質問: 侵害の痕跡(ioc)と攻撃の痕跡(ioa)はどう違うのですか?
回答: iocとは、何かが起きた後に残される証拠やアーティファクトのことです。ioaは、攻撃者グループが目的を果たすために取る一連のアクションや振る舞いを意味します。iocの使用はエンドポイント検知における重要事項とされてきましたが、昨今の攻撃はiocの一括処理を簡単に回避できるようになっています。フォレンジック調査において、iocは、あるネットワークのセキュリティが侵害を受けたことを示す証拠となります。残念ながら、iocが検出される頃には、そのネットワークにはすでに被害が生じている可能性が高いでしょう。一方、ioaは、攻撃者がその計画を成功させるために実行しなければならない一連のアクションを反映するものです。これらはつまり、コードの実行、永続化、コマンドアンドコントロール(c&c)、ラテラルムーブメントといった攻撃者の一般的な振る舞いの完遂に際し、どんなツールや手法においても必要なアクション群です。ioaを用いた有効なアプローチは、組織のシステムおよびネットワーク上で何が起きているかに関する情報を単に正確に収集・分析するだけでなく、これをリアルタイムで行い、悪質なアクティビティの成功を阻止します。