変更要約: 初版
2.1攻撃対象領域と監視データ技術
攻撃対象領域（アタックサーフェス）と脆弱性の関係を押さえ、tcpdump（フルパケット）・NetFlow（フロー統計）・NGFW・ステートフルファイアウォール・AVC（アプリケーション可視性と制御）・Webフィルタリング・メールフィルタリングが「何を見せてくれる技術か」を、SOCアナリストが監視データを選ぶ判断として学びます。
SOC（セキュリティオペレーションセンター）の仕事は、無数のトラフィックの中から「攻撃者が触れられる面」で起きた異常を見つけ、証跡から次の一手を決めることです。そのためにはまず、攻撃者が狙える入口の総体＝攻撃対象領域（アタックサーフェス）と、そこに存在する弱点＝脆弱性の関係を理解し、次に「どの監視技術がどの粒度で何を見せてくれるか」を選べる必要があります。この節では、フルパケットを丸ごと見るtcpdumpから、通信の要約統計だけを見るNetFlow、アプリを識別して制御するNGFWまで、監視データ源を得たい可視性から逆算して選ぶ判断として整理します。
2.1.1攻撃対象領域と脆弱性
- 攻撃対象領域＝攻撃者が侵入や悪用を試みられる入口の総体。公開ポート・Webフォーム・API・メール・リモートアクセス・従業員（人）などが含まれる。攻撃対象領域が広いほど守るべき面が増える。一方脆弱性は、その面に存在する具体的な弱点（未パッチのソフト・設定不備・弱い認証など）で、攻撃対象領域は「どこを狙えるか」・脆弱性は「そこがどう弱いか」を指す。
- 監視の観点では、攻撃対象領域を把握することがどこにセンサ（監視データ源）を置くかを決める。境界（インターネットとの接点）、DMZ、サーバセグメント、リモートアクセス経路など、面が集中する場所に可視性を持たせるのが基本。攻撃対象領域を減らす（不要ポート閉鎖・不要サービス停止）ことは、守る面と監視すべき量の両方を下げる。
2.1.2監視データ技術が見せるもの
- tcpdump＝パケットキャプチャツールで、通信の中身（ペイロード）まで含めたフルパケットを記録する。攻撃の実データ（送られた文字列やファイル）を再構成できる反面、データ量が非常に大きく長期保存に不向き。深い調査には強いが「常時全部」は現実的でない。
- NetFlow＝通信のメタデータ／フロー統計（送信元/宛先IP・ポート・プロトコル・バイト数・パケット数・時刻）を要約して記録する。中身は見えないが、誰がいつ誰とどれだけ通信したかを軽量に長期間保持でき、異常な通信量やビーコン（一定間隔の外向き通信）の発見に強い。
- NGFW（次世代FW）＝ポート/プロトコルだけでなくアプリケーションやユーザを識別して制御し、IPSやマルウェア検査を統合する。関連してAVC（Application Visibility and Control）は、ポート番号に依存せず（例：443番上のさまざまなアプリを）アプリ単位で可視化・制御する。ステートフルファイアウォールは接続の状態（コネクション）を追跡し、確立済み接続の戻りトラフィックだけを許可する（各パケットを独立に見るステートレスと対照的）。
- Webフィルタリング＝URL/カテゴリ/レピュテーションでWebアクセスを制御し、悪性サイトへの誘導やC2への到達を防ぐ。メールフィルタリング（コンテンツフィルタ）はフィッシング・マルウェア添付・スパムを配信前に遮断する。いずれも攻撃の主要な侵入経路（Webとメール）に可視性と制御を与える。
「攻撃対象領域＝狙える入口の総体／脆弱性＝そこの具体的弱点」「tcpdump＝中身まで見えるが重い」「NetFlow＝中身は見えないがメタデータを軽量に長期保持」「ステートフル＝接続状態を追跡・ステートレス＝パケット単独」「NGFW/AVCはアプリ/ユーザ識別」「Web/メールフィルタは侵入経路を遮断」が頻出です。「何を見せる技術か」から逆算して選べるようにしましょう。
あなたはSOCアナリストで、「社内の1台のPCが外部の見慣れないIPと通信している疑いがある」というアラートを受け取りました。まず知りたいのは「実際に何が送られたのか（データ窃取か・C2の指令か）」ですが、ここでいきなり全社のtcpdumpを仕掛けるのは判断として拙速です——フルパケットは膨大で、過去に遡っての証拠は残っていないことも多いからです。現実の初動では、まず軽量に長期保持されているNetFlowを見ます。フローを見ると、当該PCが毎時ほぼ正確に同じ間隔で、同じ外部IPの443番へ小さなデータを送っていることが分かりました。これは典型的なビーコン（C2の疑い）のパターンで、通信量が小さいので単純な「大量送信＝データ窃取」検知には引っかかりません。NetFlowは中身を見せませんが、「規則的な外向き通信」というメタデータの形が侵害の強い兆候になります。次の一手として、その宛先IP/URLが悪性かをWebフィルタリングのレピュテーションで照合し、疑いが強まったらその1フローに絞ってtcpdumpで中身を取得して指令の内容を確定させます。ここで重要なのは、「常に一番詳しいtcpdumpが正しい」わけではないという判断です。可視性の粒度（フルパケット／フロー統計／アプリ識別）にはそれぞれ得意な問いがあり、「今知りたいのは量か・相手か・中身か」から逆算して監視データ源を選ぶのがアナリストの腕です。443番だからと安心せず、AVCやNGFWで「443番上で実際に動いているアプリ」を ident できれば、暗号化の陰に隠れたトンネルにも気づけます。
| 技術 | 見せるもの | コスト/保持 | 得意な問い |
|---|---|---|---|
| tcpdump（フルパケット） | 中身まで全部 | 大・短期 | 何が送られたか（中身） |
| NetFlow | フロー統計/メタデータ | 小・長期 | 誰と・いつ・どれだけ |
| NGFW/AVC | アプリ/ユーザ識別・制御 | 中 | どのアプリが動いているか |
| ステートフルFW | 接続状態（コネクション） | 中 | 許可された確立接続か |
| Web/メールフィルタ | URL/添付/レピュテーション | 中 | 侵入経路の遮断 |
ひっかけ： 「調査には常に一番詳しいtcpdum（フルパケット）を全社で常時取るのが最善」は誤りです——フルパケットは膨大で長期保持できず、過去の証拠が残らないことも多い。多くの初動は軽量なNetFlow（メタデータ）で相手と規則性を掴み、必要な1フローに絞ってフルキャプチャします。また「NetFlowで中身（送信データ）まで確認できる」も誤り＝NetFlowはメタデータ（統計）のみで、ペイロードは見えません。
2.1.3この節のまとめ
- 攻撃対象領域は攻撃者が狙える入口の総体、脆弱性はそこの具体的弱点。面を把握して監視センサの置き場所を決める
- tcpdumpは中身まで見えるが重い、NetFlowは中身は見えないがメタデータを軽量に長期保持。問い（量/相手/中身）から逆算して選ぶ
- NGFW/AVCはアプリ/ユーザを識別、ステートフルFWは接続状態を追跡、Web/メールフィルタは主要侵入経路を遮断する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SOCアナリストが、社内PCが外部の未知IPと通信している疑いのアラートを受けた。過去数日に遡って「その相手と、どの程度の頻度・量で通信していたか」を軽量な保持データから最初に確認したい。最も適切な監視データ源はどれか。
Q2. ある通信は宛先が443番（HTTPS）で、単純なポートベースのポリシーでは「通常のWeb閲覧」に見える。しかし実際には443番上でファイル共有アプリのトンネルが動いている疑いがある。この「443番上で実際にどのアプリが動いているか」を識別・制御するのに最も適した機能はどれか。
Q3. ファイアウォールの設計で、「一度内部から確立した接続の戻りトラフィックだけを自動的に許可し、外部から勝手に始まる新規接続は拒否したい」という要件がある。この要件を満たす動作として最も適切なものはどれか。