1.5攻撃手法（2）ネットワーク・標的型

標的型攻撃はワンショットの攻撃と異なり、偵察から目的達成まで段階を踏んで進行します。CSIRTやセキュリティアナリストはこの段階モデルを理解することで、「攻撃が今どの段階にあるか」を判断し、次にどの段階に進む可能性が高いかを先読みして対策を打てます。この節ではネットワーク型の攻撃（DoS/DDoS）と、組織を段階的に狙う標的型攻撃・人の心理を突くソーシャルエンジニアリングを学びます。

1.5.1DoS/DDoS攻撃

• DoS攻撃＝単一の攻撃元からサーバやネットワークに過大な負荷をかけ、サービスを提供不能にする攻撃。DDoS攻撃（分散型）は多数の踏み台端末（ボットネット等）から同時に攻撃することで、単一の送信元遮断では防げない規模の攻撃を実現する。
• SYNフラッド攻撃＝TCPの3ウェイハンドシェイクを悪用し、SYNパケットだけを大量送信して応答（SYN/ACK）待ちの状態をサーバに大量に溜め込ませ、資源を枯渇させる攻撃。対策はSYN Cookie（接続状態を保持せずに検証する仕組み）等。
• リフレクション（反射）攻撃＝送信元IPを標的のIPに偽装したリクエストを第三者のサーバに送り、その応答を標的に反射・集中させる攻撃。増幅（amplification）攻撃はDNS等、リクエストより応答サイズが大きくなるプロトコルを悪用し、少ない送信量で標的に大きなトラフィックを浴びせる、リフレクションと組み合わされることが多い攻撃。

1.5.2標的型攻撃・APTとサイバーキルチェーン

• 標的型攻撃＝特定の組織・個人を狙い、その組織の業務内容や取引先を装ったメール等で侵入を試みる攻撃。APT（Advanced Persistent Threat）は高度な技術と潤沢な資源を持つ攻撃者が、長期間潜伏しながら目的（情報窃取等）を達成しようとする持続的標的型攻撃を指す。
• サイバーキルチェーン＝標的型攻撃を「偵察→武器化→配送→攻撃（エクスプロイト）→インストール→C&C（遠隔操作）→目的の実行」という段階に分解したモデル。どの段階で検知・遮断するかによって被害の大きさが変わるという考え方で、早い段階（偵察・配送）での検知がより望ましいとされる。
• MITRE ATT&CK＝実際に観測された攻撃者の戦術（Tactics）・技術（Techniques）・手順（Procedures）を体系的にまとめたナレッジベースで、防御側が自組織の検知・対応能力のカバレッジを評価する共通言語として使われる。MITRE CAPECは攻撃パターン（Attack Pattern）のカタログで、脆弱性がどう悪用され得るかの類型化に使われる。

1.5.3ソーシャルエンジニアリング・BEC・サイドチャネル攻撃

• ソーシャルエンジニアリング＝技術的手段ではなく、人の心理的な隙（権威への服従・緊急性の演出・信頼関係の悪用等）を突いて機密情報を引き出したり不正な操作をさせたりする手法の総称。電話でのなりすまし、肩越しの盗み見（ショルダーハッキング）等も含まれる。
• BEC（ビジネスメール詐欺）＝経営者や取引先になりすましたメールで、経理担当者等に偽の送金指示を出させる詐欺。標的型攻撃のように事前に組織の業務フローや取引関係を調査した上で行われることが多く、メール以外の経路（電話等）での確認手続きが有効な対策になる。
• サイドチャネル攻撃＝暗号アルゴリズムの数学的な弱点ではなく、処理時間・消費電力・電磁波など実装に付随する物理的な副次情報を観測して鍵情報等を推定する攻撃。対策は処理時間を均一化する等の耐タンパ性を高めた実装。

ある製造業のCSIRTが、標的型メールをきっかけとする侵害の疑いを調査しているとします。まず経理部門の従業員が「取引先を装った添付ファイル付きメール」を受信し開封していたことが判明します。サイバーキルチェーンに照らすと、これは配送段階のメールが武器化された添付ファイルとともに届き、開封により攻撃（エクスプロイト）が成立した可能性を示します。次に、当該端末が外部の見慣れないIPへ定期的に通信していることが判明すれば、これはC&C段階まで進行し攻撃者の遠隔操作下にある兆候です。この時点でCSIRTはMITRE ATT&CKのフレームワークに照らして、観測された挙動（初期アクセスの手口、C&Cの通信パターン）がどの戦術・技術に該当するかを分類し、自組織の検知ルールでその戦術をカバーできていたかを評価します。もしこの段階で検知・遮断できていれば、攻撃者が目的の実行（機密情報の窃取や金銭要求）に至る前に被害を止められた可能性が高く、キルチェーンの早い段階での検知の重要性を裏付けます。並行して、経理部門には別途「経営者を装い至急の送金を指示するメール」が届いていたことも判明したとします。これは添付ファイルもマルウェアも介さないBEC（ビジネスメール詐欺）であり、対策としては送金前に電話等メール以外の経路で経営者本人に確認する手続きを徹底することが有効です。もしこの確認手続きを怠り「メールの文面がもっともらしかったから」という理由だけで送金してしまえば、それはソーシャルエンジニアリング（緊急性の演出・権威への服従の悪用）に屈したことになります。このように、標的型攻撃への対応は攻撃が段階モデルのどこにあるかを見極め、各段階・各手口に応じた検知と確認手続きを組み合わせることが実務の核心です。

1.5.4この節のまとめ

• SYNフラッド＝ハンドシェイク未完了を溜め込ませる、リフレクション＝送信元IP偽装で反射、増幅＝応答サイズ拡大を悪用
• サイバーキルチェーンは段階モデルで、早期段階での検知が被害を限定する。MITRE ATT&CKは攻撃者の戦術・技術の共通言語
• BECはメールのみで成立しうるソーシャルエンジニアリングの一種。メール以外の経路での確認が対策の核。サイドチャネル攻撃は実装の物理的副次情報を悪用