サイバーセキュリティ
サイバーセキュリティ（英: cyber security）は、サイバー領域に関するセキュリティを指す。 概要サイバーセキュリティはサイバー領域のセキュリティを指し、その定義は論者によって異なるものの(後述)、この言葉は2010年ころから[1]情報セキュリティに変わるバズワード的な語として用いられるようになった。この言葉が登場した2010年頃はセキュリティにとってのターニングポイントになっており[2]、2010年のスタックスネットの事案や2011の三菱重工の事案からもわかるように[2]、ターニングポイント以降、以下の問題が顕在化した。
こうした背景のもと、サイバー領域は2011年以降、米国の安全保障において陸・海・空・宇宙に次ぐ第五の領域とみなされており[3]、日本においても2013年の「国家安全保障戦略」でサイバー空間への防護が国家戦略に盛り込まれるなど[3]、サイバーセキュリティは国際政治・安全保障の問題として扱われるようになっている[3]。このためサイバー空間の問題は、「単に技術的観点のみならず国際政治、市場権益（国際公共財）、知的財産、安全保障、軍事作戦、国の危機管理体制などの各分野に跨る問題の側面を合わせ持っている」[4]。 一方、企業などの組織体にとってサイバーセキュリティ対策や情報セキュリティ対策は、企業などの組織の事業における（情報）セキュリティリスクを低減する事を主な目的とする[5][6]。組織は災害リスク、事業環境リスク、戦略リスク、財務リスク、事故・故障リスク、情報セキュリティリスク、犯罪リスク、労務リスク、事業運営上のリスクといった様々なビジネスリスクを抱えており[5]、情報セキュリティリスクはそれらビジネスリスクの一つに過ぎない。よって組織のセキュリティを担保するには、組織の経営への影響[7]を加味した上で、ビジネス全体のリスク項目に基づき、網羅性と合理性を検討する必要がある[5]。したがって経営という観点から見た場合、企業戦略として、サイバーセキュリティリスクを加味してどの程度のセキュリティ投資を行うかは経営判断になる[8]。またサイバーセキュリティに関するガイドラインを策定するときは、リスク管理規程、危機管理規程、事業継続計画、IT-BCPといった既存のガイドラインと整合を取る必要がある[9]。 企業はサイバーセキュリティ対策のため、SOC、CSIRTなどのセキュリティ対応組織をおく事があり、こうした組織の主な仕事は以下の２点に集約される[6]：
ここでインシデントとは直訳すれば「事件」であるが、サイバーセキュリティの文脈では、サイバー領域において組織を脅かす不正な行為全般を指す用語である(より厳密な定義はインシデントの項目参照)。 サイバーセキュリティでも情報セキュリティのCIA、すなわち下記の３つは重視される[10]
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である[11][12]。また以下のHSEの３つも重視される[12][13]
定義2018年現在、サイバーセキュリティの定義は論者により異なる。両極端の見解としては がある[14]。 ISO/IEC 27032:2012の定義サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、
とサイバーセキュリティを狭義に定義し[15]、サイバー空間については
と定義している[15]。 この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている[14]。 サイバーセキュリティ基本法の定義サイバーセキュリティ基本法第二条では以下のように定義される：
攻撃者→「ハッカーグループ」も参照
種類・攻撃の目的攻撃者の種類と攻撃の目的は以下のように分類可能である[16]：
経済的利益に関するものは被害が顕在化しやすいのに対し、信仰・国防に関するものは被害が顕在化しにくいという特徴がある[16]。 サイバー犯罪の産業化サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている[17][18]。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ[19]、アフィリエイトモデルのような攻撃者のヒエラルキーもできている[19]。 こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており[20]、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス[20]、インターネット規模のDNSを使用したDRDoS攻撃[21] などがある。 なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる[22]。 国家が関与する攻撃APT（後述）のような高度な攻撃は、国家の関与が疑われるものも多い。Mandiant社（買収後は買収元であるFireEye）は同一組織によると思われるAPTに対してAPT1、APT2、…と番号をつけており、攻撃組織に関与している事が疑われる国家を推定している[23]。
欧米でも国家が関与したハッキング行為が行われている：
標的型攻撃・APT攻撃標的型攻撃は、2010年ころから[2]サイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織[30]、人[30]、これらの持つ重要情報[31]等を標的とした攻撃である[32]。したがって攻撃の標的となる組織固有の情報（組織構成、事業内容、システム構成等）を事前に入手し、これを利用して攻撃を仕掛ける事も多い[32][33]。 APTは標的型攻撃の一種に分類される事が多い[31]攻撃形態の一分類であり、「先進的で（Advanced）」「執拗な（Persistent）」「脅威（Threat）」を指す[34] [35]。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」[33]ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがある[36]。 またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ[36]、このような作戦活動を攻撃キャンペーンという[37]。また攻撃キャンペーンは複数個の「一連の攻撃行動（オペレーション）」に分割できる[38]。 サイバーキルチェーン サイバーキルチェーン[40][41][42][43][44][45]は、攻撃者がAPT攻撃をはじめとした[40][46]サイバー攻撃を行う上でのステージを明確化したものであり、ロッキード・マーティンの研究者が2011年に発表した。 サイバーキルチェーンでは攻撃には以下のステージがあるとする：
なお、「攻撃」と「インストール」をセットにし、最後に潜伏維持(Maintenance)を付け加えるバージョンもある[48]。 類似のモデルサイバーキルチェーンと同様、攻撃者の行動をモデル化したものとして以下がある：
以下、サイバーキルチェーンに従って攻撃のステージを説明する。ただし必要に応じて前節で述べた他のモデルも参照したので、「準備ステージ」のようにサイバーキルチェーンにはないステージも書かれている。またサイバーキルチェーンと内容が重複する部分に関しては、上述のモデルを適時サイバーキルチェーンに読み替え、該当箇所の解説に加えた。 準備ステージサイバーキルチェーンにはないがJPCERT/CCのモデル[52]には記載されているステージ。 攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する[52]。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる[52]。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるので[56]、ドメイン名はAPTの重要なインディケータ（APT関連のデータや情報を選り分けるため指標[57][58]）になる。 攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変える[59]。また分散型のインフラにする事で攻撃の全容をつかみにくくする[60]。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある[61]。 このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする[52]。 攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストラン（検証のための試験的な攻撃）を実施する場合があるので[56]、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる[56]。 偵察ステージ攻撃者は偵察ステージで従業員の情報[62]やe-メールアドレスを収集したり[62]、プレスリリース[62]、契約発注[62]などから企業情報を収集したり、企業がインターネットに公開しているサーバ[62]を特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もある[63]。 さらに攻撃者は標的型メール（後述）等に利用可能なpdfやdocファイル等を収集する[56]。攻撃者は攻撃用のサイトでIEのresプロトコル[64]を使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できる[65]。 資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握する[66]。 このステージに対する対策を講じるのは非常に困難だが[62]、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる[62]。 武器化ステージエクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージで[41][67]、ペイロードの作成には何らかの自動化ツールが使われる事が多い[68]。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にあり[69][40]、APTではゼロデイの脆弱性を利用される事も多い[40][70]。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい[40]。 対策側が攻撃者の武器化を検知するのは不可能だが[67]、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し[67]、どんなツールキットが使われたのか[67]、いつごろ行われたどのAPTの作戦活動に連動しているのか[67]といった事を調査し、以後のAPT攻撃への対策に利用する事ができる。 配送ステージ、攻撃ステージ、インストールステージこれら３つのステージでは以下が行われる：
JPCERT/CCのモデルでは攻撃者が直接潜入する事も想定し、これら３つをまとめて潜入ステージと呼んでいる[66]。 マルウェア配送手法代表的なマルウェア配送手法として以下のものがある。なお、下記に書いたものはマルバタイジングのように、標的型攻撃以外の攻撃で一般的なものも含まれる。
なお、特にスマートフォンアプリでは、正規のアプリをマルウェアとセットにしてリパッケージしたアプリを配布する事で、マルウェア感染させる手法がある[78]。 大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い[75]。 標的型メール標的型メールの文面は、準備ステージで窃取した本物のメールを流用されている場合もあり[75]、受信者が標的型メールである事を見抜くのは難しい[75]。標的型メールで感染するペイロードは既存のマルウェアの亜種を使ったり[75]、ゼロデイの脆弱性を使ったり[40][70]する事で検知を逃れる工夫がなされている事もある。また、アイコンや拡張子を偽装する事でexeファイルでないように見せかけたファイルをユーザにクリックさせたり[75][87]、正規のアプリケーションに見せかけたトロイの木馬をユーザ自身にインストールさせたりする事で[75]、脆弱性を利用しないでマルウェアに感染させる場合もある。 添付した実行ファイルの拡張子の偽装方法としては下記のものがある[87]：
マルウェア配布ネットワークドライブバイダウンロード型の攻撃では、攻撃のスケーラビリティ向上や運用コスト削減、対策耐性の向上といった理由により、複数の悪性サイト間をリダイレクトさせた上でマルウェアを配布する事が多い[93]。こうした目的のために攻撃者により構築させる悪性サイトのネットワークをマルウェア配布ネットワークという[93]。マルウェア配布ネットワークには以下の４種類のサイトが含まれる事が多い[93]：
マルウェア配布ネットワークは多数の入口サイトを少数の攻撃サイトへと導くための仕組みである。このような構成を取る事により、攻撃者には以下の利点がある：
リダイレクトには、HTTPリダイレクト、HTMLのiframeタグや「meta http-equiv="refresh"」を使ったリダイレクト、JavaScriptなどのスクリプトのリダイレクトの３種類があり、これらが攻撃に利用される[93]。このうちHTMLのiframeを使ったリダイレクトは、widthとheightを0にする事でフレームサイズを0にし、さらにstyle属性を"visibility:none"や"visibility:hidden"にする事で非表示化できるので、標的ユーザに気づかれる事なくリダイレクトできる[93]。同様にstyle属性を"position:absolute"にし、フレームの位置のtopとleftとしてマイナスの値を指定することでも非表示化できる[93]。 またスクリプトを使ったリダイレクトの場合、リダイレクトが閲覧時に初めて生成されるようにできるので[93]、リダイレクトされている事がウェブ管理者に気づかにくい。 バナーチェック・ブラウザフィンガープリンティングサイトにアクセスしてきたユーザのマシンにインストールされているブラウザや各種ツール（Java[94]、Adobe Reader、Adobe Flash[94]、Silverlight[94]など）のインストール状況やバージョン番号などのプロファイルを取得する手法の事。踏み台サイトや攻撃サイトでブラウザフィンガープリンティングを行う事で、ユーザの環境に最適な攻撃（たとえばユーザ環境の脆弱性つけるエクスプロイトを選ぶ等）を実行できるようになる。 ブラウザフィンガープリンティングには攻撃者のサーバサイドで行う方法とユーザのクライアントサイドで行う方法がある[95]。サーバサイドのものでは、ユーザのIPアドレスやHTTPユーザーエージェントからユーザ環境の情報が得られる[95]。クライアントサイドで行うものはクライアント環境でJavaScriptやVBScriptなどを実行する事でさらに詳細なユーザ環境情報を取る事ができ、例えばブラウザに追加されているプラグインの種類やバージョンを知る事ができる[95]。 エクスプロイトキット攻撃サイトなどに、エクスプロイトキットと呼ばれる攻撃ツールが仕込まれている場合がある。エクスプロイトキットはブラウザフィンガープリンティングを行い、保有している複数のエクスプロイトの中からユーザ環境で実行可能な物を選び[94]、マルウェアを実行する[94]。 エクスプロイトキットの中にはサイバー犯罪者向けにサービスとして運営されているものもあり、EaaS（Exploit Pack as a Service[96]もしくはExploits as a Service[97]）と呼ばれている。 クローキング悪性サイトにアクセスしてきたクライアントに応じて応答するウェブコンテンツを変化させる手法の事[98]。例えば検索エンジンのクローラーがアクセスしてきたときは無害なコンテンツを表示し、標的ユーザがアクセスしてきたときのみ攻撃用のコンテンツを表示する[98]。これにより攻撃用コンテンツをクローラーに発見される事なく、クローラー向けコンテンツに検索エンジン最適化を施す事で検索順位を上げる、といった事が可能になる[98]。クローキングで表示するコンテンツを変えるための指標として、IPアドレス、ユーザエージェント、リファラの情報が利用される[98]。 リモートエクスプロイトの実行これまで標的型メールやウェブアクセスを利用して標的システム上でローカルエクスプロイト[99]を実行する手段を解説してきたが、攻撃者がセキュリティ上の欠陥をついて標的組織に潜入して遠隔地からリモートエクスプロイトを実行する場合もある。そうした方法としては例えば下記のものがある： 制御システムだとSCADAに共有モデムが利用されている事が多いので、ここから侵入される場合もある[66]。 遠隔操作ステージ攻撃対象の組織からC&Cサーバ（コマンドアンドコントロールサーバ。C2サーバとも。攻撃者が攻撃対象の組織に不正なコマンドを遠隔で頻繁に送信する為に利用されるサーバの事[100]）への通信(コネクトバック通信[101])の経路を確保する[102]。なおC&Cサーバ自身も攻撃者に乗っ取られた外部組織のサーバであることもある[102]。 コネクトバック通信にはhttpやhttpsを使うことが多いので[101]、通信の特徴だけからコネクトバック通信を検知するのは困難である[101]。なお、監視の目が行き届いたhttpやhttpsを使う代わりに、e-メール[102]、DNS[102]などのプロトコルが使われる事もある。 ファイヤーウォールのフィルタリングルールが形骸化していたり、攻撃によく使われるCONNECTメソッドをプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう[101] 永続化攻撃者は感染状態を維持しておくため、RAT やダウンローダーなどの攻撃ツールをOS 起動時に自動的に起動するようPC の設定を変更する(永続化)[103]。Windowsの場合、永続化のため主に下記の箇所を設定変更する[103]：
その他の特徴マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する[103]。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり[103]、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する[103]。 マルウェアは一般利用者権限もしくはログインユーザー権限のみで多くの権限が得られるフォルダで環境変数でアクセスしやすい箇所に配置されやすい[103]。具体的には%TEMP%、%PROGRAMDATA%、%ALLUSERSPROFILE%、%APPDATA%、%LOCALAPPDATA%、%PUBLIC%、およびC:直下である[103]。典型的には、ファイルを開いたとき%TEMP%にマルウェアが一旦生成され、それを%PROGRAMDATA%以下の偽装したフォルダにコピーし、そのファイルを永続化する[103] 攻撃者が仕込んだRATはC&C サーバと定期通信（ビーコンという）を行う事が多い[104]。ビーコンは標的組織に発見される危険があるので、一時的にFQDN に対するA レコードを「0.0.0.0」や「127.0.0.1」としてC&C サーバとの通信を停止させるRATもある[104]。逆に言えば、標的組織はこれらのA レコードがこれらのIPアドレスになっているものをRATの候補として抽出可能である[104]。 横断的侵害ステージJPCERT/CCのモデル[52]には記載されているステージで、サイバーキルチェーンでは目的実行ステージの一部とみなされている[105]。 このステージで攻撃者は、最初に侵害したシステムを足がかりにして同じ組織内の脆弱なシステムを横断的に侵害する[106]。具体的には最初に侵害したシステムを足がかりにして、インストールしたプログラムを使いながら、攻撃者は試行錯誤してネットワークの構造を把握し[106][101]、認証情報を窃取し[105][101]、ラテラルムーブメント（＝他の端末やサーバへの侵入）[105]や権限昇格[105]等を行う。このステージでも攻撃者はバックドアを設置する[106]。 このステージで攻撃者がWindowsコマンドとしては以下のものがある：
攻撃者はこうした行為を行う為にIPアドレスやサービスポートをスキャンするが[101]、攻撃が発覚しづらいようスキャンするポートを限定して行われる[101]。 ラテラルムーブメントの手法下記のものがある：
対策面から見た場合、横断的侵害は最初の侵入に比べ検知しにくいという問題がある[106]。その原因は、LANの入口は監視していても、LANの内部やLANの出口はさほど監視されていないことにある[106]。 目的実行ステージ攻撃者が目的となる行為を実行するステージ[105]。このステージにおける攻撃者の行動は、攻撃者が何を目的とするかで異なるが[105]、主な目標は重要情報の窃取である[106]。窃取した情報は分割され、複数の端末から外部に送信されるので、窃取したファイルの特定は極めて困難である[113]。 また最終目標を達成する前段階として、今後のオペレーションのために標的組織の状況を窃取したり、他の組織とのトラストチェーンを把握したり、標的組織に対して優位に立つため破壊行為を行ったりする[105][106]。 再侵入ステージサイバーキルチェーンにはないが、IPAのモデル[50][51]には記載されているステージ。攻撃者は過去の侵入時に構築したコネクトバック通信路を利用し、再侵入してシステム内探索を継続する[114]。このため一度標的になった組織は、一見攻撃が終了したように見えても、コネクトバック通信路が設置されていない事を継続的に監視する事が重要である[114]。標的組織内にコネクトバック通信路が一つでも残っていると再侵入が可能になるので、APTの場合は「対処率99％でも残存リスクは100％のまま」[114]という事になる。 それ以外の攻撃主に金銭を目的とした攻撃フィッシング関連フィッシング(phishing)は口座番号、アカウント情報、カード番号といった、主に金銭に関わる個人情報を奪取するための攻撃[115]。金融機関を装ったりしたフィッシングメールを送りつけ、個人情報を盗むために設置されたフィッシングサイトに誘導する。メールやウェブサイトを利用する点では標的型攻撃と共通するが、目的が個人情報であるため必ずしも企業システムに潜入する必要はなく、ユーザのブラウザ上にある金融機関のcookie等に書かれたID/パスワードを奪取するなどの手口を用いる。SMSメールを利用したフィッシングを特にスミッシングという[115]。 ファーミング（Pharming）はURLとIPアドレスの対応表を攻撃者が不正に書き換えることで、正規サイトのURLにアクセスしたユーザを偽サイトに誘導する攻撃の事である[115]。URLとIPアドレスの対応表を書き換える手段としてはDNSを攻撃する方法(DNSキャッシュポイズニング)と、ユーザがローカルに持っているhostsファイルを書き換えたりする方法がある[115]。 無線LANフィッシングはWiフィッシング（ワイフィッシング）とも呼ばれ、攻撃者が偽の無線LANアクセスポイント(Evil Twinと呼ばれる)を立てる事で、そのアクセスポイントを利用したユーザのID/パスワードを窃取んだり、偽サイトに誘導したりする攻撃である[115]。 QRishingはQRコードフィッシングとも呼ばれ、攻撃者が作成したQRコードを（正規サイトのものと偽って）ユーザに読ませる事により、偽サイトに誘導する攻撃である[115]。本物のQRコードの上に偽のQRコードのシールを貼ってQRishingした事案が知られている[115]。なお短縮URLでも同様の手口を行う事ができる[115]。 ビジネスメール詐欺ビジネスメール詐欺(BEC、Business Email Compromise)とは、自社の経営層や取引相手になりすました偽のEメールで経費などの送金を指示する事で金銭をだまし取る詐欺[86][116]。その巧妙な騙しの手口は標的型攻撃に通じるところがある[116]。ビジネスメール詐欺には以下の５つの類型がある[116]：
手口としては
といったものがある。なお詐称用ドメインを利用する手法では詐称用ドメインのDNSにSPFを設定してSPFのチェックを通過する攻撃も確認されている[117]。 ワンクリック詐欺ワンクリック詐欺はウェブページ上の特定のアダルトサイトや出会い系サイト、勝手に送られた電子メールに記載されているURLなどをクリックすると、「ご入会ありがとうございました。」等の文字やウェブページが契約したことにされて多額の料金の支払を求める詐欺のことをいう。同様の手口でツークリック以上のものやノークリック（＝全くクリックしない）ものも存在する[118]。 ワンクリック詐欺のサイトでは、サイトに訪れたユーザのブラウザから環境変数を取得して表示するなどして、あたかもサイト側がユーザ個人を特定できているかのように装い、ユーザを脅迫することがある[118]。（たとえばユーザがスマートフォンからアクセスした場合にユーザの位置情報を表示するなど）[118]。 また詐欺サイトがユーザ端末にワンクリックウェアをインストールし、振込みを行うよう要求する画面を頻繁に表示させるという手口もある[118]。 不正送金ウィルス何らかの方法でインターネットバンキングのアカウント情報などを盗んで攻撃者の口座に不正送金を行うウイルスの事[119][120]。例えば以下の手法がある：
ランサムウェア、スケアウェア、ローグウェア
DoS攻撃→詳細は「DoS攻撃」を参照
DoS攻撃（ドスこうげき）（英：Denial of Service attack）は、情報セキュリティにおける可用性を侵害する攻撃手法のひとつ。 ウェブサービスを稼働しているサーバやネットワークなどのリソース（資源）に意図的に過剰な負荷をかけたり脆弱性をついたりする事でサービスを妨害する。 DoS攻撃には２種類の類型があり、第一の類型はウェブサービスに大量のリクエストや巨大なデータを送りつけるなどしてサービスを利用不能にするフラッド攻撃（Flood＝「洪水」）であり、第二の類型はサービスの脆弱性を利用する事でサービスに例外処理をさせるなどしてサービスを利用不能にする攻撃である[125][126]。 DoS攻撃の主な目的はサービスの可用性を侵害する事にあり、具体的な被害としては、トラフィックの増大によるネットワークの遅延、サーバやサイトへのアクセス不能といったものがあげられる[127]。しかしDoS攻撃は被害者に経済的ダメージを負わせる事を目的として行われる場合もあり、EDoS攻撃(Economic DoS Attack)と呼ばれる。たとえばクラウド上で従量課金されているサービスにDoS攻撃をしかければサービスの運営者に高額な課金を発生させることができる[128]。 また、「DoSをやめてほしければ金を払え」と脅す目的でDDoS攻撃（後述）が行われることもあり、ランサムDDoSと呼ばれる[129]。 DDoS攻撃 フラッド型のDoS攻撃には、大量のマシンから1つのサービスに、一斉にDoS攻撃を仕掛けるDDoS攻撃（ディードスこうげき、分散型サービス妨害攻撃、英: Distributed Denial of Service attack）という類型がある。 DDoS攻撃の類型は2つあり、第一のものは攻撃者が大量のマシン(踏み台)を不正に乗っ取った上で、それらのマシンから一斉にDoS攻撃をしかける協調分散型DoS攻撃である。 第二の類型は、DRDoS攻撃（Distributed Reflective Denial of Service attack。DoSリフレクション攻撃、分散反射型DoS攻撃）[130][131]と呼ばれる。DRDoS攻撃では、攻撃者が攻撃対象のマシンになりすまして大量のマシンに何らかのリクエストを一斉に送信する。するとリクエストを受け取ったマシン達は攻撃対象のマシンに向かって一斉に返答を返すことになるので、攻撃対象のマシンには大量の返答が集中し、高負荷がかかることになる[132]。DRDoS攻撃は協調分散型DDoS攻撃と異なりマルウェアなどで踏み台を乗っ取らなくても実行可能なため攻撃C&Cサーバが発覚しづらい。 ボットネットボットネットとはC&Cサーバのコントロール下にあるマシン（ボット）のネットワークで、攻撃者はC&Cサーバから命令を出す事で、ボットネットを様々なサイバー攻撃に利用する[133][134]。ボットによる攻撃にあった被害者は、裏にいるC&Cサーバの情報を直接得る事ができないので、攻撃者を特定するのは困難になる。 攻撃者は１台のC&Cサーバから命令を出すことで多数のボットから同時多発的に攻撃をしかける事ができるので、低い運用コストでDDoS、スキャン、二次感染といった様々なサイバー攻撃の実行が可能になる[133]。 C&Cサーバとボットとの通信には、IRC[135]、HTTP[135]、各種P2P接続[135]などが利用される。特にHTTPはセキュリティに配慮した企業などであっても業務の関係上通信を遮断できないので、攻撃者は企業内のマシンをボット化できる[135]。 ボットネットのネットワーク構造として最も単純なものは、１つのC&Cサーバに全てのボットがぶら下がっているスター型のネットワーク・トポロジーであるが、これだとその１台のC&Cサーバがダウンしたり当局に取り締まられたりするとボットネットが完全に停止してしまう[133]。そこで様々な国に複数のC&Cサーバを立てて多重化する事で各国の取り締りにそなえたり[133]、ボットの下にさらにボットをぶら下げる階層型の構造にしてボットネットの全体像を把握されにくくしたり、P2P通信によるランダムなトポロジーにする事でネットワーク耐性を上げたりする[133]。 Fast Flux手法ボットネットのC&Cサーバ等の悪性サイトは、サイトのFQDNに対応するIPアドレスを数分程度で次々と変えていくFast Flux手法(IP Flux手法とも呼ばれる[136])を用いる事で[136][137][138][139][140]、捜査機関等が悪性サイトをテイクダウン（停止）させるのを難しくしている[137]。攻撃者は自身のコントロール下にあるボットのIPアドレスを悪性サイトのFQDNに次々に割り振っていく為、FQDNに割り振られるIPアドレスは数百から数万に及ぶ[136]。C&Cサーバやドライブバイダウンロード攻撃用サイトはFast Flux手法で運営される事が特に多い[136]。 Fast Flux手法はBlind Proxy Redirectionという手法と併用される事が多い[136]。この手法ではFast Fluxで運営されるサイトのは単なるリダイレクトサイト（フロントエンドノードという）であり、リダイレクト先にあるマザーシップノードが真の悪性サイトである[136]。このような構成を取る事により、マザーシップノードのアドレス情報を捜査機関から隠したり、捜査の手が及んだフロントエンドノードを切り捨てたりする事ができる。また悪性サイトのコンテンツを変えたい場合はマザーシップノードだけを変えればよいので運用も容易である[136]。 Fast Flux手法はsingle flux手法とdouble flux手法に分かれる[136][139][140]。single flux手法では攻撃者は何らかの方法を用いて自身の権威DNSサーバを立て、その権威DNSサーバ上で悪性サイトのIPアドレスを(TTLを小さな値にする事で)次々に変えていく手法である。この手法の（攻撃者にとっての）欠点は、攻撃者が立てた権威DNSサーバが単一障害点になっているため、この権威DNSサーバが捜査機関にテイクダウンされると、悪性サイトを運営できなくなってしまう事である[139][140]。 double flux手法は権威DNSサーバもFast Flux手法で運営する事で対策耐性をあげたものである。double flux手法ではボットネット上に権威DNSサーバXを立て、さらにXより上位レベルの権威DNSサーバYを自身で立てる。single flux手法のときと同じく悪性サイトのIPアドレスをX上で次々と変えるのみならず、XのIPアドレスをY上で次々と変える事でXがテイクダウンされる事を防ぐ[140]。なお、double flux手法においてYは単一障害点であるが、捜査機関が調査のため悪性サイトにアクセスしてきても、悪性サイトの名前解決はXで行われるので、捜査機関に直接Yが見える事はなく、Yを特定してテイクダウンするのは難しくなる。 Domain Flux手法1つのドメイン名に対して複数のIPアドレスを用意して多重化するFast Flux手法とは逆に、ドメイン名を複数用意して多重化する手法をDomain Flux手法と呼ぶ[141]。この手法を用いる事で、一部のドメイン名が悪性サイトとして対策側にブラックリスト化されても、悪性サイトに別のドメイン名を用いる事でブラックリストをすり抜ける事ができる[141]。 Domain Fluxを行う方法の一つは攻撃者自身が管理するドメイン（仮にexample.comとする）に○○.example.comというFQDNを生成し、○○の部分を短時間で変える、というものである（ドメインワイルドカード）[141]。 Domain Fluxでは疑似乱数を使ってドメイン名を生成する。このためのアルゴリズムをDGA(Domain Generation Algorithm)という[141]。擬似乱数を利用するのは、C&Cサーバとそのコントロール下にあるマシンでドメイン名を同期するためである[141]。C&Cサーバとそのコントロール下にあるマシンで事前に擬似乱数の種を共有しておき、種と時刻情報を利用してドメイン名を生成するようにすれば、両者とも同一時刻には同一のドメイン名を取得できる[141]。 攻撃・ペネトレーションテストで使われる手法やツール本節では攻撃やペネトレーションテスト（システムに実際に攻撃をしかけてみる診断。詳細後述）で使われる手法やツールについて述べる。 ペネトレーションテスト用OSペネトレーションテスト用のLinuxディストリビューションとして、Kali Linux、Parrot Security OS、BackBoxなどがあり、前者２つはDebianベース、最後のものはUbuntuベースである。これらのディストリビューションにはペネトレーションテスト用の各種ツールがプレインストールされている。 意図的に脆弱に作られたツールペネトレーションテストの練習用として、意図的に脆弱に作られたツールが公開されている：
他にもBadstore、BodgeIt Store、amn Vulnerable Web Application (DVWA)、OWASP Bricks、WASP WebGoatb、WAPP、moth、Gruyere Magical Code Injection Rainbow (MCIR）などがある。 攻撃対象の情報収集スキャナ攻撃者は標的組織を偵察する際や、侵入後に横断的侵害を行う際、スキャンを行うことで、標的組織のネットワークの情報を得る。スキャンはホストスキャンとポートスキャンに大別でき[142]、前者はネットワーク上にあるホストのIPアドレス等を行うために行われ、後者はホスト上で空いているポート番号を知るために行われる[142]。ホストスキャンにはICMPプロトコルを利用したツールであるpingやtracerouteが用いられ、ポートスキャンには例えばnmapのようなツールが用いられる。 nmapは単にホスト上の空いているポート番号を特定するのみならず、ホストに送ったパケットに対する返答のフォーマット等の情報から、ホストで動いているOS、サービス、およびそれらのバージョン番号などを特定する機能も備えており[142][143][144]、これらは攻撃者にとって有益な情報となる。この手法で動作しているアプリケーションを特定する事をバナーチェック、OSの種類やバージョンを特定することをTCP/IP スタックフィンガープリンティングという[145]。 他にも下記のようなツールがある：
スニッファスニッファとはネットワーク上を流れるパケットを監視したり記録したりするツールの事で[153]パケット・スニッファとも呼ばれる[153]。攻撃目的ではなくセキュリティ目的で用いられる同種のツールをパケットアナライザ等と呼ぶが[153]、広義にはパケットアナライザもスニッファに含める[153]。フリーなものではWireshark、tcpdumpなどがある。 ソーシャル・エンジニアリングソーシャル・エンジニアリングとは人間の心理的な隙や行動のミスなど「人」をターゲットにして機密情報を窃取する攻撃全般を指す[154][155][156]。手法としては例えば下記のものがある：
パスワードクラッキングパスワードクラッキングとは、総当たり攻撃や辞書攻撃等の何らかの方法でパスワードを割り出す攻撃方法であり、推定したユーザID/パスワードでログイン試行を行うオンライン攻撃と何らかの方法で入手したパスワードハッシュ（パスワードのハッシュ値）などからローカルにパスワードを推測するオフライン攻撃とに大別される[157]。オフライン攻撃の対象となるパスワードハッシュはWindowsのSAMファイル、Linuxの/etc/shadowファイルなどにあるものを利用する[158]。またパスワードで保護されたOfficeファイル等も攻撃対象となる[158]。 著名なオンライン攻撃ツールとしては、Bruter（Windows環境）[159][160]、ncrack(マルチプラットフォーム)[161][160]、TCP-hydra[162][163]がある。著名なオフライン攻撃ツールにはJohn the Ripper[158]、RainbowCrack[164]（レインボーテーブルを用いてハッシュを解析する）、ophcrack[165]がある。 またWindowsのSAMファイルからパスワードハッシュを取得するツールとしてPwDumpがある[166]。 パスワードリスト攻撃
Pass the hash攻撃
Metasploit→詳細は「Metasploit」を参照 Metasploit Framework、あるいは単にMetasploitとは、エクスプロイトコードの作成、実行を行うためのフレームワークソフトウエアである[167]。Metasploitには様々なエクスプロイトコードが収録されており、アップデートを実行する事で新たなエクスプロイトコードを手に入れたり[168]、Exploit Databaseのようなエクスプロイト配信サイトからエクスプロイト（とそのエクスプロイトを適用できる脆弱なソフト）をダウンロードして用いたりできる[169]。 脆弱性検査ツール→詳細は「脆弱性検査ツール」を参照 w3af、Nessus、OWASP ZAP、OpenVASなどがある。
横断的侵害を行うためのツールネットワークに侵入して横断的侵害を行う攻撃の手口の典型的パターンは
というものである。 またプロキシやリダイレクタを使ってファイヤーウォールを突破する事で、侵入した端末からC&Cサーバや組織内の別の端末との通信経路を確立する[171]。その他ファイル圧縮ツールやステガノグラフィーツールもデータ内容を隠蔽して送信する目的で使われる[171]。 その他・複数機能を持つツール
攻撃・ペネトレーションテストに利用できるサイト以下のものがある：
SHODANとCensysウェブサーバやIoT機器など、インターネットに接続している機器を調査できるウェブサービスとして、SHODAN[191]やCensys[192]などがある[186][193][194]。SHODANはポートスキャンにより接続している機器を特定し、特定した機器に対してバナーチェックを行う事により、機器の情報を得ている[195]。SHODANの利用者が例えば東京にあるApacheサーバの一覧を得たければ、SHODANに「apatch city:Tokyo」と打ち込んで検索する事ができる[196]。また、SHODAN MAPSの機能により、検索した機器の位置を地図上に表示可能である[197]。 バナー情報により、検索結果には製品名やバージョン等もわかるため、攻撃者はこれを利用して脆弱性が適用可能な機器を見つける事ができる。なお、SHODANを使うには事前にユーザ登録が必要であり[198]、基本無料であるものの全機能を使うには低額の利用料を支払う必要がある[199]。 CensysはZmapというネットワークスキャナでIPv4のインターネット空間をスキャンして情報を収集し、ZGrabというプロトコル解析ライブラリにより収集したデータを構造化データに加工する[200]。なお、ZmapがIPv4のアドレス空間全てをスキャンするのにかかる時間は45分に過ぎない[200]。 Censysは無料で利用でき[193]、ユーザ登録は必須ではないが、登録していないユーザは1日4回までしか検索できない[193]。Censysはミシガン大学の研究者らが公開したものである[193]。 ツール一覧攻撃に利用可能なツール、コマンド、脆弱性として下記のものがある。なお、下記の表にはRDPのように、本来は攻撃ツールではないものの攻撃用にも利用できるものもリストアップされている。
攻撃への対策のフレームワークや考え方サイバーセキュリティフレームワークNIST（アメリカ国立標準技術研究所）のサイバーセキュリティフレームワーク(正式名称：重要インフラのサイバーセキュリティを向上させるためのフレームワーク)によれば、重要インフラのサイバーセキュリティ対策は以下の５つのフェーズに分類できる[203]：
上の表でSOC、CSIRTはセキュリティ対応のための組織である。両者の役割分担や関係性、業務内容等は企業毎に異なるが[205]、概ねSOCは「平時」の分析運用を行い[206]、CSIRTは「有事」のインシデント対応を行う[207]。 このフレームワークは、それ以前の類似のフレームワークと比較した場合、攻撃が行われた後の検知、対策、復旧のフェーズの重要性を明確化した事と[208][209]、各フェーズの習熟度について言及した事に特徴がある[208]。 このフレームワークでは「ガバナンスのサイクル」と「マネジメントのサイクル」を回すことがサイバーセキュリティ対策で重要だと主張している[210]。 またおなじNISTが発行したSP800-61「コンピュータセキュリティ・インシデント対応ガイド」ではインシデント対応プロセスは、準備、検知および分析、封じ込めおよび根絶、インシデント後の活動の4段階に分類されるとしている[210]。 以下、サイバーセキュリティフレームワークの各フェーズを説明するが、一部JPCERT/CCの文献を元に加筆した。 特定サイバーセキュリティ対策をする上で基本となるのは、守るべき資産を特定し[203]、各資産のリスクを把握することである。 組織の置かれた状況の特定産業分野やサプライチェーンにおける自社の位置づけ[211]、重要サービスを提供する上での依存関係と重要な機能等を把握し[211]、自組織のミッション、目標、活動に関する優先順位を決め[211]、伝達する必要がある[211]。JPCERT/CCは、守るべき資産を特定する前準備として、組織のプロファイルを作成することを推奨している[212]。このプロファイルには規模[212]や提供製品[212]のような基本的事項のみならず、システムダウンの影響度合い[212]や規制のレベル[212]などリスクアセスメントに必要となる情報も含める。また、組織のサイバーセキュリティ防御能力に関する文書を作成する[212]。 またセキュリティに関する法規制を把握し[211]、自組織の情報セキュリティポリシーを定め[211]、セキュリティに関する役割と責任について内外のパートナーと調整や連携を行う[211]。さらにガバナンスやリスク管理のプロセスをサイバーセキュリティリスクに対応させる[211]。 守るべき資産とそのリスクの特定自組織内の物理デバイス、システム、ソフトウェアプラットフォーム、アプリケーション、外部情報システムといったリソースの一覧を作成し[211]、ネットワークの通信やデータフローを図示し[211]、これらのリソースやデータのうち、守らなければならないものとその理由、およびそれが抱える脆弱性を特定する[211][212][213]。この際、ビジネスに対する潜在的な影響とその可能性も特定する[203][212]。そしてそれら守るべき対象を守れなかった場合に発生するリスクを、脅威、脆弱性、可能性、影響等を考慮して分析し[212][211]、リスクに対処するためのコストや[212]リスクが顕在化した場合の減損[212]、対処後の残存リスク[212]を特定し、自組織の役割、事業分野等を考慮してリスク許容度を明確化する[211]。そしてビジネス上の価値に基づいてこれらのリソースやデータを優先度付けをする[203]。さらに自組織の従業員や利害関係者に対し、サイバーセキュリティ上の役割と責任を定める[211]。リスク管理のプロセスを自組織の利害関係者で確立、管理、承認する必要がある[211]。 なお、保有資産の特定にはIT資産インベントリ検出ツールが利用でき[212]、未登録機器の発見にはDHCPサーバのロギング機能等が利用できる[212]。またアクセス監視の際、資産リストと突合する事で、承認されたデバイスのみがネットワークに接続されている事を確認できる[212] なおリスク分析の際にはどのようなタイプの攻撃者が自組織が属する業界を攻撃するのかを事前に特定しておくのが望ましい[213]。 防御脆弱性管理による防御脆弱性管理計画の作成・実施を行い[214]、脅威と脆弱性に関する情報を入手する必要がある[211]。JPCERT/CCによれば、脆弱性スキャン[215]はセキュリティ設定共通化手順「SCAP」のチェックリストにより検証済みのスキャナを用いて[216]、毎週ないしそれ以上の頻度で行う必要がある[216]。これによりコードベース・構成ベース方法の脆弱性を検出する事が可能である[216]。攻撃検知のイベントログと脆弱性スキャン結果を突合することで、どの脆弱性が標的にされたのかを判別できる[216]。アプリケーション、OS双方に対し自動パッチ適用ツールを用いる事が望ましい[217]。 ID管理とアクセス制御による防御自組織の全ての従業員のIDに対してアクセス制御リスト(ACL)を定義し[212]、ACLに従って従業員の資産や関連施設への物理アクセス[214]やリモートアクセス[214]、データへのアクセス[212]を制限する。ACLは定期的に棚卸し[212]、人事の異動、追加、削減に際してアクセス権限の無効化[214]や従業員の審査[214]を行う。従業員等にシステムや資産に対する権限を与える場合には、最小権限の原則に従う[214]。 システム開発時の防御システムの開発ライフサイクル[214]や設定変更[214]を管理する。また開発の際には開発環境やテスト環境を実環境と分離することで情報漏えい等を防ぐ[214]。 意識向上やトレーニングによる防御全てのユーザをトレーニングし[214][218]、権限ユーザ[214]、上級役員[214]、利害関係者[214]、 物理および情報セキュリティ担当者[214]にポリシー、手順、契約に基づいた[214]役割と責任を理解させる必要がある[214]。またAPTなどの攻撃に対する演習を事前に行っておく必要がある[218]。 データの防御自組織のリスク戦略に従って[214]、保存されたデータや伝送中のデータの機密性、完全性、可用性を保証する[214]。データの可用性の保証に関しては十分な容量を確保し[214]、機密性に関しては漏洩対策を実施し[214]、完全性に関しては何らかの完全性チェックメカニズムを導入する[214]。データは定期的にバックアップ・テストする[214]。またデータはポリシーに従って破壊し[214]、資産の撤去、譲渡、廃棄も管理する[214]。 なお情報はその機微度に応じて「高、中、低」等の格付けを事前に実施し[213]、自組織を狙う可能性がある攻撃者がどのような情報に関心を示すのかを特定しておく[213]事が望ましい。 保守運用作業における防御システムのベースラインを設定・維持する必要がある[214]。保守と修理はポリシーや定められた手順に従って実施する[214]。重要な資産を保護するプロセスを定め[213]、重要なシステムに対して適用可能なセキュリティ管理策を全て実施していることを確認する[213]。保守や修理の際は、管理されたツールを用いてタイムリーに行い[214]、ログを記録する[214]。特に遠隔保守の際には、承認[214]、ログの記録[214]、不正アクセス防止を行う必要がある。監査記録やログの対象をポリシーに従って決め[214]、取得した監査記録やログをレビューする[214]。ログデータは、DNS[219]、プロキシ[219]、ファイアウォール[219]など重要機器に対して取得し、時刻はNTPにより同期する[219]。事前にセキュリティを強化し、構成管理を厳密に行ったOS等のイメージを作成しておき、従業員のPCや新規導入システムにはこのイメージをインストールする[217]。 ネットワークのセキュリティ構成は、変更管理委員会によって文書化、確認、承認を行う[217]。 その他の防御方法セキュリティポリシー、プロセス、手順を維持し[214]、資産の物理的な運用環境に関するポリシーと規制を満たすようにする[214]。また保護プロセスを継続的に改善する必要がある[214]。 インシデント対応[214]、事業継続[214]、インシデントや災害からの復旧計画[214]の実施・管理・テストを行う[214]。保護に使う技術の有効性の情報共有を行う[214]。 取外し可能な外部記憶媒体はポリシーに従って保護したり、使用を制限したりする[214]。 またJPCERT/CCによれば下記を行う事が望ましい：
検知検知を行う前提条件として、ネットワーク運用のベースラインを定め[215]、データフローを特定・管理する[215]。そしてセキュリティイベントを検知できるよう[215]、ネットワーク[215]、物理環境[215]、個人の活動[215]、権限のない従業員・接続・デバイス・ソフト[215]、外部サービスプロバイダの活動[215]等をモニタリングし[215]、マルウェア対策ソフトなどで悪質なコード、特にモバイルコードを検出できるようにする[215]。 そしてイベントログを複数の情報源やセンサーから収集し、SIEMなどで一元管理して[219]、相互に関連付け[219]、検知したイベントを分析し[219]、その影響範囲を特定する[219]。また事前に定めたしきい値に従って[215]、検知したイベントをインシデントとみなすかどうかを判断する[215]。 検知プロセスはテストし、継続的に改善する必要がある[215]。また説明責任が果たせるようにする必要がある[215]。 対応CSIRTの主たる担当業務である[204][207]。検知フェーズで発見したセキュリティイベントにタイムリーに対応できるよう対応計画を事前に定めておき[220]、法執行機関の支援が得られるよう情報共有や利害調整を行う[220]。そして対応計画にしたがってインシデント分類し[220]、フォレンジックを行うなどして[220]セキュリティイベントを調査し[220]、その影響範囲を把握し[220]、事前に定めた基準に従ってインシデントの封じ込めないし低減を行う[220]。インシデント対応の結果学んだ教訓を生かして対応計画を更新する[220]。 復旧タイムリーに復旧できるよう事前に復旧手順を定め[221]、復旧の際にはその計画を実施する[221]。システムの復旧を行うのみならず、広報活動を管理するなどして評判回復に努める[221]。対応フェーズと同様、教訓を生かして復旧計画の更新も行う[221]。 開発ライフサイクルにおけるセキュリティ確保システムの安全性を確実に担保するにはシステム開発ライフサイクルの初期段階からセーフティ、セキュリティ、プライバシーなどを考慮しておくことが望ましい。開発プロセスのより早い段階でセキュリティを考慮する事を（開発プロセスを左から右に書いたときにセキュリティを考慮するのを左に寄せる事から）シフトレフトという[222][223][224]。特に、情報セキュリティを企画・設計段階から確保するための方策をセキュリティ・バイ・デザイン（Secure By Design、SBD）といい[225][226]、プライバシーに対する同様の概念をプライバシー・バイ・デザインという。 またDevOps（デブオプス[227]、開発 (Development) の担当者と運用 (Operations) の担当者が一体となった開発手法[227]）の普及に伴い、これにセキュリティの確保も一体になった開発手法であるDevSecOps[228][229]も注目を集めるようになっている。DevSecOpsでは設計段階からセキュリティを意識することはもちろん、セキュリティ対策ツールを開発ライフサイクルに組み込むなどして脆弱性診断を自動化し、アプリケーションを修正するたびに脆弱性を作り込まないようチェックし[229]、利用しているライブラリの脆弱性を日々チェックするような活動も含む[229]。 カオスエンジニアリング
サプライチェーンにおけるセキュリティ確保システム開発ではその工程の一部を外注する事も多いため、サプライチェーン全てでセキュリティを担保する事が重要となる。このような調達時の脅威に対応する事をサプライチェーンチェーンリスクマネジメント(Supply Chain Risk Management、SCRM)という[230][231]。ISO/IEC 27036ではアウトソーシングの際のセキュリティのガイドラインが規定されている[230]。米国ではNIST SP800-161やNIST IR 7622にSCRMの規定がある[230]。またISO/IEC 20243には不良品や偽造品を排除するためのベストプラクティス等が規定されている[230]。 また事業継続計画(BMC)の観点からもサプライチェーンの継続を図ることも重要であり、SCCM(Supply Chain Continuity Management)と呼ばれ、ISO 22318に規定されている[230]。なお災害復旧とサプライチェーンマネジメントをあわせてSCDRM(Supply Chain Disaster Recovery Management)と呼ぶ[230]。 多層防御→詳細は「多層防御 (セキュリティ)」を参照 多層防御とは、様々な階層で複数のセキュリティ対策を施す事で、重要部への侵入前に攻撃の検知および対応を行う事で[232][233]、軍事・戦闘の世界のDefense in Depth (縦深防御) を応用したものである[234]。複数の防御壁を設けて、一つの壁を突破されても次の壁で阻止して、機密情報に到達されてしまう確率を下げる事を目的とする[234]。 多層防御の手法として以下で述べる入口対策、内部対策、出口対策の３つを取り入れる組織内対策や[235][236]、複数組織をまたがった攻撃連鎖を上流で断つ国レベルでの対策[236]などがある。 入口対策、内部対策、出口対策入口対策はファイアウォール、ウイルス対策ソフト、脆弱性対策など、攻撃者やマルウェアが組織内に侵入するのを防ぐ対策手法で[237][238]標的型攻撃やAPTが普及する以前は有効であった。しかし標的型攻撃やAPTでは組織に侵入する方法が巧妙化しており[239]、しかも侵入方法の変化が激しいので[239]、入口対策だけで攻撃を防御するのは難しい[239][240]。そこで、攻撃者が組織内部に侵入しているのを前提として、組織の内部対策を行う事より侵入の拡大を防ぎ[238]、攻撃の外向き通信を遮断・監視する[238]出口対策により組織からの情報の持ち出し[237]やC&Cサーバとの通信を防ぐ必要がある。 サイバーレジリエンスサイバーレジリエンスは攻撃を受けてしまう事を前提として、攻撃を受けた際に、どのように組織の機能を維持し、いかにすばやく対処・復旧するかという回復力（レジリエンス）を高めるべきという考え方である[241][242]。 世界経済フォーラムによる「グローバルリスク2013」を契機として「レジリエンス」という用語がビジネス等で使われるようになり、それと時期を同じくしてサイバーレジリエンスという用語も広まった[243]。なお「レジリエンス」という用語はISO22300では「複雑かつ変化する環境下での組織の適応能力」と定義されている[243]。 セキュアなネットワーク構成非武装地帯 (DMZ)非武装地帯(DMZ、DeMilitarized Zone)はメールサーバ、ウェブサーバ、DNSコンテンツサーバ、Proxyサーバといった、組織内、インターネット双方とアクセスする必要があるサーバ群を置いておくためのネットワーク領域で、組織内ネットワーク・インターネット・DMZの３つの領域間の通信をファイアウォールで制限する。ウェブサーバ等をDMZではなく組織内ネットワークに設置すると、ウェブサーバが用いるポートを開けて置かなければならない為、そのポートを利用してインターネットから組織内に攻撃を行う事が可能になってしまう。これを防ぐためにウェブサーバ等をDMZに設置する。 マイクロセグメンテーションネットワークを細かくセグメント分けする事[244]。マイクロセグメンテーションにより、セグメントをまたいだラテラルムーブメントやウィルスの二次感染を防ぐ事ができる[244][245]。実現手法としてh、スイッチングハブの各ポートにそれぞれ1台の機器を接続するというものがある[244]。また仮想マシン（ないし仮想デスクトップ）の場合は各仮想マシンに仮想ファイヤーウォールを立てる事で、同一ネットワーク上にある仮想マシンであっても、仮想マシン一台で一つのセグメントを構成できる[244][245]。 ゼロトラスト→詳細は「ゼロトラスト・セキュリティモデル」を参照
ゼロトラストはForrester ResearchのアナリストJohn Kindervag（ジョン・キンダーバグ[246]）により提唱された概念である[247]。従来のセキュリティ対策ではネットワークの境界で攻撃の遮断が可能であり[248]、境界内は信頼できる事を前提としていたが、標的型攻撃や内部犯行の広がりによりこうした前提は崩れており[75]、攻撃者が内部に侵入してくるのを前提とした対策が必要となる[238][248]。 それに対しゼロトラストは従来型のセキュリティ対策よりも「性悪説」に基づいており[249]、組織内ネットワークであっても、ユーザがデータやリソースにアクセスする際、ユーザが利用しているデバイスの信頼性とユーザ自身の信頼性とを動的に評価してデータやリソースへのアクセス認可を行う[248]。一般的にはゼロトラストネットワークはユーザ関連情報を管理する ID プロバイダ、リソースにアクセスできるデバイスのリストを管理するデバイス ディレクトリ、管理者が設定したポリシーにユーザとデバイスが適合しているかを判断するポリシー評価サービス、リソースへのアクセス制御を行うプロキシから構成され[248]、ゼロトラストネットワークのプロキシはユーザとリソースの間に置かれ、ユーザはプロキシでアクセス認可を受けた場合のみがデータやリソースにアクセスできる[248]。 アクティブディフェンスアクティブディフェンス（Active defense、能動的防御[250]）は、実際の攻撃に先んじて脆弱性や攻撃方法を発見して予防策を積極的に構築する取り組みの事[251]。攻撃者が防御技術を研究して回避・無効化する事で[251]、対応が後手に回って攻撃側に主導権を握られるのを防ぐ[252]。 アクティブディフェンスの基本的手法としては以下のものがある[253]：
なおアタックバックはアクティブディフェンスに含まないとする意見もある[252]。 フリーのアクティブディフェンスツールとしては、ADHD(active defence harbindger distribution)[254][255]、Artillery[255]、Nova (Network Obfuscation and Virtualized Anti-Reconnaissance)[255]、BearTrap[256]、Decloak[256]、Honey Badger[256]などがある。 Moving Target Defenseアクティブディフェンスの手法の一つ。これまでのセキュリティ対策では、静的なシステムに検知技術や防御技術を導入することでセキュリティを担保していたが、それに対しMoving Target Defense (MTD)は、守るべきシステムの構成、特にネットワークを動的に変更する事で、攻撃者がシステム内を探索したりシステム構成を予測したりするのを難しくする手法である[257][258][259]。従来のセキュリティ対策では、攻撃側がシステムを熟知しているのに対策側は攻撃者に関して断片的にしか知りえないという非対称ゆえの不利が対策側にあったが、MTDはこの種の不利を攻撃者にも背負わせようというアイデアである[257]。 優先的に対策すべき箇所優先的に対策すべき場所を示したガイドラインとして下記のものがある：
CISコントロール2018年現在の最新版であるVersion 7の20個の評価項目は以下の通りである[263][267]：
OWASP Top 102017年度版の10項目は下記のとおりである[268]：
Strategies to Mitigate Cyber Security Incidents2018年現在は下記８項目[266]：
脆弱性診断とその関連本節では、システムのセキュリティ上の問題点を洗い出す検査や診断について述べる。なお、こうした検査や診断は脆弱性検査、脆弱性診断、セキュリティ検査、セキュリティ診断等と呼ばれるが、これらの語の指す範囲は論者やセキュリティ企業により異なる場合があるので注意されたい[注 1]。 このような用語上の混乱をさけるため、本節ではペネトレーションテスト等も含めた最広義の意味での脆弱性検査(すなわちIPA[269]意味での脆弱性検査)の事を「脆弱性診断関連の検査」と呼ぶことにする。 IPAによると、脆弱性診断関連の検査にはソースコードセキュリティ検査、ファジング、システムセキュリティ検査、ウェブアプリケーションセキュリティ検査、ペネトレーションテストの５つがあり[272]、これらの検査を行うフェーズと主な検査対象は下記のとおりである[272]。なお本節では、これら５つにレッドチームを加えた６つの検査について述べる。
上の表の「主な利用フェーズ」は検査対象となる機器のシステムライフサイクルの中でどのフェーズでこれらの検査が利用されるのかを示している。なお、一般的にシステムの開発フェーズは企画、要件定義、設計、実装、テスト、納入という工程からなるが、これらの工程のうち脆弱性診断関連の検査が行われるのは実装工程とテスト工程である[273]。 脆弱性診断関連の検査はPCI DSSやコモンクライテリアのような基準や規格で定期的に実施する事が要求される場合がある[273]。 ソースコードセキュリティ検査ソースコードセキュリティ検査は、開発中のソフトウェアのソースコードをチェックする事で、セキュリティ上の問題点を発見する検査であり、おもに実装工程で行われる[274]。その目的は、脆弱性を引き起こしやすい関数をソースコードから抽出したり、構文解析により脆弱性であると思われる箇所を特定する事である[274]。 検査は人間によるソースコードレビューにより行われることもあるし、何らかのツールやサービスを用いて自動的にソースコードを検査することもある[274]。 なお、ソースコードセキュリティ検査は実装段階で混入する脆弱性を発見するものであるので、そもそもソフトウェアの設計そのものに脆弱性があってもそれを発見するのは難しい[274]。 ファジング→詳細は「ファジング」を参照 ファジングは開発したソフトウェアに脆弱性を引き起こしやすい様々な入力を与える事で、脆弱性を発見する手法である[275]（インプットとして極端に大きな値を入力してみるなど）。ファジングは実装工程やテスト工程において、何らかのツールやサービスを利用して実行される[275]。 ソースコードセキュリティ検査がソースコードを利用するホワイトボックステストであるのに対し、ファジングはソースコードを使わないブラックボックステストないしグレーボックステストである。 ソースコードセキュリティ検査と同様、ソフトウェアの設計そのものに含まれる脆弱性を発見するのは難しい[274]。 制御システムセキュリティのEDSA認証ではファジングが必須になっているなど、ファジングの標準化の流れがある[276]。 ファジングを出荷前に行う事により、出荷後に脆弱性が原因で回収等で莫大なコストが発生する可能性が下げられる。ファジングも導入費用とツールの保守費用をあわせて数百万から数千万円程度かかるが[277]、半年程度で投資回収できるとされる[277]。 システムセキュリティ検査システムセキュリティ検査は、システム上の機器に対してパッチのあたっていない脆弱性が存在しないか、不必要なポートが空いているなどの設定上の不備がないかを調べる検査である。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる[278]。なお性能の良いシステムセキュリティ検査ツールであれば、既知の脆弱性はもちろん、未知の脆弱性も発見できる[279]。 システムセキュリティ検査では検査のためにシステムをスキャン（脆弱性スキャン）する必要があり、スキャンにはパッシブスキャンとアクティブスキャンがある[280]。パッシブスキャンはミラーポートを使ったりWiresharkなどのアナライザを使ったりした受動的なパケットキャプチャ等で脆弱性を発見する手法である。それに対しアクティブスキャンはスキャナが機器にパケットを送信してその反応を見るなど能動的な方法で脆弱性を発見する手法である。 パッシブスキャンよりもアクティブスキャンのほうがより多くの脆弱性を発見できる可能性が高いが[280]、その分システムに負荷をあたえたり[280]、障害の原因になったりする可能性がある。 また脆弱性スキャンはネットワークの外部から行う外部スキャンとネットワークの内部から行う内部スキャンに分類できる[280]。外部スキャンの場合、スキャンのための通信がネットワーク境界にあるファイヤーウォールに阻まれるため、内部スキャンほど多くの情報がとれない。しかし外部スキャンは攻撃者が外部から侵入可能な入口を発見できるなど、内部スキャンとは異なった役割を果たす事ができる[280]。 システムセキュリティ検査は障害の原因になったり、検査対象が増えるにつれて検査費用が高くなるなどの事情があるため、ネットワーク全体に対して検査を行うとは限らず、一部の機器に限定して行われる事もある[278]。 ウェブアプリケーションセキュリティ検査→詳細は「ウェブアプリケーション脆弱性診断」を参照 ウェブアプリケーションセキュリティ検査はウェブアプリケーションに文字列を送信したり、ページ遷移を確認したり、ログ解析したりするなど、ウェブアプリケーションに特化した検査である[281]。何らかのツールやサービスを用いて主に開発時のテスト工程と運用時に行われる[281]。他の検査と同様、実装時に作り込んだ脆弱性は発見できるものの、設計段階で入り込んだ脆弱性を発見するのは難しい[281]。 IPAによるとウェブアプリケーションセキュリティ検査ツールは３タイプに分けられる[282]。第一のタイプのものは、ブラウザとウェブサイトの間のプロキシとして動作するもので、検査実施者がブラウザでウェブサイトにアクセスした際に発生するリクエストをプロセスである検査ツールが補足し、取得したリクエストの一部を検査実施者が手動で検査用のコードを埋め込む形で書き換え、書き換えたリクエストをウェブサイトに送信してその反応をみる事で脆弱性検査を行う[282]。 第二のタイプは検査ツールがウェブクライアントとして動作し、検査用コードの入ったリクエストをウェブサイトに自動送信し、ウェブサイトからのレスポンスを元に検査実施者にレポートを出力する[282]。第二のタイプのものはツールに予め用意されている量の検査用コードを試自動で試せるのが利点であるが、人力に頼る第一のタイプほど細かな検査はできない[282]。 第三のタイプでは検査ツールは検査実施者が操作するブラウザとウェブサイトとの通信を（書き換えずに）補足し、補足した情報から不審な動作等を探して検査実施者にレポートとして出力する[282]。第一、第二のタイプと違い検査用コードをウェブサイトに送りつける事がないので、詳細な検査はできないが、その分検査によりウェブサイトに障害が発生する可能性が格段に低いという利点がある[282]。 ペネトレーションテスト→詳細は「ペネトレーションテスト」を参照 ペネトレーションテストは実際の攻撃で使われる手口をそのまま利用する事で、人間が検査システムに攻撃をしかける事によりシステムの弱点を見つけ、システムが実際に攻撃されたときどこまで侵入され、どのような被害が発生するのか明らかにする検査であり[283]、基本的に運用フェーズに行われる[283]。ペネトレーションテストを実施するには攻撃手法に関する高度な知識を必要とするため、セキュリティ企業に依頼して実施する形が普通である[283]。実際の攻撃手法を用いて検査を行うため、脆弱性のみならずシステムの不適切な運用等も発見できる[283]。 その性質上、他の検査よりもシステムに不具合を生じさせる危険が大きいため[283]、影響範囲を事前に特定し、復旧計画を立てて実施する必要がある[283]。 テストは対象システムの構造をテストする人（ペンテスター）が知っているホワイトボックステストとシステム構造を知らないブラックボックステストにわけられ、さらに攻撃を開始する場所がシステム外部である外部テストとシステム内部である内部テストにわけられる[284]。 レッドチーム→詳細は「レッドチーム」を参照 レッドチームはペネトレーションテストと同様、「レッドチーム」と呼ばれる攻撃チームが実際に攻撃をしかけてみる検査であり、[285]レッドチームに対抗する防御側をブルーチームと呼ぶ[286]。これらの言葉は元々軍事用語であり、敵軍であるレッドチームの視点で、自軍であるブルーチームの防御力や対応力を検証するものである[286]。レッドチーム検査は「脅威ベースペネトレーションテスト（Threat-Led Penetration Testing : TLPT）」とも呼ばれる[287][288]。 レッドチーム検査はペネトレーションテストよりもさらに実践的な検査である。ペネトレーションテストと違い、防御側であるブルーチームが攻撃の発生を認知しておらず[289]、この状態でブルーチームがどこまで攻撃に耐えられるのかが試される。 レッドチーム検査ではハクティビスト、愉快犯、内部犯、金銭目的の犯罪者等、攻撃者の「ペルソナ」を作り、レッドチームのメンバーはそのペルソナになりきって攻撃を行う[290]。典型的には攻撃前に初期調査を行い、マルウェアの配送、システム上への攻撃基盤構築、権限昇格、内部調査、目的達成といった手順をたどる[290]。 レッドチームはサイバー攻撃だけではなく、物理セキュリティや人的要素に対しても攻撃をしかける[286][290]。例えば初期調査では、ゴミ漁り[286]、エレベーターでの盗み聞き[286]、受付に「入館カードを忘れた」といって入り込む[286]などのソーシャル・エンジニアリング的な手法[290]、偽Wifiポイントの立ち上げによる盗聴[290]、SNSで情報発信を行っている社員からのOSINT[290]なども行われる。 レッドチームのようなサービスをセキュリティベンダーが提供するようになったのは、標的型攻撃が一般化したことにある[286]。標的型攻撃では上述のような物理要素・人的要素を犯す攻撃手法により情報収集されることもあり、こうした攻撃に耐えられるかを試すためにレッドチームのサービスが提供されるようになったのである[286]。 その他の診断ネットワークに接続された不正機器の検出を目的とするネットワークディスカバリや、不正な無線通信を検出するワイヤレススキャンなどがある[291]。 脆弱性ハンドリングと脆弱性管理脆弱性ハンドリング
脆弱性情報ハンドリングとは、新たに発見された脆弱性関連情報の届け出を発見者に促し、届けられた情報を整理して製品開発者の担当窓口に提供して対策方法の立案を促し、適切なタイミングで脆弱性関連情報と対策情報を周知することで、被害を最小化するための活動である[292][293]。ここで脆弱性関連情報とは脆弱性情報、脆弱性が存在する事の検証方法、およびその脆弱性を利用した攻撃方法（例えばエクスプロイトコード）の事を指す[294]。また脆弱性への対策方法は、修正方法（＝パッチ適用）と回避方法に分類でき、回避方法とはパッチ以外の方法で脆弱性の影響度を回避・低減する方法、例えば脆弱性のある機能の無効化、代替ソフトへの移行、WAFの導入等がある[295]。 攻撃者に脆弱性関連情報を悪用されるのを防ぐため、複数の製品が影響を受ける脆弱性の場合などにおいて、情報の公表に関して関係者間で一定の足並みをそろえる事(公開日一致の原則)が重要である[296]。特に海外機関と調整が必要な際にこの原則を破って単独で情報公開を行うと、今後の脆弱性ハンドリングから外される場合がある[296]。 脆弱性ハンドリングの標準・ガイドライン国際標準として以下のものがある[297]：
日本において脆弱性ハンドリング方法の概略は経済産業省告示「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」[298]に規定され、その詳細は「情報セキュリティ早期警戒パートナーシップガイドラライン」[299]に規定されている[300]。規定されている手順は、脆弱性が発見されたのがソフトウェア製品なのかウェブサイトなのかで異なる。 ソフトウェア製品の脆弱性に対するハンドリング手順ソフトウェア製品の脆弱性関連情報の発見者はその情報をIPAの窓口[301]に届け出し、IPAはその情報をJPCERT/CCに通知する[302]。JPCERT/CCは製品開発者にその情報を連絡し、製品開発者は脆弱性の検証や対応方法を考える[302]。JPCERT/CCは製品開発者と調整しながら脆弱性関連情報の公開スケジュールを決める。IPAとJPCERT/CCはスケジュールで定められた期日に脆弱性への策方法および対応状況を公表すする[302]。IPAは原則四半期毎に統計情報[303]を公表する[302]。 ウェブサイトの脆弱性に対するハンドリング手順ウェブサイトの脆弱性関連情報の発見者がその情報をIPAの窓口に届け出するところまでは上の手順と同様だが、ウェブサイトの場合、IPAはJPCERT/CCを介さずに直接ウェブサイト運営者に脆弱性関連情報を通知し[300][304]、ウェブサイト運営者が脆弱性を修正する[304]。ソフトウェアの場合と異なりIPAやJPCERTの側が脆弱性情報を公開する事は基本的にはない。個人情報漏洩等があった場合、その事実を公表するなどの処置はウェブサイト運営者が行う[304]。 個人情報が漏洩している可能性があるにもかかわらず、ウェブサイト運営者が対応しない場合は、IPAが個人情報保護法34条に従った措置（主務大臣による勧告や命令）を依頼する[304]。 IPAは原則四半期毎に統計情報[305]を公表する[304]。 脆弱性に関する情報源脆弱性の情報源としては、各種ニュースサイト以外に、脆弱性情報データベース、ベンダアドバイザリ、注意喚起サイトがある[306]。また攻撃情報の情報源としては、前述した脆弱性の情報源の他、攻撃コードデータベースがある[307]。 脆弱性情報データベース→詳細は「脆弱性情報データベース」を参照
脆弱性ハンドリング等によって集められた脆弱性関連情報を公開するデータベースの事。主なものとして下記のものがある。
ベンダアドバイザリベンダや開発者のサイト、ブログ、アップデート情報、リリースノート等に自社製品の脆弱性情報やその対策情報が提供されている事があり、ベンダアドバイザリ[306]、セキュリティアドバイザリ[312][313]等と呼ばれている。ベンダアドバイザリは脆弱性情報の形で公開されない場合もあるので、注意が必要である[306]。セキュリティ担当者は基本的には各製品のサイト等を参考にしてベンダアドバイザリ手に入れる必要があるが、各種脆弱性情報データベースに載らないベンダアドバイザリを収集している有償サービスも存在するので、こうしたサービスから情報を得る事も可能である。 注意喚起サイト広く使われている製品に対して、脆弱性の周知と対策の呼び掛けを行っているサイト[306]。国内ではJPCERT/CC[314]、警察庁[315]、IPA[316]等が注意喚起を行っており、海外ではUS-CERT[317]やICS-CERT[318]（制御システムが対象）等がある[306]。 攻撃コードデータベース攻撃コード（エクスプロイト）を収集したデータベースで[307]、Exploit DB[319]などがある[307]。 脆弱性評価に関する指標Security Content Automation Protocol(SCAP)→詳細は「Security Content Automation Protocol」を参照
SCAP（エスキャップと発音[320])は、アメリカ国立標準技術研究所(NIST)が策定した「脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群」[321]である。 2015年現在、SCAPには以下の６つの仕様が規定されている[322]：
その他の指標
脆弱性管理脆弱性管理とは「自社の脆弱性の状況を常に掌握して、より頻繁かつ効果的に修正するためのプロセス」の事である[330]。脆弱性管理で行うプロセスはツールやサービスによって異なるものの、IT資産の目録作成[331][332]、守るべきIT資産の優先度付け[331]、IT資産の脆弱性の発見[331][332][333][334]、脆弱性のリスクレベルの特定[330][331][332]と対策優先度の決定[330][331]、脆弱性への対処[331][332]ないしその支援[334]、対処状況の一覧化[333][334]といったプロセスを含む。 セキュリティ対策技術境界防御・サーバ防御技術ファイヤーウォール→詳細は「ファイヤーウォール」を参照
ファイヤーウォールはネットワーク境界に設置して不正な通信を遮断する技術である。通信を許可・遮断するIPアドレスやポート番号をしていするタイプのファイヤーウォールをパケットフィルタリング型のファイヤーウォールという。パケットフィルタリング型のうち、管理者により予め決められたテーブルにしたがって通信の許可と遮断を行うものをスタティック型という。それに対しダイナミック型のパケットフィルタリングでは、ネットワーク境界内はネットワーク境界外より安全だという前提の元、境界内から境界外への通信が発生したときは、その返答が境界外から帰ってきた場合のみ例外的に通信を許可する。ステートフルパケットインスペクションはダイナミック型の特殊なもので、TCP/UDPセッションを認識して、正当な手順のセッションに属する場合のみ通信を許可する。 パケットフィルタリング型が通信の許可・遮断機能のみを持つのに対し、それ以外のファイヤーウォールは通信の中継機能を持つ。サーキットレベルゲートウェイ型ファイヤーウォールは、ファイヤーウォールを通過する際IPアドレスを付け替え、ネットワーク境界内のIPアドレスが境界外にもれないようにする。アプリケーションゲートウェイ型ファイヤーウォールはHTTPなどアプリケーション層のプロトコルを理解してプロキシとして振る舞う。コンテンツをキャッシュして通信速度を早くする他、有害なサイトのフィルタリングを行ったり、マルウェア対策ソフトを組み込んでファイヤーウォールをまたぐ通信に含まれるマルウェアを検知したりできる。 IDS/IPSIDS(Intrusion Detection System、侵入検知システム)は不正侵入の兆候を検知し、管理者に通知するシステムである[335]。IPS(Intrusion Prevention System、侵入防止システム)も不正侵入の兆候を検知するところまではIDSと同様だが、検知した不正を自動的に遮断するところに違いがある。両者を合わせてIDPSという場合もある[336]。センサーないしエージェントと呼ばれるアプライアンスないしソフトウェアを利用して通信などの情報を集める事により不正を検知する。センサーやエージェントの集めた情報は管理サーバに送られ、管理サーバ側でも複数のセンサー・エージェントの情報を相関分析する事で不正を検知する。 IDPSは以下の4種類に分類できる[337]：
ネットワークベースのIDPSとNBAはどちらもネットワークを監視する点では共通しているが、前者は主に組織LANと外部ネットワークの境界などネットワーク境界に設置され、境界をまたぐ通信を監視するのに対し、NBAは組織LAN内に設置され、LAN内の通信を監視する点に違いがある。 ネットワークベースIDS、IPSを略してそれぞれNIDS、NIPSと呼ぶ。同様にホストベースIDS、IPSをそれぞれ略してHIDS、HIPSという。 ネットワークベースのIDPSのセンサー設置方法としては、監視対象の通信が必ず通る場所にIDPSを設置するインライン型と[340]、監視対象の通信が必ず通る場所にスパニングポート、ネットワークタップ、IDSロードバランサ等を設置する事で監視対象の通信をコピーし、コピーした通信をIDPSで監視する受動型がある[340]。攻撃の遮断や回避のようなIPSとしての機能を利用する場合はインライン型が必須である[340]。 インライン型の場合、ファイヤーウォールが攻撃と考えられる通信を遮断するのでファイヤーウォールの前に設置するか後ろに設置するかで取得できる情報や、IDPSへの負荷が異なる。ファイヤーウォール前後両方を監視するためにIDPS機能とファイヤーウォール機能がハイブリッドになった製品もある[340]。 受動型はネットワークの複数箇所の通信をコピーして集約した上で解析できるという利点がある。例えばファイヤーウォールの前後およびDMZの通信を全てコピーして解析するといった行為が可能になる[340]。 WAF→詳細は「Web Application Firewall」を参照 WAF（Web Application Firewall）は、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護するセキュリティ対策の一つ[341]。WAFはウェブサイトの前に設置し、ウェブアプリケーションの脆弱性に対する攻撃と思われる通信の遮断等を行うものであり、LANとインターネットの境界などに設置されることが多い通常のファイヤーウォールとは（その名称にもかかわらず）機能が異なる[342]。WAFが検知する攻撃はウェブサイトへのものに特化しており、HTMLを解釈してクロスサイトスクリプティングやSQLインジェクションなどの攻撃を遮断する。 攻撃を遮断する点においてIPSと類似するが、IPSはOSやファイル共有サービスなど様々なものに対する攻撃を遮断するために不正な通信パターンをブラックリストとして登録しておくのに対し、WAFの防御対象はウェブアプリケーションに限定されている為ブラックリスト型の遮断のみならず、正常な通信を事前登録してホワイトリスト型の遮断も行うことができる[343]。 WAFを導入する主なケースとして、レンタルサーバ提供ベンダーや、複数のグループ企業を束ねている大手企業など、直接自分で管理していないウェブアプリケーションを保護したい場合、他社が開発したウェブアプリケーションを利用しているなど自分では脆弱性を防ぐことができない場合、事業継続の観点からウェブアプリケーションを停止できず脆弱性を行ったりパッチを当てたりできない場合等があり[344]、根本対策のコストよりもWAFの導入・運用のコストのほうが安い場合にWAFを導入する[344]。 WAFにはHTTP通信（リクエスト、レスポンス）を検査し、検査結果に基づいて通信を処理し、処理結果をログとして出力する機能がそなわっている[345]。通信の検査は前述のようにホワイトリスト、ブラックリストを用いて行う。検査結果に基づいた通信の処理としては、そのまま通過させる、エラー応答を返す、遮断する、通信内容の一部を書き換えた上で通過させる、という４通りがある[346]。またセッションのパラメータの正当性やHTTPリクエストの正当性を確認してCSFR等の攻撃を防ぐ機能、ウェブサイトの画面遷移の正当性を確認する機能、ホワイトリストやブラックリストを自動更新する機能、ログをレポートの形で出力する機能、不正な通信を管理者にメール等で通知する機能等がついている事もある[347]。 なお、たとえばウェブアプリケーションの認可機能に問題があるが、HTTP通信自身には問題がないケースなどではWAFは異常を検知してくれないので別の対策が必要となる[348]。 メールフィルタリング・URLフィルタリング
Web レビュテーションWebレピュテーションは様々な手法でウェブサイトを評価する事で、不正と思われるサイトへの接続を制御・抑制する技術である[349]。ユーザがウェブアクセスする際、アクセス先のURLをWebレピュテーションを提供しているセキュリティベンダーに問い合わせ、アクセスのブロック等を行う[350]。これにより不正サイトへのアクセスを制限できるのはもちろん、改竄された正規サイトに埋め込まれた不正サイトへのリンクへのアクセスもブロックできる[350]。またユーザによるアクセスのみならず、マルウェアによる外部接続も検知・遮断できる[351]。 Webレピュテーションの評価基準には例えば以下のものがある：
レピュテーションのアイデアはマルウェア検知にも応用されており、「ファイルレピュテーション」や「プログラムレピュテーション」などと呼ばれている[352]。 エンドポイント対策技術エンドポイント（＝パソコン、PDA、携帯電話などのネットワーク端末[353]）のセキュリティ対策ツールはEPP（Endpoint Protection Platform：エンドポイント保護プラットフォーム）とEDR（Endpoint Detection and Response）に大きく分ける事ができる[354]。EPPがマルウェア感染から防御するためのものであるのに対し、EDRはマルウェアに感染してしまったことを検知（Detection）してその後の対応（Response）を行うためのものである[354][355]。EPPに分類されるものとしてマルウェア対策ソフト、パーソナルファイアウォール、ポート制御、デバイス制御などがある[356]。 EDREDRは標的型攻撃やゼロデイ攻撃などによりマルウェア感染が防げないという現実に対応して登場したもので[357]、エンドポイントにインストールするクライアントソフトと、それを一括管理するサーバないしアプライアンスからなる[357]。感染の検知や対応が目的なので、エンドポイントを監視して攻撃の兆候を検知し、ログを取得して組織全体のログデータと突合し、必要に応じて攻撃遮断などの応急処置を取ったりする[355][358]。EDRが攻撃検知に用いる情報の事をIOC（Indicator of Compromise、侵害痕跡）と呼び、具体的にはファイルの作成、レジストリーの変更、通信したIPアドレス、ファイルやプロセスのハッシュ値などがある[357]。なおEDRはガートナーのアナリストが2013年に定義した用語である[358]。 リモートブラウザブラウザ経由でのマルウェア感染を防ぐため、ブラウザのセッションをリモートから提供する手法のこと[359]。ブラウザのセッションは「ブラウザ・サーバ」という社内サーバもしくはクラウドから提供される[359]。Webページのレンダリングはブラウザ・サーバ側で行われ、エンドポイントには無害化した描画情報ないしレンダリング結果の画面ストリームのみが送られる[360][361]。 ブラウザ・サーバはブラウズ・セッションごと、タブごと、もしくはURLごとにリセットされるので、ブラウザ・サーバ自身が汚染される危険はない[361]。 情報漏えい対策技術情報の機密性、完全性、可用性を守るため、情報の管理、更新、消去といった情報ライフサイクル管理(ILM, Information Lifecycle Management)の方法がISO 15489やJIS X 0902に規定されるなど[362]、セキュアな情報管理が求められる。このための技術として暗号化や署名といった暗号技術の他、USBポートのコントロールやe-メールの監視による情報の持ち出し制御、DLPなどがある。 DLPDLP(Data Loss Prevention)は、機密情報の不正持出しを防ぐための技術である[363][364][365]。合意された定義は存在しないため、広義には暗号化やUSBポートのコントロールもDLPに含まれる場合がある[365]。しかし多くの場合DLPは、機密情報に関するポリシーをサーバで管理し、そのポリシーに従って情報の移動、持ち出し、利用等を制限したり遮断したりする技術である[363][364][365]。システムにある機密情報を洗い出す特定機能や洗い出した機密情報を監視する機能もついている場合が多い[363][365]。 DLPは機密情報をそのコンテンツ内容やその情報が利用されるコンテキスト（利用時間や環境等）などから特定する[366]。機密情報を解析する方法は、正規表現により事前に定められたポリシーを利用するもの、構造化データの全体一致を調べるもの、非構造化データの部分一致を調べるもの、ベイズ法などを利用した統計解析を行うもの、インサイダー取引に似た情報など何らかのコンセプトに従って上述した手法を組み合わせるもの、情報に対して「カード情報」などのカテゴリ化を定義して解析するものなどがある[366]。 その他の技術検疫ネットワーク検疫ネットワークは未登録の端末や、パッチがあたっていないなどポリシーに違反した端末を組織のネットワークから遮断する技術であり[367]、次の３つのステップで構成される事が多い：
UBA、UEBAUBA(User Behavior Analytics)もしくはUEBA(User and Entity Behavior Analytics)は、システムに攻撃者が侵入した後のユーザの振る舞い等、ユーザを中心にした分析を行う事で攻撃を検知する技術全般を指す[368][369][370]。分析に用いるのはエンドポイントやネットワークのセキュリティデバイス、Active Directory等の認証サーバ、Webプロキシ、Net Flowなどのネットワークのトラフィック、データベース等のログ情報である[370]。その実装形態はいろいろありSIEMやログ管理と連携するものもあれば、エンドポイントにエージェントソフトをインストールものもある[368]。 分析の目標はユーザの振る舞いを追跡して通常業務から逸脱した異常を検知する事で[368][370]、具体的にはアカウントの不正使用、侵害されたアカウントやホスト、データや情報の漏洩、内部偵察行為などを検知する[368]。 ユーザは大量の行動ログを残すので、UBAではApache Hadoopのようなビッグデータ解析基盤を用いる事が増えている[371][372]。 CASBCASB(キャスビー[373]。Cloud Access Security Broker、クラウド・アクセス・セキュリティ・ブローカー[373])は2012年にガートナーが提唱した概念で[374]、ユーザにより勝手に使われているSaaSを可視化し[373]、機密情報の持ち出しなどを防いだりする事を目的とする[373]。ガートナーによればCASBは以下の４つ機能を持つ事を特徴とする。
CASBの実装形態は３つある：
ハニーポットとサイバーデセプション→詳細は「ハニーポット」および「en:Deception technology」を参照
いずれも攻撃者やマルウェアを騙す事で攻撃者の行動を観察したりシステムを防御したりする技術である[375][376][377][378]。ハニーポットは例えば囮サーバなど脆弱性なシステムに見せかけたものを用意して攻撃者を騙し、攻撃者の侵入方法、侵入語の行動を観察する技術である[379]。ハニーポットの主な利用方法は攻撃者の行動の観察で[375]、例えば囮サーバで攻撃者が何をしたのかから攻撃者の目的を知る、といった用途で用いる。 実際のソフトウェアを用いたハニーポットを高対話型ハニーポット、ソフトウェアを模擬するエミュレータを使った（ので一部の対話しか再現できない）ハニーポットを低対話型ハニーポットという[379]。高対話型の方が現実環境に近いので低対話型よりも多く攻撃者の情報を集められるが、その分低対話型よりも負荷が高く、ハニーポットを攻撃者に乗っ取られた場合の危険も低対話型よりも大きい[379]。またインターネット上に設置したハニーポットに攻撃者を誘い込んで受動的観測を行うタイプと囮のウェブクライアント（ハニークライアント）で悪性サイトにアクセスするなどして能動的観測を行うタイプがある[379]。 これに対しサイバーデセプション(Cyber Deception)は、いわば「次世代ハニーポット」として位置づけられる技術で[375][376]、主に攻撃から防御したりや攻撃目標の達成を遅延させたりする目的で用いられる技術である[375]。デコイサーバ（囮サーバ）等を設置する事はハニーポットと同様だが[375]、ハニーポットが攻撃者の情報を集めるためにネットワーク境界の外のインターネット上に設置される傾向があるのに対し、サイバーデセプションでは標的型攻撃により攻撃者がプライベートネットワーク内に侵入してくる事を前提にしてプライベートネットワーク上に囮を設置し、攻撃検知や防御のための時間稼ぎに利用される[375]。設置されるものとしては、デコイサーバの他に、囮サービス、囮クレデンシャル、囮ファイル等がある[375]。サイバーデセプションにおいて、囮として用いる情報全般をハニートークンといい[380]、例えばメールアドレス、プライバシー情報、アカウント情報等がハニートークンとして用いられる[380]。 サンドボックスサンドボックス（砂場）は隔離環境の事で、セキュリティ分野では、（不正な振る舞いをするかもしれない）プログラムをサンドボックス内で実行することで、そのプログラムの影響がサンドボックスの外に及ばないようにする目的で用いられる。隔離環境で実際にプログラムを実行してみる事により、従来のシグナチャ型マルウェア対策ソフトでは検知できなかったマルウェアを検出できる[381]。ただし、プログラムを実行して確認してみるという性質上、シグナチャ型のものよりも解析に時間がかかる[381]。 マルウェアの中にはサンドボックスへの対抗策が施されているものもある。対抗策としては例えば以下のものがある：
SOARSOAR（Security Orchestration Automation and Response、セキュリティのオーケストレーションと自動化によるレスポンス[383]）はいわば「次世代SIEM」に位置づけられる製品群で[384][385]、ガートナーの定義によれば、「セキュリティの脅威情報やアラートを異なる情報源から集める事を可能にするテクノロジーで、標準化されたワークフローに従って標準化されたインシデントレスポンス活動を定義し、優先度付けし、駆動するのを手助けするために、インシデント解析やトリアージが人間とマシンの協調を梃子にして行われるもの」[384]の事である。 多くのSOAR製品はダッシュボード機能やレポート機能を持っており[384]、インシデントレスポンスや脅威情報の機能を持っているものもある[384]。また分析官の手助けをするために機械学習の機能を備えているものもある[386]。 Breach & Attack Simulation (BAS)BASは仮想的な攻撃を行う自動化ツールであり[387]、その概念はガートナーが2017年に提唱された[388]。ガートナーの定義によればBASは「ソフトウェアのエージェント、仮想マシン、ないしそれ以外の手段を用いる事により、企業のインフラに対する (内部の脅威、ラテラルムーブメント、データ抽出(exfiltlation)を含む）全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す[388]。 BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする[388]。 サイバーキルチェーンとの対応以下のようになる[47][45][389][390][391]
サイバーキルチェーンの原論文に載っているのはdetect、deny、disrupt、degrade、deceive、destroyの５つであり[391]、これはアメリカ合衆国国防総省のInformation Operations方針に載た軍事の分野の対策手段をAPTにも適用したのである[391]。ただし原論文でdestroyは空欄であったので[391]、上の表からは省いた。また文献[389][390]を参考にして他の列を加えた。 主なセキュリティツール・サービスの一覧日本ネットワークセキュリティ協会（JNSA）はセキュリティのツール・サービスを以下のように分類している
APT対策APT対策のためのシステム設計コネクトバック通信対策C&Cサーバとのコネクトバック通信ではhttpやhttpsを使う事が多いので[395]、透過型プロキシは通過してしまう[395]。このため透過型でないプロキシを立て、ユーザ端末のブラウザのプロキシ設定をオンにし[395]、プロキシを経由していない通信はファイヤーウォールでインターネットに接続前に遮断する必要がある[395]。アプリケーションの更新などはWSUSのような中間配布サーバを立てるか、個々のアプリケーションに対してプロキシを指定する[395]。後者の場合、通信ログからファイヤーウォールで遮断されたアプリケーションを特定してホワイトリストをチューニングする必要がある[395]。 またマルウェアの中にはプロキシに対応したものもあるので[396]、プロキシの認証機能を有効にし[396]、ユーザ端末のブラウザ側でもID/パスワードのオートコンプリート機能を禁止する必要がある[396]。プロキシはディレクトリサービスと連動するなどしてユーザ単位の認証ができるものが望ましい[396]。またActive Directoryを使えば配下にある端末のオートコンプリート機能を一括で禁止できる[396]。 ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので[396]、プロキシの認証ログを監視し、（窃取されたユーザIDの使い回しによって）異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある[396]。 またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート(httpの80番やhttpsの443番)以外のCONNECTメソッドを遮断する必要がある[397]。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある[397]。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる[397]。 ラテラルムーブメント対策攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある[398]。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある[398]。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ[398]。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある[398]。 リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く[398]。 部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある[398]。 また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので[399]、端末の管理共有サービスを無効にする必要がある[399]。 業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある[400]。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる[399]。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる[399]。 Active Directoryの認証失敗時のログを取得できるよう設定し[400]、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する[400]。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り[400]、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する[400]。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある[400]。 また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが[401]、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため[401]、その効果は不明である[401]。 権限昇格対策攻撃者は権限昇格の為ユーザ端末にキャッシュされている管理者権限のアカウント情報を窃取しようとするので[402]、これを防ぐために、ユーザ端末で使用するアカウント権限を必要最低限にする必要がある[402]。 具体的には、ユーザ端末で使用するアカウントはDomain Usersグループ（ユーザ端末の一般ユーザ権限を持つグループ）に登録していかなる管理者権限を付与せず、ユーザ端末のメンテナンスを行うアカウントはOperatorsグループ（ユーザ端末のローカル管理者権限を持つグループ）に登録してDomain Adminsグループなどドメインの管理者権限を持つグループには登録しないようにする[402]。またユーザ端末のローカル管理者などそれ以外のローカルアカウントは、トラップアカウント以外原則全て無効にする[402]。 ドメイン管理者アカウントは可能な限り利用しないようにし、ドメイン管理者権限が必要な作業を運用記録として管理し、Active Directoryの認証ログと月に一度など定期的に突き合わせて、ドメイン管理者権限の不正利用がないか確認する必要がある[402]。運用記録の負荷軽減のため、システム管理製品のメッセージ監視機能等を使ってActive DirectoryのDomain Adminsグループのログイン履歴を監視し、ログインした事実を管理者に送信する事で実作業と突き合わせるようにするとよい[402]。 攻撃の検知と把握APTの標的となっている組織は、攻撃を検知してからでないと防御を行う事ができないので[403]、サイバーキルチェーンの早いステージで攻撃を検知する事が重要である。そのために以下で説明するインディケータとプロファイルを作成する事が有益である。 インディケータAPT攻撃が行われている事を検知するには、攻撃を客観的に指し示す指標（インディケータ）[57][58]に注目する必要がある。インディケータには以下の３種類がある[58]：
どのインディケータがどの攻撃フェーズに対応するのかを明確化する事で、インシデント対応がしやすくなる[404]。 APT攻撃を特定するには、分析官は特定した攻撃のパターンを解析したり他の組織と強調したりする事でインディケータを明らかにし、それらインディケータをツールなどを使って成熟させ、そしてその成熟させたインディケータを使って攻撃を特定するというサイクルを回す必要がある[58]。 こうしたインディケータは、攻撃目標[404]、狙われるシステム[404]、侵入方法[404]、攻撃ツール[404]、攻撃に使う外部資源[404]、攻撃の痕跡[404]、テクノロジーギャップ[404]、攻撃者の知識[404]といったものを分析するために使われる。逆に言えば、こうした事項から逆算して必要なインディケータを割り出す事ができる[404]。 プロファイルの作成APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので[403]、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある[403][405]。 プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む[403][405]、というものがある。 プロファイルに含むデータとしては例えば、攻撃者の特性[405]、共犯者[405]、攻撃者の選好分野[405]、標的となった文書[406]、活動時間帯[406]、関連インディケータ[405]、マルウェアやツールキットの分析結果[406]、このAPTを追跡している他のCERT[405]、アナリストの任意のメモ[405]などがある。プロファイルは定期的に見直し[406]、最新に保つ必要がある。 なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある[405][406]。 攻撃の予測攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である[407][408]。 インシデント対応における調査インシデント対応時に対策側が把握すべき事は以下の４つのフェーズに分類できる[409]：
以上の調査のため、下記のものを調べる必要がある[409]：
感染の把握の有無や被害範囲を把握する目的で行う調査としては下記のものがある[411]：
感染頻出箇所の調査前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある[103]。 永続化の痕跡の調査マルウェアの永続化の痕跡を以下の方法で発見できる可能性がある[412]
レジストリ情報はreg.exeで収集可能である[412]。調査すべきレジストリの詳細は文献[413]を参照されたい。 実行痕跡の調査マルウェアなどアプリケーションを実行した痕跡が残る代表的な箇所として下記のものがある[103]：
AppCompatCacheやUserAssistはそのままでは可読でないので、何らかの可読化ツールで可読にする必要がある[414]。AppCompatCacheの可読化ツールとしては例えばShimCacheParser.pyがある[414]。 またNTFSのUSNジャーナルやマスター ファイル テーブルにも実行痕跡が残るし[202]、ネットワークにも実行痕跡が残るのでパケットキャプチャによりその痕跡を探る事ができる[202]。 他にも以下のような実行痕跡を調査する必要がある：
外部通信の調査外部通信情報はDNS キャッシュとネットワーク接続情報から取得する[410]。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる[410]。 脅威インテリジェンス脅威インテリジェンス（スレットインテリジェンス、セキュリティインテリジェンスとも[417]）はガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意(implication)、および実行可能なアドバイスなどを含む[418]。APT対策には脅威インテリジェンスが重要である[407]。 脅威インテリジェンスサービス脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す[417]。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し[417][419]、これにより顧客が脅威情報収集に費やすリソース（時間、労力、専門知識等）を減らす[417]。 脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する[420]。さらに不正プログラムの情報[420]、脆弱性情報[420]、ダークウェブなどアンダーグラウンドのコミュニティで取引されている違法な商品やサービス[421]、それらを扱っている組織や人物像[421]、諸外国のサイバー攻撃の情報[421]なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する[419]。 STIXSXIX(Structured Threat Information eXpression、脅威情報構造化記述形式)はサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり[422][423]、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする[423]。 なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する[424]。 TAXIITAXII（Trusted Automated Exchange of Intelligence Information[425]、検知指標情報自動交換手順[426]）はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである[425]。 CISOCISO（Chief Information Security Officer、最高情報セキュリティ責任者）は企業などで情報セキュリティを統括する役員のことで[427][428]、サイバーセキュリティ対策に関する全社的統括に業務責任を負っている[429]。それ以外にもIT戦略（コンプライアンス、リスクマネジメントに関するセキュリティ対策、セキュリティ実施計画やルール策定等）[429]、システム企画におけるセキュリティ実装計画[429]、IT環境における事業継続計画[429]、ディザスタリカバリ[429]、情報セキュリティマネジメント[429]に関して支援・補佐する。 主な業務内容はセキュリティポリシーの策定[428]、個人情報の扱い運用やその監査[428]、コンピュータのセキュリティ対策[428]、機密管理規程の策定[428]、リスク管理[428]、情報漏洩事故の防止[428]、有事の際の対応[427]などを統括する事である。 なお個人情報に関しては「CPO」(Chief Privacy Officer：最高プライバシー責任者)という役職を別に授ける事もある[427]。情報システムの企画、導入、運用、更新を統括するCIO(Chief Information Officer：最高情報責任者) とは別の役職であるが[427]、兼任する場合もある[427]。またCSO (Chief Security Officer：最高セキュリティ責任者) は日本ではCISOと同義である事が多いが[427]、海外ではCISOとは別で、全社的な保安対策を担当を統括する役職を指す[427]。 「サイバーセキュリティ経営ガイドライン Ver 3.0」によると、経営者は、以下の重要１０項目について、CISO 等への指示を通じて組織に適した形で確実に実施させる必要がある[430]：
これらは、単に指示すればよいのではなく、組織のリスクマネジメントの責任を担う経営者が自らの役割として実施方針の検討、予算や人材の割当、実施状況の確認や問題の把握と対応等を通じてリーダーシップを発揮することが求められる。 経営者はCISOを任命し、CISOが策定したサイバーセキュリティ対応方針や実施計画を承認する[431]。策定したセキュリティ対応方針は組織の内外に示す[432]。上述の表にあるように、CISOは自身を中心としたサイバーセキュリティリスク管理体制を構築し、経営リスク委員会等他の体制と内部統制、災害対策等について整合を取る必要がある[433]。また「★」がついている項目はCSIRTなどのセキュリティ対応部門に実務を担わせる[433][434]。 SOCとCSIRT業務内容と対応組織企業などに存在するセキュリティ対応組織には、SOCとCSIRTの２種類が存在し、これら２つの主な仕事は以下の２点に集約される[6]：
セキュリティ対応組織の実務は、体制の検討、構築、見直しといった導入のフェーズ、概ね平時に行われる運用のフェーズ、インシデントが発生した「有事」においてインシデントに対応するフェーズからなる[435]。全体の運営は、短期に回す運用・対応のサイクルと、この短期サイクルを踏まえて導入の見直しを行う長期サイクルからなっている[435]。 以上の業務をSOC、CSIRTという２種類の組織で行う。これら２つ組織の役割分担や関係性、業務内容等は企業毎に異なるが[205]、それぞれ概ね以下のような仕事を担う：
文献[437]は、CSIRTがインシデントに対して行なう活動全般をインシデントマネジメントと呼び、インシデントマネジメントには、有事の対応に相当するインシデントハンドリング以外に以下の活動が含まれるとしている[437]：
種別CSIRTには、企業などの組織内に存在する組織内CSIRTの他に、国や地域を代表する国際連携CSIRTや、JPCERT/CCのように複数のCSIRTの連携を行うコーディネーションセンターなどがあるが[438]、本項では特に断りがない限り組織内CSIRTに関して述べるものとする。 またSOCには自組織で運営するものと、専門業者に外部委託するものがある[439]。両者を区別する場合、自組織で運営するものをプライベートSOCと呼ぶ[439]。一方、SOC機能等の外部委託先となるセキュリティサービスとしてMSS（Managed security service）があり[440]、MSSを提供する事業者をMSSプロバイダー（MSSP）と呼ぶ[440]。MSSPは例えば以下の機能を提供している： セキュリティ対策装置の攻撃アラートの検知時には、その内容を調査・分析して重要度や影響度を契約企業に通知し、対応を実施する[440]。またセキュリティ対策装置の運用の一環として、装置のソフトウェア更新を行ったり、ポリシー設定やシグネチャの変更や更新を行ったりする[440]。さらに稼動状況や対応作業の報告を行ったり、リアルタイムに状況をレポートしたり、契約企業からの問い合わせ対応を行ったりもする[440]。 なおMSS事業者の呼称は業者毎に異なっており、「MSSP」以外にも「MSP（マネージドサービスプロバイダー）」、「MSSP（マネージドセキュリティサービスプロバイダー）」、あるいは単に「SOC」等とも呼ばれる[440]。またMSSPの業態には、専業事業者以外に、SIer、ISP、ハードウェアベンダがサービスを提供する場合もあり[440]、サービス内容としてMSS以外にIT システムの運用や機器の稼働監視提供している場合がある[441]。またMSS は24 時間365 日体制で提供される場合が多い[441]。 関連組織SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークの運用管理部門であるNOC（Network Operations Center）と協調する必要がある[442]。 また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある[443]。 リアルタイムアナリシスSOCに求められる主な機能の一つで、ログを参照監視してインシデントの予兆を発見する[444][445]。監視するログとしては主に以下のものがある[444][445]：
SIEMのようにログを収集・正規化し、複数のログを相関分析する機器を用いる事で、職人芸的なログ分析能力などの属人性を廃して膨大な量のログを分析する[444][445]。 ログの分析は以下の２つをトリガーとして行う[444]
上述した分析だけでは不足する場合は、詳細な分析として以下を行う[445]： 以上に加えリアルタイムアナリシスでは、トリアージ（後述）に必要となる情報の収集を行う[445]。 SOCにはその活動内容の報告が求められ、定期報告と必要に応じた臨時報告を行う[445][446]。定期報告は大手ソフトウェアメーカーが定期的にパッチをリリースする1週間後程度を目安として行われる事が多い[446]。報告内容は被害端末の情報、攻撃手法、攻撃経路、情報漏えいの有無、影響度、すぐに行うべき短期的な対処策等である[445]。不明なものは不明と明記する事が望ましい[445]。また分析に関する問合せ対応も行う必要がある[445]。 インシデントハンドリングCSIRTに求められる主な機能の一つで、インシデントの発生確認、迅速な封じ込め、影響範囲特定とその文書化、全容解明、復旧といった技術より作業の他に[447]、ビジネスやネットワークに及ぼす混乱を最小限にとどめ、インシデントに対する世間の認識をコントロールし、犯人に対する訴訟の準備をするといった作業も含まれる[447]。 インシデントハンドリングは技術的な作業のみにとどまらないので、一般的に
で構成される[448]。インシデント管理責任者はCISO、CIO、もしくは彼らから直接任命を受けた人物がその任務にあたる[449]。 CSIRTはインシデントと思しき情報をユーザやSOC、外部組織等から検知／連絡受付したら、その情報をトリアージし、対応すべきと判断したインシデントに対してインシデントレスポンスを行い[450]、最後に報告／情報公開を行う[450]。 検知／連絡受付インシデントと思しき情報は自組織内部の保守作業で発見される場合、IDSのような何らかの異常検知システムで発見される場合、外部からの連絡により発見される場合の３通りがある。 よってCSIRTは、
トリアージCSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである[453]。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく[453]。 インシデントと思しき情報があったら情報提供者から必要情報を入手し[453]、5W1Hを整理する（「Why」は後回しでも良い[453]）。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する[453]。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する[453]。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する[453]。 なお本稿では文献[453]に従ってトリアージをインシデントハンドリングに含めたが、文献[445]ではトリアージをリアルタイムアナリシスに含めている。 インシデントレスポンストリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。 まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し[454]、対応が必要だと判断した場合は対応計画を策定し[454][455]、具体的な対応活動・攻撃の抑止措置を取る[455]。この際必要に応じてIT 関連部署や外部組織と連携し[454][456]、経営層と情報共有し、外部の専門機関等に支援を依頼する[454]。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する[454]。 調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する[456]。 優先度の低いインシデントは電話やメールでリモート対応する[456]。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う[456]。なお詳細な分析に関してはディープアナリシスの節で記述する。 このフェーズでは、調査や訴訟のために証拠を保全する事を重要である[457]。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある[452]。 報告／情報公開必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う[458][456]。 ディープアナリシスインシデントの全容解明と影響の特定のため、被害を受けたシステムの調査、漏えいしたデータの確認、攻撃に利用されたツールや手法の分析などを行う[459]。 具体的には
等を行う事で攻撃の全容を解明し[460]、犯罪捜査や法的措置を行う可能性がある場合は証拠を保全する[460]。 文献[461]ではディープアナリシスをSOCの業務としている。 全般的な運営方針策定以下を策定し、必要に応じて改善する：
全般的な運用業務
その他の業務SOC・CSIRTの業務として、以上に挙げたもの以外に以下のものがある。 資産管理防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する[465]。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する[465]。 脆弱性管理・対応資産管理の結果得られた資産リストに関する脅威情報を収集し、対応が必要な資産を特定し、その資産の管理部門に通達する[465]。さらに脅威への対応状況を管理する[465]。この目的のためにプラットフォーム診断、Webアプリケーション診断などを自動脆弱性診断ツールで実行する他[465]、必要に応じて手動の脆弱性診断を行う。 情報収集・注意喚起下記の情報を収集する：
これらの情報を定期的にドキュメント化し、周知する[466]。重大な脆弱性等に関しては速報も出す必要がある[466]。 予行演習・社員教育・普及啓発等
内部統制支援内部統制の監査データで必要となるログの収集と報告、内部不正が発覚した際の支援、内部不正の検知や防止の仕組みの確立支援等を行う[463]。 社内外の組織との連携利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など[463]。CSIRTによるコミュニティとしては、例えばFIRST (Forum of Incident Response and Security Teams)、APCERT (Asia Pacific Computer Emergency Response Team)、日本シーサート協議会などがある[467]。 PSIRTPSIRT（Product Security Incident Response Team）は「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で[468]「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする[469]。 PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある[469]。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する[469]。 PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる[470]。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」[470]。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い[470]、PSIRTはそのための支援やガイドラインの作成等を行う[470]。集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」[470]。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する[470]。ハイブリッドモデルは両者の中間形態である[470]。 「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」[470]は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」[470]では「高度なセキュリティスキルと専門知識を1 つの領域に集中」[470]できる集中モデルが適している。 PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携[471]、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保[472]、脆弱性発見者との交流[473]、サプライチェーンの上流・下流との交流[473]、バグバウンティ（脆弱性報奨金）の提供[474]もしくはバグバウンティベンダとの交流[475]など、PSIRT固有の活動もある。 制御システム・IoT機器のセキュリティ制御システムのセキュリティ制御システムとは、例えば などで用いられるシステムの事である。インターネットの普及に伴い、制御システムの機器も汎用で標準的なプロトコルを用いて制御用データを送受信するようになり[478]、システムにもWindows やUNIXなどの汎用OSが利用されるようになっている[478]。こうした理由により、制御システムもインターネットを経由したサイバー攻撃のリスクに晒されており、セキュリティ対策が必要となる。制御システムは社会インフラで利用される事が多いので、サイバー攻撃のリスクは大きく、場合によってはサイバーテロの標的になったり、国家によるサイバー攻撃を受けたりする場合もある（例えばスタックスネットの事案）。 制御システムの特徴制御システムでも情報セキュリティのCIA、すなわち下記の３つは重視される[10]
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である[11][12]。また以下のHSEの３つも重視される[12][13]
以下の表は制御システムと情報システムとでセキュリティに対する考え方の違いを整理したものである[479]：
CSMS
一方向性ゲートウェイ
アプリケーションホワイトリスト
IoT機器のセキュリティIoT機器とは家電、オフィス機器、自動車、信号機などのモノでインターネットにつながる機能を有しているものを指す。IoT機器はLinuxやWindowsなどの汎用OSがカスタマイズして搭載されている[480]。IoT機器の多くでは、設定変更を行うためウェブサーバ機能が搭載サれており、他にもFTPやSMBのサーバ機能、メールサーバ機能等が搭載されていることもある[480]。 IoT機器は出荷した初期設定状態ですぐ利用できる事が想定されているため、初期設定ではログイン認証機能が設定されていないことも多く[481]、こうしたIoT機器がファイヤーウォールを隔てることなく直接インターネットに接続されることも多い[481]。このため複合機やウェブカメラから機密情報や個人情報が漏洩したり[481]、ブロードバンドルーターなどのIoT機器の設定を不正に変更してユーザを悪性サイトに誘導したり[481]、スパムメール送信やDoS攻撃に利用されるなど攻撃の踏み台にしたり[481]といったインシデントが起きている。 日本国のサイバーセキュリティ推進体制サイバーセキュリティ基本法サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である（第一条）[482]。 またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める（第一条）[482]。 サイバーセキュリティ戦略本部と内閣サイバーセキュリティセンターサイバーセキュリティ基本法第24条により内閣にサイバーセキュリティ戦略本部を置く事が定められており[483]、内閣官房組織令第1条により内閣官房に内閣サイバーセキュリティセンター（NISC）を置く事が定められている[484]。サイバーセキュリティ戦略本部の庶務はNISCが行うこととされている。それぞれの概要は下記のとおりである[485][483][486][487]：
サイバーセキュリティ担当大臣サイバーセキュリティ戦略本部に関する事務を担当する国務大臣の通称としてサイバーセキュリティ担当大臣と呼ぶことがある。事務局であるNISCは内閣官房に属するが、同国務大臣は担当大臣や内閣府特命担当大臣とも異なる無任所大臣であり、辞令等によってサイバーセキュリティ担当とする補職が行われているものではない。デジタル市場競争本部の設置について（2019年9月27日閣議決定）などにおいて、本部員に「サイバーセキュリティ戦略本部に関する事務を担当する国務大臣」が指定されている。 なお、2024年に組閣された第1次石破内閣及び第2次石破内閣において、平将明がサイバー安全保障担当大臣（新設）に指定された。 サイバーセキュリティ協議会平成30年のサイバーセキュリティ基本法改正によりその創設が決定された[488]。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり[489]、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」[489]。NISCと専門機関を事務局とし[489]、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする[489]。構成員には秘密保持と協議会への情報提供の協力とが課せられる[489]。 サイバーセキュリティ戦略サイバーセキュリティ戦略本部はサイバーセキュリティ戦略というサイバーセキュリティに関する基本的な計画（中期計画：およそ3年程度）を作り、閣議決定する[483][490]。その内容は下記のとおりである（サイバーセキュリティ基本法12条2項）[483]：
なお、当該戦略を年次計画・年次報告に詳細化し、毎年サイバーセキュリティ（計画年度）として公表している。 政府統一基準サイバーセキュリティ基本法第26条第1項第2号には、サイバーセキュリティ戦略本部がつかさどる事務の一つとして、「国の行政機関、独立行政法人及び指定法人におけるサイバーセキュリティに関する対策の基準の作成及び当該基準に基づく施策の評価（監査を含む。）その他の当該基準に基づく施策の実施の推進に関すること」が定められている[483]。 統一基準群は以下の 3 つの文書の総称である[491]：
GSOCGSOC(Govrenment Security Operation Coordination team)はNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム[495]。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする[496]。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の９つ[496]。 これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない[496]。 情報セキュリティー緊急支援チーム(CYMAT)CYMAT(Cyber Incident Mobile Assistance Team)[497]は、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である[498][499]。平常時には研修や訓練も実施している[499]。 政府共通プラットフォーム政府全体でシステム基盤を共有化するプラットフォーム[500]。2009年に政府が掲げた「霞が関クラウド（仮称）」を構想化したもので[500][501]、2013年3月18日から運用を開始[501]。クラウドコンピューティングなどのICT技術を活用する事で、各府省の政府情報システムを統合、共通機能を一元的に提供する[501]。 クラウドコンピューティングをはじめとする最新の情報通信技術（ICT）を活用し、従来は各府省が個別に整備・運用していた政府情報システムを統合・集約するとともに、共通機能を一元的に提供する基盤システム。2013年3月18日から運用を開始した。しかし個人情報を含んでいたり民間サービスを利用したりしている61%のシステムは2016年段階で統合できず、政府共通システムへの以降は限定的である[501]。 防衛省の施策・活動防衛省・自衛隊内にはサイバーセキュリティに関する下記の組織がある[502][503]：
またサイバー攻撃対処に関する態勢や要領を定めた規則として「防衛省の情報保証に関する訓令」[504]などを発行している[502]。 他組織とは下記のような連携体制を取っている：
警察庁の施策・活動サイバー警察局2022年度（令和4年度）に新設されたサイバー警察局では、情報技術解析課（サイバーフォース）で技官がフォレンジックを担当している。 日本サイバー犯罪対策センター（JC3）一般財団法人日本サイバー犯罪対策センター（JC3、Japan Cybercrime Control Center）は「日本版NCFTAとしてサイバー空間の脅威に対処するための非営利団体」[505]。「警察による捜査権限のより効果的な行使を始めとする脅威への先制的・包括的な対応を可能とする産学官の新たな連携の枠組」である[506]。2018年現在、正会員18社[507]、賛助会員36社[508]。 2017年現在、JC3は違法性アダルトサイトや不正口座の摘発、犯罪者の検挙や犯罪組織のインフラのテイクダウン、加盟団体の情報提供によるエクスプロイトキットの全容解明等で成果をあげている[509]。具体的活動としては、「犯罪者を特定するための調査」、「ログなどの証拠収集と確保」、「民間企業であるプロバイダや回線事業者への協力要請」、「摘発する各都道府県警の足並みを揃える」、「海外にサーバがある場合に国際的な法執行機関との事前連携を取る」など[509]。 JC3には「全国の警察組織をとりまとめる警察庁のメンバーが事務所内に常駐体制を敷」[509]いており、全国一斉の捜査・摘発では足並みを揃えやすい[509]。またサイバー攻撃の標的になるのを避けるためNCFTAがそのメンバーを積極的には公表していないのに対し、JC3では参加企業・協賛団体を公開している[509]。
情報処理推進機構(IPA)の施策・活動 独立行政法人情報処理推進機構（IPA、英: Information-technology Promotion Agency, Japan）は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の３つの事業領域を持ち[511]、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる[511]。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。 標的型サイバー攻撃対策IPAでは標的型サイバー攻撃対策のため、「脅威と対策研究会」を立ち上げて「『高度標的型攻撃』対策に向けたシステム設計ガイド」等の資料を公開している[512]他、以下を行っている：
認証・評価以下を行っている：
その他の施策・活動
情報通信研究機構(NICT)の施策・活動→詳細は「情報通信研究機構」を参照
国立研究開発法人情報通信研究機構（NICT）は総務省所管の国立研究開発法人。NICTは情報の電磁的流通及び電波の利用に関する技術の研究及び開発、高度通信・放送研究開発を行う者に対する支援、通信・放送事業分野に属する事業の振興等を総合的に行うことにより、情報の電磁的方式による適正かつ円滑な流通の確保及び増進並びに電波の公平かつ能率的な利用の確保及び増進に資することを目的とする。（国立研究開発法人情報通信研究機構法第4条） 組織は総務や広報のような事務部門のほか、電磁波研究群、ネットワーク研究群、AI・脳情報通信研究群、サイバーセキュリティ研究所、未来ICT研究群、オープンイノベーション推進本部、ソーシャルイノベーションユニット、イノベーション推進部門、グローバル推進部門、デプロイメント推進部門を持つ[522]。 サイバーセキュリティ研究所は「NICTの中立性を最大限に活用し、産学との緊密な連携によりサイバーセキュリティ研究開発の世界的中核拠点を目指し」ており[523]、研究実施体制としてサイバーセキュリティ研究室とセキュリティ基盤研究室を持ち[523]、その他にナショナルサイバートレーニングセンター（後述）を持つ。 サイバーセキュリティ研究室では以下の研究技術を公開している[524]：
セキュリティ基盤研究室では以下の研究を行っている[525]：
特に、暗号技術の安全性評価の一環として、IPAとともにCRYPTRECの運営を行っている[525]。 ナショナルサイバートレーニングセンター実践的なサイバートレーニングを企画・推進する組織[526]。主に以下の3つの事業を推進
産業総合研究所の施策・活動
国際連携
米国のサイバーセキュリティ推進体制全般サイバーセキュリティ調整官（Cybersecurity Coordinator）「国家のサイバーセキュリティ戦略・活動を統括する責任者」[528]である。 FISMA
アメリカサイバー軍 →詳細は「アメリカサイバー軍」を参照
アメリカサイバー軍はアメリカ軍のサイバー戦を担当する統合軍であり、その任務はサイバー空間における作戦を一元化し、国防総省のサイバー空間における能力を強化し、国防総省のサイバー空間における専門的技能の統合と強化を行う事にある[529][530]。 国家情報長官オフィス(ODNI)とその関連組織国家情報長官国家情報長官（英語: Director of National Intelligence、略称：DNI）は、閣僚級の高官で、以下を行う権限を持つ（根拠法：Intelligence Reform and Terrorism Prevention Act of 2014(IRTPA)）：
 毎朝、諜報機関が収集した情報をまとめた機密文書大統領日報（President's Daily Brief）を大統領に報告する。この大統領日報は、大統領と大統領が承認した人物のみ閲覧できる。 国家情報長官を補佐する独立連邦機関として国家情報長官オフィス(ODNI)があり、ODNIには国家テロ対策センターなど６つのセンターがある。 サイバー脅威情報統合センター（CTIIC）サイバー脅威情報統合センター（CTIIC、Cyber Threat Intelligence Integration Center）は脅威インテリジェンスの収集と分析を担うODNIの下部組織で[532][533][534]、「既存の政府機関が収集した外国からのサイバー脅威に関する情報を集約し、脅威に対抗するために必要な情報と手段を米政府の関係機関に提供する」[533]。 アメリカ国防総省(DoD)とその関連組織DoDはサイバー司令部を持っている[528]。サイバー司令部の司令官はNSA長官が兼務[528]。 アメリカ国家安全保障局(NSA)→詳細は「アメリカ国家安全保障局」を参照
 アメリカ国家安全保障局（英: NSA、National Security Agency）は、アメリカ国防総省(DoD)の諜報機関である。中央情報局（CIA）がおもにヒューミント（HUMINT; human intelligence）と呼ばれるスパイなどの人間を使った諜報活動を担当するのに対し、NSAはシギント（SIGINT; signal intelligence）と呼ばれる電子機器を使った情報収集活動とその分析、集積、報告を担当する。 NSAはイギリスの政府通信本部（GCHQ）など4カ国の諜報機関と世界中に張り巡らせたシギントの設備や盗聴情報を、相互利用・共同利用する為にUKUSA協定を結んでおり[535]、UKUSA協定グループのネットワークはエシュロンと呼ばれている[535]。またNSAは通信監視プログラムPRISMを運営し、マイクロソフトの「So.cl」（ソーシャル）、Google、Yahoo!、Facebook、Apple、AOL、Skype、YouTube、PalTalkの、合わせて9つのウェブサービスを対象に、ユーザーの電子メールや文書、写真、利用記録、通話など、多岐に渡るメタ情報を収集している他、各国の行政権を担う人物が電話盗聴の対象になっていたとマスメディア各社が報じている[536][537][538]。 DHSとその関連組織アメリカ合衆国国土安全保障省(DHS)→詳細は「アメリカ合衆国国土安全保障省」を参照
 アメリカ合衆国国土安全保障省（英: DHS、United States Department of Homeland Security）は概ね各国の内務省に相当する行政機関で、公共の安寧の保持を所掌事務とする。その使命は、テロリズムの防止、国境の警備・管理、出入国管理と税関業務、サイバーセキュリティ、防災・災害対策である[539]。 サイバーセキュリティ関連ではNational Cyber Security Division、National Cybersecurity Center、Central Security Serviceをその配下に置く。 サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA、Cybersecurity and Infrastructure Security Agency）はDHS傘下の独立連邦機関で、2018年サイバーセキュリティ・インフラストラクチャセキュリティ庁法（Cybersecurity and Infrastructure Security Agency Act of 2018）に基づき[540][541][542][543]、国家保護・プログラム総局（NPPD）を改組する事で設立されたものである[544]。 CISAに期待されている役割は政府の全てのレベルを横断したサイバーセキュリティの改善、サイバーセキュリティのプログラムに関して各州と協調する事、および私的なハッカーや国家ぐるみのハッカーに対する政府のサイバーセキュリティ防御を改善する事である[545]。 CISAは以下の３部門から構成されている：
CISAは下記の組織を監督する[546]：
国家サイバーセキュリティ通信総合センター（NCCIC）CISAの傘下[547]の組織で、重要インフラ等のサイバー情報集約機関[548]。US-CERT、ICS-CERT、National Coordinating Center for Communicationsを統括[549][548][550]。FBI、CIA、NSA、等の情報を一元的に集約し、分析結果を共有することでサイバー攻撃を防ぐ事を目的とする[551]。 Automated Indicator Sharing(AIS)Automated Indicator Sharing(AIS)はDHS（米国国土安全保障省）が推進する枠組みで[552][553][554][555]、米国内外を問わず官民でCTI（Cyber Threat Intelligence、サイバー脅威インテリジェンス）を加盟団体間で迅速に共有する事をその目的とする[554][555]。加盟にはDHSに申請書類の提出と受理が必要である[554]。 情報提供を行う加盟団体は、他のどの加盟団体にどのCTIを共有するかを指定でき[554]、CTIはデフォルトでは匿名化処理を施した上で他の加盟団体に共有されるが、情報提供団体が望めば匿名化せずに提供する事も可能である[552][553][554]。情報の共有はDHS傘下の国家サイバーセキュリティ通信総合センター（NCCIC）が提供する情報システムを介して行われる（根拠法：Cybersecurity Information Sharing Act）[552][553][555]。 情報の迅速な共有に重きが置かれているため、提供されたCTIの内容の正確性をDHSの側が検証する事はしないが[552][553]、加盟団体が有益なCTIにレピュテーションスコアをつける事ができる[552][553]。 CTIの共有にはSTIX・TAXIIプロトコルが利用され[554]、CTIには例えばIPアドレス、ドメイン名、フィッシングメールの送信者アドレスが含まれる[554]。 AISにおいて個人を特定可能な情報(PII、Personally Identifiable Information)を保護するため、DHSはAISのためのプライバシーインパクトのアセスメントを定めており[552]、サイバーの脅威に直接関係ないPIIは自動的に削除される[552]。 NISTとその関連組織アメリカ国立標準技術研究所(NIST)→詳細は「アメリカ国立標準技術研究所」を参照
 アメリカ国立標準技術研究所（アメリカこくりつひょうじゅんぎじゅつけんきゅうじょ、National Institute of Standards and Technology, NIST）は、アメリカ合衆国の国立の計量標準研究所であり、アメリカ合衆国商務省配下の技術部門であり非監督（non-regulatory ）機関である。その公式任務は「アメリカの技術革新や産業競争力を強化するために、経済保障を強化して生活の質を高めるように計測学、規格、産業技術を促進すること」である[556]。次の研究ユニットがある[557]。
ITL（Information Technology Laboratory）の中のCSD（Computer Security Division）という部門がコンピュータセキュリティに関して研究を行い、以下の文書を発行している[558]：
IPAのサイトに主だった文書のリストと邦訳がある。 官民連携R&Dセンター（NCCoE）官民連携R&Dセンター（NCCoE: National Cybersecurity Center of Excellence）はNISTがメリーランド大学内部に設置した組織で[559]、以下を目的とした研究開発を行っている：
FBIとその関連組織連邦捜査局(FBI) 連邦捜査局（れんぽうそうさきょく、英: FBI、Federal Bureau of Investigation）は、アメリカ合衆国の警察機関の一つ。アメリカ合衆国司法省において、連邦法に関する事案の捜査を任務としている。 FBIに以下のサイバー対策部隊がある（2010年3月4日現在)[560]
また、全国ホワイトカラー犯罪センター(NW3C)と連携して米国インターネット犯罪苦情センターを運営している。 NCFTANCFTA(National Cyber-Forensics & Training Alliance、日本語では「米国サイバー鑑識・訓練協定」[561]もしくは「全米サイバー犯罪科学訓練同盟」[561])は「サイバー犯罪に関する情報共有や捜査支援、被害防止のために設けられた、アメリカの非営利団体」[561]。FBIを中心とする法執行機関、民間企業、大学による産学官連携組織である[561]。サイバー犯罪の手口等をデータベース化して専門家が分析し、捜査員の訓練や捜査の技術支援に役だてる[561]。 その他の関連組織
その他諸外国のサイバーセキュリティ推進体制EUEU一般データ保護規則(GDPR)→詳細は「EU一般データ保護規則」を参照
European Data Protection Board(EDPB)European Data Protection Board(EDPB)はGDPRの適用をEUに任された機関[563]。データ処理プロセスを監視する[564]データ保護当局（DPA：Data Protection Authority）の長と諸機関における個人データの取扱いを監督する独立の機関である[565]欧州データ保護監督官（EDPS、European Data Protection Supervisor）ないしその代表から構成される[563]。欧州委員会もEDPBに参加するが、投票権を持たない[563]。 その責務は下記のとおりである： 欧州ネットワーク・情報セキュリティ機関(ENISA)ENISA（英語：European Union Agency for Network and Information Security。略称は旧名のEuropean Network and Information Security Agencyに基づく、日本語訳：欧州ネットワーク・情報セキュリティ機関もしくは欧州ネットワーク情報安全機関[566]）は、欧州連合内におけるネットワークと情報セキュリティを改善を目的とした欧州連合の専門機関の一つ。EU法を含め、ネットワークおよび情報セキュリティの必須要件を満たす為、委員会、加盟国、その結果として経済界を援助する。また加盟国と欧州連合の各機関がネットワークおよび情報セキュリティに関連した問題について専門的知識の助言を求めるセンターとして運用されるよう務める。 欧州ネットワーク・情報セキュリティ機関は長官によって管理され、その傘下におかれる職員については情報通信技術業界や消費者団体および学識経験者などの利害関係者を代表する専門家で構成し運営されている。機関は管理員会によって監督され、欧州連合加盟国、欧州委員会やその他の利害関係者から排出された代表から成っている。また、常設関係者部会が設立され長官を補佐する。 中国中国は、ネットのセキュリティを強化するために中華人民共和国サイバーセキュリティ法（中国語:中華人民共和國網絡安全法）を制定している。
イギリスイギリスではGDPRを補完する法律としてData Protection Act 2018を定めている。
イスラエル
民間団体・業界団体等ISACISAC(Information Sharing and Analysis Center、セキュリティ情報共有組織[567])とは、重要インフラに対するサイバーセキュリティ上の脅威を収集し、民間部門と公的機関の間で双方向の情報共有を行うための非営利団体である[568][569]。 ISACは歴史的には米国に端を発しており、大統領令63の1（クリントン大統領（当時）が1998 年5 月22 日に署名）において、重要インフラへの攻撃に備えるため、分野における脅威や脆弱性に関する情報を分野内で共有する専門組織の設立が推奨された事に呼応して設立されたものである[570]。 米国では19のISACが活動している（2015年5月現在）[571]他、National ISAC Council [572]が「定期的に各ISAC の代表者を集めた会合を開催して、情報を共有しており、ウェブサイト上ではISACに係わる白書やテクニカルドキュメントを公表している」[573]。 日本でも金融ISAC[574]、電力ISAC[575]、ICT-ISAC[576]（旧Telecom-ISAC Japanを発展的に継承したもの[577]）、Software ISAC[578]などが活動しており、ヨーロッパではエネルギー関連のISACであるEE-ISAC[579]が活動している。 National ISAC Council によるISACの定義は以下の通りである[580]：
ISAO
JNSAとその関連団体日本ネットワークセキュリティ協会(JNSA)日本ネットワークセキュリティ協会（JNSA、Japan Network Security Association）は、ネットワークセキュリティに関する啓発、教育、調査研究及び情報提供に関する事業を行う、特定非営利活動法人。会員企業は227社（2019年1月1日現在）[582]。
毎年年末にJNSA十大ニュースを発表している。 日本セキュリティオペレーション事業者協議会(ISOG-J)日本セキュリティオペレーション事業者協議会（ISOG-J、Information Security Operation providers Group Japan）は、「セキュリティオペレーション技術向上、オペレータ人材育成、および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立」された団体[593]。2018年12月25日現在、47社が参加[594]。ISOG-JはJNSAを事務局とし[593]、総務省と経済産業省をオブザーバーとする[595]。 以下のワーキンググループを持つ[596]：
情報セキュリティ教育事業者連絡会（ISEPA）
日本トラストテクノロジー協議会（JT2A）
その他の日本の団体日本情報経済社会推進協会(JIPDEC)日本情報経済社会推進協会は一般財団法人で、以下を行っている： 付属機関「情報マネジメントシステム認定センター」（ISMS-AC）で下記を行っている：
2017年度まではJIPDEC自身がISMS適合性評価制度における認証機関の認定機関であったが、この部門は独立し、上述のISMS-ACで行っている。 技術研究組合制御システムセキュリティセンター（CSSC）
重要生活機器連携セキュリティ協議会(CCDS)
業界団体Cyber Threat AllianceCyber Threat Alliance（CTA）はほぼリアルタイムに高品質なサイバー脅威情報を加盟団体間でシェアするために2014年に設立された非営利団体で[599][600]、発足時の加盟企業はフォーティネット、マカフィー、パロアルトネットワークス、シマンテックである[600][601]。 加盟団体は脅威情報をSTIX形式のパッケージとしてCTAのプラットフォームに提供し[600]、提供された脅威情報は匿名化された上で他の加盟団体で共有される[600]。 提供する脅威情報はサイバーキルチェーンのフェーズのどのフェーズに相当するかを明示する必要があり[600]、提供段階で脅威情報に総合点がつけられる[600]。加盟団体には基準点以上の脅威情報の提供が義務付けられており、この義務を守っている場合しか他の加盟団体の提供した脅威情報を閲覧する事はできない[602]。 脚注注釈出典
参考文献
関連項目
外部リンク
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
![[icon]](%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB:Wiki_letter_w_cropped.svg){kind=small}
Portal di Ensiklopedia Dunia
