Comptia Security+ Lesson - Cyber SEC TSM | サイバーセキュリティTSM

1 セキュリティロールとセキュリティ管理

要求事項評価・セキュリティシステム構築/強化/監視・攻撃対応/抑止を実施します。
セキュリティ機能は部門/ユニット，役割（ロール）によって実行されます。
セキュリティ機能はコンプライアンスとフレームワークによって選ばれ管理されます。

...

A セキュリティロール

...

情報セキュリティ

機密性・完全性・可用性くらい知っておこうな！否認防止もあるぞ！

サイバーセキュリティフレームワーク

NISTのフレームワークは以下の5段階に機能を分割します。

識別: リスク・脅威・脆弱性を評価します
保護: セキュリティ要求事項を満たすように、情報資産の入手・開発・インストール・運用・使用・停止のライフサイクルを管理する。
検知: 監視・管理を行いあらゆる脅威から保護できることを確認する
対応: 脅威を識別し対応実施、根絶を図ります
回復: 攻撃耐性を維持し、攻撃を受けた場合にも直ちに復旧する

情報セキュリティ能力

開発から人材調達からガバナンス策定までなんでもやろう！

リスク評価
システムテスト
セキュアなリソースの選定・調達・インストール・構築
- リソース：デバイスもソフトウェアも
アクセス制御・権限管理とドキュメンテーション
ログ監視・インシデントレスポンス・レポーティング
BCP策定・障害回復計画(サイバーレジリエンス)の手順の立案・計画・訓練
セキュリティトレーニングや教育プログラムの実施・参加

役割と責任
- CSO (チーフセキュリティオフィサー)/CISO（チーフインフォメーションセキュリティオフィサー）/セキュリティ部長
  - 彼らが運営する部門では責任を取るために日夜戦略策定が繰り広げられている。歴史的には情シス部門とか総務・経理・庶務部門とかの業務が拡張されて、責任が増えていることもあるとかないとか。
- 管理者
  - 構築管理とか情シスとか経理とか部門単位に一人置いておく人。
- 技術・専門スタッフ
  - 実際に守るために手を動かす係。ソルジャー。強くなるとISSO (情報システムセキュリティオフィサー)という肩書きをつけることもあるらしい[要出典]ポリシー実行・維持・監視の責任を持ち、システムとかネットワークに詳しかったりする。または、この責任を専門的に遂行する人材を用意することも。
- 非技術スタッフ
  - 守るべき無辜の民。定められた組織のポリシーと法令は守ってね。

取締役やオーナーは外部の責任・注意・義務遂行を担うけど、
結局困るのは自分だから一定の責任は自分で取るんだぞ。

セキュリティユニット: 組織内のセキュリティ機能を実行する専門のチームがあったり委託したりするやつ。

特に主要な組織
- SOC(セキュリティオペレーションセンター)
  - セキュリティ専門のメンバーが組織の情報資産のやり取りを集約して保護・監視・検知したりするところ。正味SIEMでのSyslog収集とログ解析とレポーティングしてる。あとは、新しい攻撃の調査と検知方法の策定とか。　　
- DevSecOps
  - まずDevOpsという、開発と運用を一体化する取り組みがある。共通のシステムの開発組織と運用組織を一体化させることで，システム改善の効率を高める取り組みのことでクラウドサービスのような広範なユーザーにメリットがあるものを包括的に取り扱うことで効率化できる考え方ですよと。DevSecOpsはそこにセキュリティ領域の機能も統合しシフトレフトにより、設計・開発など上流からセキュリティ要件を加えることでサービス全体をよりセキュアにすることを試むものです。
- CSIRT/コンピュータセキュリティインシデントレスポンスチーム/CIRT(サイバーインシデントレスポンスチーム)/CERT(コンピュータエマージェンシーレスポンスチーム)
  - セキュリティインシデントを報告する連絡先。SOCに内包されてたり独立組織になっていることもある。報告を受けたらその問題を迅速に根絶するために頑張る。

B セキュリティの管理とフレームワーク

...

セキュリティ管理のカテゴリ

技術的: 技術的管理策は、システムやネットワークに対するセキュリティ対策を提供します。これには、暗号化、アクセス制御、ファイアウォール、侵入検知システム（IDS）などが含まれます。
運用的: 運用的管理策は、組織の日常運営におけるセキュリティ対策を提供します。これには、セキュリティポリシーの策定、セキュリティ教育、インシデントレスポンス計画などが含まれます。
経営的: 経営的管理策は、セキュリティ対策の全体的な方向性や方針を決定するための管理策を提供します。これには、リスク評価、セキュリティ監査、コンプライアンス管理、セキュリティ予算の配分などが含まれます。

セキュリティ管理の機能タイプ

予防的: 予防的管理策は、セキュリティインシデントが発生するのを未然に防ぐための対策です。これには、アクセス制御、セキュリティポリシーの実施、ユーザー認証、ウイルス対策ソフトの導入などが含まれます。
検知的: 検知的管理策は、セキュリティインシデントが発生した場合にそれを迅速に検知するための対策です。これには、監視システム、侵入検知システム（IDS）、ログ管理、ネットワークトラフィック分析などが含まれます。
是正的: 是正的管理策は、セキュリティインシデントが発生した後にその影響を最小限に抑え、システムを正常な状態に戻すための対策です。これには、バックアップとリストア、インシデントレスポンス計画、パッチ管理などが含まれます。
物理的: 物理的管理策は、物理的な資産や施設を保護するための対策です。これには、アクセス制御システム、防犯カメラ、物理的な障壁、セキュリティガードなどが含まれます。
抑止的: 抑止的管理策は、セキュリティインシデントの発生を抑制するための対策です。これには、セキュリティ教育、監視カメラの設置、明示的なセキュリティポリシーの表示などが含まれます。
補正的: 補正的管理策は、既存のセキュリティ対策が不十分な場合にそれを補完するための対策です。これには、定期的なセキュリティレビュー、追加のセキュリティコントロールの導入、システムの改良などが含まれます。

NISTサイバーセキュリティフレームワーク(CSF)
- 米国国立標準技術研究所（NIST）が開発したサイバーセキュリティ管理のためのフレームワークです。組織がリスクを管理し、対応するための構造を提供します。CSFは5つの主要な機能で構成されています。

識別（Identify）: 組織のビジネスコンテキスト、リソース、リスクを理解するプロセスです。資産、データ、ビジネス環境、リスク管理、ガバナンスなどを特定します。

防御（Protect）: インシデントが発生するのを防ぐための適切な安全対策を実装します。アクセス制御、トレーニング、データセキュリティ、情報保護プロセスなどが含まれます。

検知（Detect）: インシデントを迅速に検出するためのプロセスと手段を確立します。監視、アラート、検知プロセスの改善が含まれます。

対応（Respond）: 検出されたインシデントに効果的に対応するための計画を策定し、実行します。対応計画、コミュニケーション、分析、軽減策の実行、改善が含まれます。

復旧（Recover）: インシデントからの復旧を迅速に行い、通常の業務運営を再開します。復旧計画の実行、改善活動、回復能力の向上が含まれます。

NIST CSFは、これらの機能を統合的に利用して、組織全体のセキュリティ体制を強化します。各機能はさらに細分化され、具体的なカテゴリとサブカテゴリに分かれており、組織が自分たちのニーズに合わせてカスタマイズできる柔軟性を持っています。

ISOとクラウドフレームワーク
- ISO 27K (ISO 2700X)

情報セキュリティ管理システム（ISMS）に関する規格です。国際標準化機構（ISO）と国際電気標準会議（IEC）が共同で策定しています。以下に主要な規格を示します。

ISO 27001: 情報セキュリティ管理システム（ISMS）の要求事項を規定。組織が情報資産を適切に保護するためのフレームワークを提供します。
ISO 27002: ISO 27001を補完するもので、情報セキュリティ管理の実践規範を提供。具体的な管理策とその実施方法を示します。
ISO 27017: クラウドサービスにおける情報セキュリティ管理のガイドライン。クラウドサービスプロバイダーとクラウドサービス顧客の双方に適用されます。
ISO 27018: パブリッククラウドにおける個人識別情報（PII）の保護に関する実践規範。クラウドサービスプロバイダーがPIIを適切に取り扱うためのガイドラインを提供します。
ISO 27701: プライバシー情報管理システム（PIMS）の要求事項を規定。ISO 27001とISO 27002を基に、個人データの保護に焦点を当てたフレームワークを提供します。

ISO 31K (ISO 3100X)

ISO 31Kシリーズは、リスクマネジメントに関する規格です。組織がリスクを識別、評価、管理するためのフレームワークを提供します。

クラウドセキュリティアライアンス (CSA)

クラウドコンピューティングにおけるセキュリティを確保するための標準とベストプラクティスを推進する非営利団体です。
以下に主要なフレームワークを示します。

セキュリティガイダンス: クラウドコンピューティングにおけるセキュリティ管理策の包括的なガイドラインを提供。クラウド導入の際のリスクと対策を詳細に解説します。

エンタープライズリファレンスアーキテクチャ: クラウドコンピューティングにおけるセキュリティアーキテクチャのフレームワークを提供。企業がクラウドサービスを安全に利用するための設計原則とベストプラクティスを示します。

クラウドコントロールマトリックス (CCM): クラウドセキュリティコントロールのフレームワークを提供。セキュリティコントロールをクラウドサービスのリスクに対応させるための詳細なマトリックスを示します。

これらの規格とフレームワークは、組織が情報セキュリティとリスクマネジメントを効果的に実施するための基盤を提供します。クラウド環境においても、適切なセキュリティ対策を実装するための指針となります。

証明業務基準書(SSAE) / サービス組織統制(SOC)

証明業務基準書（Statement on Standards for Attestation Engagements）: 米国公認会計士協会（AICPA）が制定した証明業務の基準です。これに基づいて、会計士がクライアントの財務情報やシステムに対して信頼性のある証明を行います。

TSC（Trust Services Criteria）: SSAEの一部で、特にクラウドサービスやITサービスなどの受託業務に対するセキュリティ、可用性、処理の完全性、機密性、およびプライバシーに関する基準を提供します。これらは、サービス組織が提供するサービスに対する信頼性を評価するための基準です。

サービス組織統制（System and Organization Controls）: サービス提供組織が内部統制に関してどのように管理しているかを評価するための報告書です。SOC報告書は、SSAE基準に基づいて作成され、以下の3種類があります。

SSAE 16（SOC 1）
財務報告に影響を与える内部統制を評価。主にサービス組織の内部統制がクライアントの財務報告に与える影響を対象としています。

SOC 1

対象

財務報告に関連する内部統制

目的

クライアント企業が財務報告を行う上で、サービス提供組織の内部統制が適切であることを確認する

報告書のタイプ

タイプ1

特定時点での内部統制の設計

タイプ2

特定期間における内部統制の設計および運用の有効性

SSAE 18（SOC 2、SOC 3)
セキュリティ、可用性、処理の完全性、機密性、およびプライバシーに関する内部統制を評価。主にITおよびクラウドサービスの信頼性を評価します。

SOC 2

対象

セキュリティ、可用性、処理の完全性、機密性、プライバシーに関する内部統制

目的

サービス提供組織のシステムが顧客のデータをどのように保護しているかを評価する

報告書のタイプ

タイプ1

特定時点での内部統制の設計

タイプ2

特定期間における内部統制の設計および運用の有効性

SOC 3

対象

SOC 2と同様の基準

目的

SOC 2の基準に基づき、一般公開向けにサービス提供組織のシステムの信頼性を証明する

報告書のタイプ

SOC 3は要約版であり、詳細な報告書ではなく、広く一般に公開されるためのもの

SSAEとSOC報告書は、企業がサービス提供組織の内部統制やシステムの信頼性を評価するための重要な手段です。これにより、顧客や利害関係者はサービス提供組織の信頼性やデータ保護の状況を把握することができます。

ベンチマークとセキュア構成ガイド

ITサービス立案を俯瞰的にとらえるのがフレームワークだが、詳細な実行ガイドというわけではない。ベンチマークとセキュア構成ガイドはそれらをカバーする。

CIS（インターネットセキュリティセンター）: セキュリティベンチマークとガイドラインを提供する組織です。以下のリソースやガイドを提供しています。
SANS Institute: 情報セキュリティのトレーニングと認証を提供する非営利組織で、CISのベンチマークとガイドの策定に貢献しています。
The 20 CIS Controls: 20の基本的なセキュリティ対策（CISコントロール）は、組織がサイバーセキュリティリスクを軽減するためのベストプラクティスを提供します。
CIS-RAM: CISリスクアセスメントメソドロジー（CIS-RAM）は、組織がリスクを評価し、適切なセキュリティ対策を実施するためのフレームワークです。

ベンチマーク策定

CISは、さまざまな基準に基づいたセキュリティベンチマークを策定しています。

PCI DSS: 支払いカード業界データセキュリティ基準。カード会員データを保護するための要件。
NIST 800-53: NISTのセキュリティとプライバシーの管理基準。連邦情報システムのセキュリティ管理。
SOX: サーベンス・オクスリー法。企業の財務報告の透明性を確保するための規制。
ISO 27K: ISO/IEC 27000シリーズ。情報セキュリティ管理の国際標準。

OS・ネットワーク機器・ベンダー別ガイド

OSやネットワーク機器、ベンダーはそれぞれベストプラクティスな構成を示すガイドを提供していることが多い。
また、特定の組織がガイドラインを提供していることもあります。

国防省
サイバーエクスチェンジセキュリティガイドラインやSTIG（セキュリティ技術実装ガイド）は、システムやアプリケーションのセキュリティ構成を標準化するためのガイドラインを提供しています。

NIST
情報技術とサイバーセキュリティのための多くのガイドラインとベストプラクティスを提供しています。
NCP（National Checklist Program）は、セキュアな構成管理を促進するためのチェックリストを提供するプログラムです。

Webアプリケーションサーバー

クライアントとデータベースの間でアプリケーションロジックを提供するミドルウェアの役割を果たします。
企業のITインフラストラクチャにおいて重要な役割を果たし、そのセキュリティ管理は極めて重要です。

セキュリティ管理のポイント

アクセス制御: アプリケーションサーバーへのアクセスを制限し、適切な認証と認可を設定します。
データ暗号化: 通信データの暗号化を行い、データの機密性を保護します。
パッチ管理: 最新のセキュリティパッチを適用し、既知の脆弱性を修正します。
監視とログ管理: サーバーの活動を監視し、不正なアクセスや異常な活動を検知するためのログを管理します。

OWASP（Open Web Application Security Project)

ウェブアプリケーションのセキュリティを向上させるための非営利団体であり、さまざまなリソースとフレームワークを提供しています。
特に「OWASP Top Ten」は、ウェブアプリケーションの最も重大なセキュリティリスクをリスト化し、対策を推奨しています。

OWASP Top Ten

1. インジェクション: SQLインジェクションやコマンドインジェクションなど、悪意のある入力をアプリケーションが誤って実行する脆弱性。
2. 認証の不備: 認証メカニズムの欠陥や弱点により、不正アクセスが可能になるリスク。
3. 機密データの露出: 機密データが適切に保護されていない場合、情報漏洩のリスクが高まる。
4. XML外部エンティティ（XXE）: 外部エンティティを含む不正なXML入力により、内部システムが攻撃される脆弱性。
5. アクセス制御の不備: ユーザーの権限を超える操作が可能となるアクセス制御の欠陥。
6. セキュリティ設定ミス: セキュリティ設定の誤りやデフォルト設定のまま使用することによる脆弱性。
7. *クロスサイトスクリプティング（XSS）: 悪意のあるスクリプトがウェブページに埋め込まれ、ユーザーのブラウザで実行される脆弱性。
8. 不十分なインテグレーション: 外部ライブラリやフレームワークの脆弱性を引き継ぐリスク。
9. 安全でないデシリアライゼーション: 信頼できないデータのデシリアライゼーションにより、リモートコード実行などの脅威が発生する。
10. 十分なロギングと監視の欠如: セキュリティイベントのログ記録と監視が不十分で、攻撃の検知と対応が遅れるリスク。

OWASPのリソース
- OWASP ZAP（Zed Attack Proxy） : ウェブアプリケーションの脆弱性をテストするためのオープンソースツール。
- OWASP ASVS（Application Security Verification Standard）: ウェブアプリケーションのセキュリティ要件と検証プロセスを標準化したガイドライン。
- OWASP Cheat Sheets:開発者が直面するセキュリティ課題に対する具体的な解決策を提供するリファレンス。

アプリケーションサーバーのセキュリティ管理は、アクセス制御、データ暗号化、パッチ管理、監視とログ管理が重要です。
一方、OWASPはウェブアプリケーションセキュリティのフレームワークとして、具体的な脅威とその対策を提供しています。
特に「OWASP Top Ten」は、ウェブアプリケーション開発における基本的なセキュリティリスクの理解と対策に不可欠です。
これらのリソースとガイドラインを活用することで、組織はセキュアなアプリケーションサーバーとウェブアプリケーションを構築・運用できます。

規則，標準，法令
各国の法律や規則の要求事項、業界固有の規則の順守を実証するためにフレームワーク・ベンチマーク・構成ガイドが利用されることがあります。デューデリジェンスを満たすために各種ポリシーを達成する必要があります。

SOX法

米国の上場企業に対する会計および財務報告の透明性を高めるための法律です。
セクション404では、内部統制の有効性を評価し、報告することを要求しています。

FISMA (連邦情報セキュリティ管理法)
米国連邦政府の情報システムのセキュリティを確保するための法律で、
連邦機関に対してリスク管理とセキュリティプログラムの実施を要求しています。

GDPR (一般データ保護規則)
EUにおける個人データの保護を規定した法律で、個人データの収集、処理、保存、削除に関する厳格な規則を設定しています。
データ主体の権利を強化し、違反に対して高額な罰金を科しています。

国家などの法律
各国の独自のデータ保護法や情報セキュリティ規制を指し、国ごとに異なる要件があります。

これには、各国のプライバシー法、データ保護法、サイバーセキュリティ法などが含まれます。

GLBA(グラム・リーチ・ブライリー法)
米国の金融機関に対するプライバシー保護を規定した法律で、顧客情報の保護、通知義務、および情報共有の制限を求めています。

水平型の個人データ保護規則
複数の業界にわたる個人データ保護のための規則で、特定の地域や国全体で適用されます。

CCPA(カリフォルニア消費者プライバシー法)
カリフォルニア州の消費者に対するプライバシー保護を規定した法律で、消費者の個人データの収集、利用、販売について厳格な規則を設けています。消費者にはデータアクセス権や削除権が付与されています。

HIPAA (医療保険の相互運用性と責任に関する法律)
米国の医療機関および保険会社に対するプライバシー保護を規定した法律で、患者情報の保護とセキュリティ要件を定めています。

PCI DSS (ペイメントカード業界データセキュリティ基準)
クレジットカード業界によって策定されたセキュリティ基準で、カード保有者データの取り扱いや保存に関する具体的な要件を定めています。これにより、データ漏洩や不正アクセスを防止します。

2 攻撃者と脅威インテリジェンス

攻撃者の属性やTTPを理解するのは保護と同程度に大切です。

...

A 攻撃者のタイプと攻撃ベクター

...

脆弱性・脅威・リスク

脆弱性 × 脅威 = リスク
脆弱性とはシステムやネットワークの弱点を指し、
脅威はその弱点を利用して損害を与える可能性を意味します。
これらを組み合わせることでリスクが生じます。

攻撃者の属性: 攻撃者の属性は多岐にわたり、それぞれの特徴を理解することで、適切な防御策を講じることができます。

内部/外部

内部攻撃者は組織内の関係者（従業員、契約者など）であり、
外部攻撃者は組織外の関係者（ハッカー、競合者など）です。

意図/動機

攻撃者の意図や動機は、金銭的利益、情報収集、破壊活動、政治的・社会的目的など多岐にわたります。

巧妙さ/能力/リソース/財源

攻撃者のスキルや利用可能なリソース、資金によって、攻撃の複雑さや規模が異なります。

攻撃者の種類

攻撃者のタイプに応じて、攻撃方法や動機が異なります。

ハッカー（クラッカー）/スクリプトキディ/ハクティビスト
ハッカー（クラッカー）は高度な技術を持つ攻撃者
スクリプトキディは既製のツールを使って攻撃を行う初心者です。
ハクティビストは政治的・社会的目的でハッキングを行います。

国家的アクター/APT攻撃: 国家的アクターは国家の支援を受けた攻撃者; APT（Advanced Persistent Threat）攻撃を行い、; 長期間にわたってターゲットに潜伏し、情報を収集します。

犯罪シンジケート/競合者(組織・企業・団体): 犯罪シンジケートは組織化された犯罪集団; 競合者はビジネス上の利益を狙って攻撃を行います。

インサイダー攻撃者: インサイダー攻撃者は組織内部の関係者で、; 内部の情報やシステムに対するアクセス権を利用して攻撃を行います。

攻撃対象と攻撃ベクター

攻撃者は特定のターゲットを狙い、さまざまな攻撃ベクター（方法）を用いて攻撃を実行します。

攻撃ベクター	説明
ダイレクトアクセス	物理的にシステムにアクセスして情報を盗む手法です。ロックされていない端末を使用されたり，ブートディスクなどで悪意のあるツールのインストールを試みたり、機器を盗もうとします。
リムーバブルメディア	USBドライブや外付けハードドライブなどのリムーバブルメディアを介してマルウェアを広める方法です。挿すだけで感染できるマルウェアなどもあります。
電子メール	フィッシングやマルウェアを添付したメールを送信し、受信者がリンクをクリックしたり、添付ファイルを開いたりすることで攻撃を実行します。
リモート/ワイヤレス	リモートアクセスやWi-Fiを利用した攻撃方法です。認証情報の詐取、プロトコルの脆弱性を突くなどします。その他、APになりすましてアカウント情報を奪うこともあります。
サプライチェーン攻撃	供給業者やパートナー企業を経由して攻撃を仕掛ける方法です。
ウェブ/ソーシャルメディア	ウェブサイトやソーシャルメディアプラットフォームを利用して、悪意のあるリンクやコンテンツを拡散させる方法です。脆弱ばブラウザに対するドライブバイダウンロード攻撃やOSINTのソーシャルエンジニアリングによる攻撃活用、危険なリンクを設置するなど
クラウド	クラウドサービスの脆弱性を突いて攻撃を行います。%br()またはCSPを侵害したり、管理者アカウントの詐取を試みる可能性もあります。

巧妙な攻撃者
スマッシュアンドグラブ(ガラスケースを叩き壊して素早く奪い去る強盗)のような単一攻撃を避け、複数段階によるキャンペーンを展開します。
これにより、攻撃者はターゲットに対する持続的かつ複雑な攻撃を行い、最終的な目的を達成します。

B 脅威インテリジェンスと情報源

...

脅威調査リソース
脅威アクターとそのTTPsを発見するための活動
- セキュリティサービス提供顧客のログ
  サービスを提供している顧客のログから脅威を分析。
  顧客のセキュリティログを分析し、潜在的な脅威や攻撃パターンを特定します。
- ハニーネット
  実際の攻撃を誘発させるための仮想ネットワーク。攻撃者の手法やツールを収集。
  意図的に脆弱なシステムを構築し、攻撃者を引き寄せて、その行動や技術を研究します。
- ダークネット
  通常のインターネットとは異なる匿名性の高いネットワーク。
  - Tor
    匿名通信を可能にするネットワーク。
    通信を複数の中継ノードを通して暗号化することで、送信元を隠します。
  - Freenet
    検閲抵抗性のある分散型ファイル共有ネットワーク。
    データを分散保存し、検閲や追跡を困難にします。
  - I2P
    低レイテンシの匿名ネットワーク層。
    通信を匿名化し、プライバシーを保護します。
- ダークウェブ
  特定のブラウザが必要でアクセスが制限されたウェブの一部。
  - 口コミ(World of Mouth)
    口コミなどで情報が広がる方式。
    信頼できる人からの口コミによって情報が伝わります。
  - 掲示板
    ダークウェブには、さまざまなフォーラムや掲示板が存在し、ユーザーが匿名で情報を共有します。
    - Hidden Wiki
      ダークウェブ上のさまざまなリンクを集めたディレクトリ。
      ここで他の掲示板やマーケットプレイスへのリンクが見つかることが多いです。
    - ブラックマーケットフォーラム
      非合法取引やハッキング情報が共有されるフォーラム。
      ここでは、ハッキングツール、データ販売、サイバー犯罪に関する情報がやり取りされます。

脅威インテリジェンスプロバイダー
脅威に関する情報を提供するサービスや機関
- 脅威行動リサーチ
  脅威アクターの行動パターンを研究。
  攻撃者の技術や戦術、手順を分析し、脅威のトレンドを把握します。
- レピュテーション脅威インテリジェンス
  ドメインやIPアドレスの信頼性評価。
  悪意のあるIPアドレスやドメインを特定し、通信をブロックします。
- 脅威データ
  脅威に関するデータベースの提供。
  攻撃や脆弱性に関する最新情報を収集し、分析します。

脅威データはSIEMなどで検知ルールやリファレンス情報として整理し各種通信と関連づけることで実際の脅威発見に役立てることができます。
こうした整理された情報はCTI(サイバー脅威インテリジェンス)と呼ばれ、関連付けすることでインシデント検知などに役立てます。

供給源の例
- クローズド/プロプライエタリ
  特定企業や団体が提供する有料の情報。
- IBM X-Force Exchange
  IBMが提供する脅威インテリジェンスプラットフォーム。
  最新の脅威情報やセキュリティ研究成果を共有します。
- FireEye
  セキュリティ会社FireEyeが提供する情報。
  高度な脅威検知とインシデント対応サービスを提供します。
- Recorded Future
  リアルタイムの脅威インテリジェンス。
  様々なデータソースから脅威情報をリアルタイムで収集し、分析します。
- ベンダー
  セキュリティソリューションを提供する企業。
  セキュリティ製品やサービスを通じて、脅威インテリジェンスを提供します。
- 公開/個人情報共有センター
  セキュリティ関連情報の共有。
  ブログやホームページなど。
- ISAC
  情報共有分析センター。
  特定の業界や地域での脅威情報を共有し、協力して対策を講じます。
- OSINT（オープンソースインテリジェンス）
  公開情報から収集するインテリジェンス。
- AT&T OTX
  AT&Tの脅威インテリジェンスプラットフォーム。
  脅威情報をコミュニティと共有します。
- MISP
  マルウェア情報共有プラットフォーム。
  マルウェアに関する情報を共有し、対策を協力して行います。
- Spamhaus
  スパムとフィッシングを監視する非営利団体。
  悪意のある送信者のリストを提供します。
- VirusTotal
  ファイルやURLを多数のアンチウイルスエンジンで分析するサービス。
  ファイルやURLの安全性を検証します。

その他のリソース
その他のセキュリティ情報源
- 研究機関等定期刊行物
  定期的に発行されるセキュリティ関連の論文やレポート。
  最新の研究成果やトレンドを提供します。
- 学会/カンファレンス
  専門家が集まるイベントでの情報共有。
  最新の技術や研究結果を発表し、議論します。
- RFC
  インターネット標準に関する文書。
  新しいプロトコルや標準の提案と説明。規定外の通信を異常として取り扱うなど。
- ソーシャルメディア
  ツイッターやフォーラムでの情報交換。
  リアルタイムで脅威情報やセキュリティニュースを共有します。

侵害の戦術・技術・手順・指標
脅威の特定と対策に使用される手法
- TTP
  攻撃者の戦術、技術、手順。
  攻撃者の行動パターンを分析し、対策を立てます。
  攻撃者の具体的な行動パターンを示します。
  戦術（Tactics）は、攻撃者が達成しようとする全体的な目標を指し、
  技術（Techniques）はその目標を達成するための手段や方法を示します。
  手順（Procedures）は、それらの技術をどのように実行するかの詳細な方法を表します。
  これらの情報を分析することで、セキュリティチームは攻撃の兆候を早期に察知し、適切な対策を講じることができます。
- IoC（セキュリティ侵害インジケーター）

   攻撃の兆候や証拠。侵害の兆候を検知し、迅速に対応します。&br()&br()IoC（Indicators of Compromise）は、システムやネットワークが侵害されたことを示す証拠や兆候です。&br()これには、不審なファイル、異常なネットワークトラフィック、不正なログイン試行などが含まれます。&br()IoCを用いることで、セキュリティチームは早期に侵害を検出し、迅速に対応して被害を最小限に抑えることができます。

脅威データフィード
脅威情報の標準化と共有
- STIX（脅威情報構造化記述式）
  脅威情報の標準フォーマット。
- OASIS CTIフレームワーク
  サイバー脅威情報の共有フレームワーク。
  サイバー脅威情報の標準化と相互運用性を提供します。
  共通の用語と形式でIoCを定義し、効率的な共有を実現します。
- AIS（Automated Indicator Sharing）
  インジケーターの自動共有。
  自動化されたインジケーター共有システム。
  米国国土安全保障省によって運営され、脅威情報の迅速かつ安全な共有を促進します。
- 脅威マップ
  脅威の地理的分布。世界中の脅威活動を視覚化します。
  地理的な視点から脅威の発生場所を示し、対策を強化します。
- ファイル/コードレポジトリ
  既知のマルウェアコードのシグネチャなど脅威情報を集めたデータベース。
  - VirusTotal
    ファイルやURLの分析サービス。
    悪意のあるファイルやURLを検出します。
    複数のアンチウイルスエンジンを利用して、迅速に脅威を特定します。
- データベースおよびフィードの脆弱性
  脆弱性情報の提供。
  - CVE
    共通脆弱性識別子。
    公開されている脆弱性のリスト。
    脆弱性を一意に識別し、詳細情報を提供します。
  - バグバウンティ
    報奨金を与える脆弱性報告プログラム。
    セキュリティ研究者が脆弱性を報告し、報酬を得ます。
    企業はこのプログラムを通じて脆弱性の早期発見と修正を促進します。

人工知能と予測分析
AI技術の活用
- AIと機械学習
  脅威の予測と検知にAI技術を利用。
  大量のデータを分析し、脅威を予測します。
  AIと機械学習は、大量のデータを迅速に処理し、脅威を特定するために利用されます。
  例えば、異常なネットワークトラフィックや不審なアクティビティを検知するために、過去の正常な行動パターンと比較することで異常を検出します。
  機械学習アルゴリズムは、攻撃の兆候を学習し、新たな脅威をリアルタイムで特定する能力を持ちます。
  これにより、従来のシグネチャベースの検出方法よりも早期に、かつ高精度で脅威を検知することが可能となります。
- 予測分析
  未来の脅威を予測する分析手法。
  過去のデータを基に、将来の脅威を予測します。
  予測分析は、過去の攻撃データ、脆弱性情報、ネットワークトラフィックログなどを基に、将来発生しうる脅威を予測します。
  これにより、企業は事前に防御策を講じることが可能となります。
  例えば、特定の業界や地域に対する攻撃パターンを分析し、その業界特有の脅威を予測することができます。
  また、新たに発見された脆弱性を迅速に修正するための優先順位付けにも役立ちます。
  これにより、リソースを最も必要な場所に効果的に配分することができます。

3 セキュリティ評価

攻撃対象領域を評価するプロセスとそのツール
評価によってどのような攻撃を受けやすいかがわかる。
また、リスク緩和の方針を決定する指標になる。

...

4 ソーシャルエンジニアリングとマルウェア

セキュリティ評価をするにあたり、情報システム以外にも目を向ける必要があります。
攻撃対象は従業員なども含まれるためです。
不正なアクセスのためのアカウント情報などを詐取すされるリスクがあります。
同僚や顧客がこうした攻撃を検知し報告する仕組みを作りましょう。

...

5 暗号化

暗号化はセキュリティシステムの大部分と担う技術です。
どのような種類の暗号化がCIAの何を担うのかを比較理解し、
その脆弱性を把握する必要があります。

...

6 公開鍵インフラストラクチャ（PKI）

デジタル証明書とPKIはほとんどの電子サービスで利用される重要な概念です。
機密性や完全性の管理に重要な証明書の種類などを把握しましょう。

...

7 認証制御

認証管理・アクセス管理(IAM)の概念を理解し、端末からアカウントを使ったアクセスを識別し認証するプロセスを知りましょう。

...

8 ID・アカウント管理制御

オンプレとクラウドの融合状態により管理するリソースは複雑に分散しています。
包括的なアカウント管理と権限付与は人事や組織ポリシーなども含めた俯瞰した立場から行わなければなりません。

...

A IDとアカウントタイプ

ID管理制御
バックグラウンドチェックとオンボーディングポリシー
権限管理のための人事ポリシー
オフボーディングポリシー
セキュリティアカウントの種類・認証情報管理
セキュリティグループベース管理
管理者・ルールアカウント
サービスアカウント
共有・汎用のデバイスアカウントと認証情報
SSH鍵とサードパーティ認証情報

B アカウントポリシー

アカウント属性とアクセスポリシー
パスワードポリシー
アカウント制御
アカウント監査
アカウント権限
使用状況監査
アカウントロック・無効化

C 認可ソリューション

任意アクセス制御・ロールベースアクセス制御
ファイルシステム権限
強制アクセス制御・属性ベースアクセス制御
ルールベースアクセス制御
ディレクトリサービス
フェデレーション・構成証明
SAML (セキュリティアサーションマークアップ言語)
OAuth・OpenIDコネクト

D 人事ポリシー

行動に関するポリシー
- 利用規定(AUP)
- 行動規範とソーシャルメディア分析
- 職場における個人所有デバイスの使用
- デスクの整理整頓ポリシー
ユーザーとロールに基づく訓練
- 組織のセキュリティポリシーと違反罰則
- インシデント特定と報告
- 安全訓練・サイトセキュリティ
- ドキュメント・データ・個人情報の取り扱い
- パスワード・アカウント管理
- ソーシャルエンジニアリングやマルウェアへの意識向上
- ソフトウェアとSNSのセキュアな利用
- NIST National Initiative for Cyberscurity Education
  - KSAA
- NIST SB800-50
トレーニング技術
- フィッシングキャンペーン
- キャプチャーザフラッグ
- CBTトレーニング
- ゲーミフィケーション
  - シミュレーション
  - シナリオ

9 セキュアネットワーク

ネットワーク基盤はCIAを満たせるように設計されていなければなりません。
ルータ・スイッチ・アクセスポイント・ロードバランサなどの機能や構成について理解しましょう。

...

10 ネットワークセキュリティアプライアンス

ネットワーク設計においてRTやSW以外にも、
ファイアウォール・IPS/IDS・プロキシなどといったアプライアンスを適用することも可能です。

...

11 セキュアな通信プロトコル

HTTPやPOP/SMTP、VoIP、DNS、DHCPなど各種プロトコルは安全なバージョンや設定・管理で利用しましょう。

...

12 ホストセキュリティソリューション

PCやラップトップ、スマートフォン、組み込みシステムなどの様々種類のホストセキュリティを把握しましょう。

...

13 セキュアモバイルソリューション

モバイル端末が広く業務利用されるにあたって統合的なエンドポイント管理は重要ですね。

...

14 セキュアなアプリケーション

DevSecOPSを踏まえたセキュアなソフトウェアの開発の手法についても把握しましょう。

...

15 セキュアクラウドソリューション

物理的な存在が高度に抽象化されているクラウドコンピューティングの普及に伴うセキュリティ要素について把握しましょう。

...

16 プライバシー保護

組織にとって最も重要な資産は人であり、その次がデータと言われています。
データとプライバシーを保護するにはどのようにすればよいでしょうか。

...

17 インシデント対応

監視システムやユーザーの報告によって検知された問題を調査します。
セキュリティエキスパートの業務のほとんどはこれのことです。

...

18 デジタルフォレンジクス

インシデントの調査と攻撃者特定の実施が必要になることもあります。
インシデント対応では悪性アクティビティの迅速な根絶が目標となりますが、
デジタルフォレンジクスでは法的措置などに利用可能な活動の痕跡を
調査・収集・保全・解析することが求められます。

...

19 リスク管理

ひとたびインシデントが発生すると経済的か社会的かは問わず何らかの損失が発生します。
損失がどの程度の規模になるかを管理することは重要な関心事の一つでしょう。
組織的な計画を遂行するとき脅威と脆弱性を把握しリスク管理のスコープに捕捉し
適切な是正措置をとれるようにしましょう。

...

20 サイバーセキュリティレジリエンス

攻撃を受けたとしてもその被害を最小限にする必要があります。
被害を限定的にとどめと即座に復旧するための技術を身につけましょう。

...

21 物理的セキュリティ

ソーシャルエンジニアリング・ワイヤレスバックドア・モバイルデバイスによるDLPなどの侵害リスクは物理的な保護が重要なセキュリティ事項だということを示しています。
サイト設計や運用から考慮する。
アクセス制御や人為災害・自然災害への耐性についても検討しましょう。

...

「Comptia Security+ Lesson」をウィキ内検索

最終更新：2025年12月22日 11:26

Cyber SEC TSM

メニュー

よむところ

更新履歴

リンク

組織

ナレッジベース

学習資源

読み物

1 セキュリティロールとセキュリティ管理

A セキュリティロール

B セキュリティの管理とフレームワーク

2 攻撃者と脅威インテリジェンス

A 攻撃者のタイプと攻撃ベクター

B 脅威インテリジェンスと情報源

3 セキュリティ評価

A ネットワーク偵察ツールを使用したセキュリティ評価

ネットワーク偵察（Network Reconnaissance）**を目的としたツールと手法を整理する。

攻撃前活動（Reconnaissance）**および

A-1 ネットワーク偵察の位置づけ

A-2 トポロジーディスカバリとフットプリンティング

* トポロジーディスカバリ（Topology Discovery）

* フットプリンティング（Footprinting）

A-3 基本ネットワークコマンド

* ipconfig

* ping

* arp

A-4 ルーティング・接続性確認ツール

* traceroute / tracert

* pathping

A-5 IPスキャナー・ネットワークスキャン

* ネットワークスキャンの目的

* nmap / Zenmap

* SNMPスキャン

A-6 サービスディスカバリ

* ポートスキャン手法

* OSフィンガープリント

* CPE

A-7 接続・名前解決関連ツール

* netstat

* nslookup / dig

A-8 OSINT・補助ツール

A-9 パケットキャプチャと解析

* パケットキャプチャ

* tcpdump

* Wireshark

A-10 パケット操作ツール

* パケットインジェクション

A-11 悪用フレームワーク（Attack Frameworks）

* Metasploit

* その他フレームワーク

A-12 その他重要ツール

* netcat

A-13 試験対策まとめ（Security+）

B 脆弱性タイプと懸念事項

C 脆弱性スキャン技術

D ペネトレーションテスト

4 ソーシャルエンジニアリングとマルウェア

A ソーシャルエンジニアリング

A-1 ソーシャルエンジニアリングの特徴

A-2 ソーシャルエンジニアリングの原則

* 親密性・好意（Liking）

* コンセンサス・社会的証明（Consensus）

* 権威と萎縮（Authority）

* 希少性と緊急性（Scarcity / Urgency）

A-3 なりすましと信頼の悪用

* なりすまし（Impersonation）

* 信頼関係の悪用

A-4 物理的ソーシャルエンジニアリング

* ダンプスターダイビング

* テールゲーティング

A-5 個人情報詐欺・請求書詐欺

* 個人情報詐欺

* 請求書詐欺

* 認証情報データベース

* ショルダーサーフィン

* ランチタイム攻撃

A-6 フィッシング系攻撃

* フィッシング

* ホエーリング