ソーシャルエンジニアリングと標的型攻撃

ソーシャルエンジニアリングの手口

どれも，情報システムの側をいくら固めても防げません。 電話でパスワードを教えない決まりと折り返しでの本人確認，書類のシュレッダー処理，入退室の管理，そして従業員への教育で備えます。

標的型攻撃

標的型攻撃は，特定の組織や人を狙って，時間をかけて仕掛ける攻撃です。 不特定多数に同じ文面を送りつける迷惑メールやばらまき型のフィッシングとは違い， 相手を下調べして，受信者の業務に関係がありそうな件名や本文のメールを送り，添付ファイルや URL を開かせます。 取引先を装ったり，何度か事務的なやり取りをして信用させてから送ったりする手口もあります。

水飲み場型攻撃は，標的の組織の人がよく見る Web サイトに攻撃コードを仕込んで待ち伏せる手口です。 その組織からアクセスしたときだけ攻撃が行われるようにして，ほかの訪問者には気づかれにくくします。 動物が集まる水飲み場で獲物を待つ様子にたとえた名前です。

サイバーキルチェーン

サイバーキルチェーンは，標的型攻撃などで攻撃者がとる行動を，攻撃者の視点から7つの段階に分けたモデルです。 どの段階で食い止めるかを考えるのに使います。

偵察は，攻撃者が外から手に入れられる情報を集める段階です。社内にしかない情報を手に入れるのは，侵入した後の段階になります。 似た名前の MITRE ATT&CK は，実際に観測された攻撃の手口を分類して集めた知識ベースで，段階の流れを示すサイバーキルチェーンとは別のものです。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，ソーシャルエンジニアリング・標的型攻撃・水飲み場型攻撃・サイバーキルチェーンの語が出てくるのは12問です。 型ごとに数えると次のとおりです。

• サイバーキルチェーン（4問）。偵察の段階に当たる行動（「攻撃者が，会社の役員が登録している SNS サイトから，攻撃対象の人間関係，趣味などを推定する」）， エクスプロイトに当たる行為（「標的とする組織の PC で OS の脆弱性を悪用し，攻撃ツールを実行させる」）， サイバーキルチェーンの説明（「攻撃者の視点から，攻撃の手口を偵察から目的の実行までの段階に分けたもの」）と， サイバー攻撃の手法を分類したナレッジベース（正解は MITRE ATT&CK）の選択肢です。
• ソーシャルエンジニアリングの分類（2問）。「緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為」がどれに分類されるかを選びます。
• 標的型攻撃の手口（2問）。標的型攻撃メールの特徴（「件名や本文に，受信者の業務に関係がありそうな内容が記述されている」）と， 水飲み場型攻撃の手口（「標的組織の従業員が頻繁にアクセスする Web サイトに攻撃コードを埋め込み，標的組織の従業員がアクセスしたときだけ攻撃が行われるようにする」）です。
• このほか，サイドチャネル攻撃の説明を選ぶ問題（4問）で，紙ごみから機密情報の印刷物を探し出す「ソーシャルエンジニアリングの手法の一つ」が誤りの選択肢に出てきます。

出題された過去問（12問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

MITB 攻撃とトランザクション署名　EDR と XDR（侵入後の検知と対応）　WAF・IDS・IPS