重大な脆弱性が公表されるたびに、企業は修正パッチの適用に追われます。しかし、パッチの適用は「これからの侵入を防ぐ」ための対策です。適用前にすでに侵入されていた場合、その痕跡や攻撃者の足がかりは、パッチを当てても消えません。
「自社は本当に侵害されていないのか」――この問いに答えるための手段が、侵害調査です。本記事では、侵害調査の概要、脆弱性診断やSOCとの違い、実施を検討すべきタイミングを解説します。
1. 侵害調査とは
侵害調査とは、組織のシステムやネットワークの中に、現在、あるいは過去に攻撃を受けた痕跡がないかを調べるサービスです。一般に、次のような情報を組み合わせて調査します。
- サーバーやPCなど、端末（エンドポイント）の状態
- ネットワーク通信の状況
- セキュリティ機器やアプリケーション、基盤機器のログ
- 脅威インテリジェンス（既知の攻撃者の手口や痕跡に関する情報）
既存のセキュリティ製品が検知できなかった活動も含めて、攻撃の痕跡を探し出すことが特徴です。
2. 脆弱性診断・SOC・インシデント対応との違い
セキュリティ対策にはさまざまなサービスがあり、それぞれ「答える問い」が異なります。
| サービス | 主な問い | タイミング |
|---|---|---|
| 脆弱性診断・ペネトレーションテスト | 攻撃者に侵入されるような弱点はないか | 侵入される前 |
| SOC（セキュリティ監視） | 今、攻撃は起きていないか | 日常（継続的） |
| 侵害調査 | すでに侵入されていないか、過去に侵入された痕跡はないか | 現状の確認（ある時点） |
| インシデント対応・フォレンジック | 発生した事案で、何が起き、どこまで被害が及んだか | 侵害が分かった後 |
脆弱性診断が「家の鍵の弱点を探す」ものだとすれば、侵害調査は「すでに誰かが家に入り込んでいないかを確認する」ものです。両方を組み合わせることで、守りの抜け穴と、すでに起きている問題の両方を把握できます。
3. 侵害調査で分かること
一般に、侵害調査では次のような情報が得られます。
現在または過去の不正な活動が見つかったかどうか
設定の不備や未更新のシステムなど、攻撃の足がかりになりうる点
見つかった課題をもとにした、対応の優先順位や強化策
4. 侵害調査の実施を検討したいタイミング
次のような場面では、侵害調査の実施を検討する価値があります。
修正パッチを適用するまでの間に、悪用されていなかったかを確認したい
原因の分からない動作遅延、通信、アカウントの利用などがある
自社に影響が及んでいないかを確認したい
相手先のネットワークの状態を把握したい
監視体制が整っていても、見落としがないかを第三者の視点で確かめたい
5. CyberZEALの侵害調査サービス
CyberZEALでは、サービスラインアップの一つとして侵害調査サービスを提供しています。Viettel Cyber Securityの知見をもとに、お客様の環境に侵害の痕跡がないかの確認を支援します。
1ログやデータを組み合わせ、環境全体から痕跡を探す
侵入の痕跡は、ひとつのログだけを見ていても見落とされがちです。本サービスでは、サーバーやPCのログ、ネットワーク通信の記録、ファイアウォール・IDS/IPS・ウイルス対策製品などのセキュリティ機器のログ、Web・データベース・DNSといったアプリケーションのログを組み合わせて分析します。
さらに、MITRE ATT&CKに基づく攻撃手法の観点や、Viettel Threat Intelligenceが蓄積する攻撃者の手口・痕跡の情報と照らし合わせることで、既存のセキュリティ製品では捉えきれなかった不審な活動の発見を目指します。
2国際的なフレームワークに沿った、段階的な調査プロセス
MITRE ATT&CKやSANS DFIRプロセスといった国際的なフレームワークに沿って、次の流れで進めます。
- 準備：ネットワーク構成や重要な資産を確認し、特に守るべきシステムを明確にしたうえで、調査の対象とログ・データの収集方法をお客様と決定します。
- 調査：収集したデータを分析し、マルウェアやWebシェルが疑われる端末、過去の攻撃や不正な活動の痕跡、外部の攻撃者サーバーとの不審な通信などを洗い出します。
- 詳細分析：痕跡が見つかった場合は、侵入の時期・経路・原因や、関連する攻撃者の手口まで掘り下げて分析します。重大な事象を確認した際は、速やかにご報告します。
- 報告・提案：調査で明らかになった事実をもとに、今後の守りを固めるための報告と提案を行います。
3「見つかったもの」だけでなく「これから備えるべきこと」まで分かる報告書
調査結果は、お客様の環境に合わせた報告書としてご提供します。侵害の痕跡に関する詳細に加え、セキュリティ基準を満たしていない設定やファイアウォールのポリシー、バックアップ・復旧体制の弱点など、将来の攻撃の足がかりになりうる点も明らかにします。
そのうえで、すぐに取り組むべき短期的な対策と、中長期的な体制強化策を優先順位とともにご提案し、調査を「次の一手」につなげます。
調査後も、SOC Edgeによる継続的な監視や、ペネトレーションテストによる弱点の確認と組み合わせることで、より強固な体制づくりをご支援できます。
まとめ
- 脆弱性への対応（パッチ適用）は「これからの侵入」を防ぐ対策であり、すでに起きた侵入の有無は別途確認する必要がある
- 侵害調査は、環境の中に現在または過去の攻撃の痕跡がないかを調べるサービスである
- 脆弱性診断（弱点を探す）、SOC（継続的に監視する）、侵害調査（すでに侵入されていないか確認する）を組み合わせることで、守りが厚くなる
- 重大な脆弱性の公表後や、不審な挙動があるときなどに、実施を検討する
「自社が侵害されていないか確認したい」「脆弱性への対応後に、侵害の有無も確かめたい」
といったお悩みがありましたら、お気軽にご相談ください。