脅威 (コンピュータセキュリティ)

• 連邦情報処理標準 (FIPS) 200、連邦政府の情報および情報システムにおける最小限のセキュリティ要件の定義^[2] - 不正アクセス、破壊、開示、情報の改変、サービス妨害を介して、組織の運営（任務、機能、イメージ、または評判を含む）、組織の資産、または個人に悪影響を及ぼす可能性のあるあらゆる状況または事象。また、脅威源が特定の情報システムの脆弱性を悪用して成功する可能性。
• 国家情報保証用語集の定義 - 不正アクセス、破壊、開示、データの改変、および／またはサービス妨害を通じて、IS（情報システム）に悪影響を及ぼす可能性のあるあらゆる状況または事象。
• ENISAの定義^[3] - 不正アクセス、破壊、開示、データの改変、サービス妨害を通じて、資産に悪影響を及ぼす可能性のあるあらゆる状況または事象。
• The Open Groupの定義^[4] - 資産、組織に損害をもたらすような形で行動する能力のあるあらゆるもの（例：天災、天候、地質学的現象、悪意のある行為者、エラー、故障など）。
• FAIR (Factor analysis of information risk)の定義^[5] - 損害をもたらしうる形で資産に対して作用する能力のあるあらゆるもの（例：物体、物質、人間など）。重要な点は、脅威が資産に対して力（水、風、エクスプロイトコードなど）を加え、損失事象を発生させうるということである。
• National Information Assurance Training and Education Centerの定義^[6][7] - 脅威エージェントがシステム、施設、または運用に悪影響を及ぼす能力や意図が現れうる手段。脅威は次のように分類・区分される。
  1. 人間（意図的、非意図的）、環境（自然、人工）。
  2. 破壊、開示、データの改変、サービス妨害という形でシステムに損害を与える可能性のあるあらゆる状況または事象。
  3. システムや活動に、破壊、開示、データの改変、またはサービス妨害という形で損害を与える可能性のあるあらゆる状況または事象。ここでいう脅威とは、損害の可能性であり、システムや活動が存在すること自体によって存在する。例えば、火災の脅威は、防火対策の量に関わらず、すべての施設に存在する。
  4. 損失をもたらす可能性のあるシステム関連の有害事象の種類。例としては、洪水、妨害行為、詐欺がある。
  5. 主に外部環境のエンティティに関する主張。我々は、あるエージェントが1つ以上の資産に脅威をもたらすと言う。
  6. 予測されるが、意識的な行為や決定の結果ではない望ましくない出来事。脅威分析では、脅威は順序対として定義され、これらの出来事の性質を示唆するが、詳細は示さない。
  7. セキュリティの潜在的な侵害。
  8. 特定の外部エンティティの一連の特性であり、特定の内部エンティティの一連の特性と組み合わせることで、リスクを意味するもの。

「脅威」という用語は、右図に示すように、他のいくつかの基本的なセキュリティ用語と関連している^[1]。

リソース（物理的または論理的）は、脅威アクターによる脅威アクションによって悪用されうる1つ以上の脆弱性を持つことがある。その結果、組織およびその他の関係者（顧客、供給者）のリソース（脆弱なリソースとは異なる場合もある）のセキュリティ3要素のCIA「機密性(Confidentiality)」「完全性(Integrity)」「可用性(Availability)」を侵害する可能性がある。

「アクティブ（能動的）攻撃」は、リソースを変更しようとしたり、その操作に影響を与え、完全性や可用性を侵害する。一方、「パッシブ（受動的）攻撃」は、システムから情報を学習または利用しようとするが、リソースには影響を与えないため、機密性を侵害する^[1]。

OWASP（図参照）による定義では、同じ現象を少し異なる用語で描写している。脅威アクターが攻撃ベクトルを介して、システムの脆弱性と関連するセキュリティコントロールを悪用し、ITリソース（資産）に技術的な影響を与え、それがビジネスインパクトにつながる、というものである。この全体像は、リスクシナリオのリスク要因を表している^[8]。

「脅威エージェント（もしくは脅威アクター）」という用語は、脅威を具現化しうる個人またはグループを指す。企業の資産を誰が悪用しようとし、どのようにして企業に対してそれらを利用する可能性があるかを特定することが基本となる^[9]。

脅威エージェント = 能力 + 意図 + 過去の活動

これらの個人やグループは次のように分類できる^[9]。

• 非特定標的型：コンピュータウイルス、ワーム、トロイの木馬、ロジックボムなどがあてはまる。
• 従業員：会社に不満を持つスタッフ、契約社員、運用／保守担当者、または警備員などがあてはまる。
• 犯罪者：犯罪者は、銀行口座、クレジットカード、または金銭に変換できる知的財産など、彼らにとって価値のある情報を標的とする。犯罪者はしばしば内部関係者を利用して目的を達成する。
• 企業：企業は、攻撃的な情報戦や競合情報収集に従事している。パートナーや競合他社などがあてはまる。
• 人間による非意図的な行動：事故、不注意。
• 人間に意図的な行動：内部者、外部者。
• 自然：洪水、火災、落雷、隕石、地震などがあてはまる。

脅威源とは、侵害が発生することを望む者である。これは、攻撃を実行する脅威エージェントと区別するために使用される用語であり、脅威エージェントは脅威源から依頼されたり説得されたりして、知ってか知らずか攻撃を実行することがある^[10]。

脅威コミュニティとは、脅威エージェント全体の母集団のうち、主要な特徴を共有するサブセットである^[5]。脅威コミュニティという概念は、リスク管理において誰と何に直面しているのかを理解するための強力なツールである。例えば、多くの組織が直面する悪意のある人間による脅威の状況として、以下のようなコミュニティが挙げられる

• 従業員
• 契約社員（およびベンダー）
• パートナー

• サイバー犯罪者（プロのハッカー）スパイ
• 非プロのハッカー
• 活動家
• 国家の情報機関（例：CIAなどのカウンターパート）
• マルウェア（ウイルス／ワームなど）の作者

脅威アクションとは、システムセキュリティに対する攻撃である^[11]。脅威エージェントは、資産に対して「アクセス」「不正使用」「開示」「改変」「アクセス拒否」といったアクションをする^[5]。

脅威の結果とは、脅威アクションから生じるセキュリティ違反のことである^[1]。これには、「開示」「詐欺」「妨害」「乗っ取り」が含まれる。以下に、4種類の脅威の結果と、それぞれの原因となる脅威アクションを詳述する^[1]。

• 開示 - エンティティが、権限のないデータにアクセスする状況または事象。「漏洩」「傍受」「推論」「侵入」といった脅威アクションが原因となりうる。
• 詐欺 - 認可されたエンティティが誤ったデータを受け取り、それを真実であると信じる可能性のある状況または事象。「なりすまし」「偽造」「否認」といった脅威アクションが原因となりうる。
• 妨害 - システムサービスおよび機能の正しい動作を中断または妨げる状況または事象。「無力化」「破損」「阻害」といった脅威アクションが原因となりうる。
• 乗っ取り - 不正なエンティティによってシステムサービスまたは機能の制御が奪われる状況または事象。「横領」「誤用」といった脅威アクションが原因となりうる。

脅威は、その種類と発生源によって分類することができる^[12]。

• 物理的損害：火災、水害、汚染
• 自然現象：気候、地震、火山活動
• 基幹サービスの喪失：電力、空調、電気通信
• 情報の侵害：盗聴、メディアの盗難、廃棄物の回収
• 技術的障害：機器、ソフトウェア、容量飽和
• 機能の侵害：使用上の誤り、権利の乱用、行動の拒否

• 意図的：スパイ行為、データの不正処理など
• 偶発的：機器の故障、ソフトウェアの障害など
• 環境的：自然現象、電源供給の喪失など
• 過失：既知でありながら無視された要因など

マイクロソフトは、脅威グループの頭文字からなる記憶術、STRIDEを公表している^[13]。

• Spoofing of user identity（ユーザーIDのなりすまし）
• Tampering（改ざん）
• Repudiation（否認）
• Information disclosure（情報漏洩：プライバシー侵害またはデータ漏洩）
• Denial of Service (D.o.S.)（サービス妨害攻撃）
• Elevation of privilege（権限昇格）

マイクロソフトは以前、DREADと呼ばれる分類法を用いてセキュリティ脅威のリスクを評価していたが、現在は時代遅れと見なされている。

• Damage（損害）– 攻撃がどれほど深刻か？
• Reproducibility（再現性）– 攻撃を再現するのはどれほど容易か？
• Exploitability（悪用可能性）– 攻撃を開始するのにどれほどの作業が必要か？
• Affected users（影響を受けるユーザー）– どれだけの人が影響を受けるか？
• Discoverability（発見可能性）– 脅威を発見するのはどれほど容易か？

脅威ランドスケープ（または脅威環境）とは、特定のドメインやコンテキストにおける脅威の集合体であり、特定された脆弱な資産、脅威、リスク、脅威アクター、観測された動向に関する情報を含む^[14][15]。

近年のコンピュータ脅威の動向として、ランサムウェア攻撃、サプライチェーン攻撃、ファイルレスマルウェアの増加が見られる。ランサムウェア攻撃は、被害者のファイルを暗号化し、アクセスを回復するために支払いを要求するものである。サプライチェーン攻撃は、サプライチェーンの最も脆弱な部分を標的にして、価値の高い標的へのアクセスを得る。ファイルレスマルウェア攻撃は、マルウェアがメモリ上で実行されることを可能にする技術を使用するため、検出が困難である^[16]。

以下に、新たに出現している一般的な脅威をいくつか挙げる。

• コンピュータウイルス
• トロイの木馬
• ワーム
• ルートキット
• スパイウェア
• アドウェア
• ランサムウェア
• ファイルレスマルウェア

• 脅威分析 - 脅威分析とは、システムに対する損害を与えるアクションの発生確率と結果の分析である^[1]。これはリスク分析の基礎となる。
• 脅威モデリング - 脅威モデリングとは、組織が自社のシステムに対する潜在的な脅威を特定し、優先順位を付けるのに役立つプロセスである。これには、システムのアーキテクチャを分析し、潜在的な脅威を特定し、その影響と可能性に基づいて優先順位を付けることが含まれる^[17]。
• 脅威インテリジェンス - 脅威インテリジェンスとは、組織に対する潜在的および現在の脅威に関する情報を収集・分析する実践である。この情報には、侵害の痕跡、攻撃手法、脅威アクターのプロファイルなどが含まれる^[18]。

脅威は、情報セキュリティマネジメントシステム（ISMS）を運用し、法律、規格、方法論によって予見されるすべてのITリスクマネジメント活動を実行することによって管理されるべきである。脅威管理では、脅威を特定、評価、分類する必要があり、そのための主要な方法として情報セキュリティ監査やペネトレーションテストがある。サイバー脅威管理（CTM）は、ISMSに見られる基本的なリスクアセスメントを超えてサイバー脅威を管理するためのベストプラクティスとして浮上している。CTMは、脅威の早期特定、データ駆動型の状況認識、正確な意思決定、およびタイムリーな脅威緩和アクションを可能にする^[19]。

脅威ハンティングとは、「既存のセキュリティソリューションを回避する高度な脅威を検出・隔離するために、ネットワークを予防的かつ反復的に検索するプロセス」である^[20]。これは、インシデント発生後に調査を行うファイアウォールなどの従来の対策とは対照的に、能動的なアプローチをとる。脅威ハンティングは、アナリストが機械学習やユーザー・エンティティ行動分析（UEBA）を活用するソフトウェアの支援を受けながら、仮説に基づいてネットワーク内の疑わしい行動を追跡する反復的なプロセスである。

コンピュータの脅威から身を守るためには、ソフトウェアを最新の状態に保ち、強力でユニークなパスワードを使用し、リンクをクリックしたり添付ファイルをダウンロードしたりする際には注意を払うことが不可欠である。さらに、アンチウイルスソフトウェアを使用し、定期的にデータをバックアップすることも、脅威の影響を緩和するのに役立つ。