概要
APT（Advanced Persistent Threat：高度持続的脅威）は、国家や高度な組織犯罪が資金提供する攻撃グループが実行する、長期潜伏・多段階・目標特化型のサイバー攻撃です。一般的なマルウェア感染とは異なり、平均的な潜伏期間は200日以上とされます。SC試験ではAPTの攻撃フェーズ・検知の困難さ・多層防御の必要性が問われます。
サイバーキルチェーン
Lockheed Martinが提唱した攻撃フェーズのフレームワークです。
| フェーズ | 内容 | 例 |
|---|---|---|
| 1. 偵察（Reconnaissance） | 標的の情報収集 | LinkedInでの従業員調査・ドメイン情報収集 |
| 2. 武器化（Weaponization） | 攻撃ツールの準備 | エクスプロイトを組み込んだ悪意あるOfficeファイルの作成 |
| 3. デリバリー（Delivery） | 攻撃の配送 | 標的へのスピアフィッシングメール送付 |
| 4. エクスプロイト（Exploitation） | 脆弱性の悪用 | 添付ファイルを開かせてゼロデイを悪用 |
| 5. インストール（Installation） | マルウェアのインストール | バックドアのインストール・永続化 |
| 6. C2（Command & Control） | 外部からの制御確立 | HTTPS・DNS・クラウドサービスを使ったC2通信 |
| 7. 目的達成（Actions on Objectives） | 最終目的の実行 | データ窃取・破壊工作・ランサムウェア実行 |
「フェーズ6（C2）を検知・遮断する前にフェーズ7（目的達成）に至らせない」ことが防御の基本です。
攻撃の主要技術
初期侵入手法
| 手法 | 内容 |
|---|---|
| スピアフィッシング | 標的に合わせたパーソナライズされたフィッシングメール |
| ゼロデイ脆弱性 | パッチが存在しない未知の脆弱性の悪用 |
| ウォータリングホール | 標的が訪問するWebサイトを侵害してドライブバイダウンロード |
| サプライチェーン | 信頼されたソフトウェアや委託先を経由した侵入 |
横展開（ラテラルムーブメント）
初期侵入後、ネットワーク内で権限・アクセス範囲を拡大します。
横展開の例：
初期侵害（一般社員PC）
↓
パスワードハッシュの取得（Mimikatz等）
↓
ハッシュを使ったPass-the-Hash攻撃で他のPCにアクセス
↓
ドメインコントローラへの到達
↓
Golden Ticket（Kerberosチケット偽造）による全ドメイン制御C2（Command & Control）通信
| 技術 | 内容 |
|---|---|
| HTTPS C2 | 正規のHTTPS通信に偽装（トラフィック分析が困難） |
| DNS C2 | DNSクエリにコマンドを埋め込む（ファイアウォールを通過しやすい） |
| クラウドサービスC2 | Google Drive・OneDrive等の正規クラウドサービスを使用 |
| 低速・長期潜伏 | 通信頻度を下げて異常検知を回避 |
ゴールデンチケット攻撃
ドメインコントローラのKRBTGTアカウントのハッシュを取得し、任意のKerberosチケットを偽造する攻撃です。
Golden Ticket の影響：
- ドメイン内の任意のサービスに任意のユーザとしてアクセス可能
- パスワードを変更しても有効（Kerberosの仕組み上）
- 対策：KRBTGTアカウントのパスワードを2回リセット防御戦略
検知が困難な理由
| 理由 | 内容 |
|---|---|
| 正規ツールの悪用（Living off the Land） | PowerShell・WMI等の正規管理ツールを悪用して活動 |
| 低速な活動 | ノイズを最小化してSIEMの閾値を超えないようにする |
| 長期潜伏 | 侵害から目的達成まで数週間〜数年 |
| 暗号化通信 | TLS/HTTPS通信でC2を隠蔽 |
多層防御（Defense in Depth）
EPP/EDR → 端末でのマルウェア検知・行動監視
IDS/IPS → ネットワーク上での異常トラフィック検知
SIEM → ログ相関分析による攻撃フェーズの検知
PAM → 特権アクセスの制御と監視
ネットワーク分離 → 横展開の困難化
TI（脅威インテリジェンス）→ 既知のIOCによる早期検知EDR（Endpoint Detection and Response）
従来のAV（アンチウイルス）の代替として、端末での行動を監視し高度な攻撃を検知・対応します。
| AV | EDR |
|---|---|
| シグネチャベース | 行動ベース（ファイルレスマルウェアを検知） |
| 検知・除去 | 検知・調査・隔離・修復 |
| 個別端末での対応 | SOCと連携した組織的な対応 |
SC試験での頻出ポイント
- APTの特徴：高度（Advanced）・持続的（Persistent）・特定標的への集中（Targeted）
- キルチェーンで最も早期に対処すべきフェーズ：デリバリー（フィッシングメールの遮断）・エクスプロイト（脆弱性パッチ）
- 横展開（ラテラルムーブメント）の意味：侵害した1台を起点にネットワーク内で権限・アクセス範囲を拡大すること
- Living off the Land とは：PowerShell等の正規ツールを悪用して検知を回避する手法
- EDRとAVの違い：EDRは行動ベースの監視でファイルレスマルウェアや高度な攻撃に対応
よくある誤問・ひっかけパターン
誤り① 「APT攻撃はマルウェアを使わない」→ 誤。バックドア・RAT（Remote Access Tool）等のマルウェアを使いますが、正規ツール悪用と組み合わせます。
誤り② 「ファイアウォールがあればC2通信を遮断できる」→ 誤。APTはHTTPS・DNS・クラウドサービスを使ってC2通信をファイアウォールの許可通信に偽装します。
誤り③ 「初期侵害から短時間でデータ窃取が完了する」→ 誤。APTは平均200日以上潜伏し、徐々に権限を拡大してから目的を達成します。
関連用語
- マルウェア・ランサムウェア — APTで使用するマルウェアの詳細
- フィッシング・ソーシャルエンジニアリング — APTの初期侵入手法
- 脅威インテリジェンス（CTI） — APTグループのTTPをMITRE ATT&CKで分析
重要キーワード
| 用語 | 説明 |
|---|---|
| APT | 高度持続的脅威。国家・大規模犯罪組織による長期潜伏型の標的攻撃 |
| キルチェーン | 攻撃フェーズを7段階で体系化したフレームワーク（Lockheed Martin） |
| ラテラルムーブメント | ネットワーク内で権限・アクセス範囲を拡大する横展開 |
| C2（Command & Control） | マルウェアを外部から制御するための通信チャネル |
| Living off the Land | PowerShell等の正規管理ツールを攻撃に悪用して検知を回避する手法 |
| EDR | Endpoint Detection and Response。行動ベースの端末監視・対応ツール |