OSIレイヤーの攻撃：レイヤー別38のネットワーク攻撃とその防御方法

さまざまなOSI層を標的とする一般的な攻撃にはどのようなものがあるか？

OSIネットワークモデルに対する攻撃は、その7つのレイヤーのいずれにおいても発生する可能性があります。以下に、各レイヤーを標的とする攻撃の例を示します。

物理層（レイヤー1）

• ハードウェアへの不正操作・破壊：物理的なアクセスを利用して、ケーブルやデバイスなどのネットワーク構成要素に損傷を与えたり、キーロガーなどの不正なデバイスを仕込んだりする。
• 信号の傍受／スニッフィング：高度な機器を使用して信号を傍受すること、あるいはネットワークインターフェースカード（NIC）をプロミスカスモードに設定して、セグメント上のすべてのデータをキャプチャすること。

データリンク層（レイヤー2）

• MACアドレスの偽装：攻撃者が、正当なデバイスのMACアドレスを偽装してそのデバイスを装い、アクセス権を取得したり、トラフィックをリダイレクトしたりする行為。
• ARPスプーフィング：攻撃者が偽のARPメッセージを送信し、自身のMACアドレスを正当なデバイスのIPアドレスに関連付けることで、トラフィックを攻撃者のマシンにリダイレクトする。
• VLANホッピング：仮想LAN（VLAN）構成における脆弱性エクスプロイトを利用して、ネットワークセグメントへの不正アクセスを行うこと。

ネットワーク層（レイヤー3）

• IPスプーフィング：送信元IPアドレスを偽装し、信頼できるデバイスになりすますこと。
• 経路操作：ルーティングテーブルを変更して、トラフィックをリダイレクト、ブラックホール化、または傍受すること。
• 中間者攻撃（AiTM）：通信当事者間のトラフィックを傍受または改ざんすること。

トランスポート層（レイヤー4）

• TCP SYNフラッディング：不完全なTCP接続要求を送信することで、サーバーのリソースを枯渇させる攻撃。
• DDoSのパターン：複数の発信元から協調して大量のトラフィックを送り込み、標的を機能不全に陥らせる。

セッション層（第5層）

• 認証トークンの改ざん：トークンを偽造または改ざんし、不正にセッションにアクセスすること。
• セッションの永続性を悪用する：ロードバランサーやセッション管理ロジックを悪用して、セッションを乗っ取る。

プレゼンテーション層（レイヤー6）

• SSL/TLSの傍受：不正な証明書やプロキシを使用して、暗号化された通信を復号すること。
• ダウングレード攻撃：プロトコルのネゴシエーションを悪用し、脆弱な暗号化の使用を強制する。
• コードインジェクション：プレゼンテーション層で処理されるデータに実行可能コードを埋め込むこと。

アプリケーション層（レイヤー7）

• クロスサイトスクリプティング（XSS）：ユーザーが閲覧するウェブページに悪意のあるスクリプトを埋め込むこと。
• SQLインジェクション：ユーザー入力を通じて、データベースクエリに悪意のあるSQLコマンドを挿入すること。

以下では、これらをはじめとするOSI層への攻撃について、さらに詳しく解説します。

これはOSIレイヤーに関する一連の記事の一部である。

物理層攻撃（レイヤー1）

1. ハードウェアの改ざん

ハードウェアへの不正操作とは、スイッチ、ルーター、ネットワークインターフェースカードなどのネットワーク機器に対する不正な操作を指します。攻撃者は、不正なデバイスを設置したり、設定を変更したり、システムに物理的に侵入したりして、持続的なアクセス権を獲得したり、サービス拒否（DoS）を引き起こしたりすることがあります。インフラへの物理的なアクセスが許されると、悪意のある攻撃者が論理的な制御を完全に迂回できるため、上位レベルのセキュリティ対策が機能しなくなることがよくあります。

改ざん事件はデジタル上の痕跡を残さない場合があり、そのため、上位層の攻撃に比べて検知や犯行の特定がより困難になる。

2. 通信傍受

信号傍受は、物理層におけるもう一つの脅威であり、攻撃者はケーブルや無線信号を介して伝送される生データを傍受します。 攻撃者は専用のツールを使用して、電気信号、光信号、または無線周波数信号を傍受し、暗号化されていないデータや機密性の高い認証情報をさらすことができます。この種の傍受には、論理的なネットワークへのアクセスは不要であり、通信ハードウェアや伝送経路の近くにいれば十分です。

防御戦略では、物理的なアクセス障壁、機器の施錠、およびシールド付きまたは装甲化されたケーブルの使用に重点を置き、改ざんや盗聴の機会を制限します。

3. 電磁攻撃

電磁攻撃は、電子機器から意図せず放出される電磁波を悪用するものです。こうした電磁波により、サイドチャネル解析を通じて、暗号鍵、パスワード、文書の内容といった機密情報が機器から漏洩する可能性があります。攻撃者は、ネットワーク機器、コンピュータ、モニターなどから放出される電磁波を収集し、専用のアルゴリズムを用いて傍受したデータを復元します。

こうしたリスクを軽減するには、電磁シールドを施すほか、重要なネットワークインフラを公共の場所や信頼できない場所の近くに設置しないようにすることが必要である。

4. 無線周波数による攻撃

無線周波数（RF）攻撃は、Wi-Fi、Bluetooth、その他のRFベースの通信で一般的に使用される無線ネットワーク技術を標的とします。 攻撃者は、RF信号を傍受、注入、または妨害することで、正当な無線トラフィックを傍受、妨害、あるいはなりすますことがあります。RF妨害により無線ネットワーク全体がダウンする恐れがあるほか、高度な技術を持つ攻撃者は、不正な基地局を用いて中間者攻撃を実行することも可能です。

防御策としては、RFスペクトルの監視、安全な無線認証、および攻撃対象領域を最小限に抑えるための環境制御などが挙げられる。

5. ケーブルの分岐

ケーブルタップとは、ネットワーク配線に物理的に接続して、データのやり取りを盗聴または記録する手法です。攻撃者は、銅線や光ファイバー回線にタップ装置やスプリッターを挿入しますが、多くの場合、ネットワークの運用に与える影響はごくわずかです。光ファイバーのタップは、光の伝送に目立った中断をもたらさないため、特に検出が困難な場合があります。

ケーブルの盗聴リスクに対抗するためには、定期的なネットワーク監査、改ざん防止機能付きケーブルの使用、および暗号化されたデータ通信の導入が必要です。

6. ケーブルの絡まり

ジャミングは、通信回線に干渉を引き起こし、正当な信号を圧倒してデバイスが使用不能になることで、ネットワークのパフォーマンスを低下させます。物理層において、信号のジャミングは意図的な攻撃や環境要因によって引き起こされることがあります。その影響は通常、短期間に留まりますが、極めて大きな混乱を招き、干渉が収まるまでデータや接続の喪失につながります。

防御策としては、電磁シールド、冗長化された配線経路、信号の異常に対するリアルタイム監視、および物理的な妨害への迅速な対応などが挙げられる。

データリンク層への攻撃（レイヤー2）

7. MACアドレスの偽装

MACスプーフィングとは、攻撃者が自身のデバイスのメディアアクセス制御（MAC）アドレスを偽装し、別のネットワークデバイスになりすます手法です。 ネットワークスイッチはMACアドレスを使用してトラフィックを転送するため、これにより攻撃者はセッションを乗っ取ったり、不正アクセスを行ったり、他のデバイスを宛先とするトラフィックを傍受したりすることが可能になります。MACスプーフィングは、ネットワークポリシーがMACベースの認証やアクセス制御に依存している環境において、特に深刻な被害をもたらします。

対策としては、ポートセキュリティ、デバイス認証、および証明書や802.1X規格に基づくネットワークアクセス制御などが挙げられる。

8. MACフラッディング

MACフラッディングは、多数の偽のMACアドレスをスイッチに過剰に送り込むことでスイッチの挙動を悪用し、スイッチをブロードキャストモードに切り替えさせます。この状態になると、特定の受信者を宛先とする機密性の高いトラフィックが、そのネットワークセグメント上のすべてのデバイスに配信されてしまうため、攻撃者がデータパケットを容易に傍受できるようになります。

ネットワーク管理者は、ポートセキュリティを設定し、ポートごとに許可されるMACアドレスの数を制限し、ブロードキャストドメインを封じ込めるためにネットワークのセグメンテーションを実施することで、MACフラッディングを防ぐことができます。

9. ARPポイズニング

ARPポイズニング（またはARPスプーフィング）は、ローカルネットワーク上でIPアドレスをMACアドレスに紐付けるアドレス解決プロトコルを標的とします。 攻撃者は偽のARPメッセージを送信し、デバイスに攻撃者のMACアドレスを有効なIPアドレスと関連付けさせるように仕向けます。この手法により、中間者攻撃、セッションハイジャック、またはサービス拒否攻撃が可能になります。

ARPポイズニングに対する防御策としては、重要システムへの静的ARPエントリの設定、スイッチの動的ARP検査機能、および異常の有無を確認するための定期的なネットワークトラフィックの監視などが挙げられる。

10. VLANホッピング

VLANホッピングとは、攻撃者が論理的なネットワーク分割を迂回して、本来アクセス権を持たない仮想LAN（VLAN）セグメントにパケットを注入することを指します。これは、スイッチの設定ミス、ダブルタグ付け、あるいはネイティブVLANの脆弱性の悪用によって行われます。許可されていないVLANに侵入すると、攻撃者はアクセス制限のかかったシステムにアクセスしたり、機密性の高い通信を傍受したりすることが可能になります。

予防策としては、使用していないスイッチポートを無効化すること、VLAN設定を厳格に行うこと、およびすべてのポートからデフォルトのVLAN割り当てを削除することが挙げられます。

11. 不正なアクセスポイント

不正アクセスポイントは、有線ネットワークに接続された不正な無線デバイスであり、攻撃者が制御する侵入経路となります。大規模な導入環境では、こうしたデバイスが気づかれずに放置される可能性があり、その結果、攻撃者が通信を盗聴したり、攻撃を仕掛けたり、既存のセキュリティ対策を迂回したりすることが可能になります。

ネットワークに接続されているすべてのデバイスの自動検出と認証、および定期的な無線ネットワーク監査は、不正なアクセスポイントを検知し、排除するために不可欠です。また、無線侵入検知システムを導入し、アクセスポイントの設定で許可されるMACアドレスを指定することも、リスクの低減につながります。

12. 無線妨害

無線ジャミングとは、Wi-Fi周波数帯にノイズや干渉を大量に送り込むことで通信を妨害し、正常なデバイスが接続を確立または維持できないようにする攻撃です。標的型ジャミングでは、特定の重要資産やユーザーに対して選択的にサービス提供を妨害できますが、広帯域攻撃ではネットワークセグメント全体に影響が及びます。

組織は、意図的な妨害攻撃の影響を最小限に抑えるため、スペクトル解析ツールを活用し、無線インフラの物理的なセキュリティを確保するとともに、周波数ホッピングやスペクトラム拡散技術を導入すべきである。

OSIレイヤー2に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

ネットワーク層への攻撃（レイヤー3）

13. IPスプーフィング

IPスプーフィングとは、ネットワークパケットの送信元IPアドレスを偽装し、正当なユーザーやデバイスを装う行為です。これにより、攻撃者はIPベースの認証を迂回したり、セキュリティ監視を回避したり、トラフィックを悪意のあるホストを経由させたりすることが可能になります。 IPスプーフィングは、分散型サービス拒否（DDoS）攻撃やセッションハイジャックなど、多くの高度な脅威の基盤となっています。

防御策としては、厳格な入出域フィルタリング、ネットワークアドレスの検証、およびIP使用状況の異常を検知する監視ツールの活用などが挙げられる。

14. ルートの操作

ルート操作攻撃は、動的ルーティングプロトコル（OSPF、BGP、RIPなど）を悪用して、正当なネットワーク経路を改ざんするものです。攻撃者は偽のルートアナウンスを注入することで、トラフィックを迂回させたり、ブラックホールに送り込んだり、監視したりすることがあります。このような攻撃は、大規模なデータの傍受や、広範囲にわたるサービス拒否を引き起こす可能性があります。

ルート操作からの保護には、安全なルーティングプロトコルの設定、隣接するルーター間の認証、およびネットワークトポロジーの不審な変化を監視しながら徹底的なルート検証を行うことが必要です。

16. ICMPリダイレクト

ICMPリダイレクト攻撃は、インターネット制御メッセージプロトコル（ICMP）を利用して、トラフィックを本来の宛先から逸らすものです。悪意のあるICMPリダイレクトメッセージは、ホストに対してパケットを攻撃者が制御するゲートウェイを経由して再ルーティングするよう指示し、トラフィックの傍受や盗聴を可能にします。多くのシステムではデフォルトでICMPリダイレクトを信頼しているため、攻撃者はネットワーク経路を迅速に操作することができます。

不要なICMPメッセージの処理を無効にし、ホストのファイアウォールを設定してリダイレクトを拒否するようにすることは、不可欠な対策です。

17. DNSポイズニング

DNSポイズニング（DNSキャッシュポイズニングとも呼ばれる）は、ドメイン名とIPアドレスの対応関係を改ざんし、ユーザーを悪意のある宛先にリダイレクトする攻撃です。攻撃者は、標的のリゾルバーキャッシュに偽のDNS応答を注入することで、フィッシングやマルウェアの配布を可能にします。DNSポイズニングが成功すると、組織全体のインターネットトラフィックが侵害される恐れがあります。

対策としては、暗号による検証を行うDNSSEC（ドメインネームシステムセキュリティ拡張）、信頼できる再帰型リゾルバの使用、および異常なDNS応答パターンの監視などが挙げられる。

18. 中間者攻撃の手法

一般に「マン・イン・ザ・ミドル（MitM）」と呼ばれる「アドバーサリー・イン・ザ・ミドル（AiTM）」攻撃は、ネットワークのエンドポイント間の通信を傍受または改ざんするものです。攻撃者は送信者と受信者の間に割り込むことで、検知されることなく通信を盗聴したり、データを改ざんしたり、悪意のあるコンテンツを注入したりすることができます。 一般的な手法としては、ARPスプーフィング、DNSハイジャック、不正な無線アクセスポイントの悪用などが挙げられ、これらは多くの場合、持続性を確保しデータを窃取するために、他のレイヤー固有の攻撃と組み合わせて行われます。

AiTM攻撃に対する防御策は複数の層にまたがっていますが、特にネットワーク層での対策が重要です。対策としては、相互認証の導入、すべてのネットワークトラフィックに対する強力な暗号化、およびHTTPS、SSH、VPNトンネリングなどの安全なプロトコルの利用などが挙げられます。

OSIレイヤー3に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

トランスポート層攻撃（レイヤー4）

19. TCP SYNフラッディング

TCP SYNフラッディングとは、TCP接続を開始するハンドシェイクプロセスを悪用したサービス拒否（DoS）攻撃の一種です。 攻撃者は、ハンドシェイクを完了させずに大量のSYNリクエストを送信し、標的となるサーバーにハーフオープン接続のためのリソースを割り当てさせ、最終的に接続容量を使い果たさせます。これにより、正当なアクセスが妨げられ、一般に公開されているアプリケーションやサービスがダウンする可能性があります。

SYNフラッド対策には、レート制限、SYNクッキー、およびTCPハンドシェイクを監視するネットワーク機器の導入が含まれます。

20. DDoSの攻撃パターン

分散型サービス拒否（DDoS）攻撃は、インターネット上の複数のシステムを利用して、帯域幅、処理能力、またはアプリケーションリソースを標的とした同期攻撃を仕掛けることで、こうした手法をさらに発展させたものです。高度な攻撃者は、パケットの種類や接続試行のパターンを変化させるため、検知がより困難になります。

組織は、現代のDDoS攻撃パターンに対抗するために、アップストリームフィルタリング、クラウド型DDoS対策サービス、高度な異常検知などを含む多層的な防御策を講じる必要があります。

21. ポートスキャン

ポートスキャンとは、攻撃者がネットワークホストに対して、開いているポートや脆弱性のあるポートがないかを調査する偵察活動のことです。攻撃者は、公開されているサービスを把握することで、攻撃対象の優先順位を決定したり、状況に応じたペイロードを送り込んだりします。

防御戦略は、攻撃対象領域を最小限に抑えることに重点を置いています。必要なポートのみを開放し、ホストにはエンドポイントファイアウォールや侵入防止システムを導入して、スキャンによる可視性を制限し、不審な活動に対応する必要があります。

22. セッションハイジャック

トランスポート層におけるセッションハイジャックとは、進行中の接続に対して不正なアクセス権を得るために、セッショントークンやパラメータを盗み出したり改ざんしたりする行為を指します。攻撃者は、暗号化されていないトラフィックをスニッフィングしたり、脆弱なプロトコル実装を悪用したりして、セッション識別子を傍受することがあります。一度取得すると、攻撃者は正当なユーザーになりすましたり、セッションを妨害したりすることが可能になります。

暗号化プロトコルの採用、セッション識別子のランダム化、および異常検知時のセッションリセットは、こうした攻撃に対する効果的な防御策となる。

23. 転送プロトコルにおけるバッファオーバーフロー

トランスポートプロトコルに対するバッファオーバーフロー攻撃は、この層で動作するプロトコルハンドラやサービスにおけるデータ処理の不備を標的としています。攻撃者は、サイズが規定を超えている、あるいは形式が不正なパケットを送信することで、メモリを上書きしたり、ネットワークサービスを妨害したり、標的となるシステム上で任意のコードを実行したりすることが可能です。特に、適切な境界チェックや入力検証が行われていないレガシーなプロトコル実装は、この攻撃に対して特に脆弱です。

すべてのソフトウェアを最新の状態に保ち、パッチを適用しておくことは、こうした脆弱性に対する第一の防御策となります。定期的なコード監査、プロトコルハンドラのファジング、およびメモリセーフなプログラミング言語の使用により、バッファオーバーフロー攻撃に対するネットワークサービスの耐性をさらに高めることができます。

OSIレイヤー4に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

セッション層への攻撃（第5層）

24. セッションハイジャック

セッション層におけるセッションハイジャックとは、2つのエンドポイント間の正当な通信セッションを乗っ取ることを指します。攻撃者は、脆弱な認証やセッション管理の仕組みを悪用してセッション識別子を盗み出し、ユーザーになりすましたり、進行中の通信を妨害したりします。その手法には、セッションクッキーの傍受、プロトコルの脆弱性の悪用、識別子の値の予測などが含まれます。

強力なセッション検証を実施し、安全なクッキー属性を導入することは、極めて重要な防御策です。

25. リプレイ攻撃

リプレイ攻撃は、攻撃者が有効なセッションメッセージを傍受して再送信し、標的を騙して不正な操作を行わせる際に発生します。これは、適切なメッセージのタイムスタンプやシーケンス検証機能がないプロトコルにおいて、特に大きな脅威となります。

対策としては、ノンス（一意のメッセージトークン）の導入、タイムスタンプの使用、および機密性の高い操作において厳格なセッションタイムアウトと再認証を義務付けることなどが挙げられ、これにより攻撃者が有効な通信の再送信に成功するのを防ぐことができます。

26. 認証トークンの改ざん

認証トークンは、セッションの識別情報やアクセス権限の管理に不可欠です。攻撃者は、権限を昇格させたり、セキュリティ制御を迂回したりするために、トークンを偽造、盗用、または改ざんする可能性があります。これは、トークンの値が予測可能であること、署名検証の欠陥、あるいは公衆ネットワーク上でのトークンデータの不適切な送信に起因する可能性があります。

トークンの不正操作を防ぐため、組織は暗号的に強固なランダムなトークンを使用し、トークンの整合性チェックを実施し、トークンの有効期限ポリシーを適用すべきである。

27. セッションの永続性の悪用

セッションの永続化（またはスティッキーセッション）は、ユーザーからの継続的な接続が、常に同じバックエンドサーバーによって処理されることを保証します。これは分散アプリケーションにおいて状態を維持するために不可欠ですが、不適切なセッション永続化メカニズムは、予測可能性や悪用につながる可能性があります。攻撃者は、ロードバランサーのアルゴリズムやセッション識別子を分析し、セッションを侵害されたリソースに強制的に割り当てたり、セキュリティ制御を迂回したりする可能性があります。

セッションの割り当てをランダム化し、バックエンドサーバーへの割り当てを積極的に監視することで、これらのリスクを軽減できます。セッションのタイムアウト時間を短く設定し、機密性の高い操作の際には再認証を必須とし、インフラ全体でセッションを積極的に追跡することは、セッションの永続性が不十分であったり悪用されたりすることによって生じるセキュリティ上の脆弱性を解消するために不可欠です。

OSIレイヤー5に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

プレゼンテーション層への攻撃（レイヤー6）

28. SSL/TLSの傍受

SSL/TLS傍受攻撃とは、エンドポイントの間に悪意のある攻撃者を介在させることで、暗号化された接続の機密性を破ろうとする攻撃です。攻撃者は、不正な証明書を使用したり、信頼された認証局を乗っ取ったり、クライアントの設定を改ざんしたりして、通信内容を復号化しようとします。これにより、機密データやセッション情報が漏洩する恐れがあります。

SSL/TLSの傍受を防ぐためには、ピン留めされた検証済み証明書の使用を徹底し、証明書チェーンの異常を監視することが不可欠な防御策となります。

29. ダウングレード攻撃

ダウングレード攻撃は、ユーザーやサービスに対し、当初意図されていたものよりもセキュリティレベルの低い暗号化プロトコルでのネゴシエーションを強いるものです。攻撃者は、互換性のためのフォールバック機能やプロトコルネゴシエーションの欠陥を悪用して、暗号化を弱体化させ、盗聴や改ざんを容易にします。

ダウングレード攻撃を防ぐには、クライアント側およびサーバー側で最新のプロトコル（TLS 1.2 以上など）を厳格に適用し、廃止予定の暗号スイートを非推奨とし、ネットワーク内のすべての暗号化エンドポイントに対して定期的な脆弱性評価を実施する必要があります。

30. コードインジェクション

プレゼンテーション層におけるコードインジェクションは、エンドユーザーやパートナーシステムからのデータを不十分に検証または解析しているシステムを標的とします。攻撃者は、下流のサービス内で後に実行されるペイロードに悪意のあるコードを埋め込み、リモートコード実行や不正なデータ改ざんを引き起こす可能性があります。典型的な攻撃経路としては、この層で動作するドキュメントビューア、データ変換ユーティリティ、またはファイル解析ライブラリなどが挙げられます。

入力サニタイゼーションの強化とサンドボックス化された処理環境により、コードインジェクションの脅威に対する防御が図られます。

31. データシリアライゼーションの脆弱性

データのシリアライゼーションの欠陥は、アプリケーションが構造化データを不適切にシリアライズまたはデシリアライズした際に発生し、これにより攻撃者が、有害な動作を引き起こしたり、アクセス制御を迂回したりするよう仕組まれたオブジェクトを注入できるようになります。シリアライゼーションの脆弱性は、サービス間の通信が標準化されたオブジェクトエンコーディングに大きく依存している分散型アーキテクチャやマイクロサービスアーキテクチャにおいて、特に危険です。

プレゼンテーション層におけるシリアライゼーションのリスクに対処するには、安全なシリアライゼーションライブラリ、整合性チェック、および許容されるデータ型の制限が不可欠です。

32. 脆弱な、あるいは時代遅れの暗号化規格の悪用

攻撃者は、脆弱な暗号化規格や時代遅れの暗号化規格を悪用して、機密性制御を迂回し、平文データを復元したり、セキュアなセッションを操作したりします。一般的な例としては、非推奨となったSSLプロトコル、輸出向け暗号スイート、あるいは既知の数学的弱点を持つアルゴリズムの使用などが挙げられます。攻撃者は、入手容易なツールを使用して、時代遅れの暗号化を解読し、機密情報を抽出したり、通信中のユーザーになりすましたりします。

すべてのシステムで、最新かつ検証済みの暗号アルゴリズムが使用されていることを確保することは、インフラのセキュリティにとって基本となる。自動化された脆弱性スキャンにより、レガシーな暗号方式やプロトコルバージョンの存在を定期的に特定し、リスクを報告して、直ちに是正措置を講じられるようにすべきである。

OSIレイヤー6に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

アプリケーション層への攻撃（レイヤー7）

33. クロスサイトスクリプティング（XSS）

クロスサイトスクリプティング（XSS）は、攻撃者がWebアプリケーションに悪意のあるスクリプトを注入する、広く見られる脆弱性です。これらのスクリプトは、警戒していないユーザーのブラウザ上で実行され、攻撃者がクッキーを盗み出したり、セッションを乗っ取ったり、Webコンテンツを改ざんしたりすることを可能にします。XSSは、ユーザーが入力するフィールドにおいて、適切な入力のサニタイズや出力のエンコードが行われていないことを悪用します。

包括的なコードレビュー、自動スキャン、およびWebアプリケーションファイアウォールの導入は、XSSのリスクを軽減するための鍵となります。

34. SQLインジェクション

SQLインジェクションは、サニタイズされていない入力を通じて巧妙に作成されたSQLコマンドを注入することで、バックエンドのデータベースを標的とします。攻撃者はデータベースのレコードに不正にアクセスしたり、変更・削除を行ったりし、その結果、多くの場合、重大なデータ漏洩につながります。

SQLインジェクションの脆弱性を防ぎ、機密データを保護するためには、セキュアコーディングの実践、パラメータ化されたクエリの使用、およびアプリケーションインターフェースに対する定期的な動的テストが不可欠です。

35. フィッシング

フィッシング攻撃は、ソーシャルエンジニアリングの手法を用いて、ユーザーを騙し、ユーザー名、パスワード、決済情報などの機密情報を明かさせようとします。攻撃者は、正規の組織やサービスを巧妙に模倣した偽のウェブサイト、電子メール、または通信チャネルを展開します。フィッシングの有効性は、心理的な操作とユーザーの意識不足に起因しています。

定期的なユーザー研修、メールフィルタリングソリューション、およびドメイン監視により、フィッシング攻撃の被害に遭うリスクを低減できます。

36. 認証情報の盗難

認証情報の盗難には、フィッシング以外にも、キーロガー、クレデンシャルスタッフィング、不適切なパスワード管理の悪用といった手法が用いられることがあります。盗まれた認証情報は、ネットワーク内での横方向の移動や、ダークマーケットでの転売に頻繁に利用されます。

アプリケーション層における認証情報の盗難による影響を最小限に抑えるためには、多要素認証、強固なパスワードポリシー、認証情報保管庫、および認証情報の漏洩監視が不可欠である。

37. APIの不正利用

APIの悪用は、セキュリティ対策が不十分なアプリケーション・プログラミング・インターフェース（API）を標的とし、ビジネスロジックや機密データをさらけ出します。攻撃者は、認証を迂回したり、エンドポイントを列挙したり、APIリクエストを操作したりして、データを改ざんしたり、業務を妨害したり、権限を昇格させたりすることがあります。

セキュリティ対策としては、厳格なAPIゲートウェイ制御、堅牢なエンドポイント認証、および公開APIと内部APIに対する定期的な脆弱性評価が含まれます。利用状況の監視とレート制限により、大規模な自動攻撃によるリスクをさらに低減します。

38. ゼロクリック型エクスプロイト

ゼロクリック攻撃は、ユーザーの操作を一切必要としないアプリケーション内の脆弱性を悪用するものです。攻撃者は、メッセージングアプリや画像レンダリングライブラリなどの脆弱性のあるエンドポイントに、細工されたトラフィックを送信するだけでシステムを侵害します。こうした攻撃は、その隠密性と急速な拡散性という点で脅威となります。

ソフトウェアを常に最新の状態に保ち、リスクの高い機能にはサンドボックスを活用し、セキュリティパッチを速やかに適用することは、ゼロクリック攻撃から防御するために不可欠です。

OSIレイヤー7に関する詳細ガイド（近日公開予定）で、さらに詳しくご覧ください。

OSIレイヤー攻撃を軽減するためのベストプラクティス

以下に、組織がOSIモデルの各層における攻撃から身を守るための方法をいくつか紹介します。

1. 強力なアクセス制御とID管理を実施する

強力なアクセス制御とID管理は、OSIの各層を保護するための基盤となる要素です。きめ細かな制御により、ユーザーの役割、デバイスの種類、およびコンテキストに応じたメタデータに基づいて、ネットワーク、システム、およびデータへのアクセスを制限します。一元化されたIDおよびアクセス管理（IAM）プラットフォームは、最小権限の原則、多要素認証、ジャストインタイムのアクセス権付与などのポリシーを適用します。 権限を定期的に監査し、不要なアクセス権を速やかに取り消すことで、これらの防御体制をさらに強化することができます。

IDフェデレーションやシングルサインオン（SSO）は、パスワード管理の負担を軽減しますが、慎重なセキュリティ設定が必要です。堅牢な認証プロトコル（SAMLやOAuthなど）を採用し、パスワードの複雑性要件を厳格に適用し、認証情報の保存場所を常に最新の状態に保つことで、あらゆるレイヤーにおける攻撃の機会を大幅に減らすことができます。

2. 保存中のデータおよび転送中のデータの暗号化

暗号化は、OSI層への攻撃によるデータ盗難や漏洩に対する重要な防御手段であり続けています。保存中のデータを暗号化することで、保存された情報への不正アクセスを防止し、転送中のデータを暗号化することで、ネットワークを介してデータが移動する際の機密性と完全性を確保します。フルディスク暗号化、電子メールの暗号化、およびトランスポート層における強固なSSL/TLS設定は、包括的な暗号化戦略において不可欠な要素です。

効果的な暗号化ポリシーには、堅牢な鍵管理が不可欠であり、これには安全な鍵の保管、鍵のローテーション手順、および内部者による脅威を防ぐためのアクセス制御などが含まれます。定期的な監査を通じて、最新の暗号規格が使用されていること、脆弱なアルゴリズムが使用停止されていること、および機密データの保護に関する規制枠組みへの準拠が確認されるべきです。

3. ネットワークのセグメンテーションとマイクロセグメンテーション

ネットワークのセグメンテーションとは、インフラストラクチャを個別のゾーンやセグメントに分割し、攻撃の拡散を抑制するとともに、機密性の高いリソースを隔離することです。各セグメントに異なるセキュリティ対策や監視レベルを割り当てることで、組織は横方向の移動を制限し、攻撃対象領域を縮小します。従来のセグメンテーションでは、VLAN、ファイアウォール、専用サブネットを用いて、ユーザーグループ、サーバー、および重要な資産間の境界を確立します。

マイクロセグメンテーションは、ソフトウェア定義ネットワーク（SDN）やエージェントベースの制御機能を活用し、これらの原則を、ワークロードやデバイスといったきめ細かいレベルで適用します。これにより、動的かつコンテキストに応じた隔離が可能となり、初期の侵害が発生した後でも攻撃者のアクセスを阻止します。マイクロセグメンテーションでは、進化し続ける脅威に対処し、セグメンテーション規則への準拠を確保するために、継続的な監視と適応型のポリシー適用が求められます。

4. 予防にとどまらない：AIを活用した脅威検知と自動化の活用

複数のOSI層にわたる脆弱性を悪用する現代の多段階攻撃に対しては、従来の予防型防御策ではもはや不十分です。AIを活用した脅威検知プラットフォームは、物理層からアプリケーション層に至るすべての層からのシグナルを分析し、一見無関係に見えるイベント間の相関関係を特定します。 例えば、MACスプーフィング（レイヤー2）に続いて異常なAPIアクセス（レイヤー7）が発生した場合、これは「中間者攻撃」を示唆している可能性がありますが、各アラートを個別に評価していただけでは見逃されてしまうでしょう。

ユーザーおよびエンティティ行動分析（UEBA）などの行動分析は、通常の活動をプロファイリングし、侵害の兆候となる可能性のある逸脱を検知することで、さらなる知見をもたらします。 シグネチャやルールベースのアラートだけに依存するのではなく、AIモデルは時間の経過とともにパターンを学習し、従来の防御策をすり抜ける内部脅威、認証情報の不正使用、およびラテラルムーブメントを早期に検知することを可能にします。UEBAは、正当な認証情報の不正使用や、低強度かつ緩慢な攻撃の検知に特に有効です。

自動化により、手動による介入なしに脅威の調査、封じ込め、修復を行うプレイブックが自動的に実行され、検知と対応のスケールアップが可能になります。 AIプラットフォームは、アラートにコンテキストデータを付加し、リスクに基づいてインシデントの優先順位を付け、さらにはエンドポイントの隔離や侵害されたアカウントの無効化といったワークフローを開始することさえ可能です。これにより、平均対応時間（MTTR）が短縮されるだけでなく、アラート疲労も軽減され、セキュリティチームは戦略的な取り組みに注力できるようになります。

5. 積極的な脅威ハンティングでチームの能力を高める

AIを活用したプラットフォームは、単一の検索・分析インターフェース内で、物理的なアクセスログ、ネットワークテレメトリ、エンドポイントイベント、アプリケーションのアクティビティなど、すべてのOSIレイヤーにわたる統合的な可視性を提供することで、プロアクティブな脅威ハンティングを可能にします。アナリストは、データソース間を横断的に分析し、カスタム検出ロジックを作成し、過去のパターンを調査することで、従来の防御をすり抜けるステルス型の脅威を検知することができます。

高度なクエリ機能と組み込みの分析機能を活用することで、セキュリティチームは、セグメント化されたネットワーク全体において、既知の攻撃指標、異常なアクセス経路、あるいはプロトコルの異常な使用状況を積極的に検索することができます。AIを活用したハンティングにより、手動による調査への依存度を低減し、仮説検証を迅速化するとともに、攻撃者が目的を達成する前に根本原因を特定するのに役立ちます。

OSIレイヤー攻撃の防止にはExabeam

Exabeamのセキュリティ運用プラットフォーム、特にExabeamの「Nova」は、OSIモデルの全7層にわたって脅威に対処し、緩和策を実施することで、ネットワークセキュリティを強化します。Exabeam AIエージェントの連携システムであるNovaは、New-Scale Security Operations Platformに組み込まれており、検知、調査、対応のワークフローをサポートします。行動分析と自動化を活用して各レイヤーでの異常な活動を検知し、セキュリティチームが迅速かつ確実に 대응できるようにします。

ExabeamがOSIレイヤーに対する攻撃からどのように防御するかについては、以下の通りです。

• 物理層（レイヤー1）：物理的なセキュリティを直接管理することはソフトウェアプラットフォームの範疇外ですが、Exabeamは行動のベースラインを構築することで「検知」を行う機能を備えており、わずかな逸脱を検出することができます。つまり、物理的な侵害によって異常なネットワーク動作が発生した場合、Exabeamがそれを検知してフラグを立てることができます。 物理的なアクセス制御システムや資産管理の監視は極めて重要であり、Exabeamは、そこから生じるネットワーク上の異常を相関分析します。
• データリンク層（レイヤー2）：Exabeamのプラットフォームは、ネットワークフロー情報やシステムログを分析することで、MACスプーフィング、ARPポイズニング、VLANホッピングなどの脅威を検知できます。 その「Perceive」機能は、通常のレイヤー2動作のベースラインを確立し、予期せぬMACアドレスの変更や異常なARPトラフィックといった逸脱を特定することで、システムが侵害された可能性を示します。
• ネットワーク層（レイヤー3）：Exabeamは、IPスプーフィング、ルーティング攻撃、およびサービス拒否（DoS）／分散型サービス拒否（DDoS）攻撃の試みを特定するのに役立ちます。 論理アドレス、ルーティングテーブルの更新、およびパケット転送イベントを分析することで、Exabeam Novaは、異常なルーティング更新やDDoSトラフィックの急増といった不審な活動の相関関係を「推論」し、攻撃がもたらす潜在的な影響を把握することができます。
• トランスポート層（レイヤー4）：このプラットフォームは、接続状態、セグメントフロー、およびポートのアクティビティを監視することで、SYNフラッド、ポートスキャン、セッションハイジャックからシステムを保護します。 Exabeamの行動モデリング機能は、異常な接続試行やポート使用状況の異常など、従来の防御策を迂回する複雑なレイヤー4攻撃を検知し、その後「Act」機能によって証拠の収集と優先順位付けを自動化します。
• セッション層（レイヤー5）：Exabeamは、セッションハイジャック、セッションフィクセーション、および不正なセッション再開への対策を支援します。 セッション確立ログ、同期ポイント、および対話制御メカニズムを収集・分析することで、本プラットフォームは、通常とは異なるセッションハイジャックの試みやセッション復旧プロセスにおける異常といった不審な事象を「認識」し、「推論」することができます。
• プレゼンテーション層（レイヤー6）：Exabeamは、データ変換ログ、暗号化された通信ストリーム、およびアプリケーションのペイロード情報を分析することで、この層のセキュリティ確保に貢献します。このソリューションは、典型的なレイヤー6の動作に対するベースラインを確立し、それからの逸脱をフラグ付けすることで、異常な暗号化方式の変更やデータエンコーディングの悪用を検出するのに役立ちます。
• アプリケーション層（レイヤー7）：Exabeamのプラットフォームは、この層において特に効果的であり、インジェクション攻撃、APIの悪用、マルウェアのペイロードからシステムを保護します。 アプリケーション間のやり取り、ユーザーの活動、プロトコルの通信を監視することで、Exabeam Novaの「Advise」エージェントは、MITRE ATT&CKなどのフレームワークに基づいて検知結果をマッピングし、改善策を推奨しながら、日次のセキュリティ態勢に関する洞察を提供します。また、「Acting」機能により、レイヤー7における悪意のある動作に対する証拠の収集やインシデントの登録を自動化します。

Exabeam Novaの中核機能である「検知」「推論」「対応」「助言」は、これらのレイヤー全体に適用され、システムを継続的に監視し、わずかな逸脱を検知し、イベントを関連付けて脅威のタイムラインを構築し、対応措置を自動化し、セキュリティ態勢の改善に向けた洞察を提供します。この統合されたAI駆動型のアプローチにより、調査の迅速化、アナリストの生産性向上、およびセキュリティプログラムの可視性の向上が実現されます。