Webセキュリティコンパクトガイド
攻撃の種類から具体的な対策アプローチまで
インターネットは私たちの生活をとても便利に、楽にしました。しかし同時に、不便で面倒な側面も生み出しました。第三者がネットワーク経由でコンピュータにアクセスできるようになったことで、私たちは終わりのないサイバー攻撃との戦いを強いられることになったからです。
第1章 今さら聞けないネットワークセキュリティ
まずはウォーミングアップとして、セキュリティの基本を整理します。 よく知られる「セキュリティの三大要素」
- Confidentiality（機密性）
- Integrity（完全性）
- Availability（可用性）
に加えて、以下の4つを合わせた「ISO/IEC 13335（GMITS）」の7要素が重要です。
- Authenticity（真正性）： 本人であることを確実に認証すること。
- Accountability（責任追及性）： 動作の追跡を可能にすること。
- Non-repudiation（否認防止）： 事実を後から否定させないこと。
- Reliability（信頼性）： 意図した動作を確実に行うこと。
また、攻撃のプロセスを理解するための「サイバーキルチェーン」は以下の7ステップで構成されます。
- 偵察： ポートスキャンやフィンガープリンティングなど。
- 武器化： マルウェアの作成。
- デリバリー： 攻撃の送出。
- エクスプロイト： 脆弱性の悪用。
- インストール： 標的への設置。
- C&C（Command and Control）： 外部からの制御。
- 目的実行： データの窃取や破壊。
SQLインジェクションやXSS、CSRFといった「王道」の攻撃手法への対策として、本書では「多層防御」の重要性が説かれています。具体的には、一つの対策が突破されることを前提に、網の目を重ねる考え方です。
- 入口対策： 不審メールのフィルタリングなど。
- 内部対策： EDRによるマルウェア検知など。
- 出口対策： WAFなどによる外部への不正通信ブロック。
ファイアウォール、IPS/IDS、そしてWAF(Webアプリケーションファイアウォール)。これらにはそれぞれ得意・不得意があるため、複数を組み合わせる多層防御がやはり効果的です。
本章で特に印象に残ったのは、VPNに関する記述です。今や情シスだけでなく一般従業員にとっても身近なVPNですが、「トンネリング」「カプセル化」「暗号化」「認証」という4つの技術の組み合わせで成り立っています。リモートワークの普及で多用される一方、VPN機器の脆弱性を突いた事故は後を絶ちません。 VPNは強固な壁ですが、不正ログインやなりすましで「正規の鍵」を使われてしまえば、中からの悪用を止める術がありません。攻撃者の目的は侵入そのものであり、入ってしまえば通信の暗号化など二の次です。だからこそ、先述した7要素のうち「真正性」の確保が極めて重要になります。
先日、ネットで話題になったこちらの記事も示唆に富んでいました。
「VPNは悪くない勢は滅びろ」という刺激的な言葉が（かわいい猫ちゃんの画像と共にw）トップに掲載されていますが、そのロジックは極めて現実的です。「技術に罪はなくとも、人間は運用においてVPNを安全に使いこなせない。ならば使うべきではない」という主張です。よく反論の根拠にされるコストの壁についても、「多要素認証（MFA）の導入」や、「時間外は電源をOFFにする」といった泥臭くも確実な解を提示しています。この記事を読み、私も自社の運用を振り返って身震いしました。
第2章 マルウェア対策とエンドポイントセキュリティ
「Emotet（エモテット）」という名前は知っていても、その詳細な挙動までは把握できていませんでした。 Emotetは、アクセスされるたびにコードを変化させる「ポリモーフィック型」であるため、従来のシグネチャベースの検知を巧みに回避します。さらに、PowerShellやWMI（Windows Management Instrumentation）: Windows OSやアプリケーションの管理情報を取得・操作するためのMicrosoft技術、certutil.exe(Windowsの証明書サービスの情報を表示、管理、バックアップ、復元するために使用されるCLI)といった「OS標準の正規プログラムを悪用してマクロをダウンロードするため、挙動自体が「一般的な動作」に見えてしまい、検知が極めて困難です。バラバラに持ち込まれた無害に見える部品を、機内で組み立てて武器にするスパイ映画のような手法には驚かされました。
また、Emotetはマルウェアの名前であると同時に、その開発組織の名称でもあります。彼らは感染させたPCを遠隔操作できる状態を「SaaS」として他者に販売し、そこで得た資金をさらにマルウェア開発に投じるという、RaaS（Ransomware as a Service）のビジネスモデルを確立していました。 以下の記事にある通り、彼らもまた、組織として働き、上司と部下の板挟みに悩む「日常」を送っているという事実は、犯罪の組織化を物語っていて非常に興味深いです。
｢子どもを学校へ送り､ジムに通う…｣ランサムウェア犯罪者の素顔､攻撃グループの内部チャット20万件が暴いた日常”まるで会社のよう”
第3章 ランサムウェア対策のアプローチ
サイバー犯罪が世界のGDPの約1%、年間1兆ドル規模の損害を与えている現在、敵を知った上で守り方を学ぶ必要があります。かつては日本語の壁が防波堤になっていましたが、今はAIによって違和感のない日本語で攻撃が仕掛けられます。
「予防」としてのEPPやEDR、SIEMによる振る舞い検知。それと同時に、バックアップという「被害後」の備えも不可欠です。しかし、バックアップはあっても「実際に復旧できた」という事例が少ないのは耳の痛い話です。復元のデモンストレーションは気が進まないものですが、その練度こそが命運を分けるのでしょう。
ランサムウェアの主な侵入経路は以下の5つに集約されます。
- メール
- リモートデスクトップ
- 改ざんされたWebサイト
- VPN機器
- 他のウイルスからの二次感染
特に注目すべきはVPN機器です。第1章でも触れた通り、「そもそも適切に運用できない」という前提に立てば、以下のような初歩的な不備がいかに致命的かが分かります。
- 安易なIDとパスワード
- 多要素認証の未設定
- 証明書の使い回し
また、攻撃の入り口として「なりすまし」も巧妙化しています。私の会社でも、社長の名を騙るアカウント（本物の顔写真を使用）が、メールやTeams、Chatworkで連絡を試みるという攻撃が発生しました。 ID・パスワードが一度奪われれば、過去のやり取りを学習した「本物のアカウント」からフィッシングURLが届きます。これは空想ではなく、私たちの現場で日常的に起きていることです。 かつての「ばらまき型」から、本物の名前や文章を装う「標的型」へ。パターンマッチング型のウイルス対策ソフトではもはや防げません。また、リモートワークによって、一般家庭のネットワークが企業の境界防御の外に出てしまったことも大きな課題です。 これに対し、イントラネット内をマイクロセグメンテーション（細分化）し、タグ付けで一元管理する手法などは、SDNやゼロトラストを組み合わせた実践的な解決策として、大規模な社内ネットワークを持つ組織には非常に魅力的な選択肢に映ります。
第4章 脆弱性診断入門
脆弱性診断には、大きく分けて二つのレベルがあります。一つは、GitHubのDependabotやAWS Inspectorのように、利用しているライブラリに既知の脆弱性があるかをチェックするもの。もう一つは、本書で詳しく解説されている、アプリケーションレベルの脆弱性（SQLインジェクションやXSSなど）を、実際にリクエストを送って診断するものです。
後者は非常に強力ですが、コストと専門性が必要です。まずは前者から取り入れつつ、サプライチェーンリスクへの対応として後者の導入を検討するのが現実的でしょう。 私の会社でも、委託元からこうした診断結果のレポートを受け取ることがあります。自分たちで見落としていた穴が明らかになるたび、内製診断の必要性を強く感じます。
また、こうした技術を磨く場として「CTF（Capture The Flag）」についても触れられています。脆弱性診断ツールも、内部で行っていることはこうしたCTFで求められるような「攻撃者の思考」に基づいています。 絶対安全なプログラムは存在しませんが、フレームワークを活用し、その脆弱性情報を常にチェックして更新し続けることで、被害の確率は確実に減らせるはずです。
第5章 認証技術の最前線
「合言葉」による認証は、古代ローマや戦国時代の忍者の頃から続く歴史ある手法ですが、現代においては明らかに限界を迎えています。人間が覚えられるパスワードには限りがあり、結果として使い回しが発生します。先日Amazonセールを紹介した1Passwordのような管理ソフトの活用は、もはや利便性のためだけでなく、セキュリティ上の必然といえます。
一方で、攻撃側は漏洩したリストを基に高速でログインを試行します。もはや「ID＋パスワード」のみの認証は、役割を終えたと言っても過言ではありません。せめてメール認証、できれば多要素認証の導入は、あらゆるサービスにおける最低条件であってほしいと願います。
しかし、多要素認証すら万能ではありません。精巧なフィッシングサイトは、ユーザーが入力した多要素認証のコードをリアルタイムで奪い、正規サービスにログインする「中間者攻撃」を仕掛けてきます。 この点でも1Passwordは有効です。登録されたURLと異なるサイトでは入力支援が機能しないため、ユーザーが偽サイトだと気づくきっかけになります。
本章で参考になったのは「WebOTP」の仕組みです。 従来のSMS認証が抱えていた中間者攻撃への脆弱性を、ブラウザとOSの連携によって克服しています。 ブラウザがOSに対し「このドメイン宛のメッセージを待つ」と予約を入れ、届いたSMSの末尾に記載されたドメインを確認して直接コードを渡す仕組みです。ユーザーには「入力しますか？」というバナーが表示されるだけですが、裏ではドメインの一致を厳密に検証しています。PCからのアクセスでは恩恵が薄いという課題もありますが、デバイス間の連携（Cross-device WebOTP）などによって、利便性と安全性の両立が進んでいます。
そして、このブログでも繰り返し触れている「パスキー（Passkeys）」は、パスワードという概念そのものを過去にする次世代の技術です。 デバイス内の秘密鍵とサービス側の公開鍵、そしてデバイス自体の生体認証を組み合わせることで、ユーザーに意識させることなく強固な多要素認証を実現します。
（イメージ通りの画像を作ってくれる生成AIの進化には、改めて驚かされます。）
パスキーはこのブログで紹介した当初は「将来の認証のスタンダードになる」と説明していましたが、今では「未来」ではなく「現在」の認証方法です。昨年、国内の金融機関が相次いでパスキーを必須化した流れは、その安全性を裏付けています。
- 野村證券（2025年11月〜）
- SMBC日興証券（2026年1月〜）
- みずほ証券（2026年2月〜）
- マネックス証券（2026年1月〜）
驚くべきスピードで導入が進んだのは、顧客のお金💸を守るという切実な要請があったからでしょう。エンジニアから見れば理にかなった移行ですが、不慣れな一般ユーザーへのサポートをいかに充実させるかが、今後の普及の鍵になりそうです。
Appendix 熟考クラウドセキュリティ
オンプレミスからクラウド完結へ。この変化に伴い、セキュリティの常識も変わりました。 AWS Security Hubのような「CSPM（Cloud Security Posture Management）」は、クラウド設定の不備を監視する上で欠かせません。最近ではSecurity Hubがリニューアルし、アタックサーフェイス（攻撃対象領域）をダッシュボード化できるようになったのは大きな進歩です(この本を読むまでは知りませんでした)
AWS Security Hubが機能分離され統合セキュリティソリューションに生まれ変わりました
また、今後のトレンドとして挙げられる統合型クラウドセキュリティ「CNAPP（Cloud-Native Application Protection Platform）」や、脆弱性の多さを「攻撃の入り口（ASM：Attack Surface Management）」という切り口で管理する考え方も重要です。 さらにガートナーが提唱する「CTEM（継続的脅威エクスポージャー管理）」は、単なる脆弱性把握に留まらず、ビジネスの文脈での優先付けや実証までをサイクルに組み込む広範なプロセスです。導入のハードルは高いですが、これこそが目指すべき運用の姿なのでしょう。
技術の進歩に伴い、セキュリティの攻防も姿を変え続けています。しかし、その根底にあるロジックは地続きです。過去から現在、そして近い未来の技術を体系的に知ることは、現場で戦う私たちにとって何よりの武器になると、改めて感じました。