サイバーセキュリティ

サイバーセキュリティは、サイバー領域に関するセキュリティを指す。

1. 概要
-----

サイバーセキュリティはサイバー領域のセキュリティを指し、その定義は論者によって異なるものの、この言葉は2010年ころから情報セキュリティに変わるバズワード的な語として用いられるようになった。この言葉が登場した2010年頃はセキュリティにとってのターニングポイントになっており、2010年のスタックスネットの事案や2011の三菱重工の事案からもわかるように、ターニングポイント以降、以下の問題が顕在化した。

攻撃対象が産業システムにも広がった
攻撃方法も高度化して特定組織を狙った標的型攻撃が行われるようになった
攻撃目的も国家によるサイバー攻撃、犯罪者による金銭目的、ハクティビストによる主義主張の目的などに多様化したこうした背景のもと、サイバー領域は2011年以降、米国の安全保障において陸・海・空・宇宙に次ぐ第五の領域とみなされており、日本においても2013年の「国家安全保障戦略」でサイバー空間への防護が国家戦略に盛り込まれるなど、サイバーセキュリティは国際政治・安全保障の問題として扱われるようになっている。このためサイバー空間の問題は、「単に技術的観点のみならず国際政治、市場権益、知的財産、安全保障、軍事作戦、国の危機管理体制などの各分野に跨る問題の側面を合わせ持っている」。

一方、企業などの組織体にとってサイバーセキュリティ対策や情報セキュリティ対策は、企業などの組織の事業におけるセキュリティリスクを低減する事を主な目的とする。組織は災害リスク、事業環境リスク、戦略リスク、財務リスク、事故・故障リスク、情報セキュリティリスク、犯罪リスク、労務リスク、事業運営上のリスクといった様々なビジネスリスクを抱えており、情報セキュリティリスクはそれらビジネスリスクの一つに過ぎない。よって組織のセキュリティを担保するには、組織の経営への影響を加味した上で、ビジネス全体のリスク項目に基づき、網羅性と合理性を検討する必要がある。したがって経営という観点から見た場合、企業戦略として、サイバーセキュリティリスクを加味してどの程度のセキュリティ投資を行うかは経営判断になる。またサイバーセキュリティに関するガイドラインを策定するときは、リスク管理規程、危機管理規程、事業継続計画、IT-BCPといった既存のガイドラインと整合を取る必要がある。

企業はサイバーセキュリティ対策のため、SOC、CSIRTなどのセキュリティ対応組織をおく事があり、こうした組織の主な仕事は以下の２点に集約される：

インシデント発生の抑制
インシデント発生時の被害最小化ここでインシデントとは直訳すれば「事件」であるが、サイバーセキュリティの文脈では、サイバー領域において組織を脅かす不正な行為全般を指す用語である。

サイバーセキュリティでも情報セキュリティのCIA、すなわち下記の３つは重視される

機密性 : 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること
完全性 : 情報が破壊、改ざん又は消去されていない状態を確保すること
可用性 : 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保することしかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの３つも重視される

健康
安全
環境への影響

2. 定義
-----

サイバーセキュリティの定義}}2018年現在、サイバーセキュリティの定義は論者により異なる。両極端の見解としては

情報セキュリティの一部とみなし、サイバー空間において機密性、完全性、可用性の確保を目指すもの
デジタル社会のリスクへの対応を指すとするものがある。

2.1. ISO/IEC 27032:2012の定義
--------------------------

サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、

とサイバーセキュリティを狭義に定義し、サイバー空間については

と定義している。

この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている。

2.2. サイバーセキュリティ基本法の定義
---------------------

サイバーセキュリティ基本法第二条では以下のように定義される：

3. 攻撃者
------

3.1. 種類・攻撃の目的
-------------

攻撃者の種類と攻撃の目的は以下のように分類可能である：

経済的利益に関するものは被害が顕在化しやすいのに対し、信仰・国防に関するものは被害が顕在化しにくいという特徴がある。

3.2. サイバー犯罪の産業化
---------------

サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ、アフィリエイトモデルのような攻撃者のヒエラルキーもできている。

こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス、インターネット規模のDNSを使用したDRDoS攻撃 などがある。

なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる。

3.3. 国家が関与する攻撃
--------------

APTのような高度な攻撃は、国家の関与が疑われるものも多い。Mandiant社は同一組織によると思われるAPTに対してAPT1、APT2、…と番号をつけており、攻撃組織に関与している事が疑われる国家を推定している。

中国：APT1、APT3、APT10、APT12、APT16、APT17、APT18、APT19、APT30
ロシア：APT28、APT29
イラン：APT33、APT34
ベトナム：APT32
北朝鮮：APT37欧米でも国家が関与したハッキング行為が行われている：

米国：2010年のスタックスネットの事案におけるマルウェアはアメリカ国家安全保障局がイスラエルと共同開発したと報じられ、2017年のWannaCryの事案で用いられたエクスプロイトのEternalBlueもNSAが作成したとされる。
イギリス：イギリスの政府通信本部はLinkedInのプロフィールページにマルウェアを仕込み、ベルギーの通信企業のネットワークをハッキングしたと2013年に報じられている。またGCHQは2015年には自身がハッキング行為をしていることを初めて認めたと報じられた

4. 標的型攻撃・APT攻撃
--------------

標的型攻撃は、2010年ころからサイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織、人、これらの持つ重要情報等を標的とした攻撃である。したがって攻撃の標的となる組織固有の情報を事前に入手し、これを利用して攻撃を仕掛ける事も多い。

APT攻撃}}APTは標的型攻撃の一種に分類される事が多い攻撃形態の一分類であり、「先進的で」「執拗な」「脅威」を指す 。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがある。

またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ、このような作戦活動を攻撃キャンペーンという。また攻撃キャンペーンは複数個の「一連の攻撃行動」に分割できる。

4.1. サイバーキルチェーン
---------------

サイバーキルチェーンは、攻撃者がAPT攻撃をはじめとしたサイバー攻撃を行う上でのステージを明確化したものであり、ロッキード・マーティンの研究者が2011年に発表した。

サイバーキルチェーンでは攻撃には以下のステージがあるとする：

なお、「攻撃」と「インストール」をセットにし、最後に潜伏維持を付け加えるバージョンもある。

4.1.1. 類似のモデル
-------------

サイバーキルチェーンと同様、攻撃者の行動をモデル化したものとして以下がある：

以下、サイバーキルチェーンに従って攻撃のステージを説明する。ただし必要に応じて前節で述べた他のモデルも参照したので、「準備ステージ」のようにサイバーキルチェーンにはないステージも書かれている。またサイバーキルチェーンと内容が重複する部分に関しては、上述のモデルを適時サイバーキルチェーンに読み替え、該当箇所の解説に加えた。

4.2. 準備ステージ
-----------

サイバーキルチェーンにはないがJPCERT/CCのモデルには記載されているステージ。

攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるので、ドメイン名はAPTの重要なインディケータになる。

攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変える。また分散型のインフラにする事で攻撃の全容をつかみにくくする。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある。

このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする。

攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストランを実施する場合があるので、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる。

4.3. 偵察ステージ
-----------

攻撃者は偵察ステージで従業員の情報やe-メールアドレスを収集したり、プレスリリース、契約発注などから企業情報を収集したり、企業がインターネットに公開しているサーバを特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もある。

さらに攻撃者は標的型メール等に利用可能なpdfやdocファイル等を収集する。攻撃者は攻撃用のサイトでIEのresプロトコルを使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できる。

資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握する。

このステージに対する対策を講じるのは非常に困難だが、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる。

4.4. 武器化ステージ
------------

エクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージで、ペイロードの作成には何らかの自動化ツールが使われる事が多い。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にあり、APTではゼロデイの脆弱性を利用される事も多い。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい。

対策側が攻撃者の武器化を検知するのは不可能だが、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し、どんなツールキットが使われたのか、いつごろ行われたどのAPTの作戦活動に連動しているのかといった事を調査し、以後のAPT攻撃への対策に利用する事ができる。

4.5. 配送ステージ、攻撃ステージ、インストールステージ
-----------------------------

これら３つのステージでは以下が行われる：

配送ステージ：ペイロードを標的に送りつける
攻撃ステージ：従業員が標的型メールを開くなどするか、あるいは攻撃者自身がサーバの脆弱性をつくことでエクスプロイトが実行される。
インストールステージ：エクスプロイトがクライアントマシンにバックドアを仕込んだり、ウェブサーバにウェブシェルを仕込んだりし、攻撃拠点を築く為、悪意のあるサービスが自動実行されるようにする。JPCERT/CCのモデルでは攻撃者が直接潜入する事も想定し、これら３つをまとめて潜入ステージと呼んでいる。

4.5.1. マルウェア配送手法
----------------

代表的なマルウェア配送手法として以下のものがある。なお、下記に書いたものはマルバタイジングのように、標的型攻撃以外の攻撃で一般的なものも含まれる。

なお、特にスマートフォンアプリでは、正規のアプリをマルウェアとセットにしてリパッケージしたアプリを配布する事で、マルウェア感染させる手法がある。

大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い。

4.5.2. 標的型メール
-------------

標的型メールの文面は、準備ステージで窃取した本物のメールを流用されている場合もあり、受信者が標的型メールである事を見抜くのは難しい。標的型メールで感染するペイロードは既存のマルウェアの亜種を使ったり、ゼロデイの脆弱性を使ったりする事で検知を逃れる工夫がなされている事もある。また、アイコンや拡張子を偽装する事でexeファイルでないように見せかけたファイルをユーザにクリックさせたり、正規のアプリケーションに見せかけたトロイの木馬をユーザ自身にインストールさせたりする事で、脆弱性を利用しないでマルウェアに感染させる場合もある。

添付した実行ファイルの拡張子の偽装方法としては下記のものがある：

 標的型メールの一形態として、「一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送る」ものをやり取り型という。また、不特定多数を対象にした攻撃用メールを用いた攻撃をばらまき型のメールという。ばらまき型メールを標的型メールに含めるか否かは論者によって異なり、IPAのJ-CSIPなど標的型メールに含めない論者がいる一方で、ばらまき型メールであっても特定企業の全社員や特定銀行の全ユーザなどを対象にしている事が多いことから標的型メールに含める論者もいる。

4.5.3. マルウェア配布ネットワーク
--------------------

ドライブバイダウンロード型の攻撃では、攻撃のスケーラビリティ向上や運用コスト削減、対策耐性の向上といった理由により、複数の悪性サイト間をリダイレクトさせた上でマルウェアを配布する事が多い。こうした目的のために攻撃者により構築させる悪性サイトのネットワークをマルウェア配布ネットワークという。マルウェア配布ネットワークには以下の４種類のサイトが含まれる事が多い：

マルウェア配布ネットワークは多数の入口サイトを少数の攻撃サイトへと導くための仕組みである。このような構成を取る事により、攻撃者には以下の利点がある：

複数のサイトを改ざんして入口サイトにし、攻撃サイトに誘導する事でスケーラビリティの高い攻撃を行う事ができる。
攻撃コードを改良する場合は少数の攻撃サイトやマルウェア配布サイトを書き換えれば、多数の入口サイトはそのままでよいので運用コストが下げられる。
踏み台サイトを経由する事で攻撃サイトのURLを入口サイトの管理者から隠しているので、対策耐性が高い。リダイレクトには、HTTPリダイレクト、HTMLのiframeタグや「meta http-equiv="refresh"」を使ったリダイレクト、JavaScriptなどのスクリプトのリダイレクトの３種類があり、これらが攻撃に利用される。このうちHTMLのiframeを使ったリダイレクトは、widthとheightを0にする事でフレームサイズを0にし、さらにstyle属性を"visibility:none"や"visibility:hidden"にする事で非表示化できるので、標的ユーザに気づかれる事なくリダイレクトできる。同様にstyle属性を"position:absolute"にし、フレームの位置のtopとleftとしてマイナスの値を指定することでも非表示化できる。

またスクリプトを使ったリダイレクトの場合、リダイレクトが閲覧時に初めて生成されるようにできるので、リダイレクトされている事がウェブ管理者に気づかにくい。

4.5.4. バナーチェック・ブラウザフィンガープリンティング
-------------------------------

サイトにアクセスしてきたユーザのマシンにインストールされているブラウザや各種ツールのインストール状況やバージョン番号などのプロファイルを取得する手法の事。踏み台サイトや攻撃サイトでブラウザフィンガープリンティングを行う事で、ユーザの環境に最適な攻撃を実行できるようになる。

ブラウザフィンガープリンティングには攻撃者のサーバサイドで行う方法とユーザのクライアントサイドで行う方法がある。サーバサイドのものでは、ユーザのIPアドレスやHTTPユーザーエージェントからユーザ環境の情報が得られる。クライアントサイドで行うものはクライアント環境でJavaScriptやVBScriptなどを実行する事でさらに詳細なユーザ環境情報を取る事ができ、例えばブラウザに追加されているプラグインの種類やバージョンを知る事ができる。

4.5.5. エクスプロイトキット
-----------------

攻撃サイトなどに、エクスプロイトキットと呼ばれる攻撃ツールが仕込まれている場合がある。エクスプロイトキットはブラウザフィンガープリンティングを行い、保有している複数のエクスプロイトの中からユーザ環境で実行可能な物を選び、マルウェアを実行する。

エクスプロイトキットの中にはサイバー犯罪者向けにサービスとして運営されているものもあり、EaaSと呼ばれている。

4.5.6. クローキング
-------------

悪性サイトにアクセスしてきたクライアントに応じて応答するウェブコンテンツを変化させる手法の事。例えば検索エンジンのクローラーがアクセスしてきたときは無害なコンテンツを表示し、標的ユーザがアクセスしてきたときのみ攻撃用のコンテンツを表示する。これにより攻撃用コンテンツをクローラーに発見される事なく、クローラー向けコンテンツに検索エンジン最適化を施す事で検索順位を上げる、といった事が可能になる。クローキングで表示するコンテンツを変えるための指標として、IPアドレス、ユーザエージェント、リファラの情報が利用される。

4.5.7. リモートエクスプロイトの実行
---------------------

これまで標的型メールやウェブアクセスを利用して標的システム上でローカルエクスプロイトを実行する手段を解説してきたが、攻撃者がセキュリティ上の欠陥をついて標的組織に潜入して遠隔地からリモートエクスプロイトを実行する場合もある。そうした方法としては例えば下記のものがある：

防御されていないゲートウェイから侵入
何らかの不正な手段で正当な認証情報を取得して侵入
DMZからの侵入
周辺システムと標的組織の間のトラストチェーンを利用して侵入制御システムだとSCADAに共有モデムが利用されている事が多いので、ここから侵入される場合もある。

4.6. 遠隔操作ステージ
-------------

攻撃対象の組織からC&Cサーバへの通信の経路を確保する。なおC&Cサーバ自身も攻撃者に乗っ取られた外部組織のサーバであることもある。

コネクトバック通信にはhttpやhttpsを使うことが多いので、通信の特徴だけからコネクトバック通信を検知するのは困難である。なお、監視の目が行き届いたhttpやhttpsを使う代わりに、e-メール、DNSなどのプロトコルが使われる事もある。

ファイヤーウォールのフィルタリングルールが形骸化していたり、攻撃によく使われるCONNECTメソッドをプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう

4.6.1. 永続化
----------

攻撃者は感染状態を維持しておくため、RAT やダウンローダーなどの攻撃ツールをOS 起動時に自動的に起動するようPC の設定を変更する。Windowsの場合、永続化のため主に下記の箇所を設定変更する：

自動起動レジストリ
スタートアップ起動プログラム
サービス起動プログラム
スタートアップフォルダ
ログオンスクリプト
タスクスケジューラ

4.6.2. その他の特徴
-------------

マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する。

マルウェアが保存されやすい箇所}}マルウェアは一般利用者権限もしくはログインユーザー権限のみで多くの権限が得られるフォルダで環境変数でアクセスしやすい箇所に配置されやすい。具体的には%TEMP%、%PROGRAMDATA%、%ALLUSERSPROFILE%、%APPDATA%、%LOCALAPPDATA%、%PUBLIC%、およびC:直下である。典型的には、ファイルを開いたとき%TEMP%にマルウェアが一旦生成され、それを%PROGRAMDATA%以下の偽装したフォルダにコピーし、そのファイルを永続化する

攻撃者が仕込んだRATはC&C サーバと定期通信を行う事が多い。ビーコンは標的組織に発見される危険があるので、一時的にFQDN に対するA レコードを「0.0.0.0」や「127.0.0.1」としてC&C サーバとの通信を停止させるRATもある。逆に言えば、標的組織はこれらのA レコードがこれらのIPアドレスになっているものをRATの候補として抽出可能である。

4.7. 横断的侵害ステージ
--------------

JPCERT/CCのモデルには記載されているステージで、サイバーキルチェーンでは目的実行ステージの一部とみなされている。

このステージで攻撃者は、最初に侵害したシステムを足がかりにして同じ組織内の脆弱なシステムを横断的に侵害する。具体的には最初に侵害したシステムを足がかりにして、インストールしたプログラムを使いながら、攻撃者は試行錯誤してネットワークの構造を把握し、認証情報を窃取し、ラテラルムーブメントや権限昇格等を行う。このステージでも攻撃者はバックドアを設置する。

このステージで攻撃者がWindowsコマンドとしては以下のものがある：

攻撃者はこうした行為を行う為にIPアドレスやサービスポートをスキャンするが、攻撃が発覚しづらいようスキャンするポートを限定して行われる。

4.7.1. ラテラルムーブメントの手法
--------------------

下記のものがある：

対策面から見た場合、横断的侵害は最初の侵入に比べ検知しにくいという問題がある。その原因は、LANの入口は監視していても、LANの内部やLANの出口はさほど監視されていないことにある。

4.8. 目的実行ステージ
-------------

攻撃者が目的となる行為を実行するステージ。このステージにおける攻撃者の行動は、攻撃者が何を目的とするかで異なるが、主な目標は重要情報の窃取である。窃取した情報は分割され、複数の端末から外部に送信されるので、窃取したファイルの特定は極めて困難である。

また最終目標を達成する前段階として、今後のオペレーションのために標的組織の状況を窃取したり、他の組織とのトラストチェーンを把握したり、標的組織に対して優位に立つため破壊行為を行ったりする。

4.9. 再侵入ステージ
------------

サイバーキルチェーンにはないが、IPAのモデルには記載されているステージ。攻撃者は過去の侵入時に構築したコネクトバック通信路を利用し、再侵入してシステム内探索を継続する。このため一度標的になった組織は、一見攻撃が終了したように見えても、コネクトバック通信路が設置されていない事を継続的に監視する事が重要である。標的組織内にコネクトバック通信路が一つでも残っていると再侵入が可能になるので、APTの場合は「対処率99％でも残存リスクは100％のまま」という事になる。

5. それ以外の攻撃
----------

5.1. 主に金銭を目的とした攻撃
-----------------

5.1.1. フィッシング関連
---------------

フィッシングは口座番号、アカウント情報、カード番号といった、主に金銭に関わる個人情報を奪取するための攻撃。金融機関を装ったりしたフィッシングメールを送りつけ、個人情報を盗むために設置されたフィッシングサイトに誘導する。メールやウェブサイトを利用する点では標的型攻撃と共通するが、目的が個人情報であるため必ずしも企業システムに潜入する必要はなく、ユーザのブラウザ上にある金融機関のcookie等に書かれたID/パスワードを奪取するなどの手口を用いる。SMSメールを利用したフィッシングを特にスミッシングという。

ファーミングはURLとIPアドレスの対応表を攻撃者が不正に書き換えることで、正規サイトのURLにアクセスしたユーザを偽サイトに誘導する攻撃の事である。URLとIPアドレスの対応表を書き換える手段としてはDNSを攻撃する方法と、ユーザがローカルに持っているhostsファイルを書き換えたりする方法がある。

無線LANフィッシングはWiフィッシングとも呼ばれ、攻撃者が偽の無線LANアクセスポイントを立てる事で、そのアクセスポイントを利用したユーザのID/パスワードを窃取んだり、偽サイトに誘導したりする攻撃である。

QRishingはQRコードフィッシングとも呼ばれ、攻撃者が作成したQRコードをユーザに読ませる事により、偽サイトに誘導する攻撃である。本物のQRコードの上に偽のQRコードのシールを貼ってQRishingした事案が知られている。なお短縮URLでも同様の手口を行う事ができる。

5.1.2. ビジネスメール詐欺
----------------

ビジネスメール詐欺とは、自社の経営層や取引相手になりすました偽のEメールで経費などの送金を指示する事で金銭をだまし取る詐欺。その巧妙な騙しの手口は標的型攻撃に通じるところがある。ビジネスメール詐欺には以下の５つの類型がある：

取引先との請求書の偽装
経営者等へのなりすまし
窃取メールアカウントの悪用
社外の権威ある第三者へのなりすまし
詐欺の準備行為と思われる情報の詐取手口としては

企業のメールアドレスの＠以下とよく似た詐称用ドメインを取得してそこからメールする
企業のメールアドレスに似たフリーメールアドレスを使う
メールを送る際、多人数にCcしてそこに詐欺用のアドレスを紛れ込ませる事で発覚を遅らせたり本物と錯覚させたりするといったものがある。なお詐称用ドメインを利用する手法では詐称用ドメインのDNSにSPFを設定してSPFのチェックを通過する攻撃も確認されている。

5.1.3. ワンクリック詐欺
---------------

ワンクリック詐欺はウェブページ上の特定のアダルトサイトや出会い系サイト、勝手に送られた電子メールに記載されているURLなどをクリックすると、「ご入会ありがとうございました。」等の文字やウェブページが契約したことにされて多額の料金の支払を求める詐欺のことをいう。同様の手口でツークリック以上のものやノークリックものも存在する。

ワンクリック詐欺のサイトでは、サイトに訪れたユーザのブラウザから環境変数を取得して表示するなどして、あたかもサイト側がユーザ個人を特定できているかのように装い、ユーザを脅迫することがある。。

また詐欺サイトがユーザ端末にワンクリックウェアをインストールし、振込みを行うよう要求する画面を頻繁に表示させるという手口もある。

5.1.4. 不正送金ウィルス
---------------

何らかの方法でインターネットバンキングのアカウント情報などを盗んで攻撃者の口座に不正送金を行うウイルスの事。例えば以下の手法がある：

マン・イン・ザ・ブラウザ プロキシ型トロイの木馬というマルウェアによってWebブラウザの通信を盗聴、改竄を行う攻撃である。具体例としては、オンラインバンキングへのログインイベントなどを検知するとその通信を乗っ取って、振込先を改ざんして預金を盗む事例などが挙げられる 。 クリックジャッキング 利用者が開くページのボタンの上に、透明化したボタンを重ねて表示する。ユーザが次ページを表示するつもりでボタンを押すと、送金ボタンが押されてしまい、攻撃者に送金されてしまう。

5.1.5. ランサムウェア、スケアウェア、ローグウェア
----------------------------

ランサムウェア ユーザのコンピュータやデータを使えない状態にし、再度使えるようにしてほしければ「身代金」を支払うようにとユーザを脅迫するマルウェア。 スケアウェア 正当なソフトウェアのふりをしてセキュリティ上の脅威や違法ポルノが発見されたなどという嘘の警告を発し、その解決のためにソフトウェアの代金や個人情報を要求する。セキュリティソフトを装っているものはローグウェアとも呼ばれる。

5.2. DoS攻撃
----------

DoS攻撃は、情報セキュリティにおける可用性を侵害する攻撃手法のひとつ。 ウェブサービスを稼働しているサーバやネットワークdate=2023年5月}}などのリソースに意図的に過剰な負荷をかけたり脆弱性をついたりする事でサービスを妨害する。

DoS攻撃には２種類の類型があり、第一の類型はウェブサービスに大量のリクエストや巨大なデータを送りつけるなどしてサービスを利用不能にするフラッド攻撃であり、第二の類型はサービスの脆弱性を利用する事でサービスに例外処理をさせるなどしてサービスを利用不能にする攻撃である。

DoS攻撃の主な目的はサービスの可用性を侵害する事にあり、具体的な被害としては、トラフィックの増大によるネットワークの遅延、サーバやサイトへのアクセス不能といったものがあげられる。しかしDoS攻撃は被害者に経済的ダメージを負わせる事を目的として行われる場合もあり、EDoS攻撃と呼ばれる。たとえばクラウド上で従量課金されているサービスにDoS攻撃をしかければサービスの運営者に高額な課金を発生させることができる。

また、「DoSをやめてほしければ金を払え」と脅す目的でDDoS攻撃が行われることもあり、ランサムDDoSと呼ばれる。

5.2.1. DDoS攻撃
-------------

フラッド型のDoS攻撃には、大量のマシンから1つのサービスに、一斉にDoS攻撃を仕掛けるDDoS攻撃という類型がある。

DDoS攻撃の類型は2つあり、第一のものは攻撃者が大量のマシンを不正に乗っ取った上で、それらのマシンから一斉にDoS攻撃をしかける協調分散型DoS攻撃である。

第二の類型は、DRDoS攻撃と呼ばれる。DRDoS攻撃では、攻撃者が攻撃対象のマシンになりすまして大量のマシンに何らかのリクエストを一斉に送信する。するとリクエストを受け取ったマシン達は攻撃対象のマシンに向かって一斉に返答を返すことになるので、攻撃対象のマシンには大量の返答が集中し、高負荷がかかることになる。DRDoS攻撃は協調分散型DDoS攻撃と異なりマルウェアなどで踏み台を乗っ取らなくても実行可能なため攻撃C&Cサーバが発覚しづらい。

5.3. ボットネット
-----------

ボットネットとはC&Cサーバのコントロール下にあるマシンのネットワークで、攻撃者はC&Cサーバから命令を出す事で、ボットネットを様々なサイバー攻撃に利用する。ボットによる攻撃にあった被害者は、裏にいるC&Cサーバの情報を直接得る事ができないので、攻撃者を特定するのは困難になる。

攻撃者は１台のC&Cサーバから命令を出すことで多数のボットから同時多発的に攻撃をしかける事ができるので、低い運用コストでDDoS、スキャン、二次感染といった様々なサイバー攻撃の実行が可能になる。

C&Cサーバとボットとの通信には、IRC、HTTP、各種P2P接続などが利用される。特にHTTPはセキュリティに配慮した企業などであっても業務の関係上通信を遮断できないので、攻撃者は企業内のマシンをボット化できる。

ボットネットのネットワーク構造として最も単純なものは、１つのC&Cサーバに全てのボットがぶら下がっているスター型のネットワーク・トポロジーであるが、これだとその１台のC&Cサーバがダウンしたり当局に取り締まられたりするとボットネットが完全に停止してしまう。そこで様々な国に複数のC&Cサーバを立てて多重化する事で各国の取り締りにそなえたり、ボットの下にさらにボットをぶら下げる階層型の構造にしてボットネットの全体像を把握されにくくしたり、P2P通信によるランダムなトポロジーにする事でネットワーク耐性を上げたりする。

5.3.1. Fast Flux手法
------------------

ボットネットのC&Cサーバ等の悪性サイトは、サイトのFQDNに対応するIPアドレスを数分程度で次々と変えていくFast Flux手法を用いる事で、捜査機関等が悪性サイトをテイクダウンさせるのを難しくしている。攻撃者は自身のコントロール下にあるボットのIPアドレスを悪性サイトのFQDNに次々に割り振っていく為、FQDNに割り振られるIPアドレスは数百から数万に及ぶ。C&Cサーバやドライブバイダウンロード攻撃用サイトはFast Flux手法で運営される事が特に多い。

Fast Flux手法はBlind Proxy Redirectionという手法と併用される事が多い。この手法ではFast Fluxで運営されるサイトのは単なるリダイレクトサイトであり、リダイレクト先にあるマザーシップノードが真の悪性サイトである。このような構成を取る事により、マザーシップノードのアドレス情報を捜査機関から隠したり、捜査の手が及んだフロントエンドノードを切り捨てたりする事ができる。また悪性サイトのコンテンツを変えたい場合はマザーシップノードだけを変えればよいので運用も容易である。

Fast Flux手法はsingle flux手法とdouble flux手法に分かれる。single flux手法では攻撃者は何らかの方法を用いて自身の権威DNSサーバを立て、その権威DNSサーバ上で悪性サイトのIPアドレスを次々に変えていく手法である。この手法の欠点は、攻撃者が立てた権威DNSサーバが単一障害点になっているため、この権威DNSサーバが捜査機関にテイクダウンされると、悪性サイトを運営できなくなってしまう事である。

double flux手法は権威DNSサーバもFast Flux手法で運営する事で対策耐性をあげたものである。double flux手法ではボットネット上に権威DNSサーバXを立て、さらにXより上位レベルの権威DNSサーバYを自身で立てる。single flux手法のときと同じく悪性サイトのIPアドレスをX上で次々と変えるのみならず、XのIPアドレスをY上で次々と変える事でXがテイクダウンされる事を防ぐ。なお、double flux手法においてYは単一障害点であるが、捜査機関が調査のため悪性サイトにアクセスしてきても、悪性サイトの名前解決はXで行われるので、捜査機関に直接Yが見える事はなく、Yを特定してテイクダウンするのは難しくなる。

5.3.2. Domain Flux手法
--------------------

1つのドメイン名に対して複数のIPアドレスを用意して多重化するFast Flux手法とは逆に、ドメイン名を複数用意して多重化する手法をDomain Flux手法と呼ぶ。この手法を用いる事で、一部のドメイン名が悪性サイトとして対策側にブラックリスト化されても、悪性サイトに別のドメイン名を用いる事でブラックリストをすり抜ける事ができる。

Domain Fluxを行う方法の一つは攻撃者自身が管理するドメインに○○.example.comというFQDNを生成し、○○の部分を短時間で変える、というものである。

Domain Fluxでは疑似乱数を使ってドメイン名を生成する。このためのアルゴリズムをDGAという。擬似乱数を利用するのは、C&Cサーバとそのコントロール下にあるマシンでドメイン名を同期するためである。C&Cサーバとそのコントロール下にあるマシンで事前に擬似乱数の種を共有しておき、種と時刻情報を利用してドメイン名を生成するようにすれば、両者とも同一時刻には同一のドメイン名を取得できる。

6. 攻撃・ペネトレーションテストで使われる手法やツール
----------------------------

本節では攻撃やペネトレーションテストで使われる手法やツールについて述べる。

6.1. ペネトレーションテスト用OS
-------------------

ペネトレーションテスト用のLinuxディストリビューションとして、Kali Linux、Parrot Security OS、BackBoxなどがあり、前者２つはDebianベース、最後のものはUbuntuベースである。これらのディストリビューションにはペネトレーションテスト用の各種ツールがプレインストールされている。

6.2. 意図的に脆弱に作られたツール
-------------------

ペネトレーションテストの練習用として、意図的に脆弱に作られたツールが公開されている：

Metasploitable：意図的に脆弱性が残されたLinuxディストリビューションのバーチャルマシン。
OWASP BWA ：意図的に脆弱性が残されたウェブアプリケーションを詰め込んだバーチャルマシン
OWASP Mutillidae：BWAに梱包されている脆弱なウェブアプリケーションの一つ他にもBadstore、BodgeIt Store、amn Vulnerable Web Application 、OWASP Bricks、WASP WebGoatb、WAPP、moth、Gruyere

Magical Code Injection Rainbow  、ICMPScan：nmapのようにICMPをプロービングするツール

Amap：アプリケーションのフットプリンティングを行うツール。通常とは違う場所で動作しているアプリケーションをも特定可能である。
httprint：Webサーバのフィンガープリンティングツール
xprobe2：OSフィンガープリンティングツール

6.2.1. スニッファ
------------

スニッファとはネットワーク上を流れるパケットを監視したり記録したりするツールの事でパケット・スニッファとも呼ばれる。攻撃目的ではなくセキュリティ目的で用いられる同種のツールをパケットアナライザ等と呼ぶが、広義にはパケットアナライザもスニッファに含める。フリーなものではWireshark、tcpdumpなどがある。

6.2.2. ソーシャル・エンジニアリング
---------------------

ソーシャル・エンジニアリングとは人間の心理的な隙や行動のミスなど「人」をターゲットにして機密情報を窃取する攻撃全般を指す。手法としては例えば下記のものがある：

システム管理者や警察などになりすましてメールないし電話する事で個人情報等を聞き出す
ショルダーハッキング：PCを操作しているユーザの肩越しにパスワード等を盗み見る
トラッシング：ゴミ箱に捨てられた紙媒体や記憶媒体から機密情報を得る。スカベンジング、スカビンジングとも

6.3. パスワードクラッキング
----------------

パスワードクラッキングとは、総当たり攻撃や辞書攻撃等の何らかの方法でパスワードを割り出す攻撃方法であり、推定したユーザID/パスワードでログイン試行を行うオンライン攻撃と何らかの方法で入手したパスワードハッシュなどからローカルにパスワードを推測するオフライン攻撃とに大別される。オフライン攻撃の対象となるパスワードハッシュはWindowsのSAMファイル、Linuxの/etc/shadowファイルなどにあるものを利用する。またパスワードで保護されたOfficeファイル等も攻撃対象となる。

著名なオンライン攻撃ツールとしては、Bruter、ncrack、TCP-hydraがある。著名なオフライン攻撃ツールにはJohn the Ripper、RainbowCrack、ophcrackがある。

またWindowsのSAMファイルからパスワードハッシュを取得するツールとしてPwDumpがある。

6.3.1. パスワードリスト攻撃
-----------------

6.3.2. Pass the hash攻撃
----------------------

6.4. Metasploit
---------------

Metasploit}}Metasploit Framework、あるいは単にMetasploitとは、エクスプロイトコードの作成、実行を行うためのフレームワークソフトウエアである。Metasploitには様々なエクスプロイトコードが収録されており、アップデートを実行する事で新たなエクスプロイトコードを手に入れたり、Exploit Databaseのようなエクスプロイト配信サイトからエクスプロイトをダウンロードして用いたりできる。

6.5. 脆弱性検査ツール
-------------

脆弱性検査ツール}}w3af、Nessus、OWASP ZAP、OpenVASなどがある。

6.6. 横断的侵害を行うためのツール
-------------------

ネットワークに侵入して横断的侵害を行う攻撃の手口の典型的パターンは

ipconfigやsysteminfoといったWindows標準コマンドで侵入した端末の情報を収集
net等のツールでネットワーク上の他の端末の情報、ドメイン情報、アカウント情報等を収集し、次に侵入する端末を選ぶ
mimikatzやPwDump等のパスワードやそのハッシュ値をダンプするツールで次に侵入する端末のユーザーのパスワード情報を入手
netやat等のツールを駆使して他の端末に侵入というものである。

またプロキシやリダイレクタを使ってファイヤーウォールを突破する事で、侵入した端末からC&Cサーバや組織内の別の端末との通信経路を確立する。その他ファイル圧縮ツールやステガノグラフィーツールもデータ内容を隠蔽して送信する目的で使われる。

6.7. その他・複数機能を持つツール
-------------------

netcatは正規のネットワークユーティリティで、「接続モードでは、任意のサーバ、ポートを指定し接続を行うことができ、telnetのように対話的に使用したり、ポートスキャナとして使用することもできる。待ち受けモードでは、任意のポートをで待ち受けを行い、接続してきたクライアントと対話することができる」。バックドアのように使用する事も可能である。
LanSpy：ネットワークディスカバリーツール、ポートスキャナ
tcptraceroute、tracetcp：ICMPの代わりにTCPレイヤでtracerouteを行う
SMTP Relay Scanner：SMTPの不正中継調査
snmpcheck、snmpwalk、SNScan：SNMPデバイスのディスカバリーツール
SiteDigger、metagoofil：Googleハッキングツール
dig：DNSへの問い合わせツール
tcpdump、Wireshark：パケットモニタリングツール
Cain and Abel：パスワードクラッキング、スニッファ、VOIPキャプチャ、RTPストリームリプレイ
MSN Protocol Analyzer：MSN Messengerのキャプチャ・プロトコルアナライザ
hping：パケットジェネレータ、パケットキャプチャ・アナライザ。パケットジェネレータ機能はファイアウォールのテストなどに利用可能。

6.8. 攻撃・ペネトレーションテストに利用できるサイト
----------------------------

以下のものがある：



6.8.1. SHODANとCensys
--------------------

ウェブサーバやIoT機器など、インターネットに接続している機器を調査できるウェブサービスとして、SHODANやCensysなどがある。SHODANはポートスキャンにより接続している機器を特定し、特定した機器に対してバナーチェックを行う事により、機器の情報を得ている。SHODANの利用者が例えば東京にあるApacheサーバの一覧を得たければ、SHODANに「apatch city:Tokyo」と打ち込んで検索する事ができる。また、SHODAN MAPSの機能により、検索した機器の位置を地図上に表示可能である。

バナー情報により、検索結果には製品名やバージョン等もわかるため、攻撃者はこれを利用して脆弱性が適用可能な機器を見つける事ができる。なお、SHODANを使うには事前にユーザ登録が必要であり、基本無料であるものの全機能を使うには低額の利用料を支払う必要がある。

CensysはZmapというネットワークスキャナでIPv4のインターネット空間をスキャンして情報を収集し、ZGrabというプロトコル解析ライブラリにより収集したデータを構造化データに加工する。なお、ZmapがIPv4のアドレス空間全てをスキャンするのにかかる時間は45分に過ぎない。

Censysは無料で利用でき、ユーザ登録は必須ではないが、登録していないユーザは1日4回までしか検索できない。Censysはミシガン大学の研究者らが公開したものである。

6.9. ツール一覧
----------

攻撃に利用可能なツール、コマンド、脆弱性として下記のものがある。なお、下記の表にはRDPのように、本来は攻撃ツールではないものの攻撃用にも利用できるものもリストアップされている。



7. 攻撃への対策のフレームワークや考え方
---------------------

7.1. サイバーセキュリティフレームワーク
----------------------

NISTのサイバーセキュリティフレームワークによれば、重要インフラのサイバーセキュリティ対策は以下の５つのフェーズに分類できる：

 上の表でSOC、CSIRTはセキュリティ対応のための組織である。両者の役割分担や関係性、業務内容等は企業毎に異なるが、概ねSOCは「平時」の分析運用を行い、CSIRTは「有事」のインシデント対応を行う。

このフレームワークは、それ以前の類似のフレームワークと比較した場合、攻撃が行われた後の検知、対策、復旧のフェーズの重要性を明確化した事と、各フェーズの習熟度について言及した事に特徴がある。

このフレームワークでは「ガバナンスのサイクル」と「マネジメントのサイクル」を回すことがサイバーセキュリティ対策で重要だと主張している。

またおなじNISTが発行したSP800-61「コンピュータセキュリティ・インシデント対応ガイド」ではインシデント対応プロセスは、準備、検知および分析、封じ込めおよび根絶、インシデント後の活動の4段階に分類されるとしている。

以下、サイバーセキュリティフレームワークの各フェーズを説明するが、一部JPCERT/CCの文献を元に加筆した。

7.1.1. 特定
---------

サイバーセキュリティ対策をする上で基本となるのは、守るべき資産を特定し、各資産のリスクを把握することである。

7.1.1.1. 組織の置かれた状況の特定
---------------------

産業分野やサプライチェーンにおける自社の位置づけ、重要サービスを提供する上での依存関係と重要な機能等を把握し、自組織のミッション、目標、活動に関する優先順位を決め、伝達する必要がある。JPCERT/CCは、守るべき資産を特定する前準備として、組織のプロファイルを作成することを推奨している。このプロファイルには規模や提供製品のような基本的事項のみならず、システムダウンの影響度合いや規制のレベルなどリスクアセスメントに必要となる情報も含める。また、組織のサイバーセキュリティ防御能力に関する文書を作成する。

またセキュリティに関する法規制を把握し、自組織の情報セキュリティポリシーを定め、セキュリティに関する役割と責任について内外のパートナーと調整や連携を行う。さらにガバナンスやリスク管理のプロセスをサイバーセキュリティリスクに対応させる。

7.1.1.2. 守るべき資産とそのリスクの特定
------------------------

自組織内の物理デバイス、システム、ソフトウェアプラットフォーム、アプリケーション、外部情報システムといったリソースの一覧を作成し、ネットワークの通信やデータフローを図示し、これらのリソースやデータのうち、守らなければならないものとその理由、およびそれが抱える脆弱性を特定する。この際、ビジネスに対する潜在的な影響とその可能性も特定する。そしてそれら守るべき対象を守れなかった場合に発生するリスクを、脅威、脆弱性、可能性、影響等を考慮して分析し、リスクに対処するためのコストやリスクが顕在化した場合の減損、対処後の残存リスクを特定し、自組織の役割、事業分野等を考慮してリスク許容度を明確化する。そしてビジネス上の価値に基づいてこれらのリソースやデータを優先度付けをする。さらに自組織の従業員や利害関係者に対し、サイバーセキュリティ上の役割と責任を定める。リスク管理のプロセスを自組織の利害関係者で確立、管理、承認する必要がある。

なお、保有資産の特定にはIT資産インベントリ検出ツールが利用でき、未登録機器の発見にはDHCPサーバのロギング機能等が利用できる。またアクセス監視の際、資産リストと突合する事で、承認されたデバイスのみがネットワークに接続されている事を確認できる

なおリスク分析の際にはどのようなタイプの攻撃者が自組織が属する業界を攻撃するのかを事前に特定しておくのが望ましい。

7.1.2. 防御
---------

7.1.2.1. 脆弱性管理による防御
-------------------

脆弱性管理計画の作成・実施を行い、脅威と脆弱性に関する情報を入手する必要がある。JPCERT/CCによれば、脆弱性スキャンはセキュリティ設定共通化手順「SCAP」のチェックリストにより検証済みのスキャナを用いて、毎週ないしそれ以上の頻度で行う必要がある。これによりコードベース・構成ベース方法の脆弱性を検出する事が可能である。攻撃検知のイベントログと脆弱性スキャン結果を突合することで、どの脆弱性が標的にされたのかを判別できる。アプリケーション、OS双方に対し自動パッチ適用ツールを用いる事が望ましい。

7.1.2.2. ID管理とアクセス制御による防御
-------------------------

自組織の全ての従業員のIDに対してアクセス制御リストを定義し、ACLに従って従業員の資産や関連施設への物理アクセスやリモートアクセス、データへのアクセスを制限する。ACLは定期的に棚卸し、人事の異動、追加、削減に際してアクセス権限の無効化や従業員の審査を行う。従業員等にシステムや資産に対する権限を与える場合には、最小権限の原則に従う。

7.1.2.3. システム開発時の防御
-------------------

システムの開発ライフサイクルや設定変更を管理する。また開発の際には開発環境やテスト環境を実環境と分離することで情報漏えい等を防ぐ。

7.1.2.4. 意識向上やトレーニングによる防御
-------------------------

全てのユーザをトレーニングし、権限ユーザ、上級役員、利害関係者、 物理および情報セキュリティ担当者にポリシー、手順、契約に基づいた役割と責任を理解させる必要がある。またAPTなどの攻撃に対する演習を事前に行っておく必要がある。

7.1.2.5. データの防御
---------------

自組織のリスク戦略に従って、保存されたデータや伝送中のデータの機密性、完全性、可用性を保証する。データの可用性の保証に関しては十分な容量を確保し、機密性に関しては漏洩対策を実施し、完全性に関しては何らかの完全性チェックメカニズムを導入する。データは定期的にバックアップ・テストする。またデータはポリシーに従って破壊し、資産の撤去、譲渡、廃棄も管理する。

なお情報はその機微度に応じて「高、中、低」等の格付けを事前に実施し、自組織を狙う可能性がある攻撃者がどのような情報に関心を示すのかを特定しておく事が望ましい。

7.1.2.6. 保守運用作業における防御
---------------------

システムのベースラインを設定・維持する必要がある。保守と修理はポリシーや定められた手順に従って実施する。重要な資産を保護するプロセスを定め、重要なシステムに対して適用可能なセキュリティ管理策を全て実施していることを確認する。保守や修理の際は、管理されたツールを用いてタイムリーに行い、ログを記録する。特に遠隔保守の際には、承認、ログの記録、不正アクセス防止を行う必要がある。監査記録やログの対象をポリシーに従って決め、取得した監査記録やログをレビューする。ログデータは、DNS、プロキシ、ファイアウォールなど重要機器に対して取得し、時刻はNTPにより同期する。事前にセキュリティを強化し、構成管理を厳密に行ったOS等のイメージを作成しておき、従業員のPCや新規導入システムにはこのイメージをインストールする。

ネットワークのセキュリティ構成は、変更管理委員会によって文書化、確認、承認を行う。

7.1.2.7. その他の防御方法
-----------------

セキュリティポリシー、プロセス、手順を維持し、資産の物理的な運用環境に関するポリシーと規制を満たすようにする。また保護プロセスを継続的に改善する必要がある。

インシデント対応、事業継続、インシデントや災害からの復旧計画の実施・管理・テストを行う。保護に使う技術の有効性の情報共有を行う。

取外し可能な外部記憶媒体はポリシーに従って保護したり、使用を制限したりする。

またJPCERT/CCによれば下記を行う事が望ましい：

自組織のセキュリティ方針やセキュリティ計画に情報システム・重要データが扱う必要がある。
自組織のネットワーク境界の外部および内部からペネトレーションテストを定期的に実行する必要がある。ペネトレーションテストに用いるアカウントはコントロール・モニタリングし、テスト終了後に除去するか通常機能に戻ることを確認する。
システムで使うソフトウェアが限定されている場合には、実行可能なソフトウェアのホワイトリストを作り、そうでない場合は利用して良いソフトウェアとそのバーションを定めて無許可のソフトを検知できるようにする事でリスクを低減できる。利用して良いソフトウェアが改竄されるリスクを低減する為、ファイル完全性チェックツールでモニタする事が望ましい。

7.1.3. 検知
---------

検知を行う前提条件として、ネットワーク運用のベースラインを定め、データフローを特定・管理する。そしてセキュリティイベントを検知できるよう、ネットワーク、物理環境、個人の活動、権限のない従業員・接続・デバイス・ソフト、外部サービスプロバイダの活動等をモニタリングし、マルウェア対策ソフトなどで悪質なコード、特にモバイルコードを検出できるようにする。

そしてイベントログを複数の情報源やセンサーから収集し、SIEMなどで一元管理して、相互に関連付け、検知したイベントを分析し、その影響範囲を特定する。また事前に定めたしきい値に従って、検知したイベントをインシデントとみなすかどうかを判断する。

検知プロセスはテストし、継続的に改善する必要がある。また説明責任が果たせるようにする必要がある。

7.1.4. 対応
---------

CSIRTの主たる担当業務である。検知フェーズで発見したセキュリティイベントにタイムリーに対応できるよう対応計画を事前に定めておき、法執行機関の支援が得られるよう情報共有や利害調整を行う。そして対応計画にしたがってインシデント分類し、フォレンジックを行うなどしてセキュリティイベントを調査し、その影響範囲を把握し、事前に定めた基準に従ってインシデントの封じ込めないし低減を行う。インシデント対応の結果学んだ教訓を生かして対応計画を更新する。

7.1.5. 復旧
---------

タイムリーに復旧できるよう事前に復旧手順を定め、復旧の際にはその計画を実施する。システムの復旧を行うのみならず、広報活動を管理するなどして評判回復に努める。対応フェーズと同様、教訓を生かして復旧計画の更新も行う。

7.2. 開発ライフサイクルにおけるセキュリティ確保
--------------------------

システムの安全性を確実に担保するにはシステム開発ライフサイクルの初期段階からセーフティ、セキュリティ、プライバシーなどを考慮しておくことが望ましい。開発プロセスのより早い段階でセキュリティを考慮する事をシフトレフトという。特に、情報セキュリティを企画・設計段階から確保するための方策をセキュリティ・バイ・デザインといい、プライバシーに対する同様の概念をプライバシー・バイ・デザインという。

またDevOpsの普及に伴い、これにセキュリティの確保も一体になった開発手法であるDevSecOpsも注目を集めるようになっている。DevSecOpsでは設計段階からセキュリティを意識することはもちろん、セキュリティ対策ツールを開発ライフサイクルに組み込むなどして脆弱性診断を自動化し、アプリケーションを修正するたびに脆弱性を作り込まないようチェックし、利用しているライブラリの脆弱性を日々チェックするような活動も含む。

7.2.1. カオスエンジニアリング
------------------

7.2.2. サプライチェーンにおけるセキュリティ確保
---------------------------

システム開発ではその工程の一部を外注する事も多いため、サプライチェーン全てでセキュリティを担保する事が重要となる。このような調達時の脅威に対応する事をサプライチェーンチェーンリスクマネジメントという。ISO/IEC 27036ではアウトソーシングの際のセキュリティのガイドラインが規定されている。米国ではNIST SP800-161やNIST IR 7622にSCRMの規定がある。またISO/IEC 20243には不良品や偽造品を排除するためのベストプラクティス等が規定されている。

また事業継続計画の観点からもサプライチェーンの継続を図ることも重要であり、SCCMと呼ばれ、ISO 22318に規定されている。なお災害復旧とサプライチェーンマネジメントをあわせてSCDRMと呼ぶ。

7.3. 多層防御
---------

多層防御 }}多層防御とは、様々な階層で複数のセキュリティ対策を施す事で、重要部への侵入前に攻撃の検知および対応を行う事で、軍事・戦闘の世界のDefense in Depth  を応用したものである。複数の防御壁を設けて、一つの壁を突破されても次の壁で阻止して、機密情報に到達されてしまう確率を下げる事を目的とする。

多層防御の手法として以下で述べる入口対策、内部対策、出口対策の３つを取り入れる組織内対策や、複数組織をまたがった攻撃連鎖を上流で断つ国レベルでの対策などがある。

7.3.1. 入口対策、内部対策、出口対策
---------------------

入口対策はファイアウォール、ウイルス対策ソフト、脆弱性対策など、攻撃者やマルウェアが組織内に侵入するのを防ぐ対策手法で標的型攻撃やAPTが普及する以前は有効であった。しかし標的型攻撃やAPTでは組織に侵入する方法が巧妙化しており、しかも侵入方法の変化が激しいので、入口対策だけで攻撃を防御するのは難しい。そこで、攻撃者が組織内部に侵入しているのを前提として、組織の内部対策を行う事より侵入の拡大を防ぎ、攻撃の外向き通信を遮断・監視する出口対策により組織からの情報の持ち出しやC&Cサーバとの通信を防ぐ必要がある。

7.4. サイバーレジリエンス
---------------

サイバーレジリエンスは攻撃を受けてしまう事を前提として、攻撃を受けた際に、どのように組織の機能を維持し、いかにすばやく対処・復旧するかという回復力を高めるべきという考え方である。 世界経済フォーラムによる「グローバルリスク2013」を契機として「レジリエンス」という用語がビジネス等で使われるようになり、それと時期を同じくしてサイバーレジリエンスという用語も広まった。なお「レジリエンス」という用語はISO22300では「複雑かつ変化する環境下での組織の適応能力」と定義されている。

7.5. セキュアなネットワーク構成
------------------

7.5.1. 非武装地帯 
------------------

非武装地帯はメールサーバ、ウェブサーバ、DNSコンテンツサーバ、Proxyサーバといった、組織内、インターネット双方とアクセスする必要があるサーバ群を置いておくためのネットワーク領域で、組織内ネットワーク・インターネット・DMZの３つの領域間の通信をファイアウォールで制限する。ウェブサーバ等をDMZではなく組織内ネットワークに設置すると、ウェブサーバが用いるポートを開けて置かなければならない為、そのポートを利用してインターネットから組織内に攻撃を行う事が可能になってしまう。これを防ぐためにウェブサーバ等をDMZに設置する。

7.5.2. マイクロセグメンテーション
--------------------

ネットワークを細かくセグメント分けする事。マイクロセグメンテーションにより、セグメントをまたいだラテラルムーブメントやウィルスの二次感染を防ぐ事ができる。実現手法としてh、スイッチングハブの各ポートにそれぞれ1台の機器を接続するというものがある。また仮想マシンの場合は各仮想マシンに仮想ファイヤーウォールを立てる事で、同一ネットワーク上にある仮想マシンであっても、仮想マシン一台で一つのセグメントを構成できる。

7.5.3. ゼロトラスト
-------------

ゼロトラストはForrester ResearchのアナリストJohn Kindervagにより提唱された概念である。従来のセキュリティ対策ではネットワークの境界で攻撃の遮断が可能であり、境界内は信頼できる事を前提としていたが、標的型攻撃や内部犯行の広がりによりこうした前提は崩れており、攻撃者が内部に侵入してくるのを前提とした対策が必要となる。

それに対しゼロトラストは従来型のセキュリティ対策よりも「性悪説」に基づいており、組織内ネットワークであっても、ユーザがデータやリソースにアクセスする際、ユーザが利用しているデバイスの信頼性とユーザ自身の信頼性とを動的に評価してデータやリソースへのアクセス認可を行う。一般的にはゼロトラストネットワークはユーザ関連情報を管理する ID プロバイダ、リソースにアクセスできるデバイスのリストを管理するデバイス ディレクトリ、管理者が設定したポリシーにユーザとデバイスが適合しているかを判断するポリシー評価サービス、リソースへのアクセス制御を行うプロキシから構成され、ゼロトラストネットワークのプロキシはユーザとリソースの間に置かれ、ユーザはプロキシでアクセス認可を受けた場合のみがデータやリソースにアクセスできる。

7.5.4. アクティブディフェンス
------------------

アクティブディフェンスは、実際の攻撃に先んじて脆弱性や攻撃方法を発見して予防策を積極的に構築する取り組みの事。攻撃者が防御技術を研究して回避・無効化する事で、対応が後手に回って攻撃側に主導権を握られるのを防ぐ。

アクティブディフェンスの基本的手法としては以下のものがある：

アノイヤンス：攻撃の労力を増加させる事。デコイサーバや偽のDNSエントリなど各種デセプション技術で攻撃者を騙し、時間を稼ぐ等。
アトリビューション：攻撃者の属性を明らかにする事。攻撃されそうなサーバやファイルにウェブビーコンやマクロ等を仕込んで攻撃者のIPアドレスや位置情報を取得する等。
アタックバック：攻撃者に攻撃し返す事。なおアタックバックはアクティブディフェンスに含まないとする意見もある。

フリーのアクティブディフェンスツールとしては、ADHD、Artillery、Nova 、BearTrap、Decloak、Honey Badgerなどがある。

7.5.5. Moving Target Defense
----------------------------

アクティブディフェンスの手法の一つ。これまでのセキュリティ対策では、静的なシステムに検知技術や防御技術を導入することでセキュリティを担保していたが、それに対しMoving Target Defense は、守るべきシステムの構成、特にネットワークを動的に変更する事で、攻撃者がシステム内を探索したりシステム構成を予測したりするのを難しくする手法である。従来のセキュリティ対策では、攻撃側がシステムを熟知しているのに対策側は攻撃者に関して断片的にしか知りえないという非対称ゆえの不利が対策側にあったが、MTDはこの種の不利を攻撃者にも背負わせようというアイデアである。

8. 優先的に対策すべき箇所
--------------

優先的に対策すべき場所を示したガイドラインとして下記のものがある：



8.1. CISコントロール
--------------

2018年現在の最新版であるVersion 7の20個の評価項目は以下の通りである：



8.2. OWASP Top 10
-----------------

2017年度版の10項目は下記のとおりである：



8.3. Strategies to Mitigate Cyber Security Incidents
----------------------------------------------------

2018年現在は下記８項目：



9. 脆弱性診断とその関連
-------------

本節では、システムのセキュリティ上の問題点を洗い出す検査や診断について述べる。なお、こうした検査や診断は脆弱性検査、脆弱性診断、セキュリティ検査、セキュリティ診断等と呼ばれるが、これらの語の指す範囲は論者やセキュリティ企業により異なる場合があるので注意されたいgroup="注"。

このような用語上の混乱をさけるため、本節ではペネトレーションテスト等も含めた最広義の意味での脆弱性検査の事を「脆弱性診断関連の検査」と呼ぶことにする。

IPAによると、脆弱性診断関連の検査にはソースコードセキュリティ検査、ファジング、システムセキュリティ検査、ウェブアプリケーションセキュリティ検査、ペネトレーションテストの５つがあり、これらの検査を行うフェーズと主な検査対象は下記のとおりである。なお本節では、これら５つにレッドチームを加えた６つの検査について述べる。

上の表の「主な利用フェーズ」は検査対象となる機器のシステムライフサイクルの中でどのフェーズでこれらの検査が利用されるのかを示している。なお、一般的にシステムの開発フェーズは企画、要件定義、設計、実装、テスト、納入という工程からなるが、これらの工程のうち脆弱性診断関連の検査が行われるのは実装工程とテスト工程である。

脆弱性診断関連の検査はPCI DSSやコモンクライテリアのような基準や規格で定期的に実施する事が要求される場合がある。

9.1. ソースコードセキュリティ検査
-------------------

ソースコードセキュリティ検査は、開発中のソフトウェアのソースコードをチェックする事で、セキュリティ上の問題点を発見する検査であり、おもに実装工程で行われる。その目的は、脆弱性を引き起こしやすい関数をソースコードから抽出したり、構文解析により脆弱性であると思われる箇所を特定する事である。

検査は人間によるソースコードレビューにより行われることもあるし、何らかのツールやサービスを用いて自動的にソースコードを検査することもある。

なお、ソースコードセキュリティ検査は実装段階で混入する脆弱性を発見するものであるので、そもそもソフトウェアの設計そのものに脆弱性があってもそれを発見するのは難しい。

9.2. ファジング
----------

ファジング}}ファジングは開発したソフトウェアに脆弱性を引き起こしやすい様々な入力を与える事で、脆弱性を発見する手法である。ファジングは実装工程やテスト工程において、何らかのツールやサービスを利用して実行される。

ソースコードセキュリティ検査がソースコードを利用するホワイトボックステストであるのに対し、ファジングはソースコードを使わないブラックボックステストないしグレーボックステストである。

ソースコードセキュリティ検査と同様、ソフトウェアの設計そのものに含まれる脆弱性を発見するのは難しい。

制御システムセキュリティのEDSA認証ではファジングが必須になっているなど、ファジングの標準化の流れがある。

ファジングを出荷前に行う事により、出荷後に脆弱性が原因で回収等で莫大なコストが発生する可能性が下げられる。ファジングも導入費用とツールの保守費用をあわせて数百万から数千万円程度かかるが、半年程度で投資回収できるとされる。

9.3. システムセキュリティ検査
-----------------

脆弱性検査ツール#ネットワーク脆弱性検査ツール}}システムセキュリティ検査は、システム上の機器に対してパッチのあたっていない脆弱性が存在しないか、不必要なポートが空いているなどの設定上の不備がないかを調べる検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。なお性能の良いシステムセキュリティ検査ツールであれば、既知の脆弱性はもちろん、未知の脆弱性も発見できる。

システムセキュリティ検査では検査のためにシステムをスキャンする必要があり、スキャンにはパッシブスキャンとアクティブスキャンがある。パッシブスキャンはミラーポートを使ったりWiresharkなどのアナライザを使ったりした受動的なパケットキャプチャ等で脆弱性を発見する手法である。それに対しアクティブスキャンはスキャナが機器にパケットを送信してその反応を見るなど能動的な方法で脆弱性を発見する手法である。

パッシブスキャンよりもアクティブスキャンのほうがより多くの脆弱性を発見できる可能性が高いが、その分システムに負荷をあたえたり、障害の原因になったりする可能性がある。

また脆弱性スキャンはネットワークの外部から行う外部スキャンとネットワークの内部から行う内部スキャンに分類できる。外部スキャンの場合、スキャンのための通信がネットワーク境界にあるファイヤーウォールに阻まれるため、内部スキャンほど多くの情報がとれない。しかし外部スキャンは攻撃者が外部から侵入可能な入口を発見できるなど、内部スキャンとは異なった役割を果たす事ができる。

システムセキュリティ検査は障害の原因になったり、検査対象が増えるにつれて検査費用が高くなるなどの事情があるため、ネットワーク全体に対して検査を行うとは限らず、一部の機器に限定して行われる事もある。

9.4. ウェブアプリケーションセキュリティ検査
------------------------

ウェブアプリケーション脆弱性診断}}脆弱性検査ツール#Webアプリケーション脆弱性検査ツール}}ウェブアプリケーションセキュリティ検査はウェブアプリケーションに文字列を送信したり、ページ遷移を確認したり、ログ解析したりするなど、ウェブアプリケーションに特化した検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる。他の検査と同様、実装時に作り込んだ脆弱性は発見できるものの、設計段階で入り込んだ脆弱性を発見するのは難しい。

IPAによるとウェブアプリケーションセキュリティ検査ツールは３タイプに分けられる。第一のタイプのものは、ブラウザとウェブサイトの間のプロキシとして動作するもので、検査実施者がブラウザでウェブサイトにアクセスした際に発生するリクエストをプロセスである検査ツールが補足し、取得したリクエストの一部を検査実施者が手動で検査用のコードを埋め込む形で書き換え、書き換えたリクエストをウェブサイトに送信してその反応をみる事で脆弱性検査を行う。

第二のタイプは検査ツールがウェブクライアントとして動作し、検査用コードの入ったリクエストをウェブサイトに自動送信し、ウェブサイトからのレスポンスを元に検査実施者にレポートを出力する。第二のタイプのものはツールに予め用意されている量の検査用コードを試自動で試せるのが利点であるが、人力に頼る第一のタイプほど細かな検査はできない。

第三のタイプでは検査ツールは検査実施者が操作するブラウザとウェブサイトとの通信を補足し、補足した情報から不審な動作等を探して検査実施者にレポートとして出力する。第一、第二のタイプと違い検査用コードをウェブサイトに送りつける事がないので、詳細な検査はできないが、その分検査によりウェブサイトに障害が発生する可能性が格段に低いという利点がある。

9.5. ペネトレーションテスト
----------------

ペネトレーションテスト}}ペネトレーションテストは実際の攻撃で使われる手口をそのまま利用する事で、人間が検査システムに攻撃をしかける事によりシステムの弱点を見つけ、システムが実際に攻撃されたときどこまで侵入され、どのような被害が発生するのか明らかにする検査であり、基本的に運用フェーズに行われる。ペネトレーションテストを実施するには攻撃手法に関する高度な知識を必要とするため、セキュリティ企業に依頼して実施する形が普通である。実際の攻撃手法を用いて検査を行うため、脆弱性のみならずシステムの不適切な運用等も発見できる。

その性質上、他の検査よりもシステムに不具合を生じさせる危険が大きいため、影響範囲を事前に特定し、復旧計画を立てて実施する必要がある。

テストは対象システムの構造をテストする人が知っているホワイトボックステストとシステム構造を知らないブラックボックステストにわけられ、さらに攻撃を開始する場所がシステム外部である外部テストとシステム内部である内部テストにわけられる。

9.6. レッドチーム
-----------

レッドチーム}}レッドチームはペネトレーションテストと同様、「レッドチーム」と呼ばれる攻撃チームが実際に攻撃をしかけてみる検査であり、レッドチームに対抗する防御側をブルーチームと呼ぶ。これらの言葉は元々軍事用語であり、敵軍であるレッドチームの視点で、自軍であるブルーチームの防御力や対応力を検証するものである。レッドチーム検査は「脅威ベースペネトレーションテスト」とも呼ばれる。

レッドチーム検査はペネトレーションテストよりもさらに実践的な検査である。ペネトレーションテストと違い、防御側であるブルーチームが攻撃の発生を認知しておらず、この状態でブルーチームがどこまで攻撃に耐えられるのかが試される。

レッドチーム検査ではハクティビスト、愉快犯、内部犯、金銭目的の犯罪者等、攻撃者の「ペルソナ」を作り、レッドチームのメンバーはそのペルソナになりきって攻撃を行う。典型的には攻撃前に初期調査を行い、マルウェアの配送、システム上への攻撃基盤構築、権限昇格、内部調査、目的達成といった手順をたどる。

レッドチームはサイバー攻撃だけではなく、物理セキュリティや人的要素に対しても攻撃をしかける。例えば初期調査では、ゴミ漁り、エレベーターでの盗み聞き、受付に「入館カードを忘れた」といって入り込むなどのソーシャル・エンジニアリング的な手法、偽Wifiポイントの立ち上げによる盗聴、SNSで情報発信を行っている社員からのOSINTなども行われる。

レッドチームのようなサービスをセキュリティベンダーが提供するようになったのは、標的型攻撃が一般化したことにある。標的型攻撃では上述のような物理要素・人的要素を犯す攻撃手法により情報収集されることもあり、こうした攻撃に耐えられるかを試すためにレッドチームのサービスが提供されるようになったのである。

9.7. その他の診断
-----------

ネットワークに接続された不正機器の検出を目的とするネットワークディスカバリや、不正な無線通信を検出するワイヤレススキャンなどがある。

10. 脆弱性ハンドリングと脆弱性管理
-------------------

10.1. 脆弱性ハンドリング
---------------

脆弱性情報ハンドリングとは、新たに発見された脆弱性関連情報の届け出を発見者に促し、届けられた情報を整理して製品開発者の担当窓口に提供して対策方法の立案を促し、適切なタイミングで脆弱性関連情報と対策情報を周知することで、被害を最小化するための活動である。ここで脆弱性関連情報とは脆弱性情報、脆弱性が存在する事の検証方法、およびその脆弱性を利用した攻撃方法の事を指す。また脆弱性への対策方法は、修正方法と回避方法に分類でき、回避方法とはパッチ以外の方法で脆弱性の影響度を回避・低減する方法、例えば脆弱性のある機能の無効化、代替ソフトへの移行、WAFの導入等がある。

攻撃者に脆弱性関連情報を悪用されるのを防ぐため、複数の製品が影響を受ける脆弱性の場合などにおいて、情報の公表に関して関係者間で一定の足並みをそろえる事が重要である。特に海外機関と調整が必要な際にこの原則を破って単独で情報公開を行うと、今後の脆弱性ハンドリングから外される場合がある。

10.1.1. 脆弱性ハンドリングの標準・ガイドライン
---------------------------

国際標準として以下のものがある：

ISO/IEC 30111 – Vulnerability handling process 
ISO/IEC 29147 – Vulnerability disclosure 日本において脆弱性ハンドリング方法の概略は経済産業省告示「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」に規定され、その詳細は「情報セキュリティ早期警戒パートナーシップガイドラライン」に規定されている。規定されている手順は、脆弱性が発見されたのがソフトウェア製品なのかウェブサイトなのかで異なる。

10.1.2. ソフトウェア製品の脆弱性に対するハンドリング手順
--------------------------------

ソフトウェア製品の脆弱性関連情報の発見者はその情報をIPAの窓口に届け出し、IPAはその情報をJPCERT/CCに通知する。JPCERT/CCは製品開発者にその情報を連絡し、製品開発者は脆弱性の検証や対応方法を考える。JPCERT/CCは製品開発者と調整しながら脆弱性関連情報の公開スケジュールを決める。IPAとJPCERT/CCはスケジュールで定められた期日に脆弱性への策方法および対応状況を公表すする。IPAは原則四半期毎に統計情報を公表する。

10.1.3. ウェブサイトの脆弱性に対するハンドリング手順
------------------------------

ウェブサイトの脆弱性関連情報の発見者がその情報をIPAの窓口に届け出するところまでは上の手順と同様だが、ウェブサイトの場合、IPAはJPCERT/CCを介さずに直接ウェブサイト運営者に脆弱性関連情報を通知し、ウェブサイト運営者が脆弱性を修正する。ソフトウェアの場合と異なりIPAやJPCERTの側が脆弱性情報を公開する事は基本的にはない。個人情報漏洩等があった場合、その事実を公表するなどの処置はウェブサイト運営者が行う。

個人情報が漏洩している可能性があるにもかかわらず、ウェブサイト運営者が対応しない場合は、IPAが個人情報保護法34条に従った措置を依頼する。

IPAは原則四半期毎に統計情報を公表する。

10.2. 脆弱性に関する情報源
----------------

脆弱性の情報源としては、各種ニュースサイト以外に、脆弱性情報データベース、ベンダアドバイザリ、注意喚起サイトがある。また攻撃情報の情報源としては、前述した脆弱性の情報源の他、攻撃コードデータベースがある。

10.2.1. 脆弱性情報データベース
-------------------

脆弱性ハンドリング等によって集められた脆弱性関連情報を公開するデータベースの事。主なものとして下記のものがある。



10.2.2. ベンダアドバイザリ
-----------------

ベンダや開発者のサイト、ブログ、アップデート情報、リリースノート等に自社製品の脆弱性情報やその対策情報が提供されている事があり、ベンダアドバイザリ、セキュリティアドバイザリ等と呼ばれている。ベンダアドバイザリは脆弱性情報の形で公開されない場合もあるので、注意が必要である。セキュリティ担当者は基本的には各製品のサイト等を参考にしてベンダアドバイザリ手に入れる必要があるが、各種脆弱性情報データベースに載らないベンダアドバイザリを収集している有償サービスも存在するので、こうしたサービスから情報を得る事も可能である。

10.2.3. 注意喚起サイト
---------------

広く使われている製品に対して、脆弱性の周知と対策の呼び掛けを行っているサイト。国内ではJPCERT/CC、警察庁、IPA等が注意喚起を行っており、海外ではUS-CERTやICS-CERT等がある。

10.2.4. 攻撃コードデータベース
-------------------

攻撃コードを収集したデータベースで、Exploit DBなどがある。

10.3. 脆弱性評価に関する指標
-----------------

10.3.1. Security Content Automation Protocol
--------------------------------------------------

SCAP全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す。

BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする。

10.4. サイバーキルチェーンとの対応
--------------------

以下のようになる

サイバーキルチェーンの原論文に載っているのはdetect、deny、disrupt、degrade、deceive、destroyの５つであり、これはアメリカ合衆国国防総省のInformation Operations方針に載た軍事の分野の対策手段をAPTにも適用したのである。ただし原論文でdestroyは空欄であったので、上の表からは省いた。また文献を参考にして他の列を加えた。

10.5. 主なセキュリティツール・サービスの一覧
-------------------------

日本ネットワークセキュリティ協会はセキュリティのツール・サービスを以下のように分類している



11. APT対策
---------

11.1. APT対策のためのシステム設計
---------------------

11.1.1. コネクトバック通信対策
-------------------

C&Cサーバとのコネクトバック通信ではhttpやhttpsを使う事が多いので、透過型プロキシは通過してしまう。このため透過型でないプロキシを立て、ユーザ端末のブラウザのプロキシ設定をオンにし、プロキシを経由していない通信はファイヤーウォールでインターネットに接続前に遮断する必要がある。アプリケーションの更新などはWSUSのような中間配布サーバを立てるか、個々のアプリケーションに対してプロキシを指定する。後者の場合、通信ログからファイヤーウォールで遮断されたアプリケーションを特定してホワイトリストをチューニングする必要がある。

またマルウェアの中にはプロキシに対応したものもあるので、プロキシの認証機能を有効にし、ユーザ端末のブラウザ側でもID/パスワードのオートコンプリート機能を禁止する必要がある。プロキシはディレクトリサービスと連動するなどしてユーザ単位の認証ができるものが望ましい。またActive Directoryを使えば配下にある端末のオートコンプリート機能を一括で禁止できる。

ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので、プロキシの認証ログを監視し、異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある。

またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート以外のCONNECTメソッドを遮断する必要がある。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる。

11.1.2. ラテラルムーブメント対策
--------------------

攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある。

リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く。

部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある。

また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので、端末の管理共有サービスを無効にする必要がある。

業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる。

Active Directoryの認証失敗時のログを取得できるよう設定し、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある。

また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため、その効果は不明である。

11.1.3. 権限昇格対策
--------------

攻撃者は権限昇格の為ユーザ端末にキャッシュされている管理者権限のアカウント情報を窃取しようとするので、これを防ぐために、ユーザ端末で使用するアカウント権限を必要最低限にする必要がある。

具体的には、ユーザ端末で使用するアカウントはDomain Usersグループに登録していかなる管理者権限を付与せず、ユーザ端末のメンテナンスを行うアカウントはOperatorsグループに登録してDomain Adminsグループなどドメインの管理者権限を持つグループには登録しないようにする。またユーザ端末のローカル管理者などそれ以外のローカルアカウントは、トラップアカウント以外原則全て無効にする。

ドメイン管理者アカウントは可能な限り利用しないようにし、ドメイン管理者権限が必要な作業を運用記録として管理し、Active Directoryの認証ログと月に一度など定期的に突き合わせて、ドメイン管理者権限の不正利用がないか確認する必要がある。運用記録の負荷軽減のため、システム管理製品のメッセージ監視機能等を使ってActive DirectoryのDomain Adminsグループのログイン履歴を監視し、ログインした事実を管理者に送信する事で実作業と突き合わせるようにするとよい。

11.2. 攻撃の検知と把握
--------------

APTの標的となっている組織は、攻撃を検知してからでないと防御を行う事ができないので、サイバーキルチェーンの早いステージで攻撃を検知する事が重要である。そのために以下で説明するインディケータとプロファイルを作成する事が有益である。

11.2.1. インディケータ
---------------

APT攻撃が行われている事を検知するには、攻撃を客観的に指し示す指標に注目する必要がある。インディケータには以下の３種類がある：

どのインディケータがどの攻撃フェーズに対応するのかを明確化する事で、インシデント対応がしやすくなる。

APT攻撃を特定するには、分析官は特定した攻撃のパターンを解析したり他の組織と強調したりする事でインディケータを明らかにし、それらインディケータをツールなどを使って成熟させ、そしてその成熟させたインディケータを使って攻撃を特定するというサイクルを回す必要がある。

こうしたインディケータは、攻撃目標、狙われるシステム、侵入方法、攻撃ツール、攻撃に使う外部資源、攻撃の痕跡、テクノロジーギャップ、攻撃者の知識といったものを分析するために使われる。逆に言えば、こうした事項から逆算して必要なインディケータを割り出す事ができる。

11.2.2. プロファイルの作成
-----------------

APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある。

プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む、というものがある。

プロファイルに含むデータとしては例えば、攻撃者の特性、共犯者、攻撃者の選好分野、標的となった文書、活動時間帯、関連インディケータ、マルウェアやツールキットの分析結果、このAPTを追跡している他のCERT、アナリストの任意のメモなどがある。プロファイルは定期的に見直し、最新に保つ必要がある。

なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある。

11.2.3. 攻撃の予測
-------------

攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である。

11.3. インシデント対応における調査
--------------------

インシデント対応時に対策側が把握すべき事は以下の４つのフェーズに分類できる：

以上の調査のため、下記のものを調べる必要がある：

感染の把握の有無や被害範囲を把握する目的で行う調査としては下記のものがある：



11.3.1. 感染頻出箇所の調査
-----------------

前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある。

11.3.2. 永続化の痕跡の調査
-----------------

マルウェアの永続化の痕跡を以下の方法で発見できる可能性がある

レジストリ情報はreg.exeで収集可能である。調査すべきレジストリの詳細は文献を参照されたい。

11.3.3. 実行痕跡の調査
---------------

マルウェアなどアプリケーションを実行した痕跡が残る代表的な箇所として下記のものがある：

AppCompatCacheやUserAssistはそのままでは可読でないので、何らかの可読化ツールで可読にする必要がある。AppCompatCacheの可読化ツールとしては例えばShimCacheParser.pyがある。

またNTFSのUSNジャーナルやマスター ファイル テーブルにも実行痕跡が残るし、ネットワークにも実行痕跡が残るのでパケットキャプチャによりその痕跡を探る事ができる。

他にも以下のような実行痕跡を調査する必要がある：

攻撃者はラテラルムーブメントの際、攻撃ツールをPsExecでリモート実行する事が多いので、レジストリKEY_USERS\SID\Software\Sysinternals\PsExecを調査する事でその実行痕跡を調査する必要がある。
攻撃ツールが実行環境に合わずにクラッシュしてその痕跡を残す可能性があるので、C:\ProgramData\Microsoft\Windows\WER\ReportArchiveからアプリケーションのクラッシュ情報を調査する必要がある。

11.3.4. 外部通信の調査
---------------

外部通信情報はDNS キャッシュとネットワーク接続情報から取得する。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる。

12. 脅威インテリジェンス
--------------

脅威インテリジェンスはガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意、および実行可能なアドバイスなどを含む。APT対策には脅威インテリジェンスが重要である。

12.1. 脅威インテリジェンスサービス
--------------------

脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し、これにより顧客が脅威情報収集に費やすリソースを減らす。 脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する。さらに不正プログラムの情報、脆弱性情報、ダークウェブなどアンダーグラウンドのコミュニティで取引されている違法な商品やサービス、それらを扱っている組織や人物像、諸外国のサイバー攻撃の情報なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する。

12.2. STIX
----------

SXIXはサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする。

なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。

12.3. TAXII
-----------

TAXIIはSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。

13. CISO
--------

CISOは企業などで情報セキュリティを統括する役員のことで、サイバーセキュリティ対策に関する全社的統括に業務責任を負っている。それ以外にもIT戦略、システム企画におけるセキュリティ実装計画、IT環境における事業継続計画、ディザスタリカバリ、情報セキュリティマネジメントに関して支援・補佐する。

主な業務内容はセキュリティポリシーの策定、個人情報の扱い運用やその監査、コンピュータのセキュリティ対策、機密管理規程の策定、リスク管理、情報漏洩事故の防止、有事の際の対応などを統括する事である。

なお個人情報に関しては「CPO」という役職を別に授ける事もある。情報システムの企画、導入、運用、更新を統括するCIO とは別の役職であるが、兼任する場合もある。またCSO  は日本ではCISOと同義である事が多いが、海外ではCISOとは別で、全社的な保安対策を担当を統括する役職を指す。

経営者がCISOに指示すべき主な重要事項は以下の通りである：

経営者はCISOを任命し、CISOが策定したサイバーセキュリティ対応方針や実施計画を承認する。策定したセキュリティ対応方針は組織の内外に示す。上述の表にあるように、CISOは自身を中心としたサイバーセキュリティリスク管理体制を構築し、経営リスク委員会等他の体制と内部統制、災害対策等について整合を取る必要がある。また「★」がついている項目はCSIRTなどのセキュリティ対応部門に実務を担わせる。

14. SOCとCSIRT
-------------

14.1. 業務内容と対応組織
---------------

企業などに存在するセキュリティ対応組織には、SOCとCSIRTの２種類が存在し、これら２つの主な仕事は以下の２点に集約される：

インシデント発生の抑制
インシデント発生時の被害最小化セキュリティ対応組織の実務は、体制の検討、構築、見直しといった導入のフェーズ、概ね平時に行われる運用のフェーズ、インシデントが発生した「有事」においてインシデントに対応するフェーズからなる。全体の運営は、短期に回す運用・対応のサイクルと、この短期サイクルを踏まえて導入の見直しを行う長期サイクルからなっている。

以上の業務をSOC、CSIRTという２種類の組織で行う。これら２つ組織の役割分担や関係性、業務内容等は企業毎に異なるが、それぞれ概ね以下のような仕事を担う：

文献は、CSIRTがインシデントに対して行なう活動全般をインシデントマネジメントと呼び、インシデントマネジメントには、有事の対応に相当するインシデントハンドリング以外に以下の活動が含まれるとしている：

脆弱性対応
事象分析
普及啓発
注意喚起
その他インシデント関連業務

14.2. 種別
--------

CSIRTには、企業などの組織内に存在する組織内CSIRTの他に、国や地域を代表する国際連携CSIRTや、JPCERT/CCのように複数のCSIRTの連携を行うコーディネーションセンターなどがあるが、本項では特に断りがない限り組織内CSIRTに関して述べるものとする。

またSOCには自組織で運営するものと、専門業者に外部委託するものがある。両者を区別する場合、自組織で運営するものをプライベートSOCと呼ぶ。一方、SOC機能等の外部委託先となるセキュリティサービスとしてMSSがあり、MSSを提供する事業者をMSSプロバイダーと呼ぶ。MSSPは例えば以下の機能を提供している：

SOC機能
リモートでシステムのセキュリティをリアルタイムに監視
セキュリティ対策装置の運用
セキュリティインシデント発生時の対応支援を提供するセキュリティ対策装置の攻撃アラートの検知時には、その内容を調査・分析して重要度や影響度を契約企業に通知し、対応を実施する。またセキュリティ対策装置の運用の一環として、装置のソフトウェア更新を行ったり、ポリシー設定やシグネチャの変更や更新を行ったりする。さらに稼動状況や対応作業の報告を行ったり、リアルタイムに状況をレポートしたり、契約企業からの問い合わせ対応を行ったりもする。

なおMSS事業者の呼称は業者毎に異なっており、「MSSP」以外にも「MSP」、「MSSP」、あるいは単に「SOC」等とも呼ばれる。またMSSPの業態には、専業事業者以外に、SIer、ISP、ハードウェアベンダがサービスを提供する場合もあり、サービス内容としてMSS以外にIT システムの運用や機器の稼働監視提供している場合がある。またMSS は24 時間365 日体制で提供される場合が多い。

14.3. 関連組織
----------

SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークdate=2023年5月}}の運用管理部門であるNOCと協調する必要がある。

また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある。

14.4. リアルタイムアナリシス
-----------------

SOCに求められる主な機能の一つで、ログを参照監視してインシデントの予兆を発見する。監視するログとしては主に以下のものがある：

ファイアウォールなどのネットワーク装置のログ
IDS/IPS、WAFといったセキュリティ機器のアラートログ
Webサーバなどのアクセスログ
Active DirectoryやDNSなど各種システムからのログ
ユーザ利用端末のログSIEMのようにログを収集・正規化し、複数のログを相関分析する機器を用いる事で、職人芸的なログ分析能力などの属人性を廃して膨大な量のログを分析する。

ログの分析は以下の２つをトリガーとして行う

セキュリティ機器のルールやシグネチャ条件に合致したイベントの発生によるアラートをトリガーにして分析を開始する、
一つのログを定点観測する事で、時間あたりのログの量が急激に増えるなどの現象をトリガにして分析を開始する。上述した分析だけでは不足する場合は、詳細な分析として以下を行う：

専用のネットワークキャプチャ装置やセキュリティ装置を用いたパケットキャプチャ
エンドポイントやサーバから必要なデータを取得以上に加えリアルタイムアナリシスでは、トリアージに必要となる情報の収集を行う。

SOCにはその活動内容の報告が求められ、定期報告と必要に応じた臨時報告を行う。定期報告は大手ソフトウェアメーカーが定期的にパッチをリリースする1週間後程度を目安として行われる事が多い。報告内容は被害端末の情報、攻撃手法、攻撃経路、情報漏えいの有無、影響度、すぐに行うべき短期的な対処策等である。不明なものは不明と明記する事が望ましい。また分析に関する問合せ対応も行う必要がある。

14.5. インシデントハンドリング
------------------

CSIRTに求められる主な機能の一つで、インシデントの発生確認、迅速な封じ込め、影響範囲特定とその文書化、全容解明、復旧といった技術より作業の他に、ビジネスやネットワークに及ぼす混乱を最小限にとどめ、インシデントに対する世間の認識をコントロールし、犯人に対する訴訟の準備をするといった作業も含まれる。

インシデントハンドリングは技術的な作業のみにとどまらないので、一般的に

何が発生したのかを判断して損害を評価する調査チーム
攻撃者を排除して被害者のセキュリティ体制を強化する修復チーム
何らかの形の広報活動で構成される。インシデント管理責任者はCISO、CIO、もしくは彼らから直接任命を受けた人物がその任務にあたる。

CSIRTはインシデントと思しき情報をユーザやSOC、外部組織等から検知／連絡受付したら、その情報をトリアージし、対応すべきと判断したインシデントに対してインシデントレスポンスを行い、最後に報告／情報公開を行う。

14.5.1. 検知／連絡受付
---------------

インシデントと思しき情報は自組織内部の保守作業で発見される場合、IDSのような何らかの異常検知システムで発見される場合、外部からの連絡により発見される場合の３通りがある。

よってCSIRTは、

保守作業で発見されるケースが増えるよう、インシデントの検知に必要なチェック項目とチェック方法を予め定めておく必要がある。
保守作業ないし異常検知システムでインシデントと思しき情報が発見された場合に備え、何を持って異常とするのかを事前に定めておく必要がある。
外部からの連絡が増えるよう、事前に問い合わせ窓口を用意し、自組織のWebサイト等で公開しておく必要がある。またWHOISにCSIRTのグループアドレスを登録してメンバの誰でも対応できるようにする必要がある。

14.5.2. トリアージ
-------------

CSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく。

インシデントと思しき情報があったら情報提供者から必要情報を入手し、5W1Hを整理する。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する。

なお本稿では文献に従ってトリアージをインシデントハンドリングに含めたが、文献ではトリアージをリアルタイムアナリシスに含めている。

14.5.3. インシデントレスポンス
-------------------

トリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。

まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し、対応が必要だと判断した場合は対応計画を策定し、具体的な対応活動・攻撃の抑止措置を取る。この際必要に応じてIT 関連部署や外部組織と連携し、経営層と情報共有し、外部の専門機関等に支援を依頼する。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する。

調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する。

優先度の低いインシデントは電話やメールでリモート対応する。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う。なお詳細な分析に関してはディープアナリシスの節で記述する。

このフェーズでは、調査や訴訟のために証拠を保全する事を重要である。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある。

14.5.4. 報告／情報公開
---------------

必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う。

14.6. ディープアナリシス
---------------

インシデントの全容解明と影響の特定のため、被害を受けたシステムの調査、漏えいしたデータの確認、攻撃に利用されたツールや手法の分析などを行う。

具体的には

ネットワークログ、PCAP、その他リアルタイム分析の対象ではないログを用いたネットワークフォレンジック
被害に遭ったマシンのメモリや記憶媒体を用いたデジタルフォレンジック
マルウェアの検体解析等を行う事で攻撃の全容を解明し、犯罪捜査や法的措置を行う可能性がある場合は証拠を保全する。

文献ではディープアナリシスをSOCの業務としている。

14.7. 全般的な運営
------------

14.7.1. 方針策定
------------

以下を策定し、必要に応じて改善する：

取り扱うべき事象、対応範囲、運営体制、行うべき取り組みなどの全体方針
インシデント発生時、脆弱性発見時、脅威情報発見時のトリアージ基準とそれぞれに対する具体的なアクションの方針
体制、業務プロセス、システム、人材育成、キャリアパスなどの全体像の把握と立案

14.7.2. 全般的な運用業務
----------------

人員等のリソース管理
人材確保
対応の効果測定と品質改善
ネットワークやエンドポイントのセキュリティ機器の運用管理、分析基盤、アナリシスツール、業務基盤等の運用管理

14.8. その他の業務
------------

SOC・CSIRTの業務として、以上に挙げたもの以外に以下のものがある。

14.8.1. 資産管理
------------

防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する。

14.8.2. 脆弱性管理・対応
----------------

資産管理の結果得られた資産リストに関する脅威情報を収集し、対応が必要な資産を特定し、その資産の管理部門に通達する。さらに脅威への対応状況を管理する。この目的のためにプラットフォーム診断、Webアプリケーション診断などを自動脆弱性診断ツールで実行する他、必要に応じて手動の脆弱性診断を行う。

14.8.3. 情報収集・注意喚起
-----------------

下記の情報を収集する：

内部インテリジェンス
外部インテリジェンスこれらの情報を定期的にドキュメント化し、周知する。重大な脆弱性等に関しては速報も出す必要がある。

14.8.4. 予行演習・社員教育・普及啓発等
-----------------------

標的型メール訓練の実施
ソーシャルエンジニアリングテストの実施
攻撃が起きたという想定でのサイバー攻撃対応演習とその結果の反映
社内研修・勉強会の実施ないしその支援
社内セキュリティアドバイザーとして活動

14.8.5. 内部統制支援
--------------

内部統制の監査データで必要となるログの収集と報告、内部不正が発覚した際の支援、内部不正の検知や防止の仕組みの確立支援等を行う。

14.8.6. 社内外の組織との連携
------------------

利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など。CSIRTによるコミュニティとしては、例えばFIRST 、APCERT 、日本シーサート協議会などがある。

14.9. PSIRT
-----------

PSIRTは「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする。

PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する。

PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い、PSIRTはそのための支援やガイドラインの作成等を行う。集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する。ハイブリッドモデルは両者の中間形態である。

「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」では「高度なセキュリティスキルと専門知識を1 つの領域に集中」できる集中モデルが適している。

PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保、脆弱性発見者との交流、サプライチェーンの上流・下流との交流、バグバウンティの提供もしくはバグバウンティベンダとの交流など、PSIRT固有の活動もある。

15. 制御システム・IoT機器のセキュリティ
-----------------------

15.1. 制御システムのセキュリティ
-------------------

制御システムとは、例えば

エネルギー分野、石油・化学、鉄鋼業プラントにおける監視・制御
機械・食品等の工場の生産・加工ライン
施設管理、鉄道運行管理などで用いられるシステムの事である。インターネットの普及に伴い、制御システムの機器も汎用で標準的なプロトコルを用いて制御用データを送受信するようになり、システムにもWindows やUNIXなどの汎用OSが利用されるようになっている。こうした理由により、制御システムもインターネットを経由したサイバー攻撃のリスクに晒されており、セキュリティ対策が必要となる。制御システムは社会インフラで利用される事が多いので、サイバー攻撃のリスクは大きく、場合によってはサイバーテロの標的になったり、国家によるサイバー攻撃を受けたりする場合もある。

15.1.1. 制御システムの特徴
-----------------

制御システムでも情報セキュリティのCIA、すなわち下記の３つは重視される

機密性 : 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること
完全性 : 情報が破壊、改ざん又は消去されていない状態を確保すること
可用性 : 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保することしかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの３つも重視される

健康
安全
環境への影響以下の表は制御システムと情報システムとでセキュリティに対する考え方の違いを整理したものである：



15.1.2. CSMS
------------

15.1.3. 一方向性ゲートウェイ
------------------

15.1.4. アプリケーションホワイトリスト
-----------------------

15.2. IoT機器のセキュリティ
------------------

IoT機器とは家電、オフィス機器、自動車、信号機などのモノでインターネットにつながる機能を有しているものを指す。IoT機器はLinuxやWindowsなどの汎用OSがカスタマイズして搭載されている。IoT機器の多くでは、設定変更を行うためウェブサーバ機能が搭載サれており、他にもFTPやSMBのサーバ機能、メールサーバ機能等が搭載されていることもある。

IoT機器は出荷した初期設定状態ですぐ利用できる事が想定されているため、初期設定ではログイン認証機能が設定されていないことも多く、こうしたIoT機器がファイヤーウォールを隔てることなく直接インターネットに接続されることも多い。このため複合機やウェブカメラから機密情報や個人情報が漏洩したり、ブロードバンドルーターなどのIoT機器の設定を不正に変更してユーザを悪性サイトに誘導したり、スパムメール送信やDoS攻撃に利用されるなど攻撃の踏み台にしたりといったインシデントが起きている。

16. 日本国のサイバーセキュリティ推進体制
----------------------

16.1. サイバーセキュリティ基本法
-------------------

サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である。

またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める。

16.2. サイバーセキュリティ戦略本部と内閣サイバーセキュリティセンター
-------------------------------------

サイバーセキュリティ基本法第24条により内閣にサイバーセキュリティ戦略本部を置く事が定められており、内閣官房組織令第1条により内閣官房に内閣サイバーセキュリティセンターを置く事が定められている。サイバーセキュリティ戦略本部の庶務はNISCが行うこととされている。それぞれの概要は下記のとおりである：



16.3. サイバーセキュリティ担当大臣
--------------------

サイバーセキュリティ戦略本部に関する事務を担当する国務大臣の通称としてサイバーセキュリティ担当大臣と呼ぶことがある。事務局であるNISCは内閣官房に属するが、同国務大臣は担当大臣や内閣府特命担当大臣とも異なる無任所大臣であり、辞令等によってサイバーセキュリティ担当とする補職が行われているものではない。デジタル市場競争本部の設置についてなどにおいて、本部員に「サイバーセキュリティ戦略本部に関する事務を担当する国務大臣」が指定されている。

16.4. サイバーセキュリティ協議会
-------------------

平成30年のサイバーセキュリティ基本法改正によりその創設が決定された。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」。NISCと専門機関を事務局とし、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする。構成員には秘密保持と協議会への情報提供の協力とが課せられる。

16.5. サイバーセキュリティ戦略
------------------

サイバーセキュリティ戦略本部はサイバーセキュリティ戦略というサイバーセキュリティに関する基本的な計画を作り、閣議決定する。その内容は下記のとおりである：

サイバーセキュリティに関する施策についての基本的な方針
国の行政機関等におけるサイバーセキュリティの確保に関する事項
重要社会基盤事業者や地方公共団体等におけるサイバーセキュリティの確保の促進に関する事項
その他サイバーセキュリティに関する施策を総合的かつ効果的に推進するために必要な事項

16.6. 政府統一基準
------------

サイバーセキュリティ戦略本部は政府機関等におけるサイバーセキュリティに関する対策の基準の作成を行うと定められており、この定めに従って作られるのが政府統一基準群である。

統一基準群は以下の４つのガイドラインの総称である：

統一規範、統一基準、指針の原案はNISCが策定し、サイバーセキュリティ対策推進会議を経てサイバーセキュリティ戦略本部が決定する。対策基準策定ガイドラインは、府省庁と協議の上、NISCが決定する。

16.7. GSOC
----------

GSOCはNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の９つ。

これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない。

16.8. 情報セキュリティー緊急支援チーム
-----------------------------

CYMATは、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である。平常時には研修や訓練も実施している。

16.9. 政府共通プラットフォーム
------------------

政府全体でシステム基盤を共有化するプラットフォーム。2009年に政府が掲げた「霞が関クラウド」を構想化したもので、2013年3月18日から運用を開始。クラウドコンピューティングなどのICT技術を活用する事で、各府省の政府情報システムを統合、共通機能を一元的に提供する。

クラウドコンピューティングをはじめとする最新の情報通信技術を活用し、従来は各府省が個別に整備・運用していた政府情報システムを統合・集約するとともに、共通機能を一元的に提供する基盤システム。2013年3月18日から運用を開始した。しかし個人情報を含んでいたり民間サービスを利用したりしている61%のシステムは2016年段階で統合できず、政府共通システムへの以降は限定的である。　

16.10. 防衛省の施策・活動
----------------

防衛省・自衛隊内にはサイバーセキュリティに関する下記の組織がある：

またサイバー攻撃対処に関する態勢や要領を定めた規則として「防衛省の情報保証に関する訓令」などを発行している。

他組織とは下記のような連携体制を取っている：



16.11. 警察庁の施策・活動
----------------

16.11.1. サイバー警察局
----------------

2022年度に新設されたサイバー警察局では、情報技術解析課で技官がフォレンジックを担当している。

16.11.2. 日本サイバー犯罪対策センター
-----------------------

一般財団法人日本サイバー犯罪対策センターは「日本版NCFTAとしてサイバー空間の脅威に対処するための非営利団体」。「警察による捜査権限のより効果的な行使を始めとする脅威への先制的・包括的な対応を可能とする産学官の新たな連携の枠組」である。2018年現在、正会員18社、賛助会員36社。

2017年現在、JC3は違法性アダルトサイトや不正口座の摘発、犯罪者の検挙や犯罪組織のインフラのテイクダウン、加盟団体の情報提供によるエクスプロイトキットの全容解明等で成果をあげている。具体的活動としては、「犯罪者を特定するための調査」、「ログなどの証拠収集と確保」、「民間企業であるプロバイダや回線事業者への協力要請」、「摘発する各都道府県警の足並みを揃える」、「海外にサーバがある場合に国際的な法執行機関との事前連携を取る」など。

JC3には「全国の警察組織をとりまとめる警察庁のメンバーが事務所内に常駐体制を敷」いており、全国一斉の捜査・摘発では足並みを揃えやすい。またサイバー攻撃の標的になるのを避けるためNCFTAがそのメンバーを積極的には公表していないのに対し、JC3では参加企業・協賛団体を公開している。

主な活動内容は以下の通り：



16.12. 情報処理推進機構の施策・活動
--------------------------

独立行政法人情報処理推進機構は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の３つの事業領域を持ち、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。

16.12.1. 標的型サイバー攻撃対策
--------------------

IPAでは標的型サイバー攻撃対策のため、「脅威と対策研究会」を立ち上げて「『高度標的型攻撃』対策に向けたシステム設計ガイド」等の資料を公開している他、以下を行っている：