攻撃サーフェスと攻撃ベクトル：4つの主な違いと緩和策

「攻撃対象領域」と「攻撃ベクトル」の定義

「攻撃対象領域」とは、開いているポート、ソフトウェアの脆弱性、脆弱なパスワードなど、システムへの侵入経路となり得るすべての要素の総称です。一方、「攻撃ベクトル」とは、フィッシングメールやマルウェアなど、攻撃者がそれらの侵入経路の1つを悪用するために用いる具体的な手法や経路を指します。攻撃対象領域は潜在的なリスクを表すのに対し、攻撃ベクトルは実際に使用される攻撃手法そのものです。

攻撃対象領域はネットワークの境界に限定されるものではなく、アプリケーションのインターフェース、エンドポイント、ユーザーアカウント、クラウドサービス、サードパーティ製サービスの連携なども含まれます。 各エンドポイント、ユーザーの認証情報、公開されているAPI、あるいはサービスは、侵害される可能性のあるポイントを増加させます。攻撃対象領域を理解し、最小限に抑えることは、サイバーセキュリティにおける基本原則です。なぜなら、侵入経路の数を減らすことは、攻撃が成功するリスクを直接低減することにつながるからです。

一般的な攻撃経路これには、パッチが適用されていないソフトウェアの悪用、脆弱なパスワードの悪用、あるいは設定ミスのあるクラウドサービスの悪用などが含まれます。各攻撃ベクトルは特定の弱点を標的としており、攻撃が成功するには複数のベクトルが組み合わされることがよくあります。さまざまな攻撃ベクトルを理解することで、組織は自社の脆弱性を標的とする可能性が最も高い手法を予測し、より効果的に防御することができます。

これは、情報セキュリティに関する一連の記事の一部である。

「攻撃対象領域」と「攻撃ベクトル」の例

例 1：Webアプリケーション

「攻撃対象領域」と「攻撃ベクトル」の違いを説明するために、典型的なWebアプリケーションを例に挙げてみましょう。

その攻撃対象領域これには、一般公開されているAPI、ログインフォーム、基盤となるWebサーバー、接続されたデータベース、およびサードパーティ製のスクリプトなどが含まれる可能性があります。これらの各コンポーネントは、アプリケーションを潜在的な侵害のリスクにさらすため、監視および保護を行う必要があります。

さて、その脆弱性を悪用するために利用される攻撃ベクトルとしては、入力フィールドを介したSQLインジェクション攻撃、ユーザーのコメントを介したクロスサイトスクリプティング（XSS）、ログインフォームに対するクレデンシャルスタッフィング攻撃、あるいは古いサーバーソフトウェアの脆弱性の悪用などが考えられます。これらのベクトルは、攻撃者が公開されているコンポーネントの1つに侵入するために使用する可能性のある手法を表しています。

例 2：企業内ネットワーク

企業ネットワークにおいて、攻撃対象領域には、従業員のノートパソコン、VPNアクセス、クラウドサービス、リモートデスクトップゲートウェイなどが含まれます。ランサムウェアを仕込んだフィッシングメールは、従業員を標的とし、そのデバイスを侵害してネットワーク全体に拡散させることを目的とした、一般的な攻撃手段です。

「攻撃対象領域（何がさらされているか）」と「攻撃経路（どのように攻撃されるか）」を区別することで、組織はセキュリティ戦略をより適切に調整し、さらされている範囲の広さと潜在的な攻撃の深刻さの両方をカバーできるようになります。

攻撃対象領域と攻撃ベクトル：主な違い

1.範囲と焦点

「攻撃対象領域」とは、システムへの侵入が可能なすべてのポイントを指すのに対し、「攻撃ベクトル」とは、攻撃者がそれらのポイントを悪用するために用いる個々の戦術を指します。 攻撃対象領域とは、Webアプリケーション、ファイアウォール、API、ユーザーデバイス、サードパーティとの接続など、システムが外部にさらされている広範な環境を指します。攻撃対象領域の範囲を管理するには、その環境内で攻撃の対象となり得るすべての要素を特定する必要があります。

攻撃経路攻撃対象領域内の特定の弱点に焦点を当てる。例えば、フィッシングメールの送信は、攻撃ベクトルとして「人的要因」を標的としているのに対し、サーバー上の開いているポートは「技術的ベクトル」を表している。攻撃対象領域全体を考慮せずにベクトルのみに焦点を当てると、重大なリスクが見過ごされる恐れがある一方で、攻撃対象領域のみに注目すると、攻撃者が使用しそうな手法が見えにくくなる可能性がある。

2. サイバーセキュリティにおける役割

この違いを理解することで、組織はリソースを効果的に配分できるようになります。セキュリティチームは、保護すべき対象を把握するために攻撃対象領域を評価し、脅威を予測するために攻撃経路を定期的に分析しなければなりません。こうした視点を持つことで、広範な脆弱性とハッカーが用いる手口の双方に対応した、多層的な防御体制を構築することが可能になります。

攻撃対象領域の管理は、侵入可能な経路の数を減らすことを目的としており、それによってリスクを直接低減します。対照的に、攻撃ベクトルの分析は、攻撃者の思考や行動様式を理解することに重点を置いており、これにより、的を絞ったセキュリティ対策や、より効果的な脅威の検知が可能になります。バランスの取れたサイバーセキュリティ対策には、この両方の概念が必要であり、一方にのみ焦点を当てて他方を軽視すると、防御に死角が生じてしまいます。

サイバーリスク管理に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

3. サードパーティ・リスクが及ぼす影響

サードパーティのベンダー、パートナー、またはサービスプロバイダーは、しばしば企業の攻撃対象領域を拡大させます。こうした外部組織との連携により、直接的な管理下にない新たな侵入経路が生まれ、リスクが高まります。サードパーティのセキュリティ対策が不十分な場合、攻撃者はこうした防御が不十分な経路を悪用し、組織内の機密システムやデータにアクセスする可能性があります。

サードパーティのリスクに起因する攻撃ベクトルには、ベンダーの認証情報の漏洩、サプライチェーン攻撃、あるいは信頼できるソフトウェアの更新プログラムに潜むマルウェアなどが含まれます。組織外のセキュリティ上の不備により、コアシステム内で目に見える初期の侵害が一切発生しないまま、高度な攻撃が可能になってしまうため、サードパーティとの接続を監視・管理することは極めて重要です。継続的なサードパーティリスク評価は、セキュリティ全体を管理する上で不可欠です。

4. 緩和策

攻撃対象領域の縮小まずは、不必要な複雑さや攻撃への露出を減らすことから始めます。使用されていないアプリケーションの廃止、使用されていないポートの閉鎖、ユーザー権限の制限、ネットワークのセグメント化などが効果的な対策となります。攻撃の侵入経路となるポイントを最小限に抑えることで、悪用されるリスクを低減し、セキュリティ監視を簡素化できます。

攻撃経路を軽減するためには、組織はファイアウォール、侵入検知システム、エンドポイント保護などのセキュリティ対策を常に最新の状態に維持する必要があります。従業員向けのセキュリティ意識向上研修は、フィッシングのような人間を標的とした攻撃経路に対処するものであり、一方、堅牢なパッチ管理はソフトウェアの脆弱性を低減します。

攻撃ベクトルと攻撃対象領域の相互関係

「攻撃ベクトル」と「攻撃対象領域」は異なる概念ですが、両者は密接に関連しており、効果的なサイバーセキュリティを実現するためには、これらを一体として理解する必要があります。攻撃対象領域とは、where組織には脆弱性があり、攻撃経路は以下を定義するどのようにこれらの脆弱性は悪用される可能性があります。攻撃対象領域が広くなれば、必然的に攻撃者が利用可能な潜在的な攻撃経路の数も増えます。

例えば、新しいAPIエンドポイントを追加したり、サードパーティのサービスと連携したりすると、攻撃対象領域が拡大します。 新しい要素が追加されるたびに、API への不正な入力の送信（攻撃ベクトル：入力検証のバイパス）やサードパーティの侵害（攻撃ベクトル：サプライチェーン攻撃）など、さまざまな攻撃ベクトルを通じて悪用される可能性のある新たな攻撃経路が生まれます。新規または既存のコンポーネントを標的とする可能性のある攻撃ベクトルを把握していなければ、攻撃対象領域の拡大は予測不可能なリスクとなります。

ランサムウェアの配布手法や認証情報の窃取手口といった一般的な攻撃ベクトルを理解することで、組織は標的とされる可能性が最も高い攻撃対象領域を特定しやすくなります。この知識を基に優先順位を決定し、すべてを均等に保護しようとするのではなく、リスクの高い侵入経路に防御リソースを集中させることができます。

攻撃ベクトルおよび攻撃対象領域に対処するための手順

組織は、以下のプロセスに従うことで、さまざまな攻撃ベクトルに対する攻撃対象領域を防御することができます。

1. 攻撃対象領域の特定とマッピング

まず第一に、潜在的な攻撃対象となるすべての箇所について徹底的な棚卸しを行う必要があります。このプロセスでは、外部または内部からアクセスされる可能性のあるすべてのデバイス、アプリケーション、開放ポート、クラウド環境、API、およびユーザーアカウントを特定します。自動スキャナー、資産管理システム、手動による監査などのツールを活用することで、攻撃対象領域の正確なマップを作成することができます。

これらのエントリポイントを特定したら、リスクと重要度に応じて分類する必要があります。このベースラインにより、セキュリティチームは変更を監視し、新しい資産を特定し、どの領域に最も保護が必要かを把握できるようになります。攻撃対象領域のインベントリを定期的に更新することで、組織は進化し続けるインフラストラクチャに対応し、死角の発生を防ぐことができます。

2. リスクの優先順位付け

リスクを特定した後は、潜在的な影響度と悪用される可能性に基づいて、リスクの優先順位を付けることが不可欠です。攻撃対象領域のすべての部分が同等にさらされているわけでも、同等の価値があるわけでもありません。したがって、優先順位を付けることで、リソースを効率的に配分することができます。データの機密性、業務上の重要度、インターネットへの露出度、既存のセキュリティ対策などの要因が、この優先順位の決定に影響を与えます。

正式なリスク評価や脅威モデリングを行うことで、これらの優先順位をさらに絞り込むことができます。攻撃者がどこを標的にする可能性が最も高いか、また侵害された場合に最も大きな被害をもたらす資産はどれかを把握することで、セキュリティチームは最も重要な箇所にリスク軽減策を集中させることができます。リスクの優先順位付けを行うことで、手当たり次第の対応や事後対応ではなく、的を絞った先制的な防御が可能になります。

3. 攻撃対象領域を縮小する

攻撃対象領域を積極的に縮小することで、攻撃が成功する可能性を低減できます。具体的な対策としては、使用されていないサービスの無効化、古いユーザーアカウントの削除、ネットワークのセグメンテーションの実施、最小権限アクセスモデルの導入、冗長なシステムの統合などが挙げられます。不要な露出ポイントを排除することで、環境が簡素化され、攻撃者が利用可能な経路の数が減少します。

定期的なパッチ適用や、サポート終了したハードウェアおよびソフトウェアの適時の廃止も、悪用される可能性のある脆弱性を抑えることにつながります。組織は、時間の経過とともに新しいサービス、ユーザー、連携機能が追加されていく中で、攻撃対象領域を最小限に抑える取り組みを継続的に行うべきです。

4. 継続的な監視と検知

攻撃対象領域を特定し、その範囲を縮小した後は、警戒を怠らないことが極めて重要です。継続的な監視（継続的脅威監視）では、ネットワークトラフィック、システムログ、ユーザーの行動を分析し、不審な行動の兆候を探ります。侵入検知システムやセキュリティ情報・イベント管理（SIEM）システムなどの自動化ツールを利用することで、新たな脅威をリアルタイムで特定することができます。

早期検知により、攻撃者が目的を達成する前に迅速な対応が可能になります。新たな脆弱性や攻撃経路が出現するにつれ、脅威インテリジェンスのフィードや高度な分析機能を組み込み、監視体制を適応させていく必要があります。また、定期的なシステムスキャンや侵入テストを実施することで、監視対策やリスク低減策の有効性を検証することもできます。

5. インシデント対応および復旧計画

堅固な防御体制を整えていても、侵害が発生する可能性はあり、そのためインシデント対応計画の策定が極めて重要となります。組織は対応マニュアルを作成し、定期的に演習を行うことで、チームがインシデントを封じ込め、フォレンジック証拠を保全し、通常の業務を復旧させる方法を確実に理解できるようにする必要があります。役割、連絡経路、エスカレーション手順を明確にしておくことで、実際のセキュリティインシデント発生時の混乱を軽減できます。

堅実な復旧計画には、技術面と事業継続の両面への配慮が含まれます。定期的なバックアップ、文書化された復旧手順、およびインシデント発生後の教訓の検証は、復旧の迅速化と将来的な回復力の強化につながります。

攻撃対象領域と攻撃経路を軽減するにはExabeam

Outcomes Navigatorは、ログデータを分析することで、組織が自社のセキュリティ態勢を測定・改善できるよう支援します。このツールは、既存のデータでどのセキュリティユースケースや脅威を検出できるかを評価し、チームがログの価値を理解し、可視性のギャップを特定できるよう支援します。

このツールは、組織が取り込んだログソースを、『MITRE ATT&CK フレームワーク』に記載されている具体的な戦術、手法、手順（TTP）と照合します。このプロセスにより、組織がどの攻撃者の行動を検知できるか、あるいは検知できないかが明確に把握できます。 この検知範囲を可視化することで、セキュリティチームは自組織のログデータが既知の脅威に対する防御にどのように寄与しているかを正確に把握でき、重要な可視性のギャップを埋めるために、新しいデータの収集に優先順位を付けることが可能になります。

TTPに加え、「Outcomes Navigator」は、内部者による脅威、認証情報の漏洩、横方向の移動といったあらかじめ定義されたユースケースに対して、組織のセキュリティ態勢を評価します。既存のログソースを分析し、こうした一般的な攻撃シナリオを検知する準備が整っているかどうかを判断することで、特定の脅威に対する防御能力を簡潔に測定します。

このプロセスにより、業界間のベンチマークが可能になります。MITRE ATT&CKのTTP（戦術・技術・手順）といった詳細な要素から、より広範なユースケースに至るまでの検知範囲を定量化することで、組織は自社のセキュリティ成熟度をさまざまな業界の同業他社と比較することができます。これにより、自社の現状を把握し、データに基づいた意思決定を行って弱点を改善するとともに、セキュリティ投資を業界のベストプラクティスに沿ったものにすることができます。