stanford-oval/wikipedia huggingface dataset:
サイバーセキュリティ
脆弱性ハンドリングと脆弱性管理 > 脆弱性に関する情報源 > 脆弱性情報データベース

→詳細は「脆弱性情報データベース」を参照
脆弱性ハンドリング等によって集められた脆弱性関連情報を公開するデータベースの事。主なものとして下記のものがある。
| 名称 | 概要 |
| --- | --- |
Common Vulnerabilities and Exposures(CVE): 脆弱性に固有の識別番号を割り振ったデータベースで、詳細情報は外部サイトや他の脆弱性データベースに任せている。アメリカ合衆国国土安全保障省(DHS)のNCSDの資金のもとMitre社のNational Cybersecurity FFRDCが運営。
National Vulnerability Database(NDV): アメリカ国立標準技術研究所(NIST)が管理する脆弱性情報データベース。CVEで命名された脆弱性情報の詳細情報をNVDで提供している。
Japan Vulnerability Notes (JVN): JPCERT/CCとIPAが共同で管理している脆弱性情報データベース。脆弱性ハンドリングの結果挙がってきた脆弱性関連情報のみならず、海外の調整機関と連携した脆弱性情報も載る。海外連携情報元としてはCERT/CCのTechnical Cyber Security AlertsやVulnerability Notes、CPNIのCPNI Vulnerability Adviceなどがある。
JVN iPedia: JVNのサイト内にある、脆弱性対策情報データベース。JVNがいち早く一般に周知することを目的にしているのに対し、JVN iPediaでは脆弱性が公開されてから一週間程度を目安に、JVNに掲載されたもの以外にも国内外問わず脆弱性対策情報を広く公開している。
Open Source Vulnerability Database (OSVD): 脆弱性に関するオープンソースのデータベース。
脆弱性ハンドリングと脆弱性管理 > 脆弱性に関する情報源 > ベンダアドバイザリ

ベンダや開発者のサイト、ブログ、アップデート情報、リリースノート等に自社製品の脆弱性情報やその対策情報が提供されている事があり、ベンダアドバイザリ、セキュリティアドバイザリ等と呼ばれている。ベンダアドバイザリは脆弱性情報の形で公開されない場合もあるので、注意が必要である。セキュリティ担当者は基本的には各製品のサイト等を参考にしてベンダアドバイザリ手に入れる必要があるが、各種脆弱性情報データベースに載らないベンダアドバイザリを収集している有償サービスも存在するので、こうしたサービスから情報を得る事も可能である。
脆弱性ハンドリングと脆弱性管理 > 脆弱性に関する情報源 > 注意喚起サイト

広く使われている製品に対して、脆弱性の周知と対策の呼び掛けを行っているサイト。国内ではJPCERT/CC、警察庁、IPA等が注意喚起を行っており、海外ではUS-CERTやICS-CERT（制御システムが対象）等がある。
脆弱性ハンドリングと脆弱性管理 > 脆弱性に関する情報源 > 攻撃コードデータベース

攻撃コード（エクスプロイト）を収集したデータベースで、Exploit DBなどがある。
脆弱性ハンドリングと脆弱性管理 > 脆弱性評価に関する指標 > Security Content Automation Protocol(SCAP)

→詳細は「Security Content Automation Protocol」を参照
SCAP（エスキャップと発音)は、アメリカ国立標準技術研究所(NIST)が策定した「脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」である。 2015年現在、SCAPには以下の６つの仕様が規定されている：
| 略称 | 名称 | 概要 |
| --- | --- | --- |
| CWE | Common Weakness Enumeration | ベンダーに依存しない共通の脆弱性分類方法。脆弱性をツリー構造で分類 |
| CVE | Common Vulnerabilities and Exposures | 脆弱性毎に「CVE－西暦－連番」という形のCVE識別番号(CVE-ID)を付与し脆弱性の概要(Description)、参考URL(References)、ステータス(Status、「候補」もしくは「登録」)を記述。CVE識別番号はベンダーに依存しない共通の脆弱性識別子 |
| CVSS | Common Vulnerability Scoring System | ベンダーに依存しない共通の脆弱性の評価手法に従い点数化。脆弱性の技術的な特性を表した「基本評価基準」、現時点での危険度を表した「現状評価基準」、製品利用者毎に評価が変わる「環境評価基準」に対し脆弱性の危険度を0.0～10.0の評価値（大きいほど危険）で表現。 |
| CCE | Common Configuration Enumeration | 「設定上のセキュリティ問題」を解決するためにコンピュータのセキュリティ設定項目に一意の番号（設定項目識別子）を付与する仕様 |
| XCCDF | eXtensible Checklist Configuration Description Format | プログラム上や設定上のセキュリティ問題のチェック項目をXMLで記述するための仕様 |
| OVAL | Open Vulnerability and Assessment Language | コンピュータのセキュリティ設定状況を検査するための仕様 |
脆弱性ハンドリングと脆弱性管理 > 脆弱性評価に関する指標 > その他の指標

| 略称 | 名称 | 概要 |
| --- | --- | --- |
| CAPEC | Common Attack Pattern Enumeration and Classification | 共通的な攻撃パターンを網羅的に列挙し、分類したもの。US-CERTによるスポンサーのもとMitre社が作成している。類似した攻撃を共通化し、ツリー構造で攻撃を分類している。 |
| MAEC | Malware Attribute Enumeration and Characterization、マルウェア特徴属性一覧 | マルウェアの動作、痕跡、攻撃パターンなどを記述するためのXMLベースの仕様。 |
| CEE | Common Event Expression：共通イベント記述 | ログなどのイベントを記述するための仕様 |
| IODEF | Incident Object Description Exchange Format | インシデント情報交換メッセージフォーマット。RFC 5070に規定されている。 |
| CybOX | Cyber Observable eXpression、サイバー攻撃観測記述形式 | オブジェクト」と「イベントフィールド」を用いて記述する。オブジェクトは「ファイル、レジストリキー、プロセスなど、サイバー攻撃活動によって観測された事象の主体を記述」し、イベントフィールドは観測事象中に発生した動作を記述するもので」、例えば「ファイルを削除した、レジストリキーを作成した、HTTP GET要求を受信したなど、あるオブジェクトに対して行われた動作を記述」する。 |
脆弱性ハンドリングと脆弱性管理 > 脆弱性管理

脆弱性管理とは「自社の脆弱性の状況を常に掌握して、より頻繁かつ効果的に修正するためのプロセス」の事である。脆弱性管理で行うプロセスはツールやサービスによって異なるものの、IT資産の目録作成、守るべきIT資産の優先度付け、IT資産の脆弱性の発見、脆弱性のリスクレベルの特定と対策優先度の決定、脆弱性への対処ないしその支援、対処状況の一覧化といったプロセスを含む。
セキュリティ対策技術 > 境界防御・サーバ防御技術 > ファイヤーウォール

→詳細は「ファイヤーウォール」を参照
ファイヤーウォールはネットワーク境界に設置して不正な通信を遮断する技術である。通信を許可・遮断するIPアドレスやポート番号をしていするタイプのファイヤーウォールをパケットフィルタリング型のファイヤーウォールという。パケットフィルタリング型のうち、管理者により予め決められたテーブルにしたがって通信の許可と遮断を行うものをスタティック型という。それに対しダイナミック型のパケットフィルタリングでは、ネットワーク境界内はネットワーク境界外より安全だという前提の元、境界内から境界外への通信が発生したときは、その返答が境界外から帰ってきた場合のみ例外的に通信を許可する。ステートフルパケットインスペクションはダイナミック型の特殊なもので、TCP/UDPセッションを認識して、正当な手順のセッションに属する場合のみ通信を許可する。
パケットフィルタリング型が通信の許可・遮断機能のみを持つのに対し、それ以外のファイヤーウォールは通信の中継機能を持つ。サーキットレベルゲートウェイ型ファイヤーウォールは、ファイヤーウォールを通過する際IPアドレスを付け替え、ネットワーク境界内のIPアドレスが境界外にもれないようにする。アプリケーションゲートウェイ型ファイヤーウォールはHTTPなどアプリケーション層のプロトコルを理解してプロキシとして振る舞う。コンテンツをキャッシュして通信速度を早くする他、有害なサイトのフィルタリングを行ったり、マルウェア対策ソフトを組み込んでファイヤーウォールをまたぐ通信に含まれるマルウェアを検知したりできる。
セキュリティ対策技術 > 境界防御・サーバ防御技術 > IDS/IPS

IDS(Intrusion Detection System、侵入検知システム)は不正侵入の兆候を検知し、管理者に通知するシステムである。IPS(Intrusion Prevention System、侵入防止システム)も不正侵入の兆候を検知するところまではIDSと同様だが、検知した不正を自動的に遮断するところに違いがある。両者を合わせてIDPSという場合もある。センサーないしエージェントと呼ばれるアプライアンスないしソフトウェアを利用して通信などの情報を集める事により不正を検知する。センサーやエージェントの集めた情報は管理サーバに送られ、管理サーバ側でも複数のセンサー・エージェントの情報を相関分析する事で不正を検知する。
IDPSは以下の4種類に分類できる：
| 分類 | センサー・エージェントの主な設置・インストール場所 |
| --- | --- |
ネットワークベースIDPS: ネットワーク境界
無線IDPS: 監視対象の無線ネットワークの通信範囲内や、無許可の無線ネットワーク活動が行われている懸念のある場所
NBA(Network Behavior Analysis): 組織内ネットワークフローの監視ができる場所、もしくは組織内と外部ネットワークの間の通信フローの監視ができる場所
ホストベースIDPS: 攻撃を受けやすい公開サーバや機密情報が置かれているサーバなどの重要ホスト。その他PCのようなクライアントホストやアプリケーションサービスにもインストールされる。
ネットワークベースのIDPSとNBAはどちらもネットワークを監視する点では共通しているが、前者は主に組織LANと外部ネットワークの境界などネットワーク境界に設置され、境界をまたぐ通信を監視するのに対し、NBAは組織LAN内に設置され、LAN内の通信を監視する点に違いがある。
ネットワークベースIDS、IPSを略してそれぞれNIDS、NIPSと呼ぶ。同様にホストベースIDS、IPSをそれぞれ略してHIDS、HIPSという。
ネットワークベースのIDPSのセンサー設置方法としては、監視対象の通信が必ず通る場所にIDPSを設置するインライン型と、監視対象の通信が必ず通る場所にスパニングポート、ネットワークタップ、IDSロードバランサ等を設置する事で監視対象の通信をコピーし、コピーした通信をIDPSで監視する受動型がある。攻撃の遮断や回避のようなIPSとしての機能を利用する場合はインライン型が必須である。
インライン型の場合、ファイヤーウォールが攻撃と考えられる通信を遮断するのでファイヤーウォールの前に設置するか後ろに設置するかで取得できる情報や、IDPSへの負荷が異なる。ファイヤーウォール前後両方を監視するためにIDPS機能とファイヤーウォール機能がハイブリッドになった製品もある。
受動型はネットワークの複数箇所の通信をコピーして集約した上で解析できるという利点がある。例えばファイヤーウォールの前後およびDMZの通信を全てコピーして解析するといった行為が可能になる。
セキュリティ対策技術 > 境界防御・サーバ防御技術 > WAF

→詳細は「Web Application Firewall」を参照
WAF（Web Application Firewall）は、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ。WAFはウェブサイトの前に設置し、ウェブアプリケーションの脆弱性に対する攻撃と思われる通信の遮断等を行うものであり、LANとインターネットの境界などに設置されることが多い通常のファイヤーウォールとは（その名称にもかかわらず）機能が異なる。WAFが検知する攻撃はウェブサイトへのものに特化しており、HTMLを解釈してクロスサイトスクリプティングやSQLインジェクションなどの攻撃を遮断する。
攻撃を遮断する点においてIPSと類似するが、IPSはOSやファイル共有サービスなど様々なものに対する攻撃を遮断するために不正な通信パターンをブラックリストとして登録しておくのに対し、WAFの防御対象はウェブアプリケーションに限定されている為ブラックリスト型の遮断のみならず、正常な通信を事前登録してホワイトリスト型の遮断も行うことができる。
WAFを導入する主なケースとして、レンタルサーバ提供ベンダーや、複数のグループ企業を束ねている大手企業など、直接自分で管理していないウェブアプリケーションを保護したい場合、他社が開発したウェブアプリケーションを利用しているなど自分では脆弱性を防ぐことができない場合、事業継続の観点からウェブアプリケーションを停止できず脆弱性を行ったりパッチを当てたりできない場合等があり、根本対策のコストよりもWAFの導入・運用のコストのほうが安い場合にWAFを導入する。
WAFにはHTTP通信（リクエスト、レスポンス）を検査し、検査結果に基づいて通信を処理し、処理結果をログとして出力する機能がそなわっている。通信の検査は前述のようにホワイトリスト、ブラックリストを用いて行う。検査結果に基づいた通信の処理としては、そのまま通過させる、エラー応答を返す、遮断する、通信内容の一部を書き換えた上で通過させる、という４通りがある。またセッションのパラメータの正当性やHTTPリクエストの正当性を確認してCSFR等の攻撃を防ぐ機能、ウェブサイトの画面遷移の正当性を確認する機能、ホワイトリストやブラックリストを自動更新する機能、ログをレポートの形で出力する機能、不正な通信を管理者にメール等で通知する機能等がついている事もある。
なお、たとえばウェブアプリケーションの認可機能に問題があるが、HTTP通信自身には問題がないケースなどではWAFは異常を検知してくれないので別の対策が必要となる。
セキュリティ対策技術 > 境界防御・サーバ防御技術 > Web レビュテーション

Webレピュテーションは様々な手法でウェブサイトを評価する事で、不正と思われるサイトへの接続を制御・抑制する技術である。ユーザがウェブアクセスする際、アクセス先のURLをWebレピュテーションを提供しているセキュリティベンダーに問い合わせ、アクセスのブロック等を行う。これにより不正サイトへのアクセスを制限できるのはもちろん、改竄された正規サイトに埋め込まれた不正サイトへのリンクへのアクセスもブロックできる。またユーザによるアクセスのみならず、マルウェアによる外部接続も検知・遮断できる。
Webレピュテーションの評価基準には例えば以下のものがある：
ウェブサイトの登録年月日：悪性サイトは作成日が比較的新しいものが多い為。
ウェブサイトの安定性：悪性サイトはDNSやIPアドレスを頻繁に変える(fast flux)事が多い為。
特定のネームサーバが複数のドメインで利用されているか否か：フィッシングサイトはこのような特徴を持つものが多い。
レピュテーションのアイデアはマルウェア検知にも応用されており、「ファイルレピュテーション」や「プログラムレピュテーション」などと呼ばれている。
セキュリティ対策技術 > エンドポイント対策技術

エンドポイント（＝パソコン、PDA、携帯電話などのネットワーク端末）のセキュリティ対策ツールはEPP（Endpoint Protection Platform：エンドポイント保護プラットフォーム）とEDR（Endpoint Detection and Response）に大きく分ける事ができる。EPPがマルウェア感染から防御するためのものであるのに対し、EDRはマルウェアに感染してしまったことを検知（Detection）してその後の対応（Response）を行うためのものである。EPPに分類されるものとしてマルウェア対策ソフト、パーソナルファイアウォール、ポート制御、デバイス制御などがある。
セキュリティ対策技術 > エンドポイント対策技術 > EDR

EDRは標的型攻撃やゼロデイ攻撃などによりマルウェア感染が防げないという現実に対応して登場したもので、エンドポイントにインストールするクライアントソフトと、それを一括管理するサーバないしアプライアンスからなる。感染の検知や対応が目的なので、エンドポイントを監視して攻撃の兆候を検知し、ログを取得して組織全体のログデータと突合し、必要に応じて攻撃遮断などの応急処置を取ったりする。EDRが攻撃検知に用いる情報の事をIOC（Indicator of Compromise、侵害痕跡）と呼び、具体的にはファイルの作成、レジストリーの変更、通信したIPアドレス、ファイルやプロセスのハッシュ値などがある。なおEDRはガートナーのアナリストが2013年に定義した用語である。
セキュリティ対策技術 > エンドポイント対策技術 > リモートブラウザ

ブラウザ経由でのマルウェア感染を防ぐため、ブラウザのセッションをリモートから提供する手法のこと。ブラウザのセッションは「ブラウザ・サーバ」という社内サーバもしくはクラウドから提供される。Webページのレンダリングはブラウザ・サーバ側で行われ、エンドポイントには無害化した描画情報ないしレンダリング結果の画面ストリームのみが送られる。
ブラウザ・サーバはブラウズ・セッションごと、タブごと、もしくはURLごとにリセットされるので、ブラウザ・サーバ自身が汚染される危険はない。
セキュリティ対策技術 > 情報漏えい対策技術

情報の機密性、完全性、可用性を守るため、情報の管理、更新、消去といった情報ライフサイクル管理(ILM, Information Lifecycle Management)の方法がISO 15489やJIS X 0902に規定されるなど、セキュアな情報管理が求められる。このための技術として暗号化や署名といった暗号技術の他、USBポートのコントロールやe-メールの監視による情報の持ち出し制御、DLPなどがある。
セキュリティ対策技術 > 情報漏えい対策技術 > DLP

DLP(Data Loss Prevention)は、機密情報の不正持出しを防ぐための技術である。合意された定義は存在しないため、広義には暗号化やUSBポートのコントロールもDLPに含まれる場合がある。しかし多くの場合DLPは、機密情報に関するポリシーをサーバで管理し、そのポリシーに従って情報の移動、持ち出し、利用等を制限したり遮断したりする技術である。システムにある機密情報を洗い出す特定機能や洗い出した機密情報を監視する機能もついている場合が多い。
DLPは機密情報をそのコンテンツ内容やその情報が利用されるコンテキスト（利用時間や環境等）などから特定する。機密情報を解析する方法は、正規表現により事前に定められたポリシーを利用するもの、構造化データの全体一致を調べるもの、非構造化データの部分一致を調べるもの、ベイズ法などを利用した統計解析を行うもの、インサイダー取引に似た情報など何らかのコンセプトに従って上述した手法を組み合わせるもの、情報に対して「カード情報」などのカテゴリ化を定義して解析するものなどがある。
セキュリティ対策技術 > その他の技術 > 検疫ネットワーク

検疫ネットワークは未登録の端末や、パッチがあたっていないなどポリシーに違反した端末を組織のネットワークから遮断する技術であり、次の３つのステップで構成される事が多い：
検出・検査：未登録の端末やポリシー違反の端末を検出・調査する
隔離：ポリシー違反の端末を組織のネットワークから遮断し、代わりに隔離されたネットワークである検疫ネットワークにつなげる
修復（治療）：ポリシーに従って、検疫ネットワーク内でパッチを当てたり、マルウェアの定義ファイルを更新したりする
セキュリティ対策技術 > その他の技術 > UBA、UEBA

UBA(User Behavior Analytics)もしくはUEBA(User and Entity Behavior Analytics)は、システムに攻撃者が侵入した後のユーザの振る舞い等、ユーザを中心にした分析を行う事で攻撃を検知する技術全般を指す。分析に用いるのはエンドポイントやネットワークのセキュリティデバイス、Active Directory等の認証サーバ、Webプロキシ、Net Flowなどのネットワークのトラフィック、データベース等のログ情報である。その実装形態はいろいろありSIEMやログ管理と連携するものもあれば、エンドポイントにエージェントソフトをインストールものもある。
分析の目標はユーザの振る舞いを追跡して通常業務から逸脱した異常を検知する事で、具体的にはアカウントの不正使用、侵害されたアカウントやホスト、データや情報の漏洩、内部偵察行為などを検知する。
ユーザは大量の行動ログを残すので、UBAではApache Hadoopのようなビッグデータ解析基盤を用いる事が増えている。
セキュリティ対策技術 > その他の技術 > CASB

CASB(キャスビー。Cloud Access Security Broker、クラウド・アクセス・セキュリティ・ブローカー)は2012年にガートナーが提唱した概念で、ユーザにより勝手に使われているSaaSを可視化し、機密情報の持ち出しなどを防いだりする事を目的とする。ガートナーによればCASBは以下の４つ機能を持つ事を特徴とする。
社内ユーザーが用いているSaaSをシステム管理者が可視化する機能
アクセス権限違反やや機密情報の持ち出しをチェックしたりブロックしたりするデータセキュリティ機能
セキュリティ監査のためのコンプライアンス機能
セキュリティの脅威から防御する機能。
CASBの実装形態は３つある：
クラウドサービスへアクセスするためのゲートウェイを社内に設置し、全てのクラウドアクセスをそこに集約させる形態。
ユーザ端末にエージェントをインストールしてクラウドアクセスを監視する形態。第一のものと違い社外にでる事もあるモバイル端末のクラウドアクセスも監視できるという利点がある。
SaaSベンダ側が提供するAPIを利用する形態。APIを通じてユーザがSaaS上に置いた情報等を監視する事ができるという利点がある。
セキュリティ対策技術 > その他の技術 > ハニーポットとサイバーデセプション

→詳細は「ハニーポット」および「en:Deception technology」を参照
いずれも攻撃者やマルウェアを騙す事で攻撃者の行動を観察したりシステムを防御したりする技術である。ハニーポットは例えば囮サーバなど脆弱性なシステムに見せかけたものを用意して攻撃者を騙し、攻撃者の侵入方法、侵入語の行動を観察する技術である。ハニーポットの主な利用方法は攻撃者の行動の観察で、例えば囮サーバで攻撃者が何をしたのかから攻撃者の目的を知る、といった用途で用いる。
実際のソフトウェアを用いたハニーポットを高対話型ハニーポット、ソフトウェアを模擬するエミュレータを使った（ので一部の対話しか再現できない）ハニーポットを低対話型ハニーポットという。高対話型の方が現実環境に近いので低対話型よりも多く攻撃者の情報を集められるが、その分低対話型よりも負荷が高く、ハニーポットを攻撃者に乗っ取られた場合の危険も低対話型よりも大きい。またインターネット上に設置したハニーポットに攻撃者を誘い込んで受動的観測を行うタイプと囮のウェブクライアント（ハニークライアント）で悪性サイトにアクセスするなどして能動的観測を行うタイプがある。
これに対しサイバーデセプション(Cyber Deception)は、いわば「次世代ハニーポット」として位置づけられる技術で、主に攻撃から防御したりや攻撃目標の達成を遅延させたりする目的で用いられる技術である。デコイサーバ（囮サーバ）等を設置する事はハニーポットと同様だが、ハニーポットが攻撃者の情報を集めるためにネットワーク境界の外のインターネット上に設置される傾向があるのに対し、サイバーデセプションでは標的型攻撃により攻撃者がプライベートネットワーク内に侵入してくる事を前提にしてプライベートネットワーク上に囮を設置し、攻撃検知や防御のための時間稼ぎに利用される。設置されるものとしては、デコイサーバの他に、囮サービス、囮クレデンシャル、囮ファイル等がある。サイバーデセプションにおいて、囮として用いる情報全般をハニートークンといい、例えばメールアドレス、プライバシー情報、アカウント情報等がハニートークンとして用いられる。
セキュリティ対策技術 > その他の技術 > サンドボックス

サンドボックス（砂場）は隔離環境の事で、セキュリティ分野では、（不正な振る舞いをするかもしれない）プログラムをサンドボックス内で実行することで、そのプログラムの影響がサンドボックスの外に及ばないようにする目的で用いられる。隔離環境で実際にプログラムを実行してみる事により、従来のシグナチャ型マルウェア対策ソフトでは検知できなかったマルウェアを検出できる。ただし、プログラムを実行して確認してみるという性質上、シグナチャ型のものよりも解析に時間がかかる。
マルウェアの中にはサンドボックスへの対抗策が施されているものもある。対抗策としては例えば以下のものがある：
マルウェアがサンドボックス内に置かれている事を察知してサンドボックス外とは振る舞いを変える
特定の時間しか動作しないようにしてサンドボックスでの検出を逃れる
ファイルレスマルウェア（＝メモリ上にのみ存在しファイルとしては存在しないマルウェア）を用いる事により、ファイルを対象にするサンドボックス製品から逃れる。
セキュリティ対策技術 > その他の技術 > SOAR

SOAR（Security Orchestration Automation and Response、セキュリティのオーケストレーションと自動化によるレスポンス）はいわば「次世代SIEM」に位置づけられる製品群で、ガートナーの定義によれば、「セキュリティの脅威情報やアラートを異なる情報源から集める事を可能にするテクノロジーで、標準化されたワークフローに従って標準化されたインシデントレスポンス活動を定義し、優先度付けし、駆動するのを手助けするために、インシデント解析やトリアージが人間とマシンの協調を梃子にして行われるもの」の事である。
多くのSOAR製品はダッシュボード機能やレポート機能を持っており、インシデントレスポンスや脅威情報の機能を持っているものもある。また分析官の手助けをするために機械学習の機能を備えているものもある。
セキュリティ対策技術 > その他の技術 > Breach & Attack Simulation (BAS)

BASは仮想的な攻撃を行う自動化ツールであり、その概念はガートナーが2017年に提唱された。ガートナーの定義によればBASは「ソフトウェアのエージェント、仮想マシン、ないしそれ以外の手段を用いる事により、企業のインフラに対する (内部の脅威、ラテラルムーブメント、データ抽出(exfiltlation)を含む）全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す。
BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする。
セキュリティ対策技術 > サイバーキルチェーンとの対応

以下のようになる
|  |  |  | 検出 Detect | 拒否 Deny | 中断 Disrupt | 低下 Degrade | 欺き Deceive | 含有 Contain |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
| 入口対策 | 入口対策 | 偵察 | Web分析 | FW ACL |  |  |  | FW ACL |
| 入口対策 | 入口対策 | 武器化 | NIDS | NIPS | インライン型マルウェア対策ソフト | e-メールの遅延転送 |  | NIPS |
| 入口対策 | 入口対策 | 配送 | ユーザの慎重さ | プロキシフィルタ |  |  |  | アプリケーションFW |
| 入口対策 | 入口対策 | 攻撃 | HIDS | ベンダーパッチ | EMET、DEP |  |  | ゾーン内のNIPS |
| 入口対策 | 入口対策 | インストール | HIDS |  | マルウェア対策ソフト |  |  | EPP |
|  | 出口対策 | 遠隔操作 | NIDS | FW ACL | NIPS | Tarpit | DNSリダイレクト | TrustZone |
|  | 内部対策 | 目的実行 | ログ監査 |  |  | QoSのスロットル率制限 | ハニーポット | TrustZone |
サイバーキルチェーンの原論文に載っているのはdetect、deny、disrupt、degrade、deceive、destroyの５つであり、これはアメリカ合衆国国防総省のInformation Operations方針に載た軍事の分野の対策手段をAPTにも適用したのである。ただし原論文でdestroyは空欄であったので、上の表からは省いた。また文献を参考にして他の列を加えた。
セキュリティ対策技術 > 主なセキュリティツール・サービスの一覧

日本ネットワークセキュリティ協会（JNSA）はセキュリティのツール・サービスを以下のように分類している
| 分類 | 具体例、解説 |
| --- | --- |
統合アプライアンス: 複数のセキュリティ機能をあわせ持つツール
ネットワーク脅威対策ツール: ファイアウォール、アプリケーションファイアウォール
ネットワーク脅威対策ツール: VPN
ネットワーク脅威対策ツール: IDS/IPS
コンテンツセキュリティ対策製品: マルウェア対策
コンテンツセキュリティ対策製品: スパムメール対策、メールフィルタリング
コンテンツセキュリティ対策製品: URLフィルタリング
コンテンツセキュリティ対策製品: DLP
アイデンティティ・アクセス管理製品: 個人認証システム(例：ワンタイムパスワード、ICカード等による本人確認)、生体認証システム
アイデンティティ・アクセス管理製品: アイデンティティ管理製品
アイデンティティ・アクセス管理製品: ログオン管理・アクセス許可製品
アイデンティティ・アクセス管理製品: PKI関連
システムセキュリティ管理製品: セキュリティ情報管理
システムセキュリティ管理製品: 脆弱性管理
システムセキュリティ管理製品: ポリシー管理、設定管理、動作監視制御
暗号製品: -
情報セキュリティコンサルテーション: 情報セキュリティ、情報セキュリティ管理全般のコンサルテーション
情報セキュリティコンサルテーション: 情報セキュリティ診断・監視サービス
情報セキュリティコンサルテーション: 情報セキュリティ関連認証・審査・監査の機関・サービス
セキュアシステム構築サービス: ITセキュリティシステムの設定・仕様策定
セキュアシステム構築サービス: ITセキュリティシステムの導入・選定支援
セキュリティ運用・管理サービス: セキュリティ統合監視・運用支援サービス（SIEMの運用など）
セキュリティ運用・管理サービス: 各種セキュリティ製品（ファイアウォール、IDS/IPS、マルウェア対策、フィルタリング）の監視・運用サービス
セキュリティ運用・管理サービス: 脆弱性検査サービス（ペネトレーションテスト、ソースコード解析など）
セキュリティ運用・管理サービス: セキュリティ情報支援サービス
セキュリティ運用・管理サービス: 電子認証サービス
セキュリティ運用・管理サービス: インシデント対応サービス
情報セキュリティ教育: -
情報セキュリティ保険: -
APT対策 > APT対策のためのシステム設計 > コネクトバック通信対策

C&Cサーバとのコネクトバック通信ではhttpやhttpsを使う事が多いので、透過型プロキシは通過してしまう。このため透過型でないプロキシを立て、ユーザ端末のブラウザのプロキシ設定をオンにし、プロキシを経由していない通信はファイヤーウォールでインターネットに接続前に遮断する必要がある。アプリケーションの更新などはWSUSのような中間配布サーバを立てるか、個々のアプリケーションに対してプロキシを指定する。後者の場合、通信ログからファイヤーウォールで遮断されたアプリケーションを特定してホワイトリストをチューニングする必要がある。
またマルウェアの中にはプロキシに対応したものもあるので、プロキシの認証機能を有効にし、ユーザ端末のブラウザ側でもID/パスワードのオートコンプリート機能を禁止する必要がある。プロキシはディレクトリサービスと連動するなどしてユーザ単位の認証ができるものが望ましい。またActive Directoryを使えば配下にある端末のオートコンプリート機能を一括で禁止できる。
ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので、プロキシの認証ログを監視し、（窃取されたユーザIDの使い回しによって）異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある。
またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート(httpの80番やhttpsの443番)以外のCONNECTメソッドを遮断する必要がある。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる。
APT対策 > APT対策のためのシステム設計 > ラテラルムーブメント対策

攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある。
リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く。
部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある。
また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので、端末の管理共有サービスを無効にする必要がある。
業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる。
Active Directoryの認証失敗時のログを取得できるよう設定し、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある。
また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため、その効果は不明である。
APT対策 > APT対策のためのシステム設計 > 権限昇格対策

攻撃者は権限昇格の為ユーザ端末にキャッシュされている管理者権限のアカウント情報を窃取しようとするので、これを防ぐために、ユーザ端末で使用するアカウント権限を必要最低限にする必要がある。
具体的には、ユーザ端末で使用するアカウントはDomain Usersグループ（ユーザ端末の一般ユーザ権限を持つグループ）に登録していかなる管理者権限を付与せず、ユーザ端末のメンテナンスを行うアカウントはOperatorsグループ（ユーザ端末のローカル管理者権限を持つグループ）に登録してDomain Adminsグループなどドメインの管理者権限を持つグループには登録しないようにする。またユーザ端末のローカル管理者などそれ以外のローカルアカウントは、トラップアカウント以外原則全て無効にする。
ドメイン管理者アカウントは可能な限り利用しないようにし、ドメイン管理者権限が必要な作業を運用記録として管理し、Active Directoryの認証ログと月に一度など定期的に突き合わせて、ドメイン管理者権限の不正利用がないか確認する必要がある。運用記録の負荷軽減のため、システム管理製品のメッセージ監視機能等を使ってActive DirectoryのDomain Adminsグループのログイン履歴を監視し、ログインした事実を管理者に送信する事で実作業と突き合わせるようにするとよい。
APT対策 > 攻撃の検知と把握

APTの標的となっている組織は、攻撃を検知してからでないと防御を行う事ができないので、サイバーキルチェーンの早いステージで攻撃を検知する事が重要である。そのために以下で説明するインディケータとプロファイルを作成する事が有益である。
APT対策 > 攻撃の検知と把握 > インディケータ

APT攻撃が行われている事を検知するには、攻撃を客観的に指し示す指標（インディケータ）に注目する必要がある。インディケータには以下の３種類がある：
| 名称 （日本語） | 名称 （英語） | 概要 | 具体例 |
| --- | --- | --- | --- |
| 基本的インディケータ | atomic indicator | 攻撃者の侵入を示す、より小さな情報に細分できない情報。 | IPアドレス、URL、マルウェアのファイル名、e-メールアドレス、脆弱性識別子 |
| 複雑なインディケータ | computed indicator直訳：算出インディケーター | インシデントに関するデータから導出されたインディケータ。 | マルウェアのハッシュ値、（IDSのシグナチャなどに使われる）正規表現、C&Cサーバの特性 |
| パターンによるインディケータ | behavioral indicator直訳：行動インディケーター | 上記2種類のインディケータを組み合わせたインディケータで、攻撃者固有の行動様式から観察可能な性質。大抵の場合、何らかの値や組み合わせ論理で条件付けされている。例えば「攻撃者は正規表現○○にヒットするネットワークトラフィックにより生成されたバックドアから□□の頻度△△のIPアドレスに侵入し、MD5ハッシュ値が☆☆なものにファイルを置き換える」といったインディケータ。 | 標的型メールの特徴、マルウェアの行動パターン、マルウェアのアーティファクトからわかる違い、好んで使用するゼロデイ、使用するインフラ、ホップポイント（≒踏み台）、DNSのレジストリの詳細、レジストラパターン、ポートのパターン、標的となる従業員、標的となるデータ種別、補完された戦略的ギャップデータ |
どのインディケータがどの攻撃フェーズに対応するのかを明確化する事で、インシデント対応がしやすくなる。
APT攻撃を特定するには、分析官は特定した攻撃のパターンを解析したり他の組織と強調したりする事でインディケータを明らかにし、それらインディケータをツールなどを使って成熟させ、そしてその成熟させたインディケータを使って攻撃を特定するというサイクルを回す必要がある。
こうしたインディケータは、攻撃目標、狙われるシステム、侵入方法、攻撃ツール、攻撃に使う外部資源、攻撃の痕跡、テクノロジーギャップ、攻撃者の知識といったものを分析するために使われる。逆に言えば、こうした事項から逆算して必要なインディケータを割り出す事ができる。
APT対策 > 攻撃の検知と把握 > プロファイルの作成

APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある。
プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む、というものがある。
プロファイルに含むデータとしては例えば、攻撃者の特性、共犯者、攻撃者の選好分野、標的となった文書、活動時間帯、関連インディケータ、マルウェアやツールキットの分析結果、このAPTを追跡している他のCERT、アナリストの任意のメモなどがある。プロファイルは定期的に見直し、最新に保つ必要がある。
なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある。
APT対策 > 攻撃の検知と把握 > 攻撃の予測

攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である。
APT対策 > インシデント対応における調査

インシデント対応時に対策側が把握すべき事は以下の４つのフェーズに分類できる：
| フェーズ | 知るべき事 | 調査対象 |
| --- | --- | --- |
| 攻撃の有無の把握 | 攻撃メールか否か | メール、不審なファイル |
| 感染の有無の把握 | 感染の有無の把握 | PCの永続化、PCの実行痕跡、PCの感染頻出箇所、プロキシサーバ、ファイヤーウォール |
| 被害状況の把握 | 通信先、侵入元、被害範囲、情報漏えい状況 | メールサーバ、プロキシサーバ、DNSサーバ、ファイヤーウォール、同一セグメントのPC、組織内のPC・サーバ、Active Directoryの侵害状況、ファイルサーバの侵害状況、初期感染の徴候、感染したPC・サーバの詳細調査とフォレンジック |
| 対策の有効性の把握 | 対策の有効性の把握 | プロキシサーバ、DNSサーバ、ファイヤーウォール |
以上の調査のため、下記のものを調べる必要がある：
| 調査対象 | 調査箇所 |
| --- | --- |
メール: 不審なファイル
メールサーバ: メールログ
DNSサーバ: クエリログ
プロキシサーバ: アクセスログ
Active Directory: レジストリ、ファイルシステム、イベントログ
PC: レジストリ、ファイルシステム、イベントログ
PC: ネットワーク接続情報
感染の把握の有無や被害範囲を把握する目的で行う調査としては下記のものがある：
| 評価対象 | 実施内容 |
| --- | --- |
感染頻出箇所: 不審ファイル・攻撃ツールの有無
永続化設定: 感染頻出箇所の抽出、既知攻撃類似点の抽出、公開情報との比較、実フォルダ確認
実行痕跡: バイナリ解析（可読化）、感染頻出箇所の抽出、実フォルダ確認、不審ファイル・攻撃ツールの有無
外部通信: 通信先の抽出、公開情報との比較
APT対策 > インシデント対応における調査 > 感染頻出箇所の調査

前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある。
APT対策 > インシデント対応における調査 > 永続化の痕跡の調査

マルウェアの永続化の痕跡を以下の方法で発見できる可能性がある
| 永続化方法 | 調査方法 |
| --- | --- |
スタートアップ起動プログラム: レジストリ操作ツール
サービス起動プログラム: レジストリ操作ツール
スタートアップフォルダ: レジストリ操作ツール
スタートアップフォルダ: レジストリ操作ツール、リンクファイル情報の収集、PowerShell によるリンクファイル内容の収集
タスクスケジューラ: タスク管理ツール
レジストリ情報はreg.exeで収集可能である。調査すべきレジストリの詳細は文献を参照されたい。
APT対策 > インシデント対応における調査 > 実行痕跡の調査

マルウェアなどアプリケーションを実行した痕跡が残る代表的な箇所として下記のものがある：
| 実行痕跡 | 概要 |
| --- | --- |
Prefetch Files: C:\Windows\Prefetch フォルダのpfに最近128個のアプリケーション起動時の各種情報（起動時の読み込みファイル、実行回数等）が保持されている。
最近使ったファイ ル: C:\Users\%USERNAME%\AppData\Roaming\Microsoft\Windows\Recentフォルダにlnkファイルとして最近エクスプローラー経由で使ったファイル名が保存される。
最近使ったOffice ドキュメント: C:\Users\%USERNAME%\AppData\Roaming\Microsoft\Office\Recentフォルダにlnkファイルとして最近使ったOfficeドキュメントが保管されている。
AppCompatCache: レジストリHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCacheに最近1024 個のアプリケーション実行時のキャッシュ情報（フルパスを、実行ファイル名、最終更新日、サイズ、ファイルの実行可否など）が保存されている。
UserAssist: レジストリHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssistにエクスプローラー経由で実行したプログラム情報が保存されている。
RunMRU: レジストリHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRUに「ファイル名を指定して実行」で実行したプログラム情報が保存されている。
TypedURLs: レジストリHKEY_CURRENT_USER\Software\SOFTWARE\Microsoft\Internet Explorer\TypedURLsにInternetExplorer でアクセスした直近のURL（25 個~50 個）が保存されている。
AppCompatCacheやUserAssistはそのままでは可読でないので、何らかの可読化ツールで可読にする必要がある。AppCompatCacheの可読化ツールとしては例えばShimCacheParser.pyがある。
またNTFSのUSNジャーナルやマスター ファイル テーブルにも実行痕跡が残るし、ネットワークにも実行痕跡が残るのでパケットキャプチャによりその痕跡を探る事ができる。
他にも以下のような実行痕跡を調査する必要がある：
攻撃者はラテラルムーブメントの際、攻撃ツールをPsExecでリモート実行する事が多いので、レジストリKEY_USERS\SID\Software\Sysinternals\PsExecを調査する事でその実行痕跡を調査する必要がある。
攻撃ツールが実行環境に合わずにクラッシュしてその痕跡を残す可能性があるので、C:\ProgramData\Microsoft\Windows\WER\ReportArchiveからアプリケーションのクラッシュ情報を調査する必要がある。
APT対策 > インシデント対応における調査 > 外部通信の調査

外部通信情報はDNS キャッシュとネットワーク接続情報から取得する。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる。
脅威インテリジェンス

脅威インテリジェンス（スレットインテリジェンス、セキュリティインテリジェンスとも）はガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意(implication)、および実行可能なアドバイスなどを含む。APT対策には脅威インテリジェンスが重要である。
脅威インテリジェンス > 脅威インテリジェンスサービス

脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し、これにより顧客が脅威情報収集に費やすリソース（時間、労力、専門知識等）を減らす。
脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する。さらに不正プログラムの情報、脆弱性情報、ダークウェブなどアンダーグラウンドのコミュニティで取引されている違法な商品やサービス、それらを扱っている組織や人物像、諸外国のサイバー攻撃の情報なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する。
脅威インテリジェンス > STIX

→詳細は「Structured threat information expression」を参照
SXIX(Structured Threat Information eXpression、脅威情報構造化記述形式)はサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする。
なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。
脅威インテリジェンス > TAXII

TAXII（Trusted Automated Exchange of Intelligence Information、検知指標情報自動交換手順）はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。