変更要約: 初版
5.1セキュリティ概念とセキュリティプログラム
脅威（threat）・脆弱性（vulnerability）・エクスプロイト（exploit）・緩和策（mitigation）という基本語彙とリスクの関係、代表的な攻撃手法（マルウェア/フィッシング/DoS/中間者/なりすまし）への対抗、そして技術だけでは守れないユーザ意識向上・トレーニング・物理アクセス制御を組み合わせた多層防御を、「この状況で何が最も効く緩和策か」を判断できるように学びます。
ネットワークのセキュリティ対策は「とにかく機器を導入すれば安全になる」ものではありません。実務では、目の前のリスクがどの脆弱性を突くどの脅威なのかを整理し、その状況で最も費用対効果の高い緩和策を選ぶ判断が問われます。この節では、セキュリティを語る共通言語（threat / vulnerability / exploit / mitigation）を土台に、技術・人・物理の3面から守る多層防御の考え方を身につけます。
5.1.1脅威・脆弱性・エクスプロイト・緩和策
- 脆弱性（vulnerability）＝システムに内在する「弱点」（未更新のOS、既定パスワードの放置、設定ミス等）。脅威（threat）＝その弱点を突いて損害を与えうる潜在的な危険（攻撃者、マルウェア、内部不正等）。脆弱性は「穴」、脅威は「その穴を狙う存在」と整理すると混同しない。
- エクスプロイト（exploit）＝脆弱性を実際に悪用するための具体的な手段・ツール・コード。脅威が脆弱性を突く「実行手段」がエクスプロイトである。緩和策（mitigation）＝脆弱性を塞ぐ、または脅威の影響を下げる対策（パッチ適用、ACL、暗号化、アクセス制御等）。
- リスク＝脅威が脆弱性を突いて損害が発生する「可能性と影響の大きさ」。緩和策はリスクをゼロにするのではなく許容できる水準まで下げるもの。どの脆弱性から塞ぐかは「悪用されたときの影響」と「悪用のされやすさ」で優先順位を付けて判断する。
5.1.2代表的な攻撃と緩和策
- マルウェア（ウイルス/ワーム/ランサムウェア/トロイの木馬）＝端末に侵入し破壊・窃取・暗号化を行う。緩和策はアンチマルウェア、パッチ適用、最小権限、バックアップ。フィッシング/ソーシャルエンジニアリング＝人を騙して認証情報を窃取する。技術対策だけでは防ぎきれず、ユーザ教育が要。
- DoS/DDoS＝大量トラフィックや不正要求でサービスを枯渇させる。緩和策はレート制限、フィルタリング、冗長化。中間者攻撃（MITM）＝通信経路に割り込み盗聴・改ざんする（ARPスプーフィング等）。なりすまし（spoofing）＝送信元IP/MAC/DHCP応答等を偽装する。これらL2/L3のなりすましは第4節のDHCPスヌーピング・DAI・ポートセキュリティで緩和する。
5.1.3セキュリティプログラム（意識向上・トレーニング・物理制御）
- ユーザ意識向上（awareness）＝全社員に「不審メールを開かない」「パスワードを共有しない」といった注意を継続的に喚起する活動（ログインバナー、掲示、社内通知等）。広く浅く「気づき」を与える。セキュリティトレーニング（training）＝役割に応じた実践的・体系的な教育（実機演習、模擬フィッシング訓練、理解度テスト）で、awarenessより深く技能を定着させる。
- 物理アクセス制御（physical access control）＝サーバ室や配線盤（ワイヤリングクローゼット）への物理的な侵入を防ぐ対策（施錠、入退室カード、生体認証、監視カメラ、警備員、共連れ防止のマントラップ等）。どれほど論理的な防御を固めても、機器に物理的に触れられればコンソール接続やケーブル抜去で突破されうるため、物理層の守りは多層防御の土台である。
- 多層防御（defense in depth）＝単一の対策に頼らず、境界（ファイアウォール/IPS）・ネットワーク（ACL/セグメント化）・機器（AAA/ハードニング）・端末（アンチマルウェア）・人（教育）・物理（施錠）を重ねて配置する考え方。ある層が破られても次の層が食い止める。
「脆弱性＝弱点／脅威＝弱点を突く危険／エクスプロイト＝悪用の手段／緩和策＝弱点を塞ぐ or 影響を下げる対策」の4語の区別が最頻出です。加えてawareness（広く注意喚起）とtraining（役割別の体系的教育）の違い、物理アクセス制御が論理防御の土台であること、多層防御は単一対策に依存しないことを押さえましょう。
あなたは中堅企業のネットワーク管理者で、経営層から「先日、経理担当者が偽の請求書メールのリンクをクリックして認証情報を入力してしまった。二度と起こらないよう対策せよ」と指示されたとします。ここで反射的に「次世代ファイアウォールを導入する」と答えるのは、脅威の本質を取り違えています。今回の脅威はフィッシング（ソーシャルエンジニアリング）で、突かれた脆弱性は「従業員が偽メールを見抜けない」という人的な弱点です。境界のファイアウォールやIPSは外部からの通信を検査しますが、正規のWebサイトに偽装したフィッシングページへユーザ自身がアクセスして情報を入力する行為は、通信としては正当に見えるため技術対策だけでは防ぎきれません。したがって最も効く緩和策は、役割に応じたセキュリティトレーニング（模擬フィッシング訓練＋理解度テスト）でユーザが偽メールを見抜けるようにすることと、多要素認証（MFA）を導入して仮に認証情報が漏れても単独ではログインできないようにすることの組み合わせです。ここで重要なのは、awareness（掲示やバナーでの一般的な注意喚起）だけでは行動変容に不十分で、実践的なtrainingが必要だという判断、そして「単一の技術で完全に防ぐ」のではなく人的対策と技術的対策を重ねる多層防御の発想です。脅威と脆弱性を正しく特定できて初めて、投資すべき緩和策を見極められます。
| 用語 | 意味 | 具体例 |
|---|---|---|
| 脆弱性（vulnerability） | システムの弱点 | 未更新のOS・既定パスワード放置 |
| 脅威（threat） | 弱点を突く潜在的危険 | 攻撃者・マルウェア・内部不正 |
| エクスプロイト（exploit） | 悪用の具体的手段・コード | 脆弱性を突く攻撃コード・ツール |
| 緩和策（mitigation） | 弱点を塞ぐ/影響を下げる対策 | パッチ・ACL・暗号化・MFA・教育 |
ひっかけ： 「脅威と脆弱性は同じ意味だ」は誤りです——脆弱性は内在する弱点、脅威はその弱点を突く外的な危険で、両者は別物です。また「フィッシング対策はファイアウォールを導入すれば十分」も誤り＝正規サイトを装ったページにユーザ自身が情報を入力する行為は通信として正当に見えるため、ユーザ教育とMFAが本質的な緩和策になります。「多層防御は一番強力な機器を1台入れること」も誤りで、多層防御の本質は複数の対策を重ねることです。
5.1.4この節のまとめ
- 脆弱性（弱点）を脅威がエクスプロイト（手段）で突き、緩和策でリスクを許容水準まで下げる、という4語の関係を正確に区別する
- ユーザ意識向上（広く注意喚起）とトレーニング（役割別の体系的教育）は目的が異なり、フィッシング等は技術だけでなく教育とMFAが要
- 物理アクセス制御は論理防御の土台であり、技術・人・物理を重ねる多層防御で単一対策への依存を避ける
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある企業で、経理担当者が正規の取引先を装ったメールのリンクからログインページに誘導され、認証情報を入力してしまう被害が発生した。再発防止策として最も効果的な組み合わせはどれか。
Q2. セキュリティ用語の「脆弱性（vulnerability）」「脅威（threat）」「エクスプロイト（exploit）」「緩和策（mitigation）」の関係を説明したものとして、最も適切なものはどれか。
Q3. セキュリティ担当者が「ユーザ意識向上（awareness）」と「トレーニング（training）」を区別して施策を計画している。両者の位置づけとして最も適切なものはどれか。