サイバー攻撃は「産業化」しており、攻撃の手口は高度化、巧妙化している。セキュリティ企業SentinelOneが3月に公開した2025年の「年次脅威レポート」では、近年のサイバー攻撃の手口を8つの攻撃フェーズに分類し、それぞれでどのような攻撃が行われており、どのような対策が有効かを解説している。
1つめの攻撃フェーズは「アクセス(Access)」で、攻撃対象は「アイデンティティ(ID)」だ。攻撃者は、盗んだセッションや悪用された多要素認証(MFA) を用いて、正規の従業員活動を巧妙に模倣する。IDは重大な事案につながる侵入の主要経路であり、これに対抗するには、単なるログイン時の検証だけでなく、認証後の行動を継続的に監視するアプローチが重要になる。
2つめの攻撃フェーズは「持続性/永続化(Persistence)」で、攻撃対象は「正規の管理ツールやワークフロー」だ。攻撃者は、信頼された管理ツールを乗っ取り、日常的なシステムメンテナンスを装うことで、エンドポイント保護を回避する。正当なIT業務と悪意のある持続的活動を見分けることは、今や防御側にとって重要な要件となっている。
3つめの攻撃フェーズは「インフラストラクチャ」で、攻撃対象は「VPNやロードバランサなどのレガシーなエッジデバイス」だ。近年は、可視化されておらず、管理されていないレガシーなエッジデバイスがターゲットになっている。これらが侵害されると、内部環境への持続的な足がかりとなる。防御側は、セキュリティの死角を排除するため、ログを一元管理し、リモートアクセスを保護する必要がある。
4つめの攻撃フェーズは「本番環境(Production)」で、攻撃対象は本番環境に結びつく「CI/CDパイプライン」だ。攻撃者は、従来のランタイム防御を回避するために、デプロイ前の開発パイプラインに直接、悪意のあるロジックを埋め込む。侵害されたビルドシステムは、脅威が仕込まれたソフトウェアを正規品として配布する。防御側は、デプロイ前にコードの完全性を検証し、パイプラインを保護する必要がある。
5つめの攻撃フェーズ「データ流出(Exfiltration)」で、攻撃対象は「マシンIDなどに紐付いたデータ」だ。攻撃者は、アプリケーションのセッションやトークンなど、信頼された機器間の通信を悪用し、正規のアイデンティティを用いて、大規模で品質の高いデータ窃取を狙う。 防御側は、データアクセスのパターンを監視し、アプリケーションへの過剰な権限を制限する必要がある。
6つめの攻撃フェーズは「メンテナンス(Maintenance)」で、攻撃対象は「適切にパッチ適用されず、既知の脆弱性が放置されたデバイス」だ。レガシーインフラは、セキュリティ修正が提供されているにもかかわらず、パッチ適用の不徹底によりリスクを拡大させている。防御側は、パッチ適用を優先し、重要資産全体にわたる露出状況を継続的に把握・追跡する必要がある。
7つめの攻撃フェーズは「接続性(Connectivity)」で、攻撃対象は「API」だ。APIなどのマシン向けのインターフェースが増加した結果、監視されていない通信レイヤーが形成されている。攻撃者は、こうしたマシン間インターフェースを通じてデータレイヤーに直接侵入し、横展開や秘匿的なデータ転送を行っている。防御側は、連携を監査し、システム横断的なアクティビティを監視して異常を検知する必要がある。
8つめの攻撃フェーズは「拡張性(Scale)」で、攻撃対象は「従来型の手作業を中心とした運用体系」だ。攻撃者はさまざまな自動化ツールを用いて、人間の対応速度を上回るスピードで攻撃をしかけてくる。防御側は、脅威を素早く封じ込めるために、自動化されたツールや仕組みを採用する必要がある。
SentinelOneの年次脅威レポートは、英語版と日本語版(要登録)が公開されている。
【参考】：SentinelOne年次脅威レポート: 現代のサイバー侵害の「産業化」に対する防御策を公開 | SentinelOne Japan株式会社のプレスリリース
ライター
