❷ ) をクリックします。Create Task ウインドが開いたら、Name に「Test Task」を ( ❸ )を入力し、「Actions」タブをクリック ( ❹ ) します。

16

❹

❶

❸

❷

②タスクの作成（その 2）「Actions」 タ ブ が 開 い た ら、「New」 を
ク リ ッ ク し ( ❺ )、「Program/script」 に「C:¥Windows¥System32¥cmd.exe」 を 指 定 ( ❻ )❻して登録します。

❺②タスクの確認
タスクスケジューラに「Test Task」が登録されましたら、登録完了です。Windows のユーザー
ログオン時に「cmd.exe( コマンドプロンプト )」が起動するように登録ができました。

17

5． Autoruns を活用した調査方法
5.1 自動起動プログラムの差分確認
Autoruns では、保存していた自動実行プログラムの登録状況を用いて、新たに自動起動設定がなされたプログラムを確認可能です。
① Autoruns の更新
あらかじめリフレッシュボタンを押下して最新の状態に更新してください。

②差分の確認
次に、「File」->「Compare」より、「3.3 状態の保続」で取得した自動起動の設定する前のファイル ( 拡張子：arn) を選択してください。
Compare を実行すると下記の通り、変更が加えられた箇所のみを表示 ( 緑色の行 ) します。今回は、「4. 自動起動するプログラムの設定」で解説した、自動起動設定各種を Autoruns で確認することができました。

5.2 VirusTotal を用いた自動起動プログラムの安全性確認 ( 参考 )マルウェアはコンピューターに常駐するため、しばしば自動起動に設定されていることがあります。Autoruns を活用し、登録されているプログラム 1 つ 1 つのハッシュ値等を確認していくこと
で安全性を確認できますが、Autoruns ではハッシュ値を VirusTotal で確認、結果を表示する機能を有しています。
確認したいプログラムの行を右クリックし、「Check VirusTotal」より、安全性を確認することが
できます。

18

6． おわりに
今回はここまでとなります。
今回は、「1．自動起動プログラム確認編」として、Windows 起動時に自動的に起動するプログラムの登録例として、レジストリ、タスク、スタートアップの登録方法を確認しました。
また、これらの登録状況について、「Sysinternals Suite」に含まれる「Autoruns」での確認方法を確認しました。
マルウェアが自動起動登録する可能性が高いといった特徴をもとにした、マルウェアの感染確認などに利用可能です。
次回は、同「Sysinternals Suite」に含まれる「Process Monitor」を用いて、Windows 上で起動しているプロセスの動きを確認します。

19