サイバーセキュリティ
ISO/IEC 27032:2012の定義
サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、
preservation of confidentiality, integrity and availability of information in the Cyberspace
サイバー空間において機密性、完全性、可用性の確保を目指すもの
 — ISO/IEC 27032:2012

とサイバーセキュリティを狭義に定義し、サイバー空間については
the complex environment resulting from the interaction of people, software and services on the Internet by means of technology devices and networks connected to it, which does not exist in any physical form
人間、ソフトウェア、およびテクノロジーデバイスやそれに接続するネットワークを用いたインターネット上のサービスのやりとり(interaction)の結果として生じる複雑な環境で、いかなる物理的形態も存在しないもの
 — ISO/IEC 27032:2012
と定義している。
この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている。
サイバーセキュリティ基本法の定義
サイバーセキュリティ基本法第二条では以下のように定義される：
「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（以下この条において「電磁的方式」という）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（情報通信ネットワーク又は電磁的方式で作られた記録に係る記録媒体（以下「電磁的記録媒体」という）を通じた電子計算機に対する不正な活動による被害の防止のために必要な措置を含む）が講じられ、その状態が適切に維持管理されていることをいう。
 — “サイバーセキュリティ基本法 平成二十八年四月二十二日公布（平成二十八年法律第三十一号）改正”.   e-Gov. 2018年9月10日閲覧。
サイバー犯罪の産業化
サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ、アフィリエイトモデルのような攻撃者のヒエラルキーもできている。
こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス、インターネット規模のDNSを使用したDRDoS攻撃 などがある。
なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる。
標的型攻撃・APT攻撃
標的型攻撃は、2010年ころからサイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織、人、これらの持つ重要情報等を標的とした攻撃である。したがって攻撃の標的となる組織固有の情報（組織構成、事業内容、システム構成等）を事前に入手し、これを利用して攻撃を仕掛ける事も多い。
APTは標的型攻撃の一種に分類される事が多い攻撃形態の一分類であり、「先進的で（Advanced）」「執拗な（Persistent）」「脅威（Threat）」を指す 。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがある。
またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ、このような作戦活動を攻撃キャンペーンという。また攻撃キャンペーンは複数個の「一連の攻撃行動（オペレーション）」に分割できる。
準備ステージ
サイバーキルチェーンにはないがJPCERT/CCのモデルには記載されているステージ。
攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるので、ドメイン名はAPTの重要なインディケータ（APT関連のデータや情報を選り分けるため指標）になる。
攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変える。また分散型のインフラにする事で攻撃の全容をつかみにくくする。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある。
このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする。
攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストラン（検証のための試験的な攻撃）を実施する場合があるので、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる。
偵察ステージ
攻撃者は偵察ステージで従業員の情報やe-メールアドレスを収集したり、プレスリリース、契約発注などから企業情報を収集したり、企業がインターネットに公開しているサーバを特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もある。
さらに攻撃者は標的型メール（後述）等に利用可能なpdfやdocファイル等を収集する。攻撃者は攻撃用のサイトでIEのresプロトコルを使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できる。
資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握する。
このステージに対する対策を講じるのは非常に困難だが、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる。
武器化ステージ
エクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージで、ペイロードの作成には何らかの自動化ツールが使われる事が多い。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にあり、APTではゼロデイの脆弱性を利用される事も多い。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい。
対策側が攻撃者の武器化を検知するのは不可能だが、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し、どんなツールキットが使われたのか、いつごろ行われたどのAPTの作戦活動に連動しているのかといった事を調査し、以後のAPT攻撃への対策に利用する事ができる。
バナーチェック・ブラウザフィンガープリンティング
サイトにアクセスしてきたユーザのマシンにインストールされているブラウザや各種ツール（Java、Adobe Reader、Adobe Flash、Silverlightなど）のインストール状況やバージョン番号などのプロファイルを取得する手法の事。踏み台サイトや攻撃サイトでブラウザフィンガープリンティングを行う事で、ユーザの環境に最適な攻撃（たとえばユーザ環境の脆弱性つけるエクスプロイトを選ぶ等）を実行できるようになる。
ブラウザフィンガープリンティングには攻撃者のサーバサイドで行う方法とユーザのクライアントサイドで行う方法がある。サーバサイドのものでは、ユーザのIPアドレスやHTTPユーザーエージェントからユーザ環境の情報が得られる。クライアントサイドで行うものはクライアント環境でJavaScriptやVBScriptなどを実行する事でさらに詳細なユーザ環境情報を取る事ができ、例えばブラウザに追加されているプラグインの種類やバージョンを知る事ができる。
エクスプロイトキット
攻撃サイトなどに、エクスプロイトキットと呼ばれる攻撃ツールが仕込まれている場合がある。エクスプロイトキットはブラウザフィンガープリンティングを行い、保有している複数のエクスプロイトの中からユーザ環境で実行可能な物を選び、マルウェアを実行する。
エクスプロイトキットの中にはサイバー犯罪者向けにサービスとして運営されているものもあり、EaaS（Exploit Pack as a ServiceもしくはExploits as a Service）と呼ばれている。
クローキング
悪性サイトにアクセスしてきたクライアントに応じて応答するウェブコンテンツを変化させる手法の事。例えば検索エンジンのクローラーがアクセスしてきたときは無害なコンテンツを表示し、標的ユーザがアクセスしてきたときのみ攻撃用のコンテンツを表示する。これにより攻撃用コンテンツをクローラーに発見される事なく、クローラー向けコンテンツに検索エンジン最適化を施す事で検索順位を上げる、といった事が可能になる。クローキングで表示するコンテンツを変えるための指標として、IPアドレス、ユーザエージェント、リファラの情報が利用される。
遠隔操作ステージ
攻撃対象の組織からC&Cサーバ（コマンドアンドコントロールサーバ。C2サーバとも。攻撃者が攻撃対象の組織に不正なコマンドを遠隔で頻繁に送信する為に利用されるサーバの事）への通信(コネクトバック通信)の経路を確保する。なおC&Cサーバ自身も攻撃者に乗っ取られた外部組織のサーバであることもある。
コネクトバック通信にはhttpやhttpsを使うことが多いので、通信の特徴だけからコネクトバック通信を検知するのは困難である。なお、監視の目が行き届いたhttpやhttpsを使う代わりに、e-メール、DNSなどのプロトコルが使われる事もある。
ファイヤーウォールのフィルタリングルールが形骸化していたり、攻撃によく使われるCONNECTメソッドをプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう
その他の特徴
マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する。
マルウェアは一般利用者権限もしくはログインユーザー権限のみで多くの権限が得られるフォルダで環境変数でアクセスしやすい箇所に配置されやすい。具体的には%TEMP%、%PROGRAMDATA%、%ALLUSERSPROFILE%、%APPDATA%、%LOCALAPPDATA%、%PUBLIC%、およびC:直下である。典型的には、ファイルを開いたとき%TEMP%にマルウェアが一旦生成され、それを%PROGRAMDATA%以下の偽装したフォルダにコピーし、そのファイルを永続化する
攻撃者が仕込んだRATはC&C サーバと定期通信（ビーコンという）を行う事が多い。ビーコンは標的組織に発見される危険があるので、一時的にFQDN に対するA レコードを「0.0.0.0」や「127.0.0.1」としてC&C サーバとの通信を停止させるRATもある。逆に言えば、標的組織はこれらのA レコードがこれらのIPアドレスになっているものをRATの候補として抽出可能である。
目的実行ステージ
攻撃者が目的となる行為を実行するステージ。このステージにおける攻撃者の行動は、攻撃者が何を目的とするかで異なるが、主な目標は重要情報の窃取である。窃取した情報は分割され、複数の端末から外部に送信されるので、窃取したファイルの特定は極めて困難である。
また最終目標を達成する前段階として、今後のオペレーションのために標的組織の状況を窃取したり、他の組織とのトラストチェーンを把握したり、標的組織に対して優位に立つため破壊行為を行ったりする。
再侵入ステージ
サイバーキルチェーンにはないが、IPAのモデルには記載されているステージ。攻撃者は過去の侵入時に構築したコネクトバック通信路を利用し、再侵入してシステム内探索を継続する。このため一度標的になった組織は、一見攻撃が終了したように見えても、コネクトバック通信路が設置されていない事を継続的に監視する事が重要である。標的組織内にコネクトバック通信路が一つでも残っていると再侵入が可能になるので、APTの場合は「対処率99％でも残存リスクは100％のまま」という事になる。
フィッシング関連
フィッシング(phishing)は口座番号、アカウント情報、カード番号といった、主に金銭に関わる個人情報を奪取するための攻撃。金融機関を装ったりしたフィッシングメールを送りつけ、個人情報を盗むために設置されたフィッシングサイトに誘導する。メールやウェブサイトを利用する点では標的型攻撃と共通するが、目的が個人情報であるため必ずしも企業システムに潜入する必要はなく、ユーザのブラウザ上にある金融機関のcookie等に書かれたID/パスワードを奪取するなどの手口を用いる。SMSメールを利用したフィッシングを特にスミッシングという。
ファーミング（Pharming）はURLとIPアドレスの対応表を攻撃者が不正に書き換えることで、正規サイトのURLにアクセスしたユーザを偽サイトに誘導する攻撃の事である。URLとIPアドレスの対応表を書き換える手段としてはDNSを攻撃する方法(DNSキャッシュポイズニング)と、ユーザがローカルに持っているhostsファイルを書き換えたりする方法がある。
無線LANフィッシングはWiフィッシング（ワイフィッシング）とも呼ばれ、攻撃者が偽の無線LANアクセスポイント(Evil Twinと呼ばれる)を立てる事で、そのアクセスポイントを利用したユーザのID/パスワードを窃取んだり、偽サイトに誘導したりする攻撃である。
QRishingはQRコードフィッシングとも呼ばれ、攻撃者が作成したQRコードを（正規サイトのものと偽って）ユーザに読ませる事により、偽サイトに誘導する攻撃である。本物のQRコードの上に偽のQRコードのシールを貼ってQRishingした事案が知られている。なお短縮URLでも同様の手口を行う事ができる。
ワンクリック詐欺
ワンクリック詐欺はウェブページ上の特定のアダルトサイトや出会い系サイト、勝手に送られた電子メールに記載されているURLなどをクリックすると、「ご入会ありがとうございました。」等の文字やウェブページが契約したことにされて多額の料金の支払を求める詐欺のことをいう。同様の手口でツークリック以上のものやノークリック（＝全くクリックしない）ものも存在する。
ワンクリック詐欺のサイトでは、サイトに訪れたユーザのブラウザから環境変数を取得して表示するなどして、あたかもサイト側がユーザ個人を特定できているかのように装い、ユーザを脅迫することがある。（たとえばユーザがスマートフォンからアクセスした場合にユーザの位置情報を表示するなど）。
また詐欺サイトがユーザ端末にワンクリックウェアをインストールし、振込みを行うよう要求する画面を頻繁に表示させるという手口もある。
DoS攻撃
DoS攻撃（ドスこうげき）（英：Denial of Service attack）は、情報セキュリティにおける可用性を侵害する攻撃手法のひとつ。 ウェブサービスを稼働しているサーバやネットワークなどのリソース（資源）に意図的に過剰な負荷をかけたり脆弱性をついたりする事でサービスを妨害する。
DoS攻撃には２種類の類型があり、第一の類型はウェブサービスに大量のリクエストや巨大なデータを送りつけるなどしてサービスを利用不能にするフラッド攻撃（Flood＝「洪水」）であり、第二の類型はサービスの脆弱性を利用する事でサービスに例外処理をさせるなどしてサービスを利用不能にする攻撃である。
DoS攻撃の主な目的はサービスの可用性を侵害する事にあり、具体的な被害としては、トラフィックの増大によるネットワークの遅延、サーバやサイトへのアクセス不能といったものがあげられる。しかしDoS攻撃は被害者に経済的ダメージを負わせる事を目的として行われる場合もあり、EDoS攻撃(Economic DoS Attack)と呼ばれる。たとえばクラウド上で従量課金されているサービスにDoS攻撃をしかければサービスの運営者に高額な課金を発生させることができる。
また、「DoSをやめてほしければ金を払え」と脅す目的でDDoS攻撃（後述）が行われることもあり、ランサムDDoSと呼ばれる。
DDoS攻撃
フラッド型のDoS攻撃には、大量のマシンから1つのサービスに、一斉にDoS攻撃を仕掛けるDDoS攻撃（ディードスこうげき、分散型サービス妨害攻撃、英: Distributed Denial of Service attack）という類型がある。
DDoS攻撃の類型は2つあり、第一のものは攻撃者が大量のマシン(踏み台)を不正に乗っ取った上で、それらのマシンから一斉にDoS攻撃をしかける協調分散型DoS攻撃である。
第二の類型は、DRDoS攻撃（Distributed Reflective Denial of Service attack。DoSリフレクション攻撃、分散反射型DoS攻撃）と呼ばれる。DRDoS攻撃では、攻撃者が攻撃対象のマシンになりすまして大量のマシンに何らかのリクエストを一斉に送信する。するとリクエストを受け取ったマシン達は攻撃対象のマシンに向かって一斉に返答を返すことになるので、攻撃対象のマシンには大量の返答が集中し、高負荷がかかることになる。DRDoS攻撃は協調分散型DDoS攻撃と異なりマルウェアなどで踏み台を乗っ取らなくても実行可能なため攻撃C&Cサーバが発覚しづらい。
ボットネット
ボットネットとはC&Cサーバのコントロール下にあるマシン（ボット）のネットワークで、攻撃者はC&Cサーバから命令を出す事で、ボットネットを様々なサイバー攻撃に利用する。ボットによる攻撃にあった被害者は、裏にいるC&Cサーバの情報を直接得る事ができないので、攻撃者を特定するのは困難になる。
攻撃者は１台のC&Cサーバから命令を出すことで多数のボットから同時多発的に攻撃をしかける事ができるので、低い運用コストでDDoS、スキャン、二次感染といった様々なサイバー攻撃の実行が可能になる。
C&Cサーバとボットとの通信には、IRC、HTTP、各種P2P接続などが利用される。特にHTTPはセキュリティに配慮した企業などであっても業務の関係上通信を遮断できないので、攻撃者は企業内のマシンをボット化できる。
ボットネットのネットワーク構造として最も単純なものは、１つのC&Cサーバに全てのボットがぶら下がっているスター型のネットワーク・トポロジーであるが、これだとその１台のC&Cサーバがダウンしたり当局に取り締まられたりするとボットネットが完全に停止してしまう。そこで様々な国に複数のC&Cサーバを立てて多重化する事で各国の取り締りにそなえたり、ボットの下にさらにボットをぶら下げる階層型の構造にしてボットネットの全体像を把握されにくくしたり、P2P通信によるランダムなトポロジーにする事でネットワーク耐性を上げたりする。
Fast Flux手法
ボットネットのC&Cサーバ等の悪性サイトは、サイトのFQDNに対応するIPアドレスを数分程度で次々と変えていくFast Flux手法(IP Flux手法とも呼ばれる)を用いる事で、捜査機関等が悪性サイトをテイクダウン（停止）させるのを難しくしている。攻撃者は自身のコントロール下にあるボットのIPアドレスを悪性サイトのFQDNに次々に割り振っていく為、FQDNに割り振られるIPアドレスは数百から数万に及ぶ。C&Cサーバやドライブバイダウンロード攻撃用サイトはFast Flux手法で運営される事が特に多い。
Fast Flux手法はBlind Proxy Redirectionという手法と併用される事が多い。この手法ではFast Fluxで運営されるサイトのは単なるリダイレクトサイト（フロントエンドノードという）であり、リダイレクト先にあるマザーシップノードが真の悪性サイトである。このような構成を取る事により、マザーシップノードのアドレス情報を捜査機関から隠したり、捜査の手が及んだフロントエンドノードを切り捨てたりする事ができる。また悪性サイトのコンテンツを変えたい場合はマザーシップノードだけを変えればよいので運用も容易である。
Fast Flux手法はsingle flux手法とdouble flux手法に分かれる。single flux手法では攻撃者は何らかの方法を用いて自身の権威DNSサーバを立て、その権威DNSサーバ上で悪性サイトのIPアドレスを(TTLを小さな値にする事で)次々に変えていく手法である。この手法の（攻撃者にとっての）欠点は、攻撃者が立てた権威DNSサーバが単一障害点になっているため、この権威DNSサーバが捜査機関にテイクダウンされると、悪性サイトを運営できなくなってしまう事である。
double flux手法は権威DNSサーバもFast Flux手法で運営する事で対策耐性をあげたものである。double flux手法ではボットネット上に権威DNSサーバXを立て、さらにXより上位レベルの権威DNSサーバYを自身で立てる。single flux手法のときと同じく悪性サイトのIPアドレスをX上で次々と変えるのみならず、XのIPアドレスをY上で次々と変える事でXがテイクダウンされる事を防ぐ。なお、double flux手法においてYは単一障害点であるが、捜査機関が調査のため悪性サイトにアクセスしてきても、悪性サイトの名前解決はXで行われるので、捜査機関に直接Yが見える事はなく、Yを特定してテイクダウンするのは難しくなる。
Domain Flux手法
1つのドメイン名に対して複数のIPアドレスを用意して多重化するFast Flux手法とは逆に、ドメイン名を複数用意して多重化する手法をDomain Flux手法と呼ぶ。この手法を用いる事で、一部のドメイン名が悪性サイトとして対策側にブラックリスト化されても、悪性サイトに別のドメイン名を用いる事でブラックリストをすり抜ける事ができる。
Domain Fluxを行う方法の一つは攻撃者自身が管理するドメイン（仮にexample.comとする）に○○.example.comというFQDNを生成し、○○の部分を短時間で変える、というものである（ドメインワイルドカード）。
Domain Fluxでは疑似乱数を使ってドメイン名を生成する。このためのアルゴリズムをDGA(Domain Generation Algorithm)という。擬似乱数を利用するのは、C&Cサーバとそのコントロール下にあるマシンでドメイン名を同期するためである。C&Cサーバとそのコントロール下にあるマシンで事前に擬似乱数の種を共有しておき、種と時刻情報を利用してドメイン名を生成するようにすれば、両者とも同一時刻には同一のドメイン名を取得できる。
攻撃・ペネトレーションテストで使われる手法やツール
本節では攻撃やペネトレーションテスト（システムに実際に攻撃をしかけてみる診断。詳細後述）で使われる手法やツールについて述べる。
ペネトレーションテスト用OS
ペネトレーションテスト用のLinuxディストリビューションとして、Kali Linux、Parrot Security OS、BackBoxなどがあり、前者２つはDebianベース、最後のものはUbuntuベースである。これらのディストリビューションにはペネトレーションテスト用の各種ツールがプレインストールされている。
スニッファ
スニッファとはネットワーク上を流れるパケットを監視したり記録したりするツールの事でパケット・スニッファとも呼ばれる。攻撃目的ではなくセキュリティ目的で用いられる同種のツールをパケットアナライザ等と呼ぶが、広義にはパケットアナライザもスニッファに含める。フリーなものではWireshark、tcpdumpなどがある。
パスワードクラッキング
パスワードクラッキングとは、総当たり攻撃や辞書攻撃等の何らかの方法でパスワードを割り出す攻撃方法であり、推定したユーザID/パスワードでログイン試行を行うオンライン攻撃と何らかの方法で入手したパスワードハッシュ（パスワードのハッシュ値）などからローカルにパスワードを推測するオフライン攻撃とに大別される。オフライン攻撃の対象となるパスワードハッシュはWindowsのSAMファイル、Linuxの/etc/shadowファイルなどにあるものを利用する。またパスワードで保護されたOfficeファイル等も攻撃対象となる。
著名なオンライン攻撃ツールとしては、Bruter（Windows環境）、ncrack(マルチプラットフォーム)、TCP-hydraがある。著名なオフライン攻撃ツールにはJohn the Ripper、RainbowCrack（レインボーテーブルを用いてハッシュを解析する）、ophcrackがある。
またWindowsのSAMファイルからパスワードハッシュを取得するツールとしてPwDumpがある。
Metasploit
Metasploit Framework、あるいは単にMetasploitとは、エクスプロイトコードの作成、実行を行うためのフレームワークソフトウエアである。Metasploitには様々なエクスプロイトコードが収録されており、アップデートを実行する事で新たなエクスプロイトコードを手に入れたり、Exploit Databaseのようなエクスプロイト配信サイトからエクスプロイト（とそのエクスプロイトを適用できる脆弱なソフト）をダウンロードして用いたりできる。
SHODANとCensys
ウェブサーバやIoT機器など、インターネットに接続している機器を調査できるウェブサービスとして、SHODANやCensysなどがある。SHODANはポートスキャンにより接続している機器を特定し、特定した機器に対してバナーチェックを行う事により、機器の情報を得ている。SHODANの利用者が例えば東京にあるApacheサーバの一覧を得たければ、SHODANに「apatch city:Tokyo」と打ち込んで検索する事ができる。また、SHODAN MAPSの機能により、検索した機器の位置を地図上に表示可能である。
バナー情報により、検索結果には製品名やバージョン等もわかるため、攻撃者はこれを利用して脆弱性が適用可能な機器を見つける事ができる。なお、SHODANを使うには事前にユーザ登録が必要であり、基本無料であるものの全機能を使うには低額の利用料を支払う必要がある。
CensysはZmapというネットワークスキャナでIPv4のインターネット空間をスキャンして情報を収集し、ZGrabというプロトコル解析ライブラリにより収集したデータを構造化データに加工する。なお、ZmapがIPv4のアドレス空間全てをスキャンするのにかかる時間は45分に過ぎない。
Censysは無料で利用でき、ユーザ登録は必須ではないが、登録していないユーザは1日4回までしか検索できない。Censysはミシガン大学の研究者らが公開したものである。
特定
サイバーセキュリティ対策をする上で基本となるのは、守るべき資産を特定し、各資産のリスクを把握することである。
組織の置かれた状況の特定
産業分野やサプライチェーンにおける自社の位置づけ、重要サービスを提供するする上での依存関係と重要な機能等を把握し、自組織のミッション、目標、活動に関する優先順位を決め、伝達する必要がある。JPCERT/CCは、守るべき資産を特定する前準備として、組織のプロファイルを作成することを推奨している。このプロファイルには規模や提供製品のような基本的事項のみならず、システムダウンの影響度合いや規制のレベルなどリスクアセスメントに必要となる情報も含める。また、組織のサイバーセキュリティ防御能力に関する文書を作成する。
またセキュリティに関する法規制を把握し、自組織の情報セキュリティポリシーを定め、セキュリティに関する役割と責任について内外のパートナーと調整や連携を行う。さらにガバナンスやリスク管理のプロセスをサイバーセキュリティリスクに対応させる。
守るべき資産とそのリスクの特定
自組織内の物理デバイス、システム、ソフトウェアプラットフォーム、アプリケーション、外部情報システムといったリソースの一覧を作成し、ネットワークの通信やデータフローを図示し、これらのリソースやデータのうち、守らなければならないものとその理由、およびそれが抱える脆弱性を特定する。この際、ビジネスに対する潜在的な影響とその可能性も特定する。そしてそれら守るべき対象を守れなかった場合に発生するリスクを、脅威、脆弱性、可能性、影響等を考慮して分析し、リスクに対処するためのコストやリスクが顕在化した場合の減損、対処後の残存リスクを特定し、自組織の役割、事業分野等を考慮してリスク許容度を明確化する。そしてビジネス上の価値に基づいてこれらのリソースやデータを優先度付けをする。さらに自組織の従業員や利害関係者に対し、サイバーセキュリティ上の役割と責任を定める。リスク管理のプロセスを自組織の利害関係者で確立、管理、承認する必要がある。
なお、保有資産の特定にはIT資産インベントリ検出ツールが利用でき、未登録機器の発見にはDHCPサーバのロギング機能等が利用できる。またアクセス監視の際、資産リストと突合する事で、承認されたデバイスのみがネットワークに接続されている事を確認できる
なおリスク分析の際にはどのようなタイプの攻撃者が自組織が属する業界を攻撃するのかを事前に特定しておくのが望ましい。
脆弱性管理による防御
脆弱性管理計画の作成・実施を行い、脅威と脆弱性に関する情報を入手する必要がある。JPCERT/CCによれば、脆弱性スキャンはセキュリティ設定共通化手順「SCAP」のチェックリストにより検証済みのスキャナを用いて、毎週ないしそれ以上の頻度で行う必要がある。これによりコードベース・構成ベース方法の脆弱性を検出する事が可能である。攻撃検知のイベントログと脆弱性スキャン結果を突合することで、どの脆弱性が標的にされたのかを判別できる。アプリケーション、OS双方に対し自動パッチ適用ツールを用いる事が望ましい。
ID管理とアクセス制御による防御
自組織の全ての従業員のIDに対してアクセス制御リスト(ACL)を定義し、ACLに従って従業員の資産や関連施設への物理アクセスやリモートアクセス、データへのアクセスを制限する。ACLは定期的に棚卸し、人事の異動、追加、削減に際してアクセス権限の無効化や従業員の審査を行う。従業員等にシステムや資産に対する権限を与える場合には、最小権限の原則に従う。
システム開発時の防御
システムの開発ライフサイクルや設定変更を管理する。また開発の際には開発環境やテスト環境を実環境と分離することで情報漏えい等を防ぐ。
意識向上やトレーニングによる防御
全てのユーザをトレーニングし、権限ユーザ、上級役員、利害関係者、 物理および情報セキュリティ担当者にポリシー、手順、契約に基づいた役割と責任を理解させる必要がある。またAPTなどの攻撃に対する演習を事前に行っておく必要がある。
データの防御
自組織のリスク戦略に従って、保存されたデータや伝送中のデータの機密性、完全性、可用性を保証する。データの可用性の保証に関しては十分な容量を確保し、機密性に関しては漏洩対策を実施し、完全性に関しては何らかの完全性チェックメカニズムを導入する。データは定期的にバックアップ・テストする。またデータはポリシーに従って破壊し、資産の撤去、譲渡、廃棄も管理する。
なお情報はその機微度に応じて「高、中、低」等の格付けを事前に実施し、自組織を狙う可能性がある攻撃者がどのような情報に関心を示すのかを特定しておく事が望ましい。
保守運用作業における防御
システムのベースラインを設定・維持する必要がある。保守と修理はポリシーや定められた手順に従って実施する。重要な資産を保護するプロセスを定め、重要なシステムに対して適用可能なセキュリティ管理策を全て実施していることを確認する。保守や修理の際は、管理されたツールを用いてタイムリーに行い、ログを記録する。特に遠隔保守の際には、承認、ログの記録、不正アクセス防止を行う必要がある。監査記録やログの対象をポリシーに従って決め、取得した監査記録やログをレビューする。ログデータは、DNS、プロキシ、ファイアウォールなど重要機器に対して取得し、時刻はNTPにより同期する。事前にセキュリティを強化し、構成管理を厳密に行ったOS等のイメージを作成しておき、従業員のPCや新規導入システムにはこのイメージをインストールする。
ネットワークのセキュリティ構成は、変更管理委員会によって文書化、確認、承認を行う。
検知
検知を行う前提条件として、ネットワーク運用のベースラインを定め、データフローを特定・管理する。そしてセキュリティイベントを検知できるよう、ネットワーク、物理環境、個人の活動、権限のない従業員・接続・デバイス・ソフト、外部サービスプロバイダの活動等をモニタリングし、マルウェア対策ソフトなどで悪質なコード、特にモバイルコードを検出できるようにする。
そしてイベントログを複数の情報源やセンサーから収集し、SIEMなどで一元管理して、相互に関連付け、検知したイベントを分析し、その影響範囲を特定する。また事前に定めたしきい値に従って、検知したイベントをインシデントとみなすかどうかを判断する。
検知プロセスはテストし、継続的に改善する必要がある。また説明責任が果たせるようにする必要がある。
対応
CSIRTの主たる担当業務である。検知フェーズで発見したセキュリティイベントにタイムリーに対応できるよう対応計画を事前に定めておき、法執行機関の支援が得られるよう情報共有や利害調整を行う。そして対応計画にしたがってインシデント分類し、フォレンジックを行うなどしてセキュリティイベントを調査し、その影響範囲を把握し、事前に定めた基準に従ってインシデントの封じ込めないし低減を行う。インシデント対応の結果学んだ教訓を生かして対応計画を更新する。
復旧
タイムリーに復旧できるよう事前に復旧手順を定め、復旧の際にはその計画を実施する。システムの復旧を行うのみならず、広報活動を管理するなどして評判回復に努める。対応フェーズと同様、教訓を生かして復旧計画の更新も行う。
開発ライフサイクルにおけるセキュリティ確保
システムの安全性を確実に担保するにはシステム開発ライフサイクルの初期段階からセーフティ、セキュリティ、プライバシーなどを考慮しておくことが望ましい。開発プロセスのより早い段階でセキュリティを考慮する事を（開発プロセスを左から右に書いたときにセキュリティを考慮するのを左に寄せる事から）シフトレフトという。特に、情報セキュリティを企画・設計段階から確保するための方策をセキュリティ・バイ・デザイン（Secure By Design、SBD）といい、プライバシーに対する同様の概念をプライバシー・バイ・デザインという。
またDevOps（デブオプス、開発 (Development) の担当者と運用 (Operations) の担当者が一体となった開発手法）の普及に伴い、これにセキュリティの確保も一体になった開発手法であるDevSecOpsも注目を集めるようになっている。DevSecOpsでは設計段階からセキュリティを意識することはもちろん、セキュリティ対策ツールを開発ライフサイクルに組み込むなどして脆弱性診断を自動化し、アプリケーションを修正するたびに脆弱性を作り込まないようチェックし、利用しているライブラリの脆弱性を日々チェックするような活動も含む。
サプライチェーンにおけるセキュリティ確保
システム開発ではその工程の一部を外注する事も多いため、サプライチェーン全てでセキュリティを担保する事が重要となる。このような調達時の脅威に対応する事をサプライチェーンチェーンリスクマネジメント(Supply Chain Risk Management、SCRM)という。ISO/IEC 27036ではアウトソーシングの際のセキュリティのガイドラインが規定されている。米国ではNIST SP800-161やNIST IR 7622にSCRMの規定がある。またISO/IEC 20243には不良品や偽造品を排除するためのベストプラクティス等が規定されている。
また事業継続計画(BMC)の観点からもサプライチェーンの継続を図ることも重要であり、SCCM(Supply Chain Continuity Management)と呼ばれ、ISO 22318に規定されている。なお災害復旧とサプライチェーンマネジメントをあわせてSCDRM(Supply Chain Disaster Recovery Management)と呼ぶ。
多層防御
多層防御とは、様々な階層で複数のセキュリティ対策を施す事で、重要部への侵入前に攻撃の検知および対応を行う事で、軍事・戦闘の世界のDefense in Depth (縦深防御) を応用したものである。複数の防御壁を設けて、一つの壁を突破されても次の壁で阻止して、機密情報に到達されてしまう確率を下げる事を目的とする。
多層防御の手法として以下で述べる入口対策、内部対策、出口対策の３つを取り入れる組織内対策や、複数組織をまたがった攻撃連鎖を上流で断つ国レベルでの対策などがある。
入口対策、内部対策、出口対策
入口対策はファイアウォール、ウイルス対策ソフト、脆弱性対策など、攻撃者やマルウェアが組織内に侵入するのを防ぐ対策手法で標的型攻撃やAPTが普及する以前は有効であった。しかし標的型攻撃やAPTでは組織に侵入する方法が巧妙化しており、しかも侵入方法の変化が激しいので、入口対策だけで攻撃を防御するのは難しい。そこで、攻撃者が組織内部に侵入しているのを前提として、組織の内部対策を行う事より侵入の拡大を防ぎ、攻撃の外向き通信を遮断・監視する出口対策により組織からの情報の持ち出しやC&Cサーバとの通信を防ぐ必要がある。
サイバーレジリエンス
サイバーレジリエンスは攻撃を受けてしまう事を前提として、攻撃を受けた際に、どのように組織の機能を維持し、いかにすばやく対処・復旧するかという回復力（レジリエンス）を高めるべきという考え方である。 世界経済フォーラムによる「グローバルリスク2013」を契機として「レジリエンス」という用語がビジネス等で使われるようになり、それと時期を同じくしてサイバーレジリエンスという用語も広まった。なお「レジリエンス」という用語はISO22300では「複雑かつ変化する環境下での組織の適応能力」と定義されている。
非武装地帯 (DMZ)
非武装地帯(DMZ、DeMilitarized Zone)はメールサーバ、ウェブサーバ、DNSコンテンツサーバ、Proxyサーバといった、組織内、インターネット双方とアクセスする必要があるサーバ群を置いておくためのネットワーク領域で、組織内ネットワーク・インターネット・DMZの３つの領域間の通信をファイアウォールで制限する。ウェブサーバ等をDMZではなく組織内ネットワークに設置すると、ウェブサーバが用いるポートを開けて置かなければならない為、そのポートを利用してインターネットから組織内に攻撃を行う事が可能になってしまう。これを防ぐためにウェブサーバ等をDMZに設置する。
マイクロセグメンテーション
ネットワークを細かくセグメント分けする事。マイクロセグメンテーションにより、セグメントをまたいだラテラルムーブメントやウィルスの二次感染を防ぐ事ができる。実現手法としてh、スイッチングハブの各ポートにそれぞれ1台の機器を接続するというものがある。また仮想マシン（ないし仮想デスクトップ）の場合は各仮想マシンに仮想ファイヤーウォールを立てる事で、同一ネットワーク上にある仮想マシンであっても、仮想マシン一台で一つのセグメントを構成できる。
ゼロトラスト
ゼロトラストはForrester ResearchのアナリストJohn Kindervag（ジョン・キンダーバグ）により提唱された概念である。従来のセキュリティ対策ではネットワークの境界で攻撃の遮断が可能であり、境界内は信頼できる事を前提としていたが、標的型攻撃や内部犯行の広がりによりこうした前提は崩れており、攻撃者が内部に侵入してくるのを前提とした対策が必要となる。
それに対しゼロトラストは従来型のセキュリティ対策よりも「性悪説」に基づいており、組織内ネットワークであっても、ユーザがデータやリソースにアクセスする際、ユーザが利用しているデバイスの信頼性とユーザ自身の信頼性とを動的に評価してデータやリソースへのアクセス認可を行う。一般的にはゼロトラストネットワークはユーザ関連情報を管理する ID プロバイダ、リソースにアクセスできるデバイスのリストを管理するデバイス ディレクトリ、管理者が設定したポリシーにユーザとデバイスが適合しているかを判断するポリシー評価サービス、リソースへのアクセス制御を行うプロキシから構成され、ゼロトラストネットワークのプロキシはユーザとリソースの間に置かれ、ユーザはプロキシでアクセス認可を受けた場合のみがデータやリソースにアクセスできる。
Moving Target Defense
アクティブディフェンスの手法の一つ。これまでのセキュリティ対策では、静的なシステムに検知技術や防御技術を導入することでセキュリティを担保していたが、それに対しMoving Target Defense (MTD)は、守るべきシステムの構成、特にネットワークを動的に変更する事で、攻撃者がシステム内を探索したりシステム構成を予測したりするのを難しくする手法である。従来のセキュリティ対策では、攻撃側がシステムを熟知しているのに対策側は攻撃者に関して断片的にしか知りえないという非対称ゆえの不利が対策側にあったが、MTDはこの種の不利を攻撃者にも背負わせようというアイデアである。
ソースコードセキュリティ検査
ソースコードセキュリティ検査は、開発中のソフトウェアのソースコードをチェックする事で、セキュリティ上の問題点を発見する検査であり、おもに実装工程で行われる。その目的は、脆弱性を引き起こしやすい関数をソースコードから抽出したり、構文解析により脆弱性であると思われる箇所を特定する事である。
検査は人間によるソースコードレビューにより行われることもあるし、何らかのツールやサービスを用いて自動的にソースコードを検査することもある。
なお、ソースコードセキュリティ検査は実装段階で混入する脆弱性を発見するものであるので、そもそもソフトウェアの設計そのものに脆弱性があってもそれを発見するのは難しい。
ファジング
ファジングは開発したソフトウェアに脆弱性を引き起こしやすい様々な入力を与える事で、脆弱性を発見する手法である（インプットとして極端に大きな値を入力してみるなど）。ファジングは実装工程やテスト工程において、何らかのツールやサービスを利用して実行される。
ソースコードセキュリティ検査がソースコードを利用するホワイトボックステストであるのに対し、ファジングはソースコードを使わないブラックボックステストないしグレーボックステストである。
ソースコードセキュリティ検査と同様、ソフトウェアの設計そのものに含まれる脆弱性を発見するのは難しい。
制御システムセキュリティのEDSA認証ではファジングが必須になっているなど、ファジングの標準化の流れがある。
ファジングを出荷前に行う事により、出荷後に脆弱性が原因で回収等で莫大なコストが発生する可能性が下げられる。ファジングも導入費用とツールの保守費用をあわせて数百万から数千万円程度かかるが、半年程度で投資回収できるとされる。
システムセキュリティ検査
システムセキュリティ検査は、システム上の機器に対してパッチのあたっていない脆弱性が存在しないか、不必要なポートが空いているなどの設定上の不備がないかを調べる検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。なお性能の良いシステムセキュリティ検査ツールであれば、既知の脆弱性はもちろん、未知の脆弱性も発見できる。
システムセキュリティ検査では検査のためにシステムをスキャン（脆弱性スキャン）する必要があり、スキャンにはパッシブスキャンとアクティブスキャンがある。パッシブスキャンはミラーポートを使ったりWiresharkなどのアナライザを使ったりした受動的なパケットキャプチャ等で脆弱性を発見する手法である。それに対しアクティブスキャンはスキャナが機器にパケットを送信してその反応を見るなど能動的な方法で脆弱性を発見する手法である。
パッシブスキャンよりもアクティブスキャンのほうがより多くの脆弱性を発見できる可能性が高いが、その分システムに負荷をあたえたり、障害の原因になったりする可能性がある。
また脆弱性スキャンはネットワークの外部から行う外部スキャンとネットワークの内部から行う内部スキャンに分類できる。外部スキャンの場合、スキャンのための通信がネットワーク境界にあるファイヤーウォールに阻まれるため、内部スキャンほど多くの情報がとれない。しかし外部スキャンは攻撃者が外部から侵入可能な入口を発見できるなど、内部スキャンとは異なった役割を果たす事ができる。
システムセキュリティ検査は障害の原因になったり、検査対象が増えるにつれて検査費用が高くなるなどの事情があるため、ネットワーク全体に対して検査を行うとは限らず、一部の機器に限定して行われる事もある。
ウェブアプリケーションセキュリティ検査
ウェブアプリケーションセキュリティ検査はウェブアプリケーションに文字列を送信したり、ページ遷移を確認したり、ログ解析したりするなど、ウェブアプリケーションに特化した検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。他の検査と同様、実装時に作り込んだ脆弱性は発見できるものの、設計段階で入り込んだ脆弱性を発見するのは難しい。
IPAによるとウェブアプリケーションセキュリティ検査ツールは３タイプに分けられる。第一のタイプのものは、ブラウザとウェブサイトの間のプロキシとして動作するもので、検査実施者がブラウザでウェブサイトにアクセスした際に発生するリクエストをプロセスである検査ツールが補足し、取得したリクエストの一部を検査実施者が手動で検査用のコードを埋め込む形で書き換え、書き換えたリクエストをウェブサイトに送信してその反応をみる事で脆弱性検査を行う。
第二のタイプは検査ツールがウェブクライアントとして動作し、検査用コードの入ったリクエストをウェブサイトに自動送信し、ウェブサイトからのレスポンスを元に検査実施者にレポートを出力する。第二のタイプのものはツールに予め用意されている量の検査用コードを試自動で試せるのが利点であるが、人力に頼る第一のタイプほど細かな検査はできない。
第三のタイプでは検査ツールは検査実施者が操作するブラウザとウェブサイトとの通信を（書き換えずに）補足し、補足した情報から不審な動作等を探して検査実施者にレポートとして出力する。第一、第二のタイプと違い検査用コードをウェブサイトに送りつける事がないので、詳細な検査はできないが、その分検査によりウェブサイトに障害が発生する可能性が格段に低いという利点がある。
ペネトレーションテスト
ペネトレーションテストは実際の攻撃で使われる手口をそのまま利用する事で、人間が検査システムに攻撃をしかける事によりシステムの弱点を見つけ、システムが実際に攻撃されたときどこまで侵入され、どのような被害が発生するのか明らかにする検査であり、基本的に運用フェーズに行われる。ペネトレーションテストを実施するには攻撃手法に関する高度な知識を必要とするため、セキュリティ企業に依頼して実施する形が普通である。実際の攻撃手法を用いて検査を行うため、脆弱性のみならずシステムの不適切な運用等も発見できる。
その性質上、他の検査よりもシステムに不具合を生じさせる危険が大きいため、影響範囲を事前に特定し、復旧計画を立てて実施する必要がある。
テストは対象システムの構造をテストする人（ペンテスター）が知っているホワイトボックステストとシステム構造を知らないブラックボックステストにわけられ、さらに攻撃を開始する場所がシステム外部である外部テストとシステム内部である内部テストにわけられる。
レッドチーム
レッドチームはペネトレーションテストと同様、「レッドチーム」と呼ばれる攻撃チームが実際に攻撃をしかけてみる検査であり、レッドチームに対抗する防御側をブルーチームと呼ぶ。これらの言葉は元々軍事用語であり、敵軍であるレッドチームの視点で、自軍であるブルーチームの防御力や対応力を検証するものである。レッドチーム検査は「脅威ベースペネトレーションテスト（Threat-Led Penetration Testing : TLPT）」とも呼ばれる。
レッドチーム検査はペネトレーションテストよりもさらに実践的な検査である。ペネトレーションテストと違い、防御側であるブルーチームが攻撃の発生を認知しておらず、この状態でブルーチームがどこまで攻撃に耐えられるのかが試される。
レッドチーム検査ではハクティビスト、愉快犯、内部犯、金銭目的の犯罪者等、攻撃者の「ペルソナ」を作り、レッドチームのメンバーはそのペルソナになりきって攻撃を行う。典型的には攻撃前に初期調査を行い、マルウェアの配送、システム上への攻撃基盤構築、権限昇格、内部調査、目的達成といった手順をたどる。
レッドチームはサイバー攻撃だけではなく、物理セキュリティや人的要素に対しても攻撃をしかける。例えば初期調査では、ゴミ漁り、エレベーターでの盗み聞き、受付に「入館カードを忘れた」といって入り込むなどのソーシャル・エンジニアリング的な手法、偽Wifiポイントの立ち上げによる盗聴、SNSで情報発信を行っている社員からのOSINTなども行われる。
レッドチームのようなサービスをセキュリティベンダーが提供するようになったのは、標的型攻撃が一般化したことにある。標的型攻撃では上述のような物理要素・人的要素を犯す攻撃手法により情報収集されることもあり、こうした攻撃に耐えられるかを試すためにレッドチームのサービスが提供されるようになったのである。
その他の診断
ネットワークに接続された不正機器の検出を目的とするネットワークディスカバリや、不正な無線通信を検出するワイヤレススキャンなどがある。
脆弱性ハンドリング
脆弱性情報ハンドリングとは、新たに発見された脆弱性関連情報の届け出を発見者に促し、届けられた情報を整理して製品開発者の担当窓口に提供して対策方法の立案を促し、適切なタイミングで脆弱性関連情報と対策情報を周知することで、被害を最小化するための活動である。ここで脆弱性関連情報とは脆弱性情報、脆弱性が存在する事の検証方法、およびその脆弱性を利用した攻撃方法（例えばエクスプロイトコード）の事を指す。また脆弱性への対策方法は、修正方法（＝パッチ適用）と回避方法に分類でき、回避方法とはパッチ以外の方法で脆弱性の影響度を回避・低減する方法、例えば脆弱性のある機能の無効化、代替ソフトへの移行、WAFの導入等がある。
攻撃者に脆弱性関連情報を悪用されるのを防ぐため、複数の製品が影響を受ける脆弱性の場合などにおいて、情報の公表に関して関係者間で一定の足並みをそろえる事(公開日一致の原則)が重要である。特に海外機関と調整が必要な際にこの原則を破って単独で情報公開を行うと、今後の脆弱性ハンドリングから外される場合がある。
ソフトウェア製品の脆弱性に対するハンドリング手順
ソフトウェア製品の脆弱性関連情報の発見者はその情報をIPAの窓口に届け出し、IPAはその情報をJPCERT/CCに通知する。JPCERT/CCは製品開発者にその情報を連絡し、製品開発者は脆弱性の検証や対応方法を考える。JPCERT/CCは製品開発者と調整しながら脆弱性関連情報の公開スケジュールを決める。IPAとJPCERT/CCはスケジュールで定められた期日に脆弱性への策方法および対応状況を公表すする。IPAは原則四半期毎に統計情報を公表する。
ウェブサイトの脆弱性に対するハンドリング手順
ウェブサイトの脆弱性関連情報の発見者がその情報をIPAの窓口に届け出するところまでは上の手順と同様だが、ウェブサイトの場合、IPAはJPCERT/CCを介さずに直接ウェブサイト運営者に脆弱性関連情報を通知し、ウェブサイト運営者が脆弱性を修正する。ソフトウェアの場合と異なりIPAやJPCERTの側が脆弱性情報を公開する事は基本的にはない。個人情報漏洩等があった場合、その事実を公表するなどの処置はウェブサイト運営者が行う。
個人情報が漏洩している可能性があるにもかかわらず、ウェブサイト運営者が対応しない場合は、IPAが個人情報保護法34条に従った措置（主務大臣による勧告や命令）を依頼する。
IPAは原則四半期毎に統計情報を公表する。
脆弱性に関する情報源
脆弱性の情報源としては、各種ニュースサイト以外に、脆弱性情報データベース、ベンダアドバイザリ、注意喚起サイトがある。また攻撃情報の情報源としては、前述した脆弱性の情報源の他、攻撃コードデータベースがある。
ベンダアドバイザリ
ベンダや開発者のサイト、ブログ、アップデート情報、リリースノート等に自社製品の脆弱性情報やその対策情報が提供されている事があり、ベンダアドバイザリ、セキュリティアドバイザリ等と呼ばれている。ベンダアドバイザリは脆弱性情報の形で公開されない場合もあるので、注意が必要である。セキュリティ担当者は基本的には各製品のサイト等を参考にしてベンダアドバイザリ手に入れる必要があるが、各種脆弱性情報データベースに載らないベンダアドバイザリを収集している有償サービスも存在するので、こうしたサービスから情報を得る事も可能である。
注意喚起サイト
広く使われている製品に対して、脆弱性の周知と対策の呼び掛けを行っているサイト。国内ではJPCERT/CC、警察庁、IPA等が注意喚起を行っており、海外ではUS-CERTやICS-CERT（制御システムが対象）等がある。
攻撃コードデータベース
攻撃コード（エクスプロイト）を収集したデータベースで、Exploit DBなどがある。
脆弱性管理
脆弱性管理とは「自社の脆弱性の状況を常に掌握して、より頻繁かつ効果的に修正するためのプロセス」の事である。脆弱性管理で行うプロセスはツールやサービスによって異なるものの、IT資産の目録作成、守るべきIT資産の優先度付け、IT資産の脆弱性の発見、脆弱性のリスクレベルの特定と対策優先度の決定、脆弱性への対処ないしその支援、対処状況の一覧化といったプロセスを含む。
ファイヤーウォール
ファイヤーウォールはネットワーク境界に設置して不正な通信を遮断する技術である。通信を許可・遮断するIPアドレスやポート番号をしていするタイプのファイヤーウォールをパケットフィルタリング型のファイヤーウォールという。パケットフィルタリング型のうち、管理者により予め決められたテーブルにしたがって通信の許可と遮断を行うものをスタティック型という。それに対しダイナミック型のパケットフィルタリングでは、ネットワーク境界内はネットワーク境界外より安全だという前提の元、境界内から境界外への通信が発生したときは、その返答が境界外から帰ってきた場合のみ例外的に通信を許可する。ステートフルパケットインスペクションはダイナミック型の特殊なもので、TCP/UDPセッションを認識して、正当な手順のセッションに属する場合のみ通信を許可する。
パケットフィルタリング型が通信の許可・遮断機能のみを持つのに対し、それ以外のファイヤーウォールは通信の中継機能を持つ。サーキットレベルゲートウェイ型ファイヤーウォールは、ファイヤーウォールを通過する際IPアドレスを付け替え、ネットワーク境界内のIPアドレスが境界外にもれないようにする。アプリケーションゲートウェイ型ファイヤーウォールはHTTPなどアプリケーション層のプロトコルを理解してプロキシとして振る舞う。コンテンツをキャッシュして通信速度を早くする他、有害なサイトのフィルタリングを行ったり、マルウェア対策ソフトを組み込んでファイヤーウォールをまたぐ通信に含まれるマルウェアを検知したりできる。
WAF
WAF（Web Application Firewall）は、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ。WAFはウェブサイトの前に設置し、ウェブアプリケーションの脆弱性に対する攻撃と思われる通信の遮断等を行うものであり、LANとインターネットの境界などに設置されることが多い通常のファイヤーウォールとは（その名称にもかかわらず）機能が異なる。WAFが検知する攻撃はウェブサイトへのものに特化しており、HTMLを解釈してクロスサイトスクリプティングやSQLインジェクションなどの攻撃を遮断する。
攻撃を遮断する点においてIPSと類似するが、IPSはOSやファイル共有サービスなど様々なものに対する攻撃を遮断するために不正な通信パターンをブラックリストとして登録しておくのに対し、WAFの防御対象はウェブアプリケーションに限定されている為ブラックリスト型の遮断のみならず、正常な通信を事前登録してホワイトリスト型の遮断も行うことができる。
WAFを導入する主なケースとして、レンタルサーバ提供ベンダーや、複数のグループ企業を束ねている大手企業など、直接自分で管理していないウェブアプリケーションを保護したい場合、他社が開発したウェブアプリケーションを利用しているなど自分では脆弱性を防ぐことができない場合、事業継続の観点からウェブアプリケーションを停止できず脆弱性を行ったりパッチを当てたりできない場合等があり、根本対策のコストよりもWAFの導入・運用のコストのほうが安い場合にWAFを導入する。
WAFにはHTTP通信（リクエスト、レスポンス）を検査し、検査結果に基づいて通信を処理し、処理結果をログとして出力する機能がそなわっている。通信の検査は前述のようにホワイトリスト、ブラックリストを用いて行う。検査結果に基づいた通信の処理としては、そのまま通過させる、エラー応答を返す、遮断する、通信内容の一部を書き換えた上で通過させる、という４通りがある。またセッションのパラメータの正当性やHTTPリクエストの正当性を確認してCSFR等の攻撃を防ぐ機能、ウェブサイトの画面遷移の正当性を確認する機能、ホワイトリストやブラックリストを自動更新する機能、ログをレポートの形で出力する機能、不正な通信を管理者にメール等で通知する機能等がついている事もある。
なお、たとえばウェブアプリケーションの認可機能に問題があるが、HTTP通信自身には問題がないケースなどではWAFは異常を検知してくれないので別の対策が必要となる。
エンドポイント対策技術
エンドポイント（＝パソコン、PDA、携帯電話などのネットワーク端末）のセキュリティ対策ツールはEPP（Endpoint Protection Platform：エンドポイント保護プラットフォーム）とEDR（Endpoint Detection and Response）に大きく分ける事ができる。EPPがマルウェア感染から防御するためのものであるのに対し、EDRはマルウェアに感染してしまったことを検知（Detection）してその後の対応（Response）を行うためのものである。EPPに分類されるものとしてマルウェア対策ソフト、パーソナルファイアウォール、ポート制御、デバイス制御などがある。
EDR
EDRは標的型攻撃やゼロデイ攻撃などによりマルウェア感染が防げないという現実に対応して登場したもので、エンドポイントにインストールするクライアントソフトと、それを一括管理するサーバないしアプライアンスからなる。感染の検知や対応が目的なので、エンドポイントを監視して攻撃の兆候を検知し、ログを取得して組織全体のログデータと突合し、必要に応じて攻撃遮断などの応急処置を取ったりする。EDRが攻撃検知に用いる情報の事をIOC（Indicator of Compromise、侵害痕跡）と呼び、具体的にはファイルの作成、レジストリーの変更、通信したIPアドレス、ファイルやプロセスのハッシュ値などがある。なおEDRはガートナーのアナリストが2013年に定義した用語である。
リモートブラウザ
ブラウザ経由でのマルウェア感染を防ぐため、ブラウザのセッションをリモートから提供する手法のこと。ブラウザのセッションは「ブラウザ・サーバ」という社内サーバもしくはクラウドから提供される。Webページのレンダリングはブラウザ・サーバ側で行われ、エンドポイントには無害化した描画情報ないしレンダリング結果の画面ストリームのみが送られる。
ブラウザ・サーバはブラウズ・セッションごと、タブごと、もしくはURLごとにリセットされるので、ブラウザ・サーバ自身が汚染される危険はない。
情報漏えい対策技術
情報の機密性、完全性、可用性を守るため、情報の管理、更新、消去といった情報ライフサイクル管理(ILM, Information Lifecycle Management)の方法がISO 15489やJIS X 0902に規定されるなど、セキュアな情報管理が求められる。このための技術として暗号化や署名といった暗号技術の他、USBポートのコントロールやe-メールの監視による情報の持ち出し制御、DLPなどがある。
DLP
DLP(Data Loss Prevention)は、機密情報の不正持出しを防ぐための技術である。合意された定義は存在しないため、広義には暗号化やUSBポートのコントロールもDLPに含まれる場合がある。しかし多くの場合DLPは、機密情報に関するポリシーをサーバで管理し、そのポリシーに従って情報の移動、持ち出し、利用等を制限したり遮断したりする技術である。システムにある機密情報を洗い出す特定機能や洗い出した機密情報を監視する機能もついている場合が多い。
DLPは機密情報をそのコンテンツ内容やその情報が利用されるコンテキスト（利用時間や環境等）などから特定する。機密情報を解析する方法は、正規表現により事前に定められたポリシーを利用するもの、構造化データの全体一致を調べるもの、非構造化データの部分一致を調べるもの、ベイズ法などを利用した統計解析を行うもの、インサイダー取引に似た情報など何らかのコンセプトに従って上述した手法を組み合わせるもの、情報に対して「カード情報」などのカテゴリ化を定義して解析するものなどがある。
UBA、UEBA
UBA(User Behavior Analytics)もしくはUEBA(User and Entity Behavior Analytics)は、システムに攻撃者が侵入した後のユーザの振る舞い等、ユーザを中心にした分析を行う事で攻撃を検知する技術全般を指す。分析に用いるのはエンドポイントやネットワークのセキュリティデバイス、Active Directory等の認証サーバ、Webプロキシ、Net Flowなどのネットワークのトラフィック、データベース等のログ情報である。その実装形態はいろいろありSIEMやログ管理と連携するものもあれば、エンドポイントにエージェントソフトをインストールものもある。
分析の目標はユーザの振る舞いを追跡して通常業務から逸脱した異常を検知する事で、具体的にはアカウントの不正使用、侵害されたアカウントやホスト、データや情報の漏洩、内部偵察行為などを検知する。
ユーザは大量の行動ログを残すので、UBAではApache Hadoopのようなビッグデータ解析基盤を用いる事が増えている。
ハニーポットとサイバーデセプション
いずれも攻撃者やマルウェアを騙す事で攻撃者の行動を観察したりシステムを防御したりする技術である。ハニーポットは例えば囮サーバなど脆弱性なシステムに見せかけたものを用意して攻撃者を騙し、攻撃者の侵入方法、侵入語の行動を観察する技術である。ハニーポットの主な利用方法は攻撃者の行動の観察で、例えば囮サーバで攻撃者が何をしたのかから攻撃者の目的を知る、といった用途で用いる。
実際のソフトウェアを用いたハニーポットを高対話型ハニーポット、ソフトウェアを模擬するエミュレータを使った（ので一部の対話しか再現できない）ハニーポットを低対話型ハニーポットという。高対話型の方が現実環境に近いので低対話型よりも多く攻撃者の情報を集められるが、その分低対話型よりも負荷が高く、ハニーポットを攻撃者に乗っ取られた場合の危険も低対話型よりも大きい。またインターネット上に設置したハニーポットに攻撃者を誘い込んで受動的観測を行うタイプと囮のウェブクライアント（ハニークライアント）で悪性サイトにアクセスするなどして能動的観測を行うタイプがある。
これに対しサイバーデセプション(Cyber Deception)は、いわば「次世代ハニーポット」として位置づけられる技術で、主に攻撃から防御したりや攻撃目標の達成を遅延させたりする目的で用いられる技術である。デコイサーバ（囮サーバ）等を設置する事はハニーポットと同様だが、ハニーポットが攻撃者の情報を集めるためにネットワーク境界の外のインターネット上にに設置される傾向があるのに対し、サイバーデセプションでは標的型攻撃により攻撃者がプライベートネットワーク内に侵入してくる事を前提にしてプライベートネットワーク上に囮を設置し、攻撃検知や防御のための時間稼ぎに利用される。設置されるものとしては、デコイサーバの他に、囮サービス、囮クレデンシャル、囮ファイル等がある。サイバーデセプションにおいて、囮として用いる情報全般をハニートークンといい、例えばメールアドレス、プライバシー情報、アカウント情報等がハニートークンとして用いられる。
SOAR
SOAR（Security Orchestration Automation and Response、セキュリティのオーケストレーションと自動化によるレスポンス）はいわば「次世代SIEM」に位置づけられる製品群で、ガートナーの定義によれば、「セキュリティの脅威情報やアラートを異なる情報源から集める事を可能にするテクノロジーで、標準化されたワークフローに従って標準化されたインシデントレスポンス活動を定義し、優先度付けし、駆動するのを手助けするために、インシデント解析やトリアージが人間とマシンの協調を梃子にして行われるもの」の事である。
多くのSOAR製品はダッシュボード機能やレポート機能を持っており、インシデントレスポンスや脅威情報の機能を持っているものもある。また分析官の手助けをするために機械学習の機能を備えているものもある。
Breach & Attack Simulation (BAS)
BASは仮想的な攻撃を行う自動化ツールであり、その概念はガートナーが2017年に提唱された。ガートナーの定義によればBASは「ソフトウェアのエージェント、仮想マシン、ないしそれ以外の手段を用いる事により、企業のインフラに対する (内部の脅威、ラテラルムーブメント、データ抽出(exfiltlation)を含む）全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す。
BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする。
コネクトバック通信対策
C&Cサーバとのコネクトバック通信ではhttpやhttpsを使う事が多いので、透過型プロキシは通過してしまう。このため透過型でないプロキシを立て、ユーザ端末のブラウザのプロキシ設定をオンにし、プロキシを経由していない通信はファイヤーウォールでインターネットに接続前に遮断する必要がある。アプリケーションの更新などはWSUSのような中間配布サーバを立てるか、個々のアプリケーションに対してプロキシを指定する。後者の場合、通信ログからファイヤーウォールで遮断されたアプリケーションを特定してホワイトリストをチューニングする必要がある。
またマルウェアの中にはプロキシに対応したものもあるので、プロキシの認証機能を有効にし、ユーザ端末のブラウザ側でもID/パスワードのオートコンプリート機能を禁止する必要がある。プロキシはディレクトリサービスと連動するなどしてユーザ単位の認証ができるものが望ましい。またActive Directoryを使えば配下にある端末のオートコンプリート機能を一括で禁止できる。
ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので、プロキシの認証ログを監視し、（窃取されたユーザIDの使い回しによって）異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある。
またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート(httpの80番やhttpsの443番)以外のCONNECTメソッドを遮断する必要がある。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる。
ラテラルムーブメント対策
攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある。
リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く。
部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある。
また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので、端末の管理共有サービスを無効にする必要がある。
業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる。
Active Directoryの認証失敗時のログを取得できるよう設定し、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある。
また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため、その効果は不明である。
権限昇格対策
攻撃者は権限昇格の為ユーザ端末にキャッシュされている管理者権限のアカウント情報を窃取しようとするので、これを防ぐために、ユーザ端末で使用するアカウント権限を必要最低限にする必要がある。
具体的には、ユーザ端末で使用するアカウントはDomain Usersグループ（ユーザ端末の一般ユーザ権限を持つグループ）に登録していかなる管理者権限を付与せず、ユーザ端末のメンテナンスを行うアカウントはOperatorsグループ（ユーザ端末のローカル管理者権限を持つグループ）に登録してDomain Adminsグループなどドメインの管理者権限を持つグループには登録しないようにする。またユーザ端末のローカル管理者などそれ以外のローカルアカウントは、トラップアカウント以外原則全て無効にする。
ドメイン管理者アカウントは可能な限り利用しないようにし、ドメイン管理者権限が必要な作業を運用記録として管理し、Active Directoryの認証ログと月に一度など定期的に突き合わせて、ドメイン管理者権限の不正利用がないか確認する必要がある。運用記録の負荷軽減のため、システム管理製品のメッセージ監視機能等を使ってActive DirectoryのDomain Adminsグループのログイン履歴を監視し、ログインした事実を管理者に送信する事で実作業と突き合わせるようにするとよい。
攻撃の検知と把握
APTの標的となっている組織は、攻撃を検知してからでないと防御を行う事ができないので、サイバーキルチェーンの早いステージで攻撃を検知する事が重要である。そのために以下で説明するインディケータとプロファイルを作成する事が有益である。
プロファイルの作成
APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある。
プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む、というものがある。
プロファイルに含むデータとしては例えば、攻撃者の特性、共犯者、攻撃者の選好分野、標的となった文書、活動時間帯、関連インディケータ、マルウェアやツールキットの分析結果、このAPTを追跡している他のCERT、アナリストの任意のメモなどがある。プロファイルは定期的に見直し、最新に保つ必要がある。
なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある。
攻撃の予測
攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である。
感染頻出箇所の調査
前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある。
外部通信の調査
外部通信情報はDNS キャッシュとネットワーク接続情報から取得する。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる。
脅威インテリジェンス
脅威インテリジェンス（スレットインテリジェンス、セキュリティインテリジェンスとも）はガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意(implication)、および実行可能なアドバイスなどを含む。APT対策には脅威インテリジェンスが重要である。
脅威インテリジェンスサービス
脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し、これにより顧客が脅威情報収集に費やすリソース（時間、労力、専門知識等）を減らす。
脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する。さらに不正プログラムの情報、脆弱性情報、ダークウェブなどアーグラウンドのコミュニティで取引されている違法な商品やサービス、それらを扱っている組織や人物像、諸外国のサイバー攻撃の情報なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する。
STIX
SXIX(Structured Threat Information eXpression、脅威情報構造化記述形式)はサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする。
なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。
TAXII
TAXII（Trusted Automated Exchange of Intelligence Information、検知指標情報自動交換手順）はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。
関連組織
SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークの運用管理部門であるNOC（Network Operations Center）と協調する必要がある。
また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある。
トリアージ
CSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく。
インシデントと思しき情報があったら情報提供者から必要情報を入手し、5W1Hを整理する（「Why」は後回しでも良い）。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する。
なお本稿では文献に従ってトリアージをインシデントハンドリングに含めたが、文献ではトリアージをリアルタイムアナリシスに含めている。
インシデントレスポンス
トリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。
まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し、対応が必要だと判断した場合は対応計画を策定し、具体的な対応活動・攻撃の抑止措置を取る。この際必要に応じてIT 関連部署や外部組織と連携し、経営層と情報共有し、外部の専門機関等に支援を依頼する。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する。
調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する。
優先度の低いインシデントは電話やメールでリモート対応する。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う。なお詳細な分析に関してはディープアナリシスの節で記述する。
このフェーズでは、調査や訴訟のために証拠を保全する事を重要である。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある。
報告／情報公開
必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う。
その他の業務
SOC・CSIRTの業務として、以上に挙げたもの以外に以下のものがある。
資産管理
防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する。
脆弱性管理・対応
資産管理の結果得られた資産リストに関する脅威情報を収集し、対応が必要な資産を特定し、その資産の管理部門に通達する。さらに脅威への対応状況を管理する。この目的のためにプラットフォーム診断、Webアプリケーション診断などを自動脆弱性診断ツールで実行する他、必要に応じて手動の脆弱性診断を行う。
内部統制支援
内部統制の監査データで必要となるログの収集と報告、内部不正が発覚した際の支援、内部不正の検知や防止の仕組みの確立支援等を行う。
社内外の組織との連携
利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など。CSIRTによるコミュニティとしては、例えばFIRST (Forum of Incident Response and Security Teams)、APCERT (Asia Pacific Computer Emergency Response Team)、日本シーサート協議会などがある。
PSIRT
PSIRT（Product Security Incident Response Team）は「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする。
PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する。
PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い、PSIRTはそのための支援やガイドラインの作成等を行う。集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する。ハイブリッドモデルは両者の中間形態である。
「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」では「高度なセキュリティスキルと専門知識を1 つの領域に集中」できる集中モデルが適している。
PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保、脆弱性発見者との交流、サプライチェーンの上流・下流との交流、バグバウンティ（脆弱性報奨金）の提供もしくはバグバウンティベンダとの交流など、PSIRT固有の活動もある。
IoT機器のセキュリティ
IoT機器とは家電、オフィス機器、自動車、信号機などのモノでインターネットにつながる機能を有しているものを指す。IoT機器はLinuxやWindowsなどの汎用OSがカスタマイズして搭載されている。IoT機器の多くでは、設定変更を行うためウェブサーバ機能が搭載サれており、他にもFTPやSMBのサーバ機能、メールサーバ機能等が搭載されていることもある。
IoT機器は出荷した初期設定状態ですぐ利用できる事が想定されているため、初期設定ではログイン認証機能が設定されていないことも多く、こうしたIoT機器がファイヤーウォールを隔てることなく直接インターネットに接続されることも多い。このため複合機やウェブカメラから機密情報や個人情報が漏洩したり、ブロードバンドルーターなどのIoT機器の設定を不正に変更してユーザを悪性サイトに誘導したり、スパムメール送信やDoS攻撃に利用されるなど攻撃の踏み台にしたりといったインシデントが起きている。
サイバーセキュリティ基本法
サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である（第一条）。
またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める（第一条）。
サイバーセキュリティ協議会
平成３０年のサイバーセキュリティ基本法改正によりその創設が決定された。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」。NISCと専門機関を事務局とし、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする。構成員には秘密保持と協議会への情報提供の協力とが課せられる。
GSOC
GSOC(Govrenment Security Operation Coordination team)はNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の９つ。
これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない。
情報セキュリティー緊急支援チーム(CYMAT)
CYMAT(Cyber Incident Mobile Assistance Team)は、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である。平常時には研修や訓練も実施している。
政府共通プラットフォーム
政府全体でシステム基盤を共有化するプラットフォーム。2009年に政府が掲げた「霞が関クラウド（仮称）」を構想化したもので、2013年3月18日から運用を開始。クラウドコンピューティングなどのICT技術を活用する事で、各府省の政府情報システムを統合、共通機能を一元的に提供する。
クラウドコンピューティングをはじめとする最新の情報通信技術（ICT）を活用し、従来は各府省が個別に整備・運用していた政府情報システムを統合・集約するとともに、共通機能を一元的に提供する基盤システム。2013年3月18日から運用を開始した。しかし個人情報を含んでいたり民間サービスを利用ししたりしている61%のシステムは2016年段階で統合できず、政府共通システムへの以降は限定的である。　
情報処理推進機構(IPA)の施策・活動
独立行政法人情報処理推進機構（IPA、英: Information-technology Promotion Agency, Japan）は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の３つの事業領域を持ち、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。
サイバーセキュリティ調整官（Cybersecurity Coordinator）
「国家のサイバーセキュリティ戦略・活動を統括する責任者」である。
アメリカサイバー軍
アメリカサイバー軍はアメリカ軍のサイバー戦を担当する統合軍であり、その任務はサイバー空間における作戦を一元化し、国防総省のサイバー空間における能力を強化し、国防総省のサイバー空間における専門的技能の統合と強化を行う事にある。
サイバー脅威情報統合センター（CTIIC）
サイバー脅威情報統合センター（CTIIC、Cyber Threat Intelligence Integration Center）は脅威インテリジェンスの収集と分析を担うODNIの下部組織で、「既存の政府機関が収集した外国からのサイバー脅威に関する情報を集約し、脅威に対抗するために必要な情報と手段を米政府の関係機関に提供する」。
アメリカ国防総省(DoD)とその関連組織
DoDはサイバー司令部を持っている。サイバー司令部の司令官はNSA長官が兼務。
アメリカ国家安全保障局(NSA)
アメリカ国家安全保障局（英: NSA、National Security Agency）は、アメリカ国防総省(DoD)の諜報機関である。中央情報局（CIA）がおもにヒューミント（HUMINT; human intelligence）と呼ばれるスパイなどの人間を使った諜報活動を担当するのに対し、NSAはシギント（SIGINT; signal intelligence）と呼ばれる電子機器を使った情報収集活動とその分析、集積、報告を担当する。
NSAはイギリスの政府通信本部（GCHQ）など4カ国の諜報機関と世界中に張り巡らせたシギントの設備や盗聴情報を、相互利用・共同利用する為にUKUSA協定を結んでおり、UKUSA協定グループのネットワークはエシュロンと呼ばれている。またNSAは通信監視プログラムPRISMを運営し、マイクロソフトの「So.cl」（ソーシャル）、Google、Yahoo!、Facebook、Apple、AOL、Skype、YouTube、PalTalkの、合わせて9つのウェブサービスを対象に、ユーザーの電子メールや文書、写真、利用記録、通話など、多岐に渡るメタ情報を収集している他、各国の行政権を担う人物が電話盗聴の対象になっていたとマスメディア各社が報じている。
アメリカ合衆国国土安全保障省(DHS)
アメリカ合衆国国土安全保障省（英: DHS、United States Department of Homeland Security）は概ね各国の内務省に相当する行政機関で、公共の安寧の保持を所掌事務とする。その使命は、テロリズムの防止、国境の警備・管理、出入国管理と税関業務、サイバーセキュリティ、防災・災害対策である。
サイバーセキュリティ関連ではNational Cyber Security Division、National Cybersecurity Center、Central Security Serviceをその配下に置く。
国家サイバーセキュリティ通信総合センター（NCCIC）
CISAの傘下の組織で、重要インフラ等のサイバー情報集約機関。US-CERT、ICS-CERT、National Coordinating Center for Communicationsを統括。FBI、CIA、NSA、等の情報を一元的に集約し、分析結果を共有することでサイバー攻撃を防ぐ事を目的とする。
Automated Indicator Sharing(AIS)
Automated Indicator Sharing(AIS)はDHS（米国国土安全保障省）が推進する枠組みで、米国内外を問わず官民でCTI（Cyber Threat Intelligence、サイバー脅威インテリジェンス）を加盟団体間で迅速に共有する事をその目的とする。加盟にはDHSに申請書類の提出と受理が必要である。
情報提供を行う加盟団体は、他のどの加盟団体にどのCTIを共有するかを指定でき、CTIはデフォルトでは匿名化処理を施した上で他の加盟団体に共有されるが、情報提供団体が望めば匿名化せずに提供する事も可能である。情報の共有はDHS傘下の国家サイバーセキュリティ通信総合センター（NCCIC）が提供する情報システムを介して行われる（根拠法：Cybersecurity Information Sharing Act）。
情報の迅速な共有に重きが置かれているため、提供されたCTIの内容の正確性をDHSの側が検証する事はしないが、加盟団体が有益なCTIにレピュテーションスコアをつける事ができる。
CTIの共有にはSTIX・TAXIIプロトコルが利用され、CTIには例えばIPアドレス、ドメイン名、フィッシングメールの送信者アドレスが含まれる。
AISにおいて個人を特定可能な情報(PII、Personally Identifiable Information)を保護するため、DHSはAISのためのプライバシーインパクトのアセスメントを定めており、サイバーの脅威に直接関係ないPIIは自動的に削除される。
NCFTA
NCFTA(National Cyber-Forensics & Training Alliance、日本語では「米国サイバー鑑識・訓練協定」もしくは「全米サイバー犯罪科学訓練同盟」)は「サイバー犯罪に関する情報共有や捜査支援、被害防止のために設けられた、アメリカの非営利団体」。FBIを中心とする法執行機関、民間企業、大学による産学官連携組織である。サイバー犯罪の手口等をデータベース化して専門家が分析し、捜査員の訓練や捜査の技術支援に役だてる。
欧州ネットワーク・情報セキュリティ機関(ENISA)
ENISA（英語：European Union Agency for Network and Information Security。略称は旧名のEuropean Network and Information Security Agencyに基づく、日本語訳：欧州ネットワーク・情報セキュリティ機関もしくは欧州ネットワーク情報安全機関）は、欧州連合内におけるネットワークと情報セキュリティを改善を目的とした欧州連合の専門機関の一つ。EU法を含め、ネットワークおよび情報セキュリティの必須要件を満たす為、委員会、加盟国、その結果として経済界を援助する。また加盟国と欧州連合の各機関がネットワークおよび情報セキュリティに関連した問題について専門的知識の助言を求めるセンターとして運用されるよう務める。
欧州ネットワーク・情報セキュリティ機関は長官によって管理され、その傘下におかれる職員については情報通信技術業界や消費者団体および学識経験者などの利害関係者を代表する専門家で構成し運営されている。機関は管理員会によって監督され、欧州連合加盟国、欧州委員会やその他の利害関係者から排出された代表から成っている。また、常設関係者部会が設立され長官を補佐する。
Cyber Threat Alliance
Cyber Threat Alliance（CTA）はほぼリアルタイムに高品質なサイバー脅威情報を加盟団体間でシェアするために2014年に設立された非営利団体で、発足時の加盟企業はフォーティネット、マカフィー、パロアルトネットワークス、シマンテックである。
加盟団体は脅威情報をSTIX形式のパッケージとしてCTAのプラットフォームに提供し、提供された脅威情報は匿名化された上で他の加盟団体で共有される。
提供する脅威情報はサイバーキルチェーンのフェーズのどのフェーズに相当するかを明示する必要があり、提供段階で脅威情報に総合点がつけられる。加盟団体には基準点以上の脅威情報の提供が義務付けられており、この義務を守っている場合しか他の加盟団体の提供した脅威情報を閲覧する事はできない。