標的型攻撃は、特定の企業や組織、業界を標的にして機密情報を狙うサイバー攻撃を指す。企業ネットワークにアクセスできるようになった攻撃者が長期間にわたって標的型攻撃を実施することを、APT攻撃（高度標的型攻撃）と呼ぶ。（続きはページの末尾にあります）
気付かないうちに、自分のSNSアカウントが監視され、悪質なコメントが繰り返し投稿されている――このようなハラスメントを遂行するネットストーキングに特徴はあるのか。ネットストーキングの法的な位置付けとは。
セキュリティ分野における人材のニーズは依然として旺盛だ。セキュリティのプロフェッショナルとしての道を開くためには、どの認定資格が役立つのか。
セキュリティ分野で管理職や経営幹部になるために欠かせないのは、プロフェッショナルの証しになる認定資格だ。どのような認定資格を取得すれば、CIOやCISOまでのキャリアを歩めるのか。
セキュリティ人材は売り手市場だ。セキュリティのプロとして腕を磨けば、さまざまな形のキャリアアップが見えてくる。そのためにセキュリティ専門家が推奨する認定資格とは。
巧妙な手口の攻撃に迅速かつ的確に対策を講じるには、高度なセキュリティ知識が欠かせない。セキュリティ担当者がスキルアップとキャリアアップをするための認定資格を紹介しよう。
巧妙な手口を使う攻撃者に対して、企業のセキュリティ担当者もスキルを上げて対抗しなければならない。セキュリティ担当者として専門性を高めるために有効な認定資格とは。
研究者チームが、恋愛詐欺を使って仮想通貨をだまし取る攻撃手法を観測した。人の心理を操る「ソーシャルエンジニアリング」や、仕組みが複雑な仮想通貨を用いた詐欺の被害者にならないためには、何をすべきか。
「豚の食肉解体」詐欺は、人の心理を操る「ソーシャルエンジニアリング」を使った恋愛詐欺の一種だ。この攻撃手法が見つかったのは、ある被害者男性からの報告がきっかけだった。男性はどのような被害に遭ったのか。
セキュリティ研修においては、理論や知識を詰め込むだけでなく、自らの経験を通した学習が有効だ。実践型のセキュリティ研修を採用する組織の事例を紹介する。
主に教育機関を攻撃対象とするランサムウェア攻撃集団Vice Societyは、どのような手口で攻撃を仕掛けるのか。過去の攻撃事例から、同組織の特徴を紹介する。
PwCのレポートは、英国の経営層が抱くサイバー攻撃への危機意識を明らかにした。危機意識を持つことから脱出して、サイバー攻撃に強い企業になるために必要な能力とは。
拡大を続けるサイバー脅威に、保険会社は対処できているのか。保険会社を含む企業は最悪の事態に備えて、どのような備えをしておくべきなのか。
セキュリティ人材不足が深刻化する中、CISOの離職への対処が急務だ。BlackFogの調査から、CISOが退職を検討している状況が分かった。その実態とは。
セキュリティ対策はどの組織にとっても必須だが、リソースは無限にあるわけではない。組織がデジタル資産を守るために理解しておくべきことと、優先的に取り組むべき事項とは。
日本IBMがサイバーセキュリティに関する調査レポート「X-Force脅威インテリジェンス・インデックス2023」を公開した。サイバー脅威について、どのような傾向が明らかになったのか。
組織における脅威インテリジェンスの活用は広がっているものの、セキュリティ対策のさまざまな懸念が依然として残っている。セキュリティベンダーの調査結果を基に紹介する。
ランサムウェアは企業に身代金を支払わせるために、システム内部でひそかに準備を進めることがあります。特に注意が必要なのは「権限掌握」と「横展開」です。これによって引き起こされるリスクを解説します。
サイバー脅威の拡大を受けて、サイバー保険を提供する企業や保険の契約者は、幾つかの懸念点を抱えるようになった。それでも、サイバー保険の将来は明るいという。それはなぜなのか。
Kaspersky Labによると、企業の経営幹部にはセキュリティの知識が不足している。具体的には、何が足りていないのか。企業の経営幹部がセキュリティについての理解を深めるには、何が必要なのか。
サイバー脅威が拡大する中で、サイバー保険会社はリスク管理の手法を再考しつつある。具体的にどのような変化があったのか。
APT攻撃の主な目的は、標的の組織のネットワークに損害を与えたりシステムを停止させたりすることではなく、機密性の高いデータを盗むことだ。標的となるネットワークに侵入できる状態にして、継続的に情報を盗み取る。
攻撃者は綿密な計画を立てて、手動でAPT攻撃を実行される。攻撃者は大企業や有名企業の中から標的を選び、長期にわたって情報を盗み出す。そのためAPT攻撃の実行犯は個人のハッカーではなく、資金力のあるサイバー犯罪組織や、国家主導のサイバー犯罪組織になるのが一般的だ。
標的にした企業ネットワークへのアクセスを得るために、標的型攻撃の実行犯はしばしばソーシャルエンジニアリングといったさまざまな攻撃手法を使用する。ソーシャルエンジニアリングは、対象者の心理を巧みに操って意図通りの行動をさせる詐欺手法だ。
いったん企業ネットワークに侵入した攻撃者は、標的ネットワークにアクセス可能な状態を維持するために、悪意のあるソースコードを継続的に書き換え、検出を回避するなどの巧妙な回避策を駆使する。APT攻撃を実行するサイバー犯罪組織は、標的となるシステムやソフトウェアに侵入し続けるために、専任の管理者を配置する場合がある。
APT攻撃でよく使われる手口には、以下のようなものがある。
特定のユーザーを標的にしたフィッシング詐欺をスピアフィッシングと呼ぶ。攻撃者はスピアフィッシングメールを使用して、標的のユーザーに個人情報を漏えいさせたり、悪意のあるコードを実行するための有害なリンクをクリックさせたりする。これらのメールは本物らしく見えるように書かれており、標的のユーザーに合わせた内容になっている。
最近発見されたもののまだパッチが適用されていないソフトウェアやハードウェアのゼロデイ脆弱（ぜいじゃく）性を利用した攻撃をゼロデイ攻撃という。攻撃者はゼロデイ脆弱性を悪用することで、標的にしたシステムに不正アクセスができるようになる。
水飲み場型攻撃は、標的のユーザーがよく利用するWebサイトを改ざんし、ユーザーの端末をマルウェアに感染させる攻撃を指す。
サプライチェーン攻撃は、標的となる組織と取引する、セキュリティレベルの低い関連企業や子会社を標的にする。標的となる組織の関連会社のネットワークに侵入した攻撃者は、そのネットワークを経由して標的となる組織のシステムに侵入する。
標的となるシステムにログインするための認証情報を入手するために、攻撃者はさまざまな手法を利用する。具体的にはユーザーのキーボードでの入力内容を不正に監視するキーロギングや、データ分析技術でパスワードを特定するパスワードクラッキング、フィッシングなどの手法が挙げられる。攻撃者はこうして盗み取ったIDやパスワードといった認証情報を使い、機密情報にアクセスする。
サイバー攻撃を制御するC&Cサーバは、侵害した企業ネットワークに継続的にコマンドを送信する。これにより攻撃者は侵害されたネットワークを制御し、ハッキングされたシステムからデータを流出させることができる。
組織のセキュリティ対策システムに発見されるのを避けるため、APT攻撃者はしばしば、実際に組織で使われているツールや難読化されたコード、解析防止策を使用して、その活動を隠す。
標的型攻撃やAPT攻撃の動機はさまざまだ。例えば国家をスポンサーとする攻撃者は、特定の産業で競争の優位性を得るために、知的財産（IP）や機密データを盗み取る。電力会社や通信会社といったインフラ会社、ソーシャルメディア、報道機関、金融機関、政府機関などが狙われる傾向にある。
APT攻撃の有無は特定が難しい。しかしセキュリティツールを利用すれば、データが盗難に遭うことは検知できる。組織からデータが流出することが、自組織のネットワークが攻撃を受けていることを知る唯一の手掛かりになる場合がある。ネットワークがAPT攻撃の標的になっていないかどうかを確認するにはまず、送信データの異常を検出することに重点を置くとよい。
APTを回避したり軽減したりするには、セキュリティチームは包括的なセキュリティ戦略を策定する必要がある。APTに対する主なセキュリティ対策には、以下のようなものがある。
自組織で利用するインフラの脆弱性にできるだけ早くパッチを当てることは、攻撃者が既知の弱点を悪用してゼロデイ攻撃を実行するのを防ぐのに役立つ。
従業員が社外から社内システムにリモートアクセスする際は、暗号化を使って通信を保護する。攻撃者がこれらの通信を悪用するのを阻止して、社内システムへの不正アクセスを防ぐ。
受信メールのフィルタリングは、スパムメールやフィッシング攻撃を防ぐ重要なステップとなる。
セキュリティインシデントが発生したらすぐにログを取ることで、取得したログを基にセキュリティポリシーを改善できる。
企業はバックドアの設置や機密データの外部への持ち出しを抑止するために、ネットワークで送受信されるデータの種類を監視する必要がある。
ネットワークのエンドポイントやエッジにWAFを導入して、自組織が運用するWebサーバやWebアプリケーションを侵入から守る。
企業のIT部門は、進化する巧妙なサイバー脅威からデータとネットワークを守るために、常に警戒を怠ってはならない。
ITmediaはアイティメディア株式会社の登録商標です。
