標的型攻撃（APT）対策｜多層防御・出口対策とCSIRTのインシデント対応体制

標的型攻撃（APT：Advanced Persistent Threat）は、特定の組織を狙って長期間にわたり執拗に続けられます。もはや「完全に防ぎ切れるか」ではなく、「侵入されることを前提に、いかに早く気づき、被害を最小化するか」が問われる時代です。本記事は、この標的型攻撃を「どう守るか」に徹して解説します。

APT攻撃そのものの定義や、偵察から情報持ち出しまでの攻撃段階（サイバーキルチェーン）の仕組みは、攻撃側の視点でまとめた別記事「APT攻撃とは？仕組みとサイバーキルチェーンをSC試験対策で解説」で扱っています。本記事では攻撃の仕組みを前提として、入口・内部・出口の各段階に防御をどう配置し、CSIRTでどう対応するかという「守り方」に集中します。

私自身、CIO時代（2005〜2008年）は高価で運用ハードルの高いWAFの導入を見送り、Webサーバー側のアクセス制御設定（ハードニング）を工夫して泥臭く守っていました。単一の製品で守り切るのではなく、複数の層を重ねて守るという多層防御の発想は、当時のこうした制約の中で身に染みたものです。SC試験の午後問題でも、標的型攻撃対策は「どの段階でどの対策が効くか」を問うシナリオとして繰り返し出題されます。

標的型攻撃対策の全体像：侵入前提の多層防御

従来のウイルス対策ソフトやファイアウォールといった「点」の防御だけでは、正規ツールを悪用して静かに潜伏する標的型攻撃を防ぎ切ることは困難です。攻撃者がどのステップを踏むのかという攻撃ライフサイクルを理解し、それぞれの段階で対策を講じる「線」と「面」の防御、すなわち多層防御（Defense in Depth）の構築が不可欠です。

防御を配置するための「攻撃段階の地図」

どこに防御層を置くかを考えるには、攻撃がどの順番で進むかを地図として持っておくと役立ちます。米ロッキード・マーティン社が提唱したサイバーキルチェーンは、標的型攻撃を7段階に構造化したモデルです。各段階の詳細は前掲のAPT攻撃解説記事に譲り、ここでは防御を対応づけるための骨格として段階名だけを整理します。

1. 偵察（Reconnaissance）：公開情報やSNSからターゲットの弱点を探す
2. 武器化（Weaponization）：脆弱性を突くマルウェアと、実行させるための文書ファイルなどを組み合わせて攻撃セットを作成する
3. 配送（Delivery）：標的型攻撃メールや改ざんWebサイトで攻撃セットを送り込む
4. 攻撃（Exploitation）：OSやアプリケーションの脆弱性を悪用し、不正にコードを実行させる
5. インストール（Installation）：バックドアを設置し、永続的なアクセス権を確保する
6. 遠隔操作（Command & Control / C2）：外部のC2サーバーと通信し、指令を受け取る。HTTPSなど正規プロトコルで検知を困難にする
7. 目的遂行（Actions on Objectives）：データの窃取・破壊・改ざんなど、最終目的を実行する

この7段階のうち、どこか1つの鎖（チェーン）を断ち切ることができれば、攻撃を失敗に終わらせられます。以下では入口（配送・攻撃）・内部（横展開）・出口（目的遂行）の各フェーズに、どの防御を配置するかを具体的に見ていきます。

入口対策（境界防御）：侵入・潜伏を許さない

攻撃の初期段階である「配送」や「攻撃」を阻止するためには、入口対策の徹底が求められます。

標的型メール対策：サンドボックスとメール認証

標的型攻撃メール対策では、サンドボックス技術を用いたメールセキュリティ製品の導入が有効です。添付ファイルを仮想環境で実行し、振る舞いを分析することで、シグネチャベースでは検知できない未知のマルウェアを特定します。また、メールの送信元ドメイン認証（SPF/DKIM/DMARC）を導入し、なりすましメールを遮断することも不可欠です。さらに、メールリンクの書き換えによるURL検査や、実行ファイルの拡張子を持つ添付ファイルの自動削除なども効果的な手段となります。

脆弱性管理と仮想パッチ

脆弱性管理の徹底については、OSやブラウザ、Officeソフトなどのアップデートを迅速に行い、攻撃の足がかりとなる「脆弱性」を放置しないことが基本です。特に、パッチが公開される前の「ゼロデイ攻撃」に対しては、IPS（侵入防止システム）やWAF（Webアプリケーションファイアウォール）による仮想パッチの運用が効果を発揮します。脆弱性スキャナーを定期的に実行し、未パッチのシステムを可視化することも重要です。

Webフィルタリングとファイル無害化（CDR）

Webフィルタリングと無害化では、業務に不要なサイトへのアクセスを制限するとともに、ダウンロードしたファイルを「無害化（サニタイズ）」するソリューションの検討も有効です。CDR（Content Disarm and Reconstruction）技術により、ファイルから潜在的に危険な要素（マクロや埋め込みスクリプトなど）を除去し、安全なファイルとして再構成することで、マルウェア感染のリスクを大幅に低減できます。

内部対策：横展開（ラテラルムーブメント）を封じる

ひとたび侵入を許すと、攻撃者は組織内ネットワークを探索し、より権限の高いアカウントを奪取しようと試みます。これを「横展開（ラテラルムーブメント）」と呼びます。侵入を前提とする以上、この内部での動きをいかに早く検知し、被害範囲を封じ込めるかが防御の分かれ目になります。

ネットワークセグメンテーションとマイクロセグメンテーション

ネットワークのセグメンテーションにより、ネットワークを業務単位や機密性レベルに応じて適切に分離します。これにより、ある部門で発生した感染が全社に波及するのを防ぐとともに、セグメント間の不自然な通信を検知しやすくします。VLAN（仮想LAN）の活用や、マイクロセグメンテーションによる細粒度のアクセス制御が推奨されます。ただし、セグメント間の通信ルールを面倒がって広く許可してしまうと、この封じ込め効果は簡単に形骸化する点に注意が必要です。

特権ID管理・最小権限・PAW

攻撃者の最大の狙いは、ドメイン管理者権限の奪取です。これを達成されると、組織内のすべてのリソースが攻撃者の手に落ちたも同然です。最小権限の原則（PoLP：Principle of Least Privilege）に基づき、すべてのユーザーやプロセスに対して業務遂行に必要な最小限の権限のみを付与します。通常業務では一般ユーザー権限で作業し、管理作業が必要な場合のみ一時的に権限を昇格させる「Just-in-Time（JIT）アクセス」の仕組みも有効です。

特権アクセスの分離では、管理作業を行う際は専用の端末（PAW：Privileged Access Workstation）を使用し、インターネット閲覧などを行う一般端末とは物理的・論理的に分離することが推奨されます。加えて、特権アカウントのパスワードは定期的に変更し、多要素認証（MFA）を必須とした上で、PAM（Privileged Access Management）ソリューションにより自動管理することで、パスワードの漏洩リスクを最小化できます。特権IDの管理設計を体系的に学ぶには、別記事「特権アクセス管理（PAM）とは」も参照してください。

EDRによる侵入後の挙動検知とPass-the-Hash対策

EDR（Endpoint Detection and Response）の活用では、PCやサーバーの挙動をリアルタイムで監視し、不審なプロセスやファイル操作、レジストリの変更などを検知します。万が一侵入されても、その後の挙動から異常を察知し、迅速な封じ込めを可能にします。EDRは単なる検知ツールではなく、インシデント対応時の調査やフォレンジック分析にも活用できる強力なソリューションです。

横展開で攻撃者がよく用いる手法には、Pass-the-Hash攻撃やPass-the-Ticket攻撃があります。これらは認証に使用されるハッシュ値（Pass-the-Hash）やKerberosチケット（Pass-the-Ticket）を窃取し、平文パスワードを知らなくても他のシステムへアクセスできる手法です。こうした攻撃に対しては、Kerberos認証の適切な設定や、LSASS（Local Security Authority Subsystem Service）プロセスの保護が有効な対策となります。

出口対策とデータ保護：情報の持ち出しを止める

攻撃者が情報を盗み出そうとする際、必ず「外部への通信」が発生します。この通信を遮断するのが「出口対策」です。侵入や横展開を許してしまった後の、最後の砦にあたります。

C2通信の検知とDGAドメインの監視

C2通信の検知・遮断では、ファイアウォールやプロキシサーバーのログを監視し、ブラックリストに登録されたC2サーバーへの通信を特定します。また、不自然なデータ量のアップロードや、深夜・早朝の定期的な通信など、トラフィックパターンから異常を見つける手法も有効です。DNSクエリの監視により、DGAドメイン（Domain Generation Algorithm：アルゴリズムで機械的に生成される大量の通信先ドメイン）へのアクセスを検知することも重要な対策です。

DLPによる機密情報の外部送信ブロック

DLP（Data Loss Prevention）の導入により、機密情報（顧客情報や設計図面など）を定義し、それらが外部へ送信されるのを自動的に検知・ブロックします。ネットワーク経由の送信だけでなく、USBメモリへのコピー制限やメール送信の制限なども含まれます。まずデータの分類とラベル付け（機密・社外秘・公開など）を行い、どの情報をどの経路で持ち出させないかを定義することで、より精緻な情報保護が可能になります。入口対策のSPF/DKIMと混同されやすいですが、DLPは「出ていく情報」を守る出口対策である点を押さえておきましょう。

SIEMによるログの集中管理と相関分析

ログの集中管理と相関分析では、SIEM（Security Information and Event Management）を活用し、ネットワーク機器、サーバー、PCなどのログを横断的に分析します。一つひとつのログは正常に見えても、それらを組み合わせることで、攻撃の全体像を浮き彫りにすることができます。機械学習を活用した異常検知により、従来の方法では発見できなかった脅威を特定できる可能性も高まります。

侵入前提の検知・対応体制：EDR/NDRとCSIRT

技術的な対策を積み重ねるだけでは不十分です。APTのような高度な脅威に対しては、「守り切る」ことだけでなく「侵入されることを前提とした」組織体制の構築が求められます。

シグネチャに頼らないEDR/NDRの導入

近年の攻撃は、正規のツールを悪用するため、シグネチャベースの検知を主体とする従来型EPP（Endpoint Protection Platform）では限界があります。そこで重要になるのが、振る舞い検知を中心としたEDRや、ネットワーク上の異常な動きを捉えるNDR（Network Detection and Response）です。これらは「事後対策」としての側面が強く、インシデント発生時の影響範囲特定や原因究明を劇的に高速化させます。

EDRは、エンドポイント上で実行されるすべてのプロセスの関係性を記録し、攻撃の「ストーリー」を可視化します。例えば、Wordファイルを開いたことをきっかけにPowerShellが起動し、さらにそこから外部サーバーへの通信が発生したという一連の流れを追跡できます。この「親子関係の追跡」により、攻撃の起点から影響範囲まで正確に把握できるのです。一方のNDRは、ネットワークトラフィックを深く分析し、暗号化された通信の中にも潜む異常な振る舞いを検知します。通信のメタデータ（宛先、通信量、時間帯など）を分析することで、C2通信やデータの窃取活動を特定します。

CSIRTによるインシデントハンドリングの5フェーズ

標的型攻撃を検知した際、現場がパニックに陥ると被害は拡大します。あらかじめ組織内にCSIRT（Computer Security Incident Response Team）を組織し、初動対応の手順（インシデントレスポンス・フロー）を整備しておく必要があります。標準的な対応は次の5つの段階で進みます。

• 検知・分析：異常を察知し、影響を受けたシステムの特定、攻撃の種類と経路の分析、データ漏洩の有無の確認を迅速に行う
• 封じ込め：感染端末のネットワーク隔離など、被害の拡大を止める。短期的な封じ込め（ネットワーク切断）と長期的な封じ込め（システム再構築）を段階的に実施する
• 根絶：マルウェアの除去や脆弱性の修正を行い、再発を防ぐ。攻撃者が仕掛けたバックドアや永続化メカニズムをすべて特定し、完全に排除する
• 復旧：バックアップからの書き戻しなどを行い、正常な業務状態に戻す。復旧したシステムが再び攻撃を受けないよう、セキュリティ設定の見直しも並行して実施する
• 事後学習：今回の教訓をセキュリティポリシーや対策の見直しに活かす。インシデントレポートを作成し、組織全体で知見を共有する

CSIRTは平時から脅威情報の収集、セキュリティ教育の実施、インシデント対応訓練（TTX：Table Top Exercise）などを行い、組織のセキュリティレベルを継続的に向上させる役割も担います。CSIRTとSOC（Security Operation Center）の役割分担や、SC試験での問われ方は、別記事「CSIRTとSOCの違い」で詳しく整理しています。

継続的なセキュリティ運用のポイント

標的型攻撃への対策は、一度導入すれば終わりではありません。攻撃者の手口は日々進化するため、継続的な改善と運用が成功の鍵となります。

脅威インテリジェンスとスレットハンティング

最新の攻撃手法や脆弱性情報を常に収集し、自組織への影響を評価することが重要です。OSINT（Open Source Intelligence）やThreat Intelligenceサービスを活用し、攻撃グループの動向、新たなマルウェアの特徴、標的となりやすい業界のトレンドなどを把握します。特に、自組織と同じ業界や地域で発生した攻撃事例は注意深く分析し、同様の攻撃への備えを強化すべきです。IoC（Indicators of Compromise：侵害の痕跡）を自組織の環境で検索し、既に侵入されていないかを能動的に確認する「スレットハンティング」も効果的です。

定期的な訓練とレッドチーム演習

CSIRTのメンバーだけでなく、一般社員も含めた全社的なセキュリティ訓練が不可欠です。標的型攻撃メールの見分け方、不審なリンクや添付ファイルへの対処法、インシデント発生時の報告手順などを定期的に教育します。さらに、実際の攻撃を模擬した「レッドチーム演習」を実施し、防御側（ブルーチーム）の対応力を評価することも有効です。この演習を通じて、現在の防御体制の弱点を発見し、改善策を講じることができます。

バックアップとBCP（事業継続計画）

最悪の場合、ランサムウェアによる暗号化や破壊的な攻撃を受ける可能性も考慮しなければなりません。定期的なバックアップの取得と、その復旧テストを実施し、いざという時に確実にデータを復元できる体制を整えます。バックアップは、ネットワークから隔離されたオフラインストレージや、改ざん防止機能を持つクラウドストレージに保管することで、攻撃者による削除や暗号化を防ぎます。また、重要システムの復旧優先順位を定めたBCPを策定し、限られたリソースを効率的に配分できるようにします。

ゼロトラストアーキテクチャへの移行

従来の「境界防御」の考え方では、内部ネットワークに侵入されると防御が困難になります。そこで注目されているのが「ゼロトラスト」の概念です。これは、ネットワークの内外を問わず、すべてのアクセスを信頼せず、常に検証する（Never Trust, Always Verify）というアプローチです。ユーザーの認証・認可を毎回厳格に行い、アクセスするリソースごとに最小限の権限のみを付与します。デバイスの健全性（パッチ適用状況、セキュリティソフトの稼働状況など）を確認してからアクセスを許可する「デバイス認証」や、マイクロセグメンテーションによる継続的な監視・検証も重要な要素です。ゼロトラストの構成要素やGoogleのBeyondCorpを含む具体的な実装は、別記事「ゼロトラストアーキテクチャとは」で深掘りしています。

【演習】標的型攻撃（APT）の多層防御 理解度チェック（全10問）

標的型攻撃対策は、SC試験の午後問題で「各防御層のどれが有効か」を問うシナリオとして頻出です。午前IIでもDLP・EDR・PAW・ゼロトラストといった対策の用語定義が単独で出題されます。定番のひっかけは、入口対策（SPF/DKIM）と出口対策（DLP）の取り違えや、EDR（侵入後の検知・対応）とEPP（従来型の防御）の役割混同です。以下の練習問題で本記事の理解度を確認してみましょう。

まとめ：入口・内部・出口の三層で「守り方」を設計する

標的型攻撃（APT）は、もはや「防げるかどうか」ではなく「侵入された後にいかに早く気づき、被害を最小化するか」というフェーズに移行しています。入口対策（サンドボックス・メール認証・仮想パッチ・CDR）、内部対策（セグメンテーション・最小権限・PAW・EDR）、出口対策（C2検知・DLP・SIEM）という三層に防御を配置し、どれか1つの鎖を断ち切ることで攻撃者の目的遂行を困難にできます。

新卒エンジニア向けの研修では、トラブルシューティングの近道として安易に「Allow All（全面許可）」で通信を通してしまう悪癖を何度も見てきました。これはセグメンテーションや最小権限といった標的型攻撃対策の要と正反対の行為であり、こうした運用上の穴が多層防御を形骸化させます。技術的なソリューションの導入に加え、最小権限の原則の徹底やCSIRT体制の整備といったマネジメント面の対策、そして人・プロセス・技術の三位一体での運用こそが、強固なセキュリティ基盤を築く鍵です。常に最新の脅威動向をキャッチアップし、防御態勢をアップデートし続ける姿勢が、大切な情報資産を守る道になります。

参考資料

• IPA：情報セキュリティ10大脅威 2026（https://www.ipa.go.jp/security/10threats/10threats2026.html）
• JPCERT/CC：高度サイバー攻撃への対処におけるログの活用と分析方法 1.2版（https://www.jpcert.or.jp/research/APT-loganalysis_Report_20220510.pdf）
• NIST：SP 800-61 Rev.2 Computer Security Incident Handling Guide（https://csrc.nist.gov/pubs/sp/800/61/r2/final）
• NIST：SP 800-207 Zero Trust Architecture（https://csrc.nist.gov/pubs/sp/800/207/final）
• MITRE ATT&CK（公式）（https://attack.mitre.org/）

本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。