攻撃カタログ

サイバー攻撃とは何ですか？

サイバー攻撃とは 個人または組織が、他の個人、企業、または政府機関の情報システムを侵害しようとする 意図的で悪意ある試みです。目的は、データを盗む、改ざんする、破壊する、またはデータに対する不正なアクセス権を得ること、あるいはデジタル業務を妨害することが多くあります。

サイバー攻撃の動機を理解する

サイバー攻撃者は、以下で説明するようなさまざまな目的によって動機づけられることがあります。

経済的利益

経済的利益は、サイバーセキュリティ攻撃の中で最も一般的な動機です。攻撃者は直接的または間接的な金銭的利益を得ようとします。経済的利益を目的として典型的に用いられる攻撃手法には、ランサムウェア、フィッシング、そしてバンキングトロジャンが含まれます。

• ランサムウェア攻撃では、悪意のあるソフトウェアが被害者のデータを暗号化し、攻撃者がそれを復号するための身代金を要求します。代表的な例としては WannaCry や REvil があります。
• フィッシングでは、偽の電子メールやメッセージによってユーザーをだまし、パスワードやクレジットカード情報などの個人データを開示させます。その後、それらは盗難や不正行為に悪用されます。
• バンキング型トロイの木馬では、Zeus や Emotet のようなマルウェアが、被害者の口座から資金を吸い上げるために、銀行の認証情報を特定して狙います。

スパイ活動

企業スパイ活動や国家によるスパイ活動を含むサイバー・エスピオナージ（諜報活動）は、戦略的優位性を得るために機密または機微な情報を収集する目的で行われます。

• 企業スパイ活動では、競合他社や犯罪者が営業秘密、研究開発（R&D）データ、またはビジネス戦略を盗みます。
• 国家を背景とするスパイ活動では、国家の支援を受けた組織が政府機関、防衛請負業者、または海外企業に侵入します。例として、中国の APT10 やロシアの Fancy Bear などがあります。

ハクティビズム

ハクティビズム（Hacktivists）は、政治的・社会的・環境的な大義を広めるためにサイバー攻撃を用います。これらの攻撃は、個人的または国家的な利益のためではなく、思想・信念に基づいて行われます。一般的な攻撃手法には、Webサイトの改ざん（defacement）、データ漏えい、そしてサービス拒否（DoS）などがあります。

サイバー戦

サイバー戦の攻撃は政治的な動機に基づいており、通常は国家が支援して行われ、混乱や恐怖を引き起こします。イランの核開発計画を標的にした Stuxnet 攻撃は、そのような攻撃の良い例です。

• 政府が支援する攻撃では、各国が電力網や軍事システムなどの重要インフラを攻撃する能力を開発します。代表的な例が、イランの核開発計画をめぐる Stuxnet 攻撃です。
• ハイブリッド戦は、従来型の軍事作戦とサイバー攻撃を組み合わせて相手を不安定化させます。

内部脅威

内部脅威は、機密情報にアクセスできる組織内の個人から発生します。たとえば：

• 従業員や請負業者は、金銭的な動機、強要、復讐、または過失により、アクセスを不正に使用する可能性があります。
• 一部のインサイダーは、意図的にデータを盗んだり、秘密を漏えいしたり、システムを破壊したりする可能性があります。
• フィッシングのリンクをクリックしたり、データを不適切に取り扱ったりするなど、インサイダーのミスによっても被害が発生する可能性があります。

最も一般的なサイバー攻撃の種類

サイバーセキュリティにおける、最も一般的ないくつかの攻撃タイプについては、以下で説明します。

マルウェア攻撃

マルウェアは、デバイス、ネットワーク、またはサービスに害を与える、悪用する、あるいはその他の方法で侵害するために設計されています。

主な種類：

1. トロイの木馬 - 正規のソフトウェアに偽装しているが、攻撃者にシステムへのアクセスを可能にする
2. ワーム - 人の介入なしに拡散する自己増殖型マルウェア
3. スパイウェア - ユーザーの活動をこっそり監視し、情報を収集します
4. アドウェア - 不要な広告を自動的に配信し、場合によってはスパイウェア機能も備えています
5. ルートキット - 攻撃者が存在を隠しながら、継続的なアクセスを維持できるようにします

高度な持続的脅威（Advanced persistent threats、APTs）

APTs（高度な持続的脅威）とは、長期にわたって特定の対象を狙う攻撃で、資金力のある脅威者（通常は国家）が主導して行われることがよくあります。これらの攻撃は、ネットワークに侵入し、数か月または数年にわたって検知されない状態を維持することを目的とし、情報を収集したり、システムを静かに操作したりします。例として、SolarWinds の侵害（2020年）では、APT が米国の連邦機関および企業を標的にしました。

フィッシング & ソーシャルエンジニアリング

これらの攻撃は、人を操作して機密情報を開示させたり、セキュリティを損なう行為を行わせたりします。

フィッシングの種類：

1. スピアフィッシング - 個人情報を用いて、特定の個人または組織を対象に高度に絞り込んだメール
2. ホエーリング（Whaling） - 組織内のシニア幹部や注目度の高いターゲットを狙うことを目的としています
3. ビジネスメール詐欺（BEC） - 詐欺師がビジネス用メールアカウントをなりすまし、またはハッキングして、従業員をだまして資金を送金させたり、機密情報を共有させたりします

実例：

1. 大きな事例として、BEC の詐欺により従業員が攻撃者の管理下にある口座へ送金してしまい、Ubiquiti Networks が 4,670 万ドル以上の損失を被ったケースがあります。

ランサムウェア

ランサムウェアは被害者のデータを暗号化し、復号のための身代金を要求します。これにより技術的な脅威と金銭的な脅威の両方が生じます。

初期のランサムウェアは、単一の身代金要求を伴う、単純な暗号化ベースの攻撃でした。現在では、二重恐喝（Double Extortion）へと進化しています。攻撃者はデータを暗号化するだけでなく、機密ファイルも持ち出します。その後、身代金を支払わない場合は盗んだデータを公開すると脅します。これにより、被害者は支払いを迫られることで、評判面および法的な圧力がさらに加わります。

主なランサムウェア集団は次のとおりです：

1. LockBit — 手法には Ransomware-as-a-Service (RaaS)、二重恐喝（Double Extortion）、および自動化が含まれます。
2. Conti — この集団は、攻勢的な交渉のために二重恐喝（Double Extortion）を用いる、非常に洗練されたチームを持っています。
3. Revil — 手法には Supply Chain Attacks、二重・三重恐喝（Double & Triple Extortion）、および DDoS 攻撃が含まれます。

サービス拒否（DoS）および分散サービス拒否（DDoS）攻撃

DoS（Denial-of-Service）攻撃とは、不正なリクエストの大量の洪水によってサーバー、サービス、またはネットワークのリソースを圧倒し、ユーザーが利用できなくすることを目的とした悪意ある試みです。

1. 単一の発信元（1台のコンピューターまたはサーバー）を使用して実行されます。
2. シンプルで、追跡してブロックしやすい
3. 通常はボットネットを伴いません。

DDoS（Distributed Denial-of-Service）攻撃は、複数の侵害されたシステム（多くの場合、世界中に分散）を用いてターゲットに大量のトラフィックを浴びせる、より高度な DoS の一種です。そのため、攻撃をブロックして軽減するのが難しくなります。

• 複数の発信元を使用します。通常、ボットネット内の数百〜数千台のデバイスが使われます。
• トラフィックが世界中に分散した IP アドレスから来るため、防御がより一層困難です。
• 攻撃トラフィックが正規ユーザーを装うことがあり、そのため緩和（mitigation）が複雑になります。

ボットネットが DDoS 攻撃を実行する仕組み

• ボットネットは、フィッシング、マルウェア、またはパッチ未適用のシステムを悪用して脆弱なデバイスに感染させることで構築されます。
• ボットマスターは、集中型またはピアツーピア（P2P）の指令構造を通じてボットと通信します。
• ボットには、特定のターゲット（サーバー、サービス、またはネットワーク）に対して、大量のトラフィックを同時に送信するよう指示が出されます。
• ターゲットが過負荷状態になり、サーバーのクラッシュ、ネットワークの輻輳、サービス停止（利用不可）につながります。

重要なサービスへの影響

• 銀行、政府ポータル、医療システム、電子商取引プラットフォームなどのオンラインサービスが利用できなくなることがあります。
• 組織は直接的な収益損失を被り、緩和と復旧のために多額の費用を支出する可能性があります。
• サービス提供者への信頼が大きく損なわれる可能性があります。
• DDoS 攻撃は、攻撃者がデータ窃取やその他の悪意ある活動のためにシステムへ侵入する間、注意をそらす“陽動”として機能することがあります。

ゼロデイ（Zero-Day exploits）

ゼロデイ（Zero-Day）脆弱性とは、ベンダーや開発者に知られていないソフトウェアまたはハードウェア上のセキュリティ上の欠陥です。そのため、パッチが適用されないまま残り、悪用可能な状態になります。

ゼロデイ（Zero-Day）エクスプロイトとは、攻撃者がゼロデイ（Zero-Day）脆弱性を悪用するために開発したツールまたは手法のことです。これらのエクスプロイトはダークウェブで販売されたり、諜報活動、サイバー犯罪、または標的型攻撃に利用されたりします。

ゼロデイ（Zero-Day）エクスプロイトが危険な理由：

• 防御がない - 従来のセキュリティシステム（アンチウイルス、ファイアウォール）では検知できない可能性がある
• 影響が大きい - データの盗難、システムのリモート制御、またはシステム全体の完全侵害につながる可能性がある
• 広範なリスク - 個人、企業、政府に対して使用される

ゼロデイ脅威のライフサイクル

1. 発見 - ハッカー、研究者、または犯罪者によって発見される
2. 悪用 - ベンダーが把握する前に攻撃で使用される
3. 開示 - 最終的に報告される
4. パッチ - ベンダーがアップデートまたは修正プログラムをリリースします
5. パッチ後 - パッチを適用すると、もはや「ゼロデイ」ではなくなります

中間者攻撃（Man-in-the-Middle（MitM））

MitM（中間者）攻撃は、2 者が互いに直接通信していると思い込んでいる状況で、悪意のある攻撃者が通信をこっそり傍受し、場合によっては改ざんすることで発生します。

攻撃者が通信を傍受し、操作する仕組み

1. 傍受（インターセプト）の手法
   1. 不正な Wi‑Fi ホットスポット - 正規に見える偽のネットワークで、ユーザーを接続させる
   2. パケットスニッフィング - Wireshark などのツールで、保護されていないネットワーク上のデータパケットを取得すること
   3. セッションハイジャック - セッション Cookie を盗み、ユーザーになりすます
   4. DNS スプーフィング - DNS 応答を改ざんして、ユーザーを偽の Web サイトへ誘導する
2. 操作テクニック
   1. データインジェクション - Webトラフィックに悪意のあるコンテンツ（例：偽のログインページ）を挿入すること
   2. SSLストリッピング - HTTPS接続をHTTPにダウングレードし、データを暗号化しない状態にすること
   3. 資格情報の窃取 - ユーザー名、パスワード、または支払い情報を取得すること

パブリックWi‑Fiのリスク

公衆 Wi‑Fi ネットワークは、セキュリティが弱いために MitM 攻撃の主要な標的になりやすいです。

• 多くのネットワークでは WPA3/WPA2 の暗号化が欠けており、攻撃者が保護されていないデータを見られるようになります
• 攻撃者は正規のネットワークを装って、ユーザーが悪意のあるネットワークに接続してしまうように誘導します
• 端末は既知のネットワークに自動的に再接続することが多く、その特性は悪用され得ます

SQL インジェクション & クロスサイトスクリプティング (XSS)

SQL Injection は、攻撃者が入力フィールド（検索ボックスやログインフォームなど）に悪意のある SQL 文を挿入し、その内容がバックエンドのデータベースによって実行されることで発生します。これにより：

1. 機密データへの不正アクセス（ユーザー名、パスワード、財務記録）
2. データベースの内容の改ざんまたは削除
3. 深刻な場合にはデータベースの完全な制御

Cross-Site Scripting（XSS）により、攻撃者は他のユーザーが閲覧するWebページに悪意のあるスクリプト（通常は JavaScript）を注入できます。これらのスクリプトは被害者のブラウザで実行されます。XSS の種類には以下が含まれます：

• 保存型 XSS - 悪意のあるスクリプトがサーバーに恒久的に保存される
• 反射型 XSS - スクリプトがWebサーバーから反射されることが多く、URLパラメータ経由で行われる
• DOMベース XSS - ブラウザ内のDOM環境を操作する

XXSには、たとえば次のような影響があります：

• セッションクッキーの盗難（アカウント乗っ取りにつながる）
• 悪意のあるWebサイトへのリダイレクト
• キーロギングまたはフィッシング攻撃

DNS トンネリングとスプーフィング

DNS トンネリング は、DNS クエリとレスポンスの中にデータをエンコードして、侵害されたシステムと外部サーバー（通常は攻撃者が管理）との間に隠れた通信チャネルを確立する手法です。DNS は一般的にドメイン名を IP アドレスへ解決するために使われますが、攻撃者はネットワーク上での普及度と許容の広さを悪用します。

DNS トンネリングの仕組み

1. エンドポイントがマルウェアにより侵害されます。
2. マルウェアはデータ（ユーザーの認証情報、ファイルなど）をDNSリクエストにエンコードします。
3. これらのDNSリクエストは、悪意のあるドメイン（攻撃者が管理）に送信されます。
4. 攻撃者のDNSサーバーがリクエストを解釈し、コマンドを返すか、流出したデータを収集します。

危険である理由：

• DNS トラフィックは、従来のセキュリティツールでは見落とされがちです。
• ファイアウォールは通常、デフォルトで DNS トラフィックを許可します。
• 攻撃者は検知を回避するために、データをゆっくりと持ち出すことができます。

DNS Spoofing、DNS Cache Poisoning（DNS キャッシュポイズニング）としても知られており、DNS レスポンスを操作して、ユーザーが気づかないうちに悪意のあるサイトへ誘導します。

DNS Spoofing の仕組み

• 攻撃者は偽造した DNS レコードで DNS リゾルバーのキャッシュを破壊します。
• ユーザーが正規のドメインにアクセスしようとすると、偽の Web サイトへリダイレクトされます。
• ユーザーは気づかないうちにログイン情報を入力したり、マルウェアをダウンロードしたりする可能性があります。

効果的な理由

• ユーザーはアドレスバーに期待するドメイン名が表示されているのを見ます。
• 正当なサービスになりすますのに理想的です。
• リゾルバキャッシュが汚染されると、ネットワーク全体に影響を与える可能性があります。

サイバーキルチェーン：サイバーセキュリティ攻撃がどのように展開するか

サイバーキルチェーン（Cyber Kill Chain）は、攻撃者の視点からサイバー攻撃の各段階を説明するためにロッキード・マーティンによって開発されたフレームワークです。各フェーズを理解することで、組織は攻撃をより効果的に検知し、防御し、被害を軽減できるようになります。

偵察

ここでの目的は、攻撃に備えるために対象に関する情報を収集することです。オープンソースインテリジェンス（OSINT）、ソーシャルメディアのスクレイピング、Webサイトの分析、ドメインおよびIPスキャンなどは、情報収集に用いられる手法の一部です。注目する領域には、従業員名、組織構造、システムの詳細、使用されている技術（例：ソフトウェア、プラットフォーム）などが含まれます。

武器化

攻撃者は、収集したインテリジェンスに基づいてカスタマイズした攻撃を作り込みます。目的は、標的の防御を確実に突破できるペイロードをパッケージ化することです。武器化の手法には、マルウェアの作成（例：ランサムウェア、トロイの木馬、リモートアクセスツール）、既知の脆弱性に対するエクスプロイトの開発、説得力のあるフィッシングの誘い文句や悪意のあるドキュメントの設計などがあります。

配布（デリバリー）

次のステップは、攻撃用の武器を被害者に送信すること、つまり、ペイロードが警告を発することなく標的のシステムに到達するようにすることです。配布（デリバリー）の方法には、悪意のあるリンクや添付ファイル付きのフィッシングメール、アクセスした際に自動でマルウェアをダウンロードするように正規のWebサイトを侵害すること、そしてベンダーや第三者の提供者に潜入して攻撃を届けることなどがあります。

悪用（Exploitation）

悪用（Exploitation）とは、悪意のあるコードをトリガーして脆弱性を悪用し、対象システムへの不正なアクセスや制御を得ることを目的とする段階です。パッチ未適用のソフトウェアやゼロデイ脆弱性を悪用したり、ユーザーをだまして悪意のあるコードを実行させたりすること（ソーシャルエンジニアリング）は、悪用の手法の一部です。

インストール（Installation）＆コマンド・アンド・コントロール（Command-and-Control、C2）

この段階では、攻撃者が被害者の環境内に足場を確立し、ステルス性の高い長期的なアクセスと制御を維持します。内容は次のとおりです：

• インストール（Installation）- バックドア、スパイウェア、またはその他の持続型マルウェアの投入
• コマンド・アンド・コントロール（C2）- 指示を受け取り、データを流出するために通信チャネルを設定する（例：暗号化されたWebトラフィック、DNSトンネリング）

目的に対する実行

攻撃者は、経済的な利益、スパイ活動、または破壊など、いずれであってもミッションを達成します。そこには次の種類の行動が含まれます：

• データ窃取 - 知的財産、個人情報、財務記録を盗むこと
• システム侵害 - 権限の昇格、ネットワーク内での横方向の移動
• 業務の妨害——ランサムウェアの投入、システムの破壊、評判の毀損

サイバー攻撃の予防：個人と企業のためのベストプラクティス

サイバーセキュリティは、個人と組織の双方が先を見越した対策を講じる必要がある共通の責任です。以下に、サイバー攻撃を防ぐためのベストプラクティスをいくつか紹介します。

セキュリティ意識のトレーニング

人為的ミスはデータ侵害の主要な原因の一つです。セキュリティ意識のトレーニングに投資している組織では、成功するフィッシング攻撃が減少し、セキュリティ体制が改善されることがよくあります。

ベストプラクティス：

• 定期的に研修を実施し、従業員に最新のフィッシング手口、詐欺、そしてインサイダー脅威に関する情報を周知します。
• 管理されたフィッシングテストを実施し、不審な電子メールに対する従業員の対応を評価して改善します。
• 潜在的なセキュリティインシデントを報告するための、わかりやすい手順を確立します。
• 組織内の特定の役割や部署に対応できるよう、研修資料をカスタマイズします。

エンドポイント セキュリティと Zero Trust フレームワーク

ノートパソコンやモバイル端末などのエンドポイントは、サイバー攻撃の一般的な侵入口です。Zero Trust の考え方では、アクセス要求がどこからのものかにかかわらず、すべてのアクセス要求を検証します。Zero Trust フレームワークと堅牢なエンドポイント セキュリティ対策を組み合わせた多層防御戦略により、攻撃対象領域が減り、組織が脅威を検知して対応する能力が高まります。

ベストプラクティス:

• Zero Trust アーキテクチャを実装する - 暗黙の信頼を前提とせず、すべてのアクセス試行を継続的に検証するセキュリティ モデルを採用します。
• 多要素認証（MFA） - システムとデータにアクセスするには、複数の認証手段を求めます。
• Endpoint Detection and Response (EDR) - エンドポイントデバイス上の脅威を監視し、対応するソリューションを導入してください。
• 定期的なアップデートとパッチ適用 - すべてのエンドポイントデバイスを、最新のセキュリティパッチで常に最新の状態に保ちましょう。

パッチ管理と脆弱性スキャン

未パッチの脆弱性は、攻撃者にとってよくある標的です。効果的なパッチ管理、適時のアップデート、そして積極的な脆弱性スキャンにより、攻撃者にとってのチャンス期間（機会の窓）が短くなるため、悪用を防ぐことができます。

ベストプラクティス：

• システムやアプリケーションにパッチを自動的に適用できるツールを使用します。
• 組織にとって最も高いリスクとなる脆弱性のパッチ適用に重点を置いてください。
• 定期的に脆弱性スキャンを実施し、セキュリティ上の弱点を特定して是正します。
• 包括的なカバー範囲を確保するために、すべてのハードウェアおよびソフトウェア資産の最新リストを維持します。

インシデント対応とサイバー・レジリエンス

予防策を講じていても、インシデントは依然として発生し得ます。堅牢なインシデント対応およびレジリエンス戦略を備えた組織は、脅威をより効果的に封じ込め、最小限の中断で業務を再開できます。

ベストプラクティス

• インシデント対応計画を策定する - セキュリティインシデントを検知し、対応し、復旧する方法を明確にした文書化された戦略を作成します。
• テーブルトップ演習を実施する - サイバーインシデントをシミュレーションし、対応手順をテストして改善します。
• コミュニケーション手順を確立する - インシデント発生時の明確な連絡ルートと責任分界を定義します。
• サイバー・レジリエンスに投資する――サイバー攻撃の最中および攻撃後に、組織が不可欠な機能を維持できるように対策を実装します。

クラウドセキュリティ & IoT保護

クラウドサービスとIoTデバイスの普及は、新たなセキュリティ課題をもたらし、それに対応するには専門的な戦略が必要です。組織は、機密データを保護し、システムの整合性を維持するために、クラウドおよびIoT環境特有のセキュリティニーズに対処する必要があります。

ベストプラクティス

• クラウドサービスおよびIoTデバイスが安全に構成されていることを確認し、脆弱になり得るデフォルト設定は避けます。
• 厳格なアクセス制御を実施し、不正なアクセス試行を監視します。
• すべてのデバイスとサービスを、最新のセキュリティパッチで常に更新します。
• 潜在的な侵害を抑えるため、IoT デバイスを別のネットワークに分離します。

サイバーセキュリティ攻撃への対応方法

サイバー攻撃への効果的な対応は、被害を最小限に抑え、迅速な復旧を確実にするうえで非常に重要です。以下は、主要なステップを整理した構造化ガイドです。

攻撃を封じ込めるための即時の手順

a. 感染したシステムを隔離する
マルウェアの拡散や不正アクセスを防ぐため、侵害されたデバイスをネットワークから切断します。これには、ネットワークケーブルを抜く、Wi‑Fiを無効にする、影響を受けたサーバーを停止するなどが含まれる場合があります。

b. 侵害されたアカウントを無効化する
機密データを保護するため、侵害されている可能性があるユーザーアカウントについて、直ちにアクセス権を取り消します。

c. サイバーセキュリティの専門家や当局に連絡する
社内のITセキュリティチームに連絡し、必要に応じて外部のサイバーセキュリティ専門家を招集します。さらに、法的要件を満たし、助言を得るために、関連する当局へインシデントを報告してください。

インシデント調査と脅威インテリジェンス

a. フォレンジック分析を実施する
ログファイルやネットワークトラフィックなどのデジタル証拠を収集・分析し、攻撃の発端、使用された手法、範囲を把握します。これにより脆弱性を特定し、将来のインシデントを防止するのに役立ちます。

b. 脅威インテリジェンスを活用する
脅威インテリジェンスを活用して、攻撃をより大きなトレンドの中で位置づけ、攻撃者の動機を理解し、それに応じて防御戦略を適応させます。

復旧および事業継続計画

a. バックアップから復元する
クリーンで最新のバックアップを使用して、影響を受けたシステムとデータを復元します。展開する前に、そのバックアップにマルウェアが含まれていないことを確認してください。

b. 本格的に展開する前にシステムをテストする
システムをオンラインに戻す前に、すべての脅威が駆除されていること、そして正しく機能することを確認するために、徹底的にテストしてください。

c. ビジネス継続性およびディザスタリカバリ計画の更新
インシデントから得た教訓をもとに計画を見直し、修正することで、将来の攻撃に対するレジリエンスを高めます。

法的および規制上の考慮事項

a. 適用される法律を理解する

一般データ保護規則（General Data Protection Regulation, GDPR）やカリフォルニア消費者プライバシー法（California Consumer Privacy Act, CCPA）などのデータ保護に関する規制を把握してください。これらは、データ侵害の後に特定の対応を求めています。

b. 速やかな開示
関連する法律で定められた期限内に、影響を受ける当事者および規制当局へ侵害の事実を開示してください（例：GDPRでは72時間以内の通知が求められます）。

c. すべての行動を記録する
インシデント対応プロセス、連絡内容、および下した判断について、詳細な記録を残してください。これによりコンプライアンスを示し、今後の参照にも役立ちます。