変更要約: 初版
4.2脅威と対策（攻撃手法・FW/IDS/IPS/WAF・ゼロトラスト）
マルウェア（ウイルス/ワーム/トロイの木馬/ランサムウェア）、標的型攻撃・フィッシング・BEC、Webアプリ攻撃（SQLインジェクション・XSS・CSRF）、DoS/DDoS、境界防御（FW・IDS・IPS・WAF・DMZ）、境界に依存しないゼロトラスト、組織的管理のISMS・リスクマネジメント・CSIRTをレベル3の深さで学びます。
脅威と対策を正しく結び付けるには、攻撃が「どの層」「何の仕組み」を悪用するかを見分けることが出発点です。マルウェアは実行環境そのものを悪用し、Webアプリ攻撃はアプリの入力処理の不備を悪用し、DoSは処理能力の限界を悪用します。対策も同じ「境界防御」でも見ている情報が異なる（FWはIP/ポート、WAFは通信内容）ため、この節では攻撃と対策を対にして整理し、さらに境界防御の限界から生まれたゼロトラストの考え方まで踏み込みます。
4.2.1マルウェアと標的型攻撃
- ウイルス＝他のプログラムに寄生して自己複製する。ワーム＝単独のプログラムとして自己複製し宿主を必要とせずネットワーク経由で自律的に拡散する。トロイの木馬＝無害を装って侵入し自己複製せずにバックドア設置等を行う。ランサムウェア＝ファイルを暗号化する等して利用不能にし復旧と引き換えに金銭を要求する。
- 標的型攻撃＝特定組織・個人を狙い業務関連を装うメール等で不正ファイルを開かせる。フィッシング＝実在組織を装った偽サイト・メールで認証情報を詐取する。BEC（ビジネスメール詐欺）＝取引先や経営者になりすましたメールで送金や機密情報の提供を騙し取る攻撃。技術的な脆弱性ではなく人の信頼関係を悪用する点がマルウェアとの違い。
4.2.2Webアプリ攻撃とDoS/DDoS
- SQLインジェクション＝入力欄に不正なSQL文を注入しDBを不正操作する。対策はプレースホルダ（バインド機構）。XSS（クロスサイトスクリプティング）＝Webページに不正スクリプトを注入し閲覧者のブラウザで実行させる。対策は入力値のサニタイジング/エスケープ。
- CSRF（クロスサイトリクエストフォージェリ）＝ログイン中の利用者に意図しないリクエストを別サイト経由で送信させ、利用者本人の権限を悪用する攻撃。対策はワンタイムトークン（フォーム送信ごとに変化するトークンをサーバ側で検証）。XSSは「スクリプト注入」、CSRFは「権限を悪用したリクエスト偽造」という違いを区別する。
- DoS攻撃＝大量リクエスト等で対象の処理能力を枯渇させ利用不能にする。DDoS攻撃＝複数端末（多くはボットネット）から分散してDoS攻撃を仕掛け、送信元IP遮断のような単純な対策を困難にする。対策はCDN・WAFによるトラフィックの分散・フィルタリング。
4.2.3境界防御とゼロトラスト・組織的管理
- ファイアウォール（FW）＝送信元/宛先IPアドレスやポート番号で通信を許可/拒否する。通信内容そのものは見ない。IDS（侵入検知システム）＝不正通信を検知して通知する。IPS（侵入防止システム）＝検知に加え自動遮断まで行う。WAF（Webアプリケーションファイアウォール）＝HTTPリクエストの中身を検査しSQLインジェクション/XSSのようなアプリケーション層の攻撃を検出・遮断する。FWとWAFの最大の違いは「見ている情報の層」。
- DMZ（非武装地帯）＝公開Webサーバ等を内部ネットワークとは別のセグメントに配置し、外部から侵害されても内部への直接侵入を防ぐ多層防御。ゼロトラスト＝「境界の内側は信頼できる」という従来の前提を置かず、社内外を問わずすべてのアクセスを都度検証する考え方。リモートワーク・クラウド利用の拡大で境界が曖昧になったことが背景。ゼロトラストは境界防御の全面廃止ではなく追加の検証である点に注意。
- ISMS（情報セキュリティマネジメントシステム）＝組織が情報セキュリティをPDCAで継続的に維持・改善する管理の枠組み（国際規格ISO/IEC 27001）。リスクマネジメント＝リスク特定→分析→評価→対応のプロセス。リスク対応の4分類＝低減・保有・回避・移転。CSIRT＝組織内でインシデントの検知・分析・対応を担う専門チーム。インシデント対応＝検知/分析→封じ込め→根絶→復旧→事後対応の順序。
FW=IP/ポートで判断・WAF=通信内容(HTTPリクエスト)を検査、IDS=検知のみ・IPS=検知+自動遮断、SQLインジェクション対策=プレースホルダ／XSS対策=サニタイジング／CSRF対策=ワンタイムトークン、DDoS=ボットネットによる分散攻撃、ゼロトラスト=境界内も無条件に信頼しない、インシデント対応の順序（検知/分析→封じ込め→根絶→復旧→事後対応）が最頻出。
あるECサイトが段階的に攻撃を受け対策を強化していく過程で、各対策が「何を悪用する攻撃を防ぐか」を整理しましょう。まず商品検索欄への' OR '1'='1のような入力で全商品情報が漏れた場合、これは検索処理が入力値をそのままSQL文に組み込んだことが原因のSQLインジェクションで、根本対策はプレースホルダです。次にレビュー欄経由でCookieが盗まれた場合はXSS（対策はサニタイジング）、ログイン中に意図せず配送先が変更された場合はCSRF（対策はワンタイムトークン）です。ここでFWを導入していても、これらのWebアプリ層の攻撃は正規のポート（443番）を経由するためFWのIP/ポート判定ではすり抜け、通信内容を検査するWAFが別途必要になります。さらに大量アクセスでサイトが応答不能になり、調査すると世界中の無数のIPから同時多量アクセスが来ていた場合はDDoS攻撃（ボットネット経由）であり、単一IP遮断では防ぎきれないためCDN/WAFでの分散・フィルタリングが現実的な対策です。公開Webサーバ自体はDMZに配置し、たとえ乗っ取られても内部の顧客DBへ直接到達できない構成にします。さらにリモートワークの拡大で「社内アクセスだから安全」という前提が崩れたため、ゼロトラストへ移行し社内外問わずアクセスのたびに認証・認可を検証します。これらの技術対策と並行して、ISMSの枠組みでリスクマネジメント（特定→分析→評価→対応）を回し、万一の侵害に備えCSIRTを組織して検知/分析→封じ込め→根絶→復旧→事後対応の手順でインシデントに対応する、という技術×組織の多層防御が実務の到達点です。
| 攻撃/対策 | 悪用/検査する対象 | 見分け方・要点 |
|---|---|---|
| SQLインジェクション | 入力値をSQL文にそのまま組込む処理 | 対策=プレースホルダ |
| XSS / CSRF | HTML出力処理 / 利用者の権限 | XSS=注入・CSRF=権限悪用の偽造 |
| FW / WAF | IP・ポート / HTTPリクエストの中身 | WAFはアプリ層の攻撃を検出 |
ひっかけ： 「ファイアウォールを導入すればWebアプリケーションへの攻撃も防げる」は誤りです。FWはIP/ポートで判断するためアプリケーション層の攻撃(SQLインジェクション等)は検知できずWAFが必要です。また「ゼロトラストを導入すればファイアウォール等の境界防御は不要になる」も誤りで、ゼロトラストは境界内も無条件に信頼しないという追加の検証であり従来対策を全面置換するものではありません。「ワームはウイルスと同じく他のプログラムに寄生する」も誤り（ワームは単独増殖）です。
4.2.4この節のまとめ
- ウイルス=寄生／ワーム=単独増殖／トロイの木馬=自己複製なし。SQLインジェクション対策=プレースホルダ／XSS対策=サニタイジング／CSRF対策=ワンタイムトークン
- FW=IP/ポート判断・WAF=通信内容を検査・IDS=検知のみ・IPS=検知+自動遮断。DDoS=ボットネットの分散攻撃
- ゼロトラストは境界内も無条件に信頼しない。リスク対応4分類=低減・保有・回避・移転。インシデント対応=検知/分析→封じ込め→根絶→復旧→事後対応
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるマルウェアは単独のプログラムとして自己複製し、他のプログラムに寄生することなくネットワーク経由で自律的に他端末へ拡散した。このマルウェアの分類として最も適切なものはどれか。
Q2. Webサイトの正規のHTTPSポート(443番)を経由したSQLインジェクション攻撃が、既存のファイアウォールでは検知できなかった。この種の攻撃を検知・遮断するために追加すべき対策として最も適切なものはどれか。
Q3. リスクマネジメントにおいて、あるリスクへの対策コストが想定被害額を大きく上回ると判断されたため、追加対策は行わず現状のまま監視のみを継続することにした。この対応はリスク対応のどれに該当するか。