Cyber Security — Deception
侵入されたあとに、
気づける会社になる。
社内ネットワークに、本物そっくりの「おとり」を置く。業務では誰も触らないので、触れた時点で侵入者の可能性が高い——入口を固める対策の外側に、もう一枚の防御層を足す考え方です。
30秒でわかる
専門用語を使わずに言うと
「防ぐ」ではなく「気づく」
侵入を100%止める製品ではありません。入られた後に早く見つけ、被害が広がる前に手を打つための仕組みです。
中身のない金庫を置いておく
社内に偽のサーバーや偽の機密ファイルを置きます。社員が業務で触る理由がないため、触れた瞬間が「調べるべき事象」になります。
今の対策は入れ替え不要
ウイルス対策もファイアウォールもそのまま。役割が違うので、置き換えるのではなく上に一枚足します。
背景
鍵と警備員は、
「盗まれた鍵」を見分けられない。
多くのセキュリティ対策は、会社の入口に鍵と警備員を置く発想でできています。外から力ずくで入ろうとする相手には有効です。
ところが近年の攻撃の多くは、正規のIDとパスワードを盗んで「社員として」入ってきます。取引先や委託先、子会社が踏み台にされることもあります。この場合、入口の警備員には、正しい社員が出社したようにしか見えません。
その結果、侵入から発覚までに数週間から数か月かかった事例が、国内外で報告されています。攻撃者にとって、この「誰にも見られていない時間」こそが最大の武器です。
攻撃の流れ
ランサムウェアは、入った瞬間には起きない。
攻撃者は侵入後すぐに全データを暗号化するわけではありません。社内を調べ、権限を奪い、重要なサーバーへ移動してから実行します。この準備期間が、こちらが先に気づける唯一の窓です。
- 01初期侵入
メールの添付ファイル、盗まれたID、VPN機器の未修正の穴、取引先経由。一番塞ぎたい段階ですが、完全に塞ぎ切るのは現実的ではありません。
- 02偵察 — ここで気づける
「この会社はどんな構成か」を調べる段階。共有フォルダ、サーバー一覧、管理者アカウントを探し回ります。おとりに触れる可能性が最も高い時間帯です。
- 03権限昇格・認証情報の窃取 — ここで気づける
端末に残ったパスワードや接続履歴を集め、管理者権限を奪います。おとりの認証情報を仕込んでおけば、使われた瞬間に判明します。
- 04横展開（ラテラルムーブメント） — ここで気づける
最初の1台から、隣のPC、ファイルサーバー、基幹システムへ。被害が「1台」から「全社」に変わる分かれ目です。
- 05実行 — 暗号化・持ち出し
データを持ち出したうえで暗号化し、身代金を要求します。ここまで来ると、できるのは復旧と公表の判断だけです。
デセプションが担当するのは 02〜04。攻撃者が社内を探し回っている、この時間帯です。
仕組み
置く。待つ。掴む。
デセプション（Deception＝欺瞞）は、攻撃者を騙して「本物ではない場所」へ誘い込む防御手法です。難しい判定をしないぶん、仕組みそのものは驚くほど単純です。
置く
本物に見える偽のサーバー、偽のPC、偽の監視カメラや制御機器を、社内ネットワークに紛れ込ませます。これをデコイ（おとり資産）と呼びます。既存の業務システムには手を入れません。
待つ
社員の端末には、偽の保存済みパスワードや偽の共有フォルダのショートカットを置きます。これをおとりの手がかり（Breadcrumbs／パンくず）と呼びます。業務では使われないので、平常時のアラートはゼロです。
掴む
攻撃者が手がかりを拾い、おとりに接続した瞬間に通報します。誰が・どの端末から・どんなツールで・何を狙ったかまで記録されます。
本質
「怪しいかどうか」を
判定しなくていい。
通常の検知製品は、社員の操作と攻撃者の操作を見分けなければなりません。似ている以上、確率で判定するしかなく、結果として大量の警報が出ます。担当者が警報に慣れてしまう「アラート疲れ」は、現場で最も多い失敗です。
デセプションは、この判定そのものを捨てます。おとりには業務上の用途がなく、正規の利用者がアクセスする理由が存在しません。つまり「触られた＝異常」であり、確率ではなく事実として扱えます。
万能ではありません。おとりに一度も触れずに目的を達成する攻撃は検知できません。だからこそ、入口対策・端末対策と組み合わせた多層防御が前提になります。単独で「これ一つで安全」と説明する提案には注意してください。
既存対策との関係
置き換えではなく、空いている一枠を埋める。
セキュリティ製品は、それぞれ見ている場所が違います。自社に何が入っていて、どこが手薄かを整理するところから始めてください。
| 対策 | 見ている場所 | 分かること |
|---|---|---|
| ファイアウォール／IPS | 社内と社外の境目 | 外から入ろうとする通信を止められたか |
| ウイルス対策／EDR | PC・サーバー1台ごと | その端末の上で不審なプログラムが動いたか |
| SIEM／ログ監視 | 各機器が残した記録 | 膨大なログの中に兆候が埋もれていないか |
| 脆弱性診断／ペネトレーションテスト | 自社の弱点 | どこから入られる可能性があるか |
| デセプション | 社内ネットワークの内側 | 侵入者が今まさに社内を移動しているか |
工場・重要インフラ
止められない設備には、
監視ソフトを入れられない。
工場の製造ライン、電力・水道・ビル設備などを動かす領域をOT（Operational Technology）と呼びます。ここには、情報システムとは決定的に違う制約があります。
- ◆止められない
再起動やパッチ適用のための計画停止が、年に数回しか取れません。
- ◆古いOSが現役
設備の寿命は10年から20年。サポートの切れたOSがそのまま稼働している例は珍しくありません。
- ◆端末に何も入れられない
制御機器にソフトを追加すると保証外になったり、動作に影響が出たりします。
おとりはネットワーク側に置くため、生産設備そのものに手を入れません。制御機器やIoT機器に見せかけたおとりを置くことで、稼働を止めずに「工場ネットワークの中を誰かが探っている」状態を捉えられます。
導入の流れ
いきなり全社導入は、おすすめしません。
まず重要な区画だけで4〜6週間の検証導入を行い、実際の環境で何が見えるかを確認してから範囲を広げるのが、最も無駄の少ない進め方です。
- 01ヒアリング
守るべき資産、ネットワーク構成、拠点、現在の運用体制、夜間休日の対応可否を確認します。ここで「何を守るか」が決まらないと、おとりの配置設計ができません。
- 02配置設計
どの区画に、いくつ、どんな見た目のおとりを置くか。攻撃者から見て自然に映るよう、本番環境の構成に合わせて設計します。
- 03検証導入（4〜6週間）
限定範囲で実際に動かします。攻撃シナリオを用いて「本当に検知できるか」を確認し、結果は経営層にも分かる形で報告します。
- 04本番構築
管理サーバーの構築、おとりの展開、既存のログ基盤やEDRとの連携設定、管理者向けの操作説明までを行います。
- 05運用
アラートが出たときの対応フローを整備し、定期レビューでおとりの配置を更新します。一次対応は日本語で当社が受け、必要に応じて開発元へエスカレーションします。
提供内容
ソフトを売って終わりにはしません。
デセプションは、配置設計と運用でほぼ結果が決まります。当社は基盤の提供、日本向けの導入設計、日本語での運用支援を一括で担当します。
デセプション基盤
サイバー攻撃が熾烈なウクライナで開発され、金融機関や国家機関でも運用実績を持つデセプション基盤を取り扱っています。IT環境とOT環境の双方に対応します。
日本向けの導入設計
政府機関等のセキュリティに関わってきた日本人ホワイトハッカーと、ウクライナの現地技術者が連携し、対象ネットワークの分析からおとりの配置、検知ルール、対応フローまでを設計します。
日本語での運用支援
アラートが出たときの一次対応、管理者向けの操作説明、定期レビュー、開発元への技術エスカレーションまで日本語で対応します。海外製品にありがちな「英語のサポート窓口しかない」状態を作りません。
組み合わせ
「どこから入られるか」と「入られた後どうするか」は、別の問題です。
ペネトレーションテストは、実際の攻撃者と同じ手順で侵入を試み、塞ぐべき穴を洗い出します。デセプションは、それでも入られた場合に検知できる状態をつくります。攻めの検証と、侵入を前提とした防御。この二つを合わせて初めて、単発の診断で終わらない体制になります。
こんな組織に
止まると事業が止まる組織へ
「基幹システムが3日止まったら、損失はいくらか」。この問いに数字で答えられる組織ほど、投資判断は速く、導入後の運用も安定します。
用語集
この分野の言葉を、日常語で。
提案書や見積書で必ず出てくる用語をまとめました。社内説明や稟議の材料としてお使いください。
攻撃者の動きに関する用語
攻撃者が最初に社内へ入り込む段階。メールの添付ファイル、盗まれたID・パスワード、VPN機器の未修正の穴、取引先経由などが典型的な入口です。
侵入した攻撃者が「この会社はどんな構成か」を調べる段階。共有フォルダやサーバー一覧、管理者アカウントを探し回ります。デセプションが最も効くのがここです。
一般社員の権限で入った攻撃者が、管理者権限を奪って何でもできる状態になること。ここを許すと被害範囲が一気に広がります。
端末やサーバーに残ったID・パスワード・アクセストークンを盗む行為。以降の動きが「正規の社員のログイン」に見えるため、検知が急に難しくなります。
最初に入った1台から、隣のPC、ファイルサーバー、基幹システムへと社内を移動していく動き。被害が「1台」から「全社」に変わる分かれ目です。
侵入したマルウェアが外部の攻撃者と連絡を取り、指示を受け取る仕組み。通常の業務通信に紛れるよう偽装されることが多い部分です。
設計図、顧客情報、契約書などを社外へ送信する段階。近年のランサムウェアは、暗号化する前に必ず盗み出す「二重脅迫」が一般的です。
データを暗号化して使えなくし、復旧と引き換えに金銭を要求する攻撃。侵入から暗号化まで数日から数週間の準備期間があることが多く、その間に気づけるかが被害額を左右します。
攻撃者が侵入してから発見されるまでの時間。長いほど、探索も権限奪取も持ち出しも進んでいます。短縮そのものがセキュリティ投資の目的になります。
本命の企業を直接狙わず、警備の手薄な取引先・委託先・子会社を踏み台にする攻撃。自社だけを固めても防ぎきれない理由がこれです。
修正プログラムがまだ存在しない未知の弱点を突く攻撃。「更新していれば防げた」という前提が通用しません。
社員・元社員・委託先など、正規のアクセス権を持つ人物による持ち出しや破壊。正規の権限で行われるため、外部からの攻撃より検知が難しい領域です。
守る側の道具に関する用語
社内と社外の境目に置き、通していい通信とそうでない通信を仕分ける装置。会社でいえば入口の門番にあたります。
PCやサーバー1台1台に導入し、その端末上の不審な動きを監視・記録し、遠隔で隔離や停止を行う仕組み。端末の中は見えますが、ネットワーク全体の動きは守備範囲外です。
各機器が出すログを一箇所に集め、横断的に相関を取って異常を探す仕組み。集めるほど情報量が増えるため、何を警報にするかの設計が難所になります。
アラートを継続的に監視し、判断と初動対応を行うチーム。自社で持つ場合と、外部に委託する場合があります。
攻撃者にわざと攻撃させるために設置する、おとりのシステム。攻撃の手口や使用ツールを記録することが目的です。
本物のサーバー・PC・IoT機器・産業用制御機器に見せかけた偽の資産。社内ネットワークに紛れ込ませて配置し、攻撃者の接触を待ちます。
本物の端末に置く、偽の保存済みパスワード、偽の共有フォルダのショートカット、偽の接続履歴。攻撃者はこれを「収穫」と考え、デコイへ誘導されます。
実際には問題がないのに「攻撃だ」と鳴ってしまう警報。多すぎると本物の警報が埋もれ、担当者が反応しなくなります（アラート疲れ）。
攻撃に使われたIPアドレス、ファイルのハッシュ値、ドメイン名など「攻撃されたしるし」。他の防御機器に配ることで、同じ攻撃を止められます。
実際の攻撃で使われた手口を体系的に整理した、世界共通のカタログ。「どの段階を検知できているか」を客観的に議論するための共通言語として使われます。
一つの対策に頼らず、入口・端末・内部・記録と、役割の違う対策を重ねる考え方。デセプションは「内部」の層を担当します。
「社内ネットワークだから安全」という前提を置かず、利用者・端末・通信を都度確認する設計思想。侵入を前提に考える点でデセプションと相性が良い考え方です。
検知までの平均時間と、対応・復旧までの平均時間。セキュリティ体制の「速さ」を測る代表的な指標で、経営報告にも使われます。
許可を得たうえで、実際の攻撃者と同じ手順で侵入を試みる検証。脆弱性診断が「穴の一覧」を出すのに対し、こちらは「実際に入れるか」を確かめます。
ネットワークと環境に関する用語
工場の製造ライン、電力・水道・ビル設備など、モノを物理的に動かすための技術領域。情報システム（IT）と違い、止められない・作り替えにくいのが特徴です。
生産設備を制御・監視するシステム。稼働の継続が最優先されるため、サポートの切れた古いOSが現役で残りやすい領域です。
1本の物理的な配線を、論理的に複数のネットワークへ分ける技術。部署ごと、工程ごとの仕切りをつくるために使われます。
業務や重要度ごとにネットワークを区切り、侵入されても被害が全体に広がらないようにする設計。デセプションは、この区画ごとに配置するのが基本です。
ネットワークにつながる監視カメラ、複合機、入退室装置、センサーなど。管理台帳から漏れやすく、更新もされにくいため、侵入の足がかりにされやすい機器です。
情報システム部門が把握していないまま、現場の判断で導入・接続された機器やサービス。守る対象として数えられていないため、侵入経路になりやすい存在です。
FAQ