マルウェア・標的型攻撃（APT）とEDR/SIEM完全攻略｜侵入前提の多層防御徹底解説
近年のサイバーセキュリティにおいて、従来の「境界防御（ファイアウォールやウイルス対策ソフト）」をすり抜ける「標的型攻撃（APT：Advanced Persistent Threat）」や「ランサムウェア攻撃」は最重要課題です。
IPA試験（特に支援士午後試験）では、「侵入を100%防ぐことはできない」という前提に立ち、侵入後の振る舞い検知（EDR）、ログ統合分析（SIEM）、端末隔離やバックアップ保護（3-2-1ルール）といった多層防御が毎年のように長文シナリオ問題で出題されます。
1. 標的型攻撃（サイバーキルチェーン）の攻撃フェーズ
- ① 初期潜入: ターゲット組織に特化した標的型メール（やり取り型メール、偽装添付ファイル）や脆弱なVPN機器、サプライチェーン経由でマルウェアを送り込む。
- ② 足場構築とC2通信: 端末内にバックドア（RAT）を常駐させ、攻撃者が管理する外部のC&C（C2）サーバとHTTPSやDNSプロトコルで秘密裏に通信を確立する。
- ③ 内部活動・横展開（Lateral Movement）: Active Directory（AD）の特権ID（Domain Admins等）や認証情報を窃取し、管理共有やリモートデスクトップ（RDP）で社内ネットワークを横展開。
- ④ 目的実行: 機密データを外部へアップロード（情報持ち出し）した後、バックアップサーバを含めた社内全PC・サーバを一斉に暗号化（二重脅迫型ランサムウェア）。
2. 侵入前提の多層防御技術：EDR vs SIEM
セキュリティ技術 | 主な役割と機能 | IPA試験での出題ポイント |
|---|---|---|
EDR (Endpoint Detection and Response) | PCやサーバ（エンドポイント）上のプロセス起動、レジストリ変更、ファイル操作、通信ログを常時監視し、不審な振る舞いを検知して端末をネットワークから即座に論理隔離する。 | 【インシデント初動対応の要】 感染疑い端末をリモートでネットワーク隔離し、フォレンジック調査用のメモリダンプやタイムラインを取得する。 |
SIEM (Security Information and Event Management) | FW、プロキシ、Active Directory、EDR、クラウドなど社内のあらゆる機器からログをリアルタイムに集約し、相関分析（Correlation Analysis）によって単一ログでは見えない複合攻撃を検知する。 | 「深夜の複数端末からの短時間ログイン試行」など、複数の異なる機器のログを突き合わせてアラートを上げる。 |
ランサムウェア対策（3-2-1ルール） | データを3部作成し、2種類の異なるメディアで保存し、1部はオフサイト（クラウドや遠隔地、ネットワーク的に切り離された不変ストレージ WORM）に保管する。 | バックアップ自体が攻撃者に暗号化・削除されるのを防ぐため、オフラインバックアップや不変性（Immutable）が必須。 |
3. インシデント対応（CSIRT / SOC）の初動手順
- ① 感染端末の物理・論理隔離: 二次被害（ラテラルムーブメント）を防ぐため、LANケーブルの抜線やEDRによる通信遮断を実施する（※電源は切らず揮発性メモリを保持する）。
- ② C2通信先IP/ドメインのプロキシ遮断: 他の端末が同一のC2サーバと通信していないかプロキシ・ファイアウォールログを全件調査し、ブラックリストに登録。
- ③ 特権アカウントのパスワード一括変更: Active Directoryのドメイン管理者アカウントや重要システムの認証情報を速やかにリセット。
4. 午後記述式試験（SC・AP）で使える得点キーワード・記述テンプレート
【定番記述フレーズ①（EDRによる初動対応）】 「EDRを用いて感染疑い端末をネットワークから隔離し、被害拡大を防止する。」（36字）
【定番記述フレーズ②（SIEMの相関分析）】 「複数機器のログを収集・相関分析し、単一ログでは検知困難な攻撃を早期発見する。」（39字）
【定番記述フレーズ③（ラテラルムーブメントの防御）】 「ネットワークをセグメント化し、端末間の不要な直接通信や共有を遮断する。」（36字）
【定番記述フレーズ④（ランサムウェアのバックアップ対策）】 「バックアップデータをネットワークから隔離し、改ざん不能な形式で保管する。」（37字）