セキュリティ運用

セキュアベースラインとハードニング

買ってきたままのパソコンやサーバーは、不要なサービスが動き、初期パスワードが残っていることがあります。こうした弱点を削り、組織が決めた安全な設定に揃える作業をハードニング（Hardening: 堅牢化）と呼びます。「安全な設定とは何か」を文書化した基準がセキュアベースライン（Secure baseline）です。

ベースラインの3段階

ベースラインは一度作って終わりではありません。CIS ベンチマークなどの業界基準を参考に策定（Establish）し、構成管理ツールで全機器に展開（Deploy）し、設定が勝手に変わっていないかを監視して更新し続ける維持（Maintain）という3段階で運用します。

ハードニングの対象

• ワークステーション・サーバー: 不要なサービスとアカウントの停止、パッチ適用、ホスト型ファイアウォール
• スイッチ・ルーター: 初期パスワードの変更、未使用ポートの無効化、管理は SSH に限定
• クラウド基盤: 公開設定の見直し、最小権限の IAM ポリシー、ログの有効化
• ICS/SCADA・組み込み機器・RTOS・IoT: パッチが当てにくいため、ネットワーク分離と物理的な保護で補う

無線 LAN の導入と設定

無線 LAN を導入する前には、サイトサーベイ（Site survey）で建物内の電波状況を実測し、ヒートマップ（Heat map）として可視化します。これによりアクセスポイントの配置と、建物外への電波漏れを事前に把握できます。暗号化には最新の WPA3 を使い、企業では事前共有鍵ではなく RADIUS サーバーによる AAA（認証・認可・アカウンティング）で、利用者ごとに認証するのが基本です。

モバイル端末の管理

スマートフォンを業務で使う場合、端末を誰が所有するかで導入モデルが分かれます。私物を使う BYOD（Bring Your Own Device）、会社の候補から選ぶ CYOD（Choose Your Own Device）、会社支給で私用も許す COPE（Corporate-Owned, Personally Enabled）の3つです。どのモデルでも、MDM（Mobile Device Management: モバイルデバイス管理）で暗号化やパスコードの強制、紛失時のリモートワイプを行います。

アプリケーションのセキュリティ

• 入力検証（Input validation）: 入力値の形式や長さを確認してから処理する。SQL インジェクション対策の基本
• セキュア Cookie（Secure cookies）: Secure 属性で HTTPS のみ送信、HttpOnly 属性でスクリプトからの読み取りを防ぐ
• 静的コード解析（Static code analysis）: 実行せずにソースコードを検査して脆弱性を見つける
• コード署名（Code signing）: 配布プログラムに署名し、改ざんされていないことと作成者を証明する
• サンドボックス（Sandboxing）: 不審なプログラムを隔離環境で動かして挙動を観察する

資産管理

守るべきものが分からなければ守れません。資産管理（Asset management）は、組織が持つハードウェア、ソフトウェア、データを台帳で把握し、誰が責任を持つかを明確にする活動です。試験では「資産のライフサイクルのどの段階の話か」を見分ける問題がよく出ます。

1. 取得・調達（Acquisition / procurement）

必要な要件を定義し、承認を得て購入する段階です。信頼できる調達先を選び、ライセンスやサポート期間を確認します。ここで記録を残しておくと、後の段階で「いつ誰が何のために買ったのか」を追えます。

2. 割り当て・会計（Assignment / accounting）

資産ごとに所有者（Ownership）を決め、機密度に応じた分類（Classification）ラベルを付けます。所有者は資産の責任者であり、アクセス権の承認やパッチ適用の判断を行います。分類は「極秘」「社外秘」「公開」のように、取り扱いの厳しさを決める基準になります。

3. 監視・資産追跡（Monitoring / asset tracking）

インベントリ（Inventory: 資産台帳）を最新に保ちます。ただし台帳は人が登録するものなので、登録漏れが必ず起きます。そこで列挙（Enumeration）と呼ばれるネットワークスキャンで、実際に存在する機器やソフトウェアを能動的に発見し、台帳と突き合わせます。誰も把握していない「野良サーバー」はパッチも当たらず、攻撃者の格好の入口になります。

4. 廃棄・運用終了（Disposal / decommissioning）

• サニタイズ（Sanitization）: 上書き消去や暗号化消去でデータを復元不能にする。機器を再利用・返却する場合に使う
• 破壊（Destruction）: 物理的に粉砕・焼却・消磁する。最も確実だが機器は使えなくなる
• 証明（Certification）: 消去や破壊を行ったことを第三者に示せる証明書を取得・保管する
• データ保持（Data retention）: 法律や契約で保存義務がある期間は消してはいけない。廃棄前に保持ポリシーを確認する

脆弱性管理

脆弱性（Vulnerability）とは、攻撃者に悪用されうるソフトウェアや設定の弱点です。毎日新しい脆弱性が公開されるため、「見つけて、評価して、直して、確認する」作業を継続的に回す必要があります。これが脆弱性管理（Vulnerability management）です。

1. 発見（Identification）

• 脆弱性スキャン（Vulnerability scan）: ツールで自動的に既知の脆弱性を探す
• アプリケーション検査: 静的解析（Static analysis: コードを読む）、動的解析（Dynamic analysis: 動かして試す）、パッケージ監視（Package monitoring: 使っているライブラリの脆弱性を追跡）
• 脅威フィード（Threat feed）: OSINT（公開情報）、有償情報、ISAC（業界ごとの情報共有組織）、ダークウェブ監視
• 侵入テスト（Penetration testing）: 攻撃者の視点で実際に侵入を試みる
• 責任ある開示（Responsible disclosure）とバグバウンティ（Bug bounty）: 外部研究者が安全に報告できる窓口と報奨金制度
• システム・プロセス監査（Audit）: 手順や設定が決まりどおりかを確認する

2. 分析（Analysis）

スキャナーの結果は必ずしも正しくありません。存在しない脆弱性を報告する偽陽性（False positive）と、実在する脆弱性を見逃す偽陰性（False negative）があり、見逃しのほうが危険です。確認（Confirmation）の後、CVE（Common Vulnerabilities and Exposures: 脆弱性の識別番号）と CVSS（Common Vulnerability Scoring System: 深刻度スコア）を参考に優先順位を付けます。

ただし CVSS の基本スコアだけで順位を決めてはいけません。露出度（Exposure factor: インターネットに公開されているか）、環境変数（Environmental variables: 補完的な防御があるか）、業界や組織への影響（Industry / organizational impact）、そして組織のリスク許容度（Risk tolerance）を加味して判断します。

3. 対応と修正（Response and remediation）

• パッチ適用（Patching）: 最も基本的な修正
• 分離（Segmentation）: パッチが当てられない機器をネットワークで隔離する
• 補完的コントロール（Compensating controls）: 本来の対策の代わりに別の防御で補う
• 保険（Insurance）: 残るリスクを金銭的に移転する
• 例外・免除（Exceptions and exemptions）: 修正できない理由と期限を正式に記録し、承認を得る

4. 検証と報告

修正後は再スキャン（Rescanning）、監査（Audit）、検証（Verification）で本当に直ったかを確認します。最後に経営層や関係部門へ報告（Reporting）し、残っている脆弱性の数や傾向を共有します。

アラートと監視

どんなに守りを固めても、侵入を100%防ぐことはできません。だからこそ「おかしなことが起きたらすぐ気づく」監視（Monitoring）が重要です。監視の対象はシステム（サーバーや端末）、アプリケーション、インフラ（ネットワーク機器やクラウド）の3つに大別されます。

監視の活動

• ログ集約（Log aggregation）: 各機器のログを1か所に集めて横断的に分析できるようにする
• アラート（Alerting）: 条件に合致したイベントを通知する
• スキャン（Scanning）: 脆弱性や設定の逸脱を定期的に調べる
• レポート（Reporting）とアーカイブ（Archiving）: 傾向を報告し、ログを法令で求められる期間保管する
• アラート対応: 隔離（Quarantine: 感染端末をネットワークから切り離す）と、アラートチューニング（Alert tuning: 誤検知を減らす調整）

SIEM: 監視の中心

SIEM（Security Information and Event Management: セキュリティ情報イベント管理）は、ファイアウォール、サーバー、端末、アプリなど様々な機器からログを集め、形式を揃え（正規化）、複数のログを突き合わせて（相関分析）異常を検知するツールです。単体のログでは分からない「ログイン失敗が100回続いた直後に成功した」といったパターンを見つけられます。

監視に使うツール

セキュリティ技術の変更による強化

このレッスンのテーマは「すでにある技術の設定を見直して守りを強くする」ことです。試験では「〇〇という問題が起きた。どの技術を導入・変更すべきか」という形で問われるので、技術と守る対象を一対一で結び付けて覚えましょう。

ネットワーク境界の防御

• ファイアウォール（Firewall）: ルールやアクセスリストでポート・プロトコル単位に通信を許可・拒否する。公開サーバーは外部と内部の間のスクリーンドサブネット（Screened subnet: 旧 DMZ）に置く
• IDS / IPS: 侵入検知システムは攻撃を検知して通知、侵入防止システムは遮断まで行う。既知のパターン（Signatures）と逸脱（Trends）で検知する
• Web フィルター（Web filter）: エージェント型または集中プロキシ型で、URL スキャン、コンテンツ分類、評判に基づき遮断する
• DNS フィルタリング（DNS filtering）: 悪性ドメインの名前解決を拒否し、接続を未然に防ぐ
• NAC（Network Access Control）: パッチやウイルス対策の状態を確認してから端末の接続を許可する

安全なプロトコルへの置き換え

Telnet や HTTP のような古いプロトコルは、パスワードを含む通信を平文で送ります。盗聴されればそのまま読まれるので、暗号化された代替に置き換えます（Protocol selection）。あわせて使用ポート（Port selection）と通信の保護方法（Transport method: TLS や IPsec）を決めます。

メールのなりすまし対策

自社ドメインをかたった詐欺メールは、受信側に「本物かどうか」を判定させる仕組みで防ぎます。SPF（Sender Policy Framework）は送信を許可する IP アドレスを DNS に公開し、DKIM（DomainKeys Identified Mail）はメールに電子署名を付けて送信元と改ざんを検証し、DMARC（Domain-based Message Authentication, Reporting and Conformance）は「失敗したら隔離・拒否する」方針を宣言してレポートを受け取ります。加えてメールゲートウェイ（Gateway）で添付ファイルやリンクを検査します。

端末と OS の防御

• グループポリシー（Group Policy）: Windows の設定を Active Directory から一括で強制する
• SELinux: Linux で強制アクセス制御を実現し、プロセスの権限を制限する
• ファイル完全性監視（FIM）: 重要ファイルのハッシュを基準と比べ、改ざんを検知する
• EDR / XDR: 端末の挙動を記録・分析して攻撃を検知・対応する。XDR はネットワークやクラウドまで範囲を広げる
• ユーザー行動分析（UBA）: 平常時の行動を学習し、「深夜に大量ダウンロード」のような逸脱を検知する
• DLP: 機密データのメール送信や USB コピーを内容検査で止める

ID とアクセス管理（IAM）

「誰が」「何に」「どこまで」アクセスできるかを管理するのが IAM（Identity and Access Management: ID とアクセス管理）です。多くの侵害は盗まれたり放置されたりしたアカウントから始まるため、IAM は運用の土台です。

アカウントのライフサイクル

入社時にアカウントと権限を作るのがプロビジョニング（Provisioning）、退職や異動で無効化するのがデプロビジョニング（De-provisioning）です。作る前に本人確認（Identity proofing）を行い、運用中は管理者が定期的に権限の妥当性を確認・承認する証明（Attestation）を実施します。権限は必要最小限だけ与える最小権限（Least privilege）が原則です。

SSO とフェデレーション

一度のログインで複数のサービスを使えるのがシングルサインオン（SSO）、組織の枠を越えて ID を信頼し合うのがフェデレーション（Federation）です。LDAP は社内ディレクトリに問い合わせるプロトコル、SAML は XML 形式のアサーションで Web の SSO を実現する規格、OAuth は「このアプリに私のデータへのアクセスを許可する」認可の仕組みです。

アクセス制御モデル

多要素認証（MFA）

認証の要素は、知識（Something you know: パスワード）、所持（Something you have: トークン、スマホ、セキュリティキー）、生体（Something you are: 指紋、顔）、場所（Somewhere you are: 位置情報）の4種類です。MFA は「異なる種類」を2つ以上組み合わせることで、パスワードと PIN のように同じ種類を2つ使っても MFA にはなりません。

パスワードと特権管理

• パスワードのベストプラクティス: 長さを重視、使い回し禁止、むやみな定期変更より漏えい時の即時変更
• パスワードマネージャー: 長くランダムなパスワードを安全に保管し、使い回しをなくす
• パスワードレス（Passwordless）: セキュリティキーや生体認証でパスワード自体をなくす
• PAM（特権アクセス管理）: 必要な時だけ承認を経て特権を付与するジャストインタイム（JIT）、特権パスワードを金庫で管理するパスワード保管（Password vaulting）、作業ごとに使い捨てる一時的な資格情報（Ephemeral credentials）

自動化とオーケストレーション

セキュリティ運用には、アカウント作成、アラート対応、設定の確認など、繰り返しの作業が大量にあります。これらを人手で行うと遅く、ミスも起きます。自動化（Automation）は個々の作業を機械に任せること、オーケストレーション（Orchestration）は複数のツールや作業を連携させて一連の流れとして実行することです。その代表が SOAR（Security Orchestration, Automation and Response）です。

自動化のユースケース

• ユーザープロビジョニング: 人事システムの入社・退職情報と連動してアカウントを作成・無効化する
• リソースプロビジョニング: サーバーやクラウド資源を標準構成で自動構築する
• ガードレール（Guard rails）: 危険な設定（例: ストレージの全公開）を自動的に禁止・修正する
• セキュリティグループ: ネットワークのアクセス許可を自動で設定する
• チケット作成とエスカレーション: アラートから自動で起票し、担当者へ引き継ぐ
• サービスやアクセスの有効化・無効化: 侵害が疑われるアカウントを即座に停止する
• 継続的インテグレーションとテスト（CI）: コード変更のたびに自動でセキュリティテストを実行する
• 統合と API: ツール同士を API でつなぎ、情報と操作をやり取りする

自動化の利点

• 効率化と時間の節約、反応時間（Reaction time）の短縮
• ベースラインの強制と標準的なインフラ構成（Standard infrastructure configurations）の維持
• 安全なスケーリング: 機器が増えても同じ品質で設定できる
• 従業員の定着（Employee retention）: 単純作業を減らし、燃え尽きを防ぐ
• 労働力の倍増（Workforce multiplier）: 少人数で多くの作業をこなせる

注意すべき点

自動化は万能ではありません。仕組みが複雑（Complexity）になり、導入と維持にコスト（Cost）がかかります。1台のサーバーにすべてを集約すると単一障害点（Single point of failure）になり、止まればすべての自動処理が停止します。場当たり的なスクリプトは技術的負債（Technical debt）となり、作った人が辞めると誰も直せなくなる継続的な保守性（Ongoing supportability）の問題も起きます。誤った処理が高速に大量実行される危険もあるため、監査は引き続き必要です。

インシデント対応

セキュリティインシデント（Incident）とは、ランサムウェア感染や情報漏えいなど、組織に実害をもたらす出来事です。パニックにならず被害を最小にするには、あらかじめ決めた手順に沿って動く必要があります。試験では「この状況で次に行うフェーズはどれか」が繰り返し問われます。

対応プロセスの7ステップ

• 準備（Preparation）: 平時に計画、連絡先、ツール、訓練を整える
• 検知（Detection）: アラートや通報で異常に気づく
• 分析（Analysis）: 本当にインシデントか、範囲と深刻度はどれほどかを調べる
• 封じ込め（Containment）: 感染端末の隔離などで被害の拡大を止める
• 根絶（Eradication）: マルウェアの削除や脆弱性の修正で原因を取り除く
• 復旧（Recovery）: バックアップからの復元などで正常な業務に戻す
• 教訓（Lessons learned）: 振り返りを行い、計画と対策を改善する

訓練と分析

計画は訓練（Training）とテストで初めて機能します。机上演習（Tabletop exercise）は関係者が会議室でシナリオを口頭で検討する形式で、システムに影響を与えず低コストで役割や手順の穴を見つけられます。シミュレーション（Simulation）は実際の環境や模擬環境で技術的な対応を行う本格的な演習です。インシデント後には根本原因分析（Root cause analysis）で「なぜ起きたか」を突き止め、平時には脅威ハンティング（Threat hunting）でアラートに頼らず侵害の痕跡を能動的に探します。

デジタルフォレンジック

デジタルフォレンジック（Digital forensics）は、証拠を法的に有効な形で収集・分析する技術です。訴訟に備えて関連データの削除を禁じる法的保留（Legal hold）、誰がいつどのように証拠を扱ったかを途切れなく記録する証拠保全の連鎖（Chain of custody）、ディスクやメモリのイメージを取得する取得（Acquisition）、原本を変更せずハッシュ値で完全性を守る保全（Preservation）、裁判で求められた電子データを提出する電子証拠開示（E-discovery）、そして報告（Reporting）が主な要素です。

証拠の取得には揮発性の順序（Order of volatility）があります。CPU のキャッシュやメモリの内容は電源を切ると消えるため最初に取得し、ネットワーク接続や実行中のプロセス、一時ファイルと続き、ディスク、リモートのログやバックアップは後からでも取得できます。

調査のためのログとデータソース

インシデントの調査は「何が起きたか」をログから再構成する作業です。しかし、ログは種類ごとに記録される内容が違います。「通信が遮断されたか」をアプリケーションログで探しても見つかりません。試験では、調べたいことに対して最初に見るべきログを選ぶ問題が出ます。

ログの種類と記録される内容

ログ以外のデータソース

• 脆弱性スキャン（Vulnerability scans）: どのシステムにどの弱点があったかを示し、侵入経路の推定に役立つ
• 自動レポート（Automated reports）: 定期的に生成される集計。傾向の把握に向くが、個別の通信は分からない
• ダッシュボード（Dashboards）: SIEM などのリアルタイムの要約表示。全体像の把握に向く
• パケットキャプチャ（Packet captures）: ネットワークを流れたパケットそのもの。暗号化されていなければ通信内容を完全に再構成できる

メタデータ（Metadata）は「データについてのデータ」です。文書ファイルの作成者と更新日時、メールヘッダーの送信元サーバーと経路、写真の撮影場所などが含まれ、ファイルの出所や改ざんの有無を調べる手がかりになります。