Table of Contents
悪用フェーズ（Exploitation）の詳細
悪用フェーズは、配送された攻撃ツールが実際に「起爆」する瞬間です。攻撃者にとっては侵入成功の瞬間であり、防御側にとっては被害が現実化する臨界点です。このフェーズを境に、攻撃は「準備段階」から「実害段階」へと移行します。
何が「悪用」されるのか
悪用の対象は大きく3つに分類されます。
1. ソフトウェアの脆弱性
OSやアプリケーションのバグを突いて、意図しないコードを実行させます。代表的なものには次のようなものがあります。
- バッファオーバーフロー： 想定以上のデータを送り込み、メモリを上書きしてコードを実行させる
- SQLインジェクション： Webアプリのデータベース操作の隙を突き、任意のコマンドを実行させる
- ゼロデイ脆弱性： ベンダーがまだ把握していない未修正の脆弱性。パッチが存在しないため特に危険
2. 設定の不備（ミスコンフィギュレーション）
脆弱性がなくても、設定の甘さが悪用されることがあります。
- デフォルトパスワードがそのまま使われているサーバー
- 不要なポートが外部に公開されたままのファイアウォール設定
- 過剰な権限が付与されたサービスアカウント
3. 人間の行動（ヒューマンエクスプロイト）
技術的な脆弱性を一切使わず、人の判断ミスを「悪用」するケースも増えています。
- マクロ有効化を促すメッセージで誘導し、Officeファイル内の悪意あるマクロを実行させる
- 偽のログイン画面で認証情報を入力させる
- 多要素認証の承認通知を繰り返し送りつけ、疲弊したユーザーに誤って承認させる（MFA疲労攻撃）
悪用の瞬間：実際の流れ
具体例として、フィッシングメールからの悪用フェーズを流れを考えましょう。
- 標的が「請求書.xlsx」を開く
- Excelが「マクロを有効にしますか？」と表示
- 標的がクリック → マクロ（VBAコード）が実行される
- マクロがPowerShellを密かに呼び出す
- PowerShellが外部サーバーからマルウェアをダウンロード・実行
- 侵入完了 → インストールフェーズへ
この一連の流れが数秒〜数分以内に自動的に行われます。ユーザーが「マクロを有効にした」という一操作が、すべての引き金になります。
ゼロデイ脆弱性の特殊性
通常の脆弱性はパッチを適用することで防げますが、ゼロデイはその手が使えません。ゼロデイ脆弱性には独自の市場が存在し、国家レベルの攻撃グループや犯罪組織が高額で取引しています。
| 種類 | パッチの有無 | 対策難易度 |
| 既知の脆弱性（CVE登録済み） | あり | 低〜中（パッチ適用で対処） |
| ゼロデイ脆弱性 | なし | 非常に高い |
| 設定ミス | なし（設定変更で対処） | 中（気づけば直せる） |
ゼロデイへの現実的な対策は、「侵入を前提とした検知・封じ込め」、つまり悪用された後の動きをいかに素早く検知するかにシフトします。
ゼロデイ脆弱性とは、ソフトウェアやハードウェアに存在する脆弱性のうち、開発者・ベンダーがまだ把握していない、あるいは把握していても修正パッチが公開されていないものを指します。
名前の由来は「修正までの猶予が0日しかない」という意味からきています。通常の既知脆弱性であればパッチを適用することで対処できますが、ゼロデイはその手が使えないため、防御側は無防備な状態に置かれます。
発見されたゼロデイ脆弱性には独自の市場が存在し、国家支援型の攻撃グループや犯罪組織が数百万ドル規模で売買するケースもあります。実際に悪用されて初めて存在が発覚することも多く、その時点ですでに多くの被害が出ているケースも少なくありません。
対策としては、侵入を前提とした検知・封じ込め体制の整備が現実的な答えです。
防御のポイント
侵入前の対策（予防）
- パッチ管理の徹底：既知の脆弱性を速やかに修正する
- 攻撃対象領域の縮小：不要なサービス・ポートを閉じ、使うソフトウェアを必要最小限にする
- マクロの実行ポリシー制限：Officeマクロをデフォルト無効化し、例外のみ許可する
- 多要素認証（MFA）の導入：認証情報の悪用を防ぐ
侵入後の早期検知（検知・封じ込め）
- EDR（エンドポイント検出・対応）ツールの導入：不審なプロセスの実行をリアルタイム検知
- 最小権限の原則：侵入されても動ける範囲を制限し、横展開（ラテラルムーブメント）を抑制
- ネットワークセグメンテーション：重要システムを隔離し、侵害範囲を限定する
このフェーズを乗り越えられると何が起きるか
悪用フェーズを突破された時点で、攻撃者はシステム上でコードを実行できる状態になります。ここからインストール・C2通信・目的達成へと雪崩式に進むため、悪用フェーズでの検知・遮断が被害の分岐点です。
「侵入されない」ことを目指しつつも、「侵入されても被害を最小化できる」設計を同時に持つことが、現代のセキュリティ設計の基本姿勢です。
セキュリティの基礎
- サイバーキルチェーン C2通信フェーズ(Command&Control)
- サイバーキルチェーン インストールフェーズ(Installation)
- サイバーキルチェーン 悪用フェーズ(Expolitation)
- サイバーキルチェーン 武器化フェーズ(Weaponization)
- サイバーキルチェーン 目的達成フェーズ(Actions on Objectives)
- サイバーキルチェーン 配送フェーズ(Delivery)
- サイバーセキュリティ用語10選
- セキュリティの目的 ～機密性/完全性/可用性～
- セキュリティの脅威と対策の概要
- マルウェア ～ユーザにとって有害なソフトウェア～
- 認証の基礎 ～正規のユーザ/デバイスですか？～
- 覚えやすくて推測されにくい安全なパスワードの作り方
- 暗号化の概要
- ハッシュ関数とは
- SSLとは？ ～アクセス先は本物です！データは盗聴/改ざんされません！～
- SSLとWi-Fiの暗号化の違い
- ファイアウォールの概要 ～正規の通信のみを転送～
- IDS/IPS ～不正アクセス対策～
- Cisco アクセスコントロールリストの概要
- パケットフィルタ ～不正な通信をブロックするCisco ACLの最も多い用途～
- SPI(Stateful Packet Inspection)の概要
- Cisco ACLによるパケットフィルタの設定と確認
- 標準ACLと拡張ACLのパケットフィルタをより深く理解するための演習 ～標準ACL～
- 名前付きACL(Named ACL)
- タイムベース(Time-based)ACL
- Cisco ACLによるパケットフィルタの設定例
- 標準ACLと拡張ACLのパケットフィルタリングをより深く理解するための演習 ～標準ACL～
- 標準ACLと拡張ACLのパケットフィルタリングをより深く理解するための演習 ～拡張ACL～
- リフレクシブ(Reflexive)ACL ～戻りの通信を自動的に許可～
- リフレクシブ(Reflexive)ACLの設定例
- Catalystスイッチのパケットフィルタリング RACL/VACL/PACL
- RACL/VACL/PACLの設定と確認コマンド
- uRPFの設定例
- VTYアクセス制御
- DHCPスプーフィング ～DHCPサーバを偽装～
- DHCPスヌーピング
- Cisco DHCPスヌーピングの設定と確認コマンド
- Cisco DHCPスヌーピングの設定例
- ARPスプーフィング
- Dynamic ARP Inspection
- Cisco Dynamic ARP Inspectionの設定と確認コマンド
- TCPインターセプトの設定例
- WAF(Web Application Firewall)の概要
- 電子メールのセキュリティ
- サイバーキルチェーンとは？
- サイバーキルチェーン 偵察フェーズ(Reconnaissance)