脅威・脆弱性・緩和策

脅威アクターと動機

セキュリティ対策を考えるとき、最初に問うべきは「誰が、なぜ攻撃してくるのか」です。攻撃者のことを脅威アクター（Threat actor）と呼びます。泥棒対策でも、空き巣とプロの強盗団では備えるべき鍵の強さが変わるように、相手の資金力や技術力、目的を知ることで、適切な対策の優先順位を決められます。

脅威アクターの種類

• 国家支援型アクター（Nation-state）: 政府の支援を受け、豊富な資金と高度な技術を持ちます。長期間潜伏して機密や知的財産を盗むスパイ活動（Espionage）や、他国のインフラを狙う戦争目的の攻撃が典型です。高度な手口を長期間続けるため APT（Advanced Persistent Threat）とも呼ばれます。
• 未熟な攻撃者（Unskilled attacker）: 技術力が低く、ネットで入手した既製の攻撃ツールをそのまま使う人です。スクリプトキディとも呼ばれます。動機は好奇心や自己顕示が多いです。
• ハクティビスト（Hacktivist）: 政治的・思想的な主張のために攻撃します。Webサイトの改ざんや DDoS によるサービス妨害、犯行声明の公開が特徴です。
• 内部脅威（Insider threat）: 従業員や委託先など、正規のアクセス権を持つ人です。不満による復讐や金銭目的のほか、悪意のないミスも含まれます。正規の権限で動くため検知が難しい点が最大の特徴です。
• 組織犯罪（Organized crime）: 金銭目的の犯罪グループです。ランサムウェアやカード情報の窃取を分業体制で行い、資金力・技術力ともに高いです。
• シャドーIT（Shadow IT）: IT 部門の承認を受けずに部門や個人が導入したシステムやクラウドサービスです。悪意はなくても、管理されていないため情報漏えいの温床になります。

アクターの属性で見分ける

試験では「内部か外部か（Internal/External）」「資金・リソースの多さ（Resources/funding）」「高度さ（Level of sophistication）」の3つの属性でアクターを比較させる問題が出ます。たとえば「市販されていない独自のマルウェア」「未公開の脆弱性を複数使用」「数年間潜伏」といった記述は、資金力と高度さが最高レベルの国家支援型を示すサインです。

動機を読み取る

脅威ベクターと攻撃対象領域

脅威ベクター（Threat vector）とは、攻撃者が組織に侵入するために使う「経路」のことです。家にたとえると玄関、窓、換気口など泥棒が入り込める場所にあたります。そして、組織が持つ侵入経路の総和を攻撃対象領域（Attack surface）と呼びます。窓が多い家ほど侵入されやすいように、攻撃対象領域は小さいほど安全です。

主な脅威ベクター

• メッセージベース（Message-based）: メール、SMS、インスタントメッセージ（IM）経由で悪意あるリンクや添付ファイルを送る経路。最も多い侵入口です。
• 画像ベース・ファイルベース（Image-based / File-based）: 画像やドキュメントに悪意あるコードを埋め込み、開かせることで感染させます。
• 音声通話（Voice call）: 電話でのなりすまし。後述のビッシングです。
• 外部媒体（Removable device）: USB メモリなどを使った感染や情報持ち出し。駐車場に落ちている USB を拾って挿してしまう、といった手口があります。
• 脆弱なソフトウェア（Vulnerable software）: パッチ未適用のソフト。端末にエージェントを入れて管理するクライアントベース方式と、ネットワーク越しに調べるエージェントレス方式で把握します。
• サポート切れシステム（Unsupported systems）: 修正パッチが提供されない古い OS や機器。
• 安全でないネットワーク（Unsecure networks）: 暗号化のない無線 LAN、誰でも挿せる有線ポート、Bluetooth の不適切な設定。
• 開放ポート（Open service ports）と初期パスワード（Default credentials）: 不要なサービスが外部に公開されていたり、製品の初期パスワードのままだったりする状態。
• サプライチェーン（Supply chain）: MSP（マネージドサービスプロバイダー）、ベンダー、部品供給業者など取引先を経由した侵入。取引先1社の侵害が多数の顧客に波及します。

人を狙うソーシャルエンジニアリング

技術的な防御がどれだけ強くても、人をだませば突破できます。人の心理を突く手法をソーシャルエンジニアリング（Social engineering）と呼び、試験で最も多く出題される分野の1つです。

脆弱性の種類

脆弱性（Vulnerability）とは、システムに存在する弱点のことです。脅威ベクターが「侵入経路」なら、脆弱性は「鍵のかかっていない窓」にあたります。どんな種類の弱点があるかを知れば、何を直すべきかが見えてきます。ここでは SY0-701 が挙げる脆弱性の分類を、仕組みのイメージとともに学びます。

アプリケーションの脆弱性

• メモリインジェクション（Memory injection）: 実行中のプログラムのメモリに悪意あるコードを注入して実行させます。
• バッファオーバーフロー（Buffer overflow）: 用意した領域（バッファ）より大きなデータを書き込み、隣のメモリを上書きしてプログラムの動きを乗っ取ります。コップに水を注ぎすぎてあふれるイメージです。
• 競合状態（Race condition）: 処理の順番やタイミングの隙を突く問題。代表例が TOC/TOU（Time-of-check to time-of-use）で、「権限を確認した時点」と「実際に使う時点」のわずかな時間差にファイルをすり替える手口です。
• 悪意ある更新（Malicious update）: 正規のアップデート機能を悪用し、バックドア入りの更新を配布します。ベンダーのビルド環境が侵害されると正規の署名付きで配られるため、検知が極めて困難です。

Web の脆弱性

SQL インジェクション（SQL injection）は、入力欄に SQL の断片を入れることで、アプリが組み立てるデータベース命令を書き換える攻撃です。クロスサイトスクリプティング（XSS: Cross-Site Scripting）は、Web ページに悪意あるスクリプトを埋め込み、閲覧者のブラウザで実行させる攻撃です。どちらも「入力値をそのまま信用する」ことが原因です。

基盤・環境に由来する脆弱性

攻撃の指標分析

攻撃を防ぐには、まず「攻撃が起きている」と気づく必要があります。ログやアラートに現れる攻撃の痕跡を指標（Indicator）と呼びます。この出題目標では、代表的な攻撃手法のパターンと、それがどんな指標として現れるかを結びつけて覚えることが目標です。

マルウェアの種類

ネットワーク攻撃

分散型サービス妨害（DDoS: Distributed Denial of Service）は、多数の送信元から大量の通信を送ってサービスを停止させる攻撃です。その中でも反射型（Reflected）は送信元 IP を被害者に偽装して第三者のサーバーに問い合わせを送り、応答を被害者に向かわせる手口、増幅型（Amplified）は小さな問い合わせに対して大きな応答が返る DNS や NTP を使い、攻撃の威力を何十倍にも増やす手口です。

オンパス攻撃（On-path attack）は、通信経路の途中に攻撃者が割り込んで盗聴や改ざんを行う攻撃で、旧称は中間者攻撃です。ほかに DNS 応答を偽造して偽サイトへ誘導する DNS 攻撃、盗んだ認証データを再送して認証を通すクレデンシャルリプレイ（Credential replay）、無線 LAN への攻撃があります。

アプリケーション攻撃と暗号攻撃

• インジェクション、バッファオーバーフロー: 2.3 の脆弱性を実際に悪用する攻撃。
• 権限昇格（Privilege escalation）: 一般ユーザーから管理者権限を奪う攻撃。
• ディレクトリトラバーサル（Directory traversal）: URL に「../」を入れて公開範囲外のファイルを読む攻撃。
• フォージェリ（Forgery）: 利用者になりすまして意図しないリクエストを送らせる攻撃。
• リプレイ（Replay）: 正規の通信を記録して再送する攻撃。
• ダウングレード（Downgrade）: TLS 1.3 が使えるのに、わざと古く弱いバージョンで接続させて解読する攻撃。
• 衝突（Collision）とバースデー攻撃: 異なる入力から同じハッシュ値が得られる衝突を、誕生日のパラドックスにより約 2^(n/2) 回で見つける攻撃。

パスワード攻撃と物理攻撃

ブルートフォース（Brute force）は1つのアカウントにあらゆるパスワードを総当たりで試す攻撃で、失敗が集中するためロックアウトで検知されやすい手口です。パスワードスプレー（Password spraying）は逆に、多数のアカウントによく使われるパスワードを1回ずつ試す攻撃で、ロックアウトを回避するため発見が難しくなります。物理攻撃には、錠前へのブルートフォース、社員証の RFID クローニング（RFID cloning）、停電などの環境的（Environmental）攻撃があります。

攻撃の指標（インジケーター）

• アカウントロックアウト（Account lockout）: ブルートフォースの兆候。
• 同時セッション（Concurrent session usage）: 同じアカウントが複数の場所から同時利用。
• あり得ない移動（Impossible travel）: 東京でログインの10分後に南米からログイン。
• ブロックされたコンテンツ（Blocked content）: セキュリティ製品が止めた記録。
• リソース消費・アクセス不能: CPU の異常な使用、サービスが応答しない。
• 周期外のログ（Out-of-cycle logging）: 業務時間外の大量のログや更新。
• ログの欠落（Missing logs）: 攻撃者が痕跡を消した可能性。
• 公表・文書化された指標（Published/documented）: 公開された侵害指標との一致。

緩和策（企業のセキュリティを強化する手法）

緩和策（Mitigation）とは、脅威や脆弱性による被害を「起こりにくくする」「起きても小さくする」ための対策です。攻撃をゼロにはできなくても、侵入経路を減らし、侵入されても広がらないようにし、早く気づけるようにすることで、被害は大きく抑えられます。試験では「この状況で最も適切な緩和策はどれか」という形式で問われます。

代表的な緩和策

ハードニング（堅牢化）の手法

ハードニング（Hardening）とは、1台1台のシステムの攻撃面を減らして固くすることです。新しいサーバーを導入したら、使う前に次のような作業を行います。

• 暗号化（Encryption）: ディスクや通信を暗号化し、盗難や盗聴に備える。
• エンドポイント保護の導入（Installation of endpoint protection）: ウイルス対策や EDR を入れる。
• ホストベースファイアウォール（Host-based firewall）: 端末ごとに通信を制限する。
• HIPS（Host-based Intrusion Prevention System）: 端末上で不審な動作を検知して止める。
• ポート・プロトコルの無効化（Disabling ports/protocols）: Telnet、FTP、SNMPv1 など使わないサービスを止める。
• 初期パスワードの変更（Default password changes）: 出荷時のパスワードを必ず変える。
• 不要なソフトウェアの削除（Removal of unnecessary software）: ブロートウェアや使わない機能を消し、攻撃面を減らす。