サイバーキルチェーン

白瀬真琴

今回は、サイバーキルチェーンについて学習しましょう。

白瀬真琴

そうですね。
もともと軍事用語のキルチェーンを、サイバー攻撃に適用したものなので、物騒な名前になっていますね。

白瀬真琴

その直訳で、概ね間違いはありません。
少し言葉を柔らかくしますが、キルチェーンは攻撃の連鎖という意味です。

白瀬真琴

はい。
攻撃者が目的を達成するまでには、いくつかの手順があります。
その一連の攻撃の流れを、段階に分けて整理したものだと考えてください。

白瀬真琴

その通りです。
攻撃者は、標的を調べ、攻撃手段を準備し、それを届け、脆弱性を突き、遠隔操作できる状態を作り、最後に情報窃取や破壊などの目的を実行します。

白瀬真琴

はい。
そして、サイバーキルチェーンを学ぶ意味は、攻撃の流れを知ることだけではありません。

白瀬真琴

攻撃が段階的に進むなら、その途中で連鎖を断ち切れば、最終的な被害を防いだり、小さく抑えたりできます。

白瀬真琴

その考え方はとても大切です。
今回は、サイバーキルチェーンの7段階と、それぞれの段階で攻撃を止める考え方を学習していきましょう。

白瀬真琴

最初の段階は、偵察です。
偵察とは、攻撃者が攻撃対象について情報を集める段階です。

白瀬真琴

はい。
この段階では、まだ侵入や破壊は行われていないかもしれません。
しかし、攻撃の準備は始まっています。

白瀬真琴

たとえば、公開されているサーバ、使われているサービス、メールアドレス、社員名、会社のWebサイト、システムの種類などです。
こうした情報を集めることで、攻撃者はどこを狙えばよいかを考えます。
このように、攻撃対象の情報を集める行為を、フットプリンティングといいます。

白瀬真琴

ほぼ正解です。
攻撃対象が外に残している情報の足跡をたどって、攻撃の手がかりを探すようなものです。

白瀬真琴

偵察の代表例には、ポートスキャンがあります。
ポートとは、通信の入口のようなものです。
ポートスキャンは、サーバやネットワーク機器に対して、どの通信の入口が開いているかを調べる行為です。

白瀬真琴

そのたとえで大丈夫です。
さらに、開いているポートでどのようなサービスが動いているかを調べることもあります。
このとき、サービス名やバージョン情報などを確認する行為を、バナーチェックといいます。

白瀬真琴

古いバージョンのソフトウェアだと、既に知られている脆弱性が残っている可能性があります。
攻撃者は、その情報をもとに攻撃方法を考えます。

白瀬真琴

その通りです。
また、攻撃者は会社のWebサイト、SNS、求人情報、技術ブログなど、公開されている情報から攻撃の手がかりを集めることもあります。
このような公開情報を使った情報収集は、OSINTと呼ばれます。

白瀬真琴

ITパスポート向けには、用語そのものを深追いしなくても大丈夫です。
ただし、公開情報も攻撃の手がかりになり得る、という点は理解しておきましょう。

白瀬真琴

次は、配送です。
配送とは、攻撃者が準備した攻撃手段を標的に届ける段階です。

白瀬真琴

イメージとしては近いです。
ただし、届けられるのは安全な荷物ではなく、攻撃用のファイル、不正なURL、マルウェアなどです。
たとえば、攻撃者はマルウェアを添付したメールを送ることがあります。
また、不正なWebサイトへ誘導するURLをメールに書くこともあります。
改ざんされたWebサイトから、利用者に不正なファイルをダウンロードさせる場合もあります。

白瀬真琴

そういうケースもあります。
ただし、最近の攻撃メールはとても巧妙です。
業務連絡、請求書、会議資料、採用応募、宅配通知などを装って、本物のメールのように見せかけることがあります。

白瀬真琴

はい。
特定の組織や個人を狙って送られる、もっともらしい攻撃メールを、標的型攻撃メールといいます。
また、本物のサービスに見せかけた偽サイトへ誘導し、IDやパスワードなどを入力させる攻撃を、フィッシングといいます。

白瀬真琴

その通りです。
この段階で攻撃を止めることができれば、マルウェアや不正なURLは利用者や端末に届きません。

白瀬真琴

次は、インストールです。
インストールとは、攻撃者のプログラムが標的の端末やサーバに入り込む段階です。

白瀬真琴

はい。
この段階では、エクスプロイトによってできた隙を使って、攻撃者がマルウェアなどを端末やサーバに入れようとします。
マルウェアが端末内で動作できる状態になる可能性があります。

白瀬真琴

また、攻撃者は後から再び侵入しやすくするために、バックドアを設置することがあります。

白瀬真琴

その通りです。
正規のログイン手順とは別に、攻撃者が後から入りやすくするための仕組みです。
言葉通り、裏口を用意していると考えてください。

白瀬真琴

終わりではありません。
ただし、ここまで進むと危険度はかなり高くなります。
攻撃者が継続的に端末を利用できる状態になるかもしれないからです。

白瀬真琴

最後は、目的の実行です。
目的の実行とは、攻撃者が最終的な目的を実行する段階です。

白瀬真琴

たとえば、機密情報を盗む、個人情報を持ち出す、データを改ざんする、システムを破壊する、ランサムウェアでファイルを暗号化する、といった行為です。

白瀬真琴

はい。
この段階では、すでに被害が発生している可能性があります。
たとえば、個人情報や営業秘密を盗み出す行為を、情報窃取といいます。
また、ファイルを暗号化して使えない状態にし、復旧と引き換えに金銭を要求するマルウェアを、ランサムウェアといいます。

白瀬真琴

被害が出ている可能性は高いですが、完全敗北とは限りません。
早く検知して対応すれば、被害の拡大を防ぐことができます。

白瀬真琴

ただし、理想はもっと前の段階で攻撃の連鎖を断ち切ることです。
サイバーキルチェーンは、そのために攻撃の流れを見える化する考え方なのです。