攻撃手法と防御

公表事例が「何が起きたか」を伝えるのに対し、このページは「なぜ起きるか（攻撃手法）」と「どう防ぐか（防御）」を扱います。手法は MITRE ATT&CK を底本にし、日本の公表事例で実際に多い入口の順に並べています。攻撃を再現する手順やコードは載せず、仕組み・検知・防御に絞っています。

公開アプリケーションの脆弱性悪用 T1190

日本の公表事例での入口: ソフトウェア・機器の脆弱性 / 設定・管理の不備

インターネットに面したWebサーバ・VPN・業務アプリの弱点(ソフトのバグ・一時的な不具合・設定ミス)を突いて、最初の侵入口にする。公開製品の既知脆弱性が狙われ、パッチ公開から適用までの窓が危ない。

検知の手がかり

WAF・アクセスログの異常(既知攻撃パターン、通常ない経路への多数リクエスト)。公開資産の予期しない構成変化。

防御（受入基準つき）

対策	できている状態（受入基準）
脆弱性スキャンと優先パッチ	公開資産の一覧があり、CISA KEV掲載の未適用が0件。
不要な公開面を閉じる	ネットワーク分離・通信フィルタで、業務に不要な公開ポート・経路がない。
アプリの分離・最小権限	侵入されても横移動できないよう権限とサンドボックスを絞る。

出典: MITRE ATT&CK（T1190）の記述を底本に和訳・要約。© MITRE ATT&CK。

正規アカウントの悪用 T1078

日本の公表事例での入口: ID・パスワードなど認証情報の悪用

盗んだ・漏れた既存アカウントの認証情報を使い、正規利用者に見せかけて侵入・居座り・権限昇格する。正規の入口を通るため検知が難しい。

検知の手がかり

普段と違う時間帯・場所・端末からのログイン。特権アカウントの異常操作。同一IDの同時多地点ログイン。

防御（受入基準つき）

対策	できている状態（受入基準）
多要素認証(MFA)	全特権アカウントでMFAが有効。
アカウント棚卸し	退職者・不要権限を定期(例90日)で無効化した記録がある。
特権アカウント管理	特権操作が分離・記録され、後から追える。

出典: MITRE ATT&CK（T1078）の記述を底本に和訳・要約。© MITRE ATT&CK。

総当たり(ブルートフォース) T1110

日本の公表事例での入口: ID・パスワードなど認証情報の悪用

パスワードが不明なとき、推測・辞書・漏洩リストの使い回しで繰り返しログインを試す。入手したハッシュをオフラインで解く場合もある。1つのパスワードを多数アカウントに試すパスワードスプレーを含む。

検知の手がかり

短時間の大量ログイン失敗。1アカウントへの多IPからの試行。複数アカウントへの同一パスワード試行。

防御（受入基準つき）

対策	できている状態（受入基準）
MFAと試行制限	失敗回数の閾値でロックし、MFAを必須にする。
強いパスワードポリシー	漏洩パスワードとの突合で既知の弱いものを拒否する。
利用状況の監視	異常なログイン試行を検知・通知できる。

出典: MITRE ATT&CK（T1110）の記述を底本に和訳・要約。© MITRE ATT&CK。

フィッシング T1566

日本の公表事例での入口: フィッシング・電話などで聞き出された

メール等で送る電子的なソーシャルエンジニアリング。不特定多数への一斉型と、特定の個人・企業を狙うスピアフィッシングがある。リンクや添付で認証情報や端末を奪う。

検知の手がかり

外部からの不審メールの急増。偽ログインページへの誘導URL。送信ドメイン偽装(SPF/DKIM/DMARCの不整合)。

防御（受入基準つき）

対策	できている状態（受入基準）
DMARC等の送信ドメイン認証	DMARCをrejectで運用し、なりすまし受信を減らす。
添付・Webコンテンツの検査	添付をサンドボックスで検査し、不審Webを制限。
利用者教育	定期訓練を行い、開封・報告率を計測している。

出典: MITRE ATT&CK（T1566）の記述を底本に和訳・要約。© MITRE ATT&CK。

データ暗号化による被害(ランサムウェア) T1486

日本の公表事例での入口: 攻撃・不正アクセス(被害の最終段階。入口は別技術)

侵入後、ローカル・共有ドライブのファイルを暗号化して利用不能にし、事業や復旧を止める。身代金要求を伴うことが多い。これは被害の最終段階で、入口は脆弱性悪用や認証情報の悪用など別の技術。

検知の手がかり

短時間の大量ファイル改変・拡張子変更。バックアップの削除。端末の異常な暗号化挙動。

防御（受入基準つき）

対策	できている状態（受入基準）
オフライン/世代バックアップ	ネットから切り離した世代バックアップがある。
復旧の実地訓練	実際に復旧を試した記録がある(あるだけでは不十分)。
端末の挙動防御	大量改変や復旧妨害の挙動を検知・遮断できる。

出典: MITRE ATT&CK（T1486）の記述を底本に和訳・要約。© MITRE ATT&CK。

サプライチェーン侵害 T1195

日本の公表事例での入口: 部品・ツールへの不正なプログラムの混入

最終利用者に届く前の製品・配布経路を改ざんする。開発環境・更新の仕組み・依存ライブラリ・ハードウェアのどの段階でも起こりうる。

検知の手がかり

依存の予期しない変更。署名の不一致。更新配信元の異常。既知の悪性パッケージとの一致。

防御（受入基準つき）

対策	できている状態（受入基準）
SBOMと依存の脆弱性突合	部品表(SBOM)があり、GHSA・CISA KEVと突合している。
更新の検証	署名・ブート完全性で改ざんされた更新を弾く。
導入ソフトの制限	許可されたソフト・配布元のみ導入できる。

出典: MITRE ATT&CK（T1195）の記述を底本に和訳・要約。© MITRE ATT&CK。

外部公開のリモート接続 T1133

日本の公表事例での入口: 設定・管理の不備(公開リモート接続)

VPN・Citrixなど外部向けのリモート接続を使って侵入・居座りする。有効な認証情報があれば正規利用に見える。設定や公開範囲の不備が狙われる。

検知の手がかり

普段と違う地理・端末からのVPN接続。無効化したはずの接続の利用。多数の認証失敗後の成功。

防御（受入基準つき）

対策	できている状態（受入基準）
リモート接続のMFA	外部リモート接続すべてにMFAを課す。
公開範囲の棚卸し	公開ポート・接続経路を定期確認し、不要を閉じる。
ネットワーク分離	リモート到達範囲を業務上必要な区画に限定。

出典: MITRE ATT&CK（T1133）の記述を底本に和訳・要約。© MITRE ATT&CK。

クラウドストレージからの取得 T1530

日本の公表事例での入口: 設定・管理の不備(クラウドの公開設定)

S3・Azure Storage・Google Cloud StorageやSaaS上のデータに、公開設定ミスや弱い権限で到達し取得する。日本の公表事例でも『設定・管理の不備』は最多の入口。

検知の手がかり

バケット/ストレージの公開設定変更。普段ない大量ダウンロード。外部からの匿名アクセス。

防御（受入基準つき）

対策	できている状態（受入基準）
権限の最小化	公開バケット0を定期確認し、ファイル権限を絞る。
保存時暗号化	機微データは保存時に暗号化する。
アクセスログ保全	誰が何に到達したか後から追える。

遠隔操作ツールの悪用 T1219

日本の公表事例での入口: 偽の警告・詐欺サイトからの遠隔操作

正規の遠隔操作ソフトを悪用し、信頼された端末間に対話的な指令(C2)経路を作る。偽の警告や詐欺サイトで利用者に導入させるサポート詐欺の手口がある。

検知の手がかり

業務で使わない遠隔操作ソフトの起動・通信。外部への常時接続。利用者の操作と一致しないセッション。

防御（受入基準つき）

対策	できている状態（受入基準）
実行の許可リスト	許可外のリモート操作ソフトの実行を遮断。
通信フィルタ	既知のC2・遠隔操作サービスへの通信を遮断。
サポート詐欺の周知	偽警告からの導入を利用者に周知している。

認証処理の改ざん T1556

日本の公表事例での入口: ID・パスワードなど認証情報の悪用

認証の仕組み自体を書き換えて、認証情報を取得したり不正アクセスを通す。MFAの迂回や、認証サーバ・認証設定の改ざんを含む。

検知の手がかり

認証関連の設定・レジストリ・ファイルの変更。認証ログの欠落・改ざん。想定外のMFA登録。

防御（受入基準つき）

対策	できている状態（受入基準）
MFA登録の変更通知	MFA登録の追加・変更を検知・通知する。
認証設定の変更監査	認証関連の設定変更を記録・監視する。
特権の最小化	認証基盤を触れる権限を絞る。