はじめに
本書はYuri Diogenes・Erdal Ozkaya著のO'Reilly書籍で、タイトル通り「攻撃と防御の両面」からサイバーセキュリティを体系的に解説しています。ブルーチームの視点を軸に置きながら、攻撃者がどのようにキルチェーンを進めるかを丁寧に追い、各フェーズに対して防御側が何をすべきかを論じています。
セキュリティに関わるエンジニアやインフラ担当者はもちろん、システム設計において「安全な設計とは何か」を問い直したいエンジニアにも示唆に富む一冊です。本記事では章ごとのポイントを整理しながら、書籍全体の概要をお伝えします。
第1章 セキュリティ体制
セキュリティへの投資は「あれば良いもの」から「必須のもの」へと変化しています。本章では現在の脅威の状況を俯瞰し、「保護・検知・対応」という3つの柱を連携させることが、真のセキュリティ体制の強化につながるという考え方が示されます。
ブルーチームとレッドチームの役割分担についても触れており、組織内でいかに両者を機能させるかという視点が本書全体の基軸になっています。
第2章 インシデント対応プロセス
インシデント対応（IR）は、セキュリティ体制における「検知」と「対応」に直結するプロセスです。多くの企業はIRプロセスを持っているものの、過去のインシデントからの教訓を継続的に反映できていない点が課題として指摘されています。
クラウド環境でのインシデント対応に十分な準備ができていない組織が多いことも警告されており、以下の3フェーズが体系的に解説されます。
- インシデント対応プロセスの設計
- インシデントへの実際の対応
- 事後活動（ポストモーテム・教訓の反映）
第3章 サイバーセキュリティのキルチェーンを理解する
本書の核心となる章の一つです。今日の高度な攻撃者は、ターゲットネットワーク内に侵入したのちも長期間発見されないまま活動を続けます。このような攻撃者は、体系化されたフェーズに従って動いており、それを「サイバーセキュリティキルチェーン」と呼びます。
各フェーズは以下の流れで構成されます。
- 外部偵察 — ターゲットに関する情報を収集する
- システムの侵害 — 脆弱性を突いて侵入を果たす
- 横方向の移動（ラテラルムーブメント） — 内部ネットワークを探索・拡大する
- 権限昇格 — 管理者権限を取得する
- ミッションの終了 — 目的（データ窃取・破壊など）を達成する
防御側はこれら全フェーズを「保護と検知の両面」からカバーする必要があります。単一フェーズの対策だけでは不十分という設計思想が、本書のメッセージの根幹です。
第4章 偵察
攻撃ライフサイクルの最初の段階が偵察です。大きく「外部偵察」と「内部偵察」に分かれます。
外部偵察の手法として以下が挙げられています。
- ゴミ漁り（Dumpster Diving） — 物理的に廃棄された書類・デバイスから情報収集
- ソーシャルメディア — LinkedIn・Twitterなどから組織構造・担当者を把握
- スピアフィッシング — 特定ターゲットに絞った精巧なフィッシング
- 餌付け（Baiting） — 「機密」「役員」と書かれたUSBメモリを意図的に放置し、従業員が挿入するのを待つ手法
これらはいずれも技術的なハッキングより先に行われる「人間系・情報系」の攻撃です。防御側は従業員教育と情報管理ポリシーの整備が不可欠です。
第5章 システムの侵害
偵察で得た情報をもとに、実際のシステム侵入が行われます。代表的な手法として「ポートスキャン」があり、nmapをはじめとするツールで開放ポートやサービスを特定します。
また、EternalBlue（後にWannaCryに利用されたNSA由来のエクスプロイト）やEsteemAuditといった実在の攻撃ツールが例示されており、既知の脆弱性を放置することのリスクを具体的に示しています。
第6章 権限昇格と資格情報の窃取
侵入後、攻撃者が真っ先に狙うのが権限昇格です。本書では以下の手法が詳細に解説されます。
- ハッシュパス（Pass-the-Hash） — パスワードのハッシュ値をそのまま認証に利用する
- トークンの盗難 — アクセストークンを奪い、なりすましを行う
- アクセストークンの操作 — 正規ユーザーとして認証されたトークンを不正に操作する
- 構造化例外ハンドラ（SEH）の上書き — メモリ破壊系の攻撃
Mimikatzといった実際のツールが攻撃手順の中で登場し、防御側がどこでブロックすべきかを考えるヒントになります。
第7章 メール略奪とラテラルムーブメント
メールアカウントへの侵害は、スピアフィッシングへの悪用だけでなく、組織内の人間関係・業務フロー・機密情報の把握に活用されます。本章ではメール略奪（Email Harvesting）とその後のラテラルムーブメントの流れが解説されます。
内部偵察とリモートデスクトップ（RDP）を組み合わせた横断的な侵害シナリオは、現実の事例を強く意識した内容になっています。
第8章 セキュリティポリシー
技術的な対策と並んで重要なのがセキュリティポリシーの整備です。本章では、ポリシーを「絵に描いた餅」にしないために何が必要かが論じられます。
ソーシャルメディアガイドラインの策定、従業員への周知、そして日常業務の中でポリシーが機能する仕組みの構築という3つの観点が示されます。
第9章 アクティブセンサー
ネットワークをセグメント化するだけでは不十分で、疑わしいアクティビティを継続的に監視するアクティブセンサーの配置が必要です。本章では以下の技術が取り上げられます。
- IDS（侵入検知システム）
- IPS（侵入防止システム）
- 行動分析（オンプレミス・ハイブリッドクラウド）
ブルーチームはユーザーとコンピュータのプロファイルを作成し、通常状態からの逸脱を検出できる体制を整えるべきと強調されています。
第10章 脅威インテリジェンス
脅威インテリジェンスは「敵を知ること」を目的とした比較的新しい分野です。国家支援型の高度な攻撃者から金銭目的のサイバー犯罪者まで、多様な脅威アクターに対応するために、インテリジェンスの活用が不可欠とされます。
本章では以下が具体的に解説されます。
- 脅威インテリジェンス入門
- OSSINTをはじめとするオープンソースツール
- Microsoft Defender Threat Intelligence（旧RiskIQ）の活用
- 疑わしいアクティビティの調査への応用
第11章 ハイブリッドクラウドにおける侵害を受けたシステムの調査
本章ではAzure Security Center（現Microsoft Defender for Cloud）を使ったハイブリッド環境での調査シナリオが実例をもとに紹介されます。
フィッシングメール→侵害→Mimikatz実行という攻撃の流れを、SecOpsエンジニアがダッシュボード上のアラートを起点にどう調査するかが丁寧に追われます。以下のポイントが印象的でした。
- アラートの優先度ではなく時系列で整理することの重要性
- 「疑わしいプロセス名の検出」から「疑わしいプロセスの実行」へのアラートの変化をトレースする
- 調査マップによるエンティティ間の相関可視化
アクティブセンサーがあるだけで、被害者が侵害に気づくまでの時間が劇的に短縮されることが実感できます。
第12章 ログ分析
インシデント調査の根拠となるのがログです。異なるベンダー・デバイスからの複数ログを横断的に読む能力が求められます。本章では以下のログ種別を対象に分析手法が解説されます。
- OSログ（Windows EventLog など）
- ファイアウォールログ
- Webサーバーログ
SIEMツールによる自動集約が理想ですが、根本原因分析には手動でのログ精読が不可欠なケースもあることが強調されています。
第13章 資産インベントリと脆弱性管理
脆弱性管理ライフサイクルの第一歩は資産インベントリの整備です。多くの組織で資産台帳が未整備のまま運用されており、その結果パッチ適用の漏れが生じ、攻撃者の標的になります。
本章で示される6ステップの脆弱性管理ライフサイクルは以下の流れです。
- 資産インベントリの作成・維持
- 脆弱性スキャンの実施
- リスク評価と優先順位付け
- パッチ適用・修正
- 検証
- レポーティングと継続的改善
インベントリが整備されていないと、セキュリティ投資の過不足も判断できなくなります。「何を守るか」を明確にすることが、防御の出発点です。
全体を通した所感
本書の最大の特徴は、攻撃者の思考プロセスと防御者の行動を同一フレームで論じている点です。キルチェーンの各フェーズを「攻撃者視点」で理解したうえで、それに対応する防御策を「ブルーチーム視点」で考えるという構成が一貫しています。
特に印象に残ったのは以下の3点です。
- 「保護だけでは不十分」という繰り返しのメッセージ — 検知・対応への投資なくしてセキュリティ体制は完成しない
- クラウド環境への言及の充実 — Azure Security Centerを使った実例が豊富で、クラウド移行後の組織にとって実践的
- 脅威インテリジェンスの重要性 — 相手を知ることなしに、適切な防御戦略は立てられない
セキュリティ初学者には全体像を掴む入門書として、中上級者には自組織の防御設計を見直す棚卸しの一冊として活用できます。
まとめ
| テーマ | 本書のアプローチ |
|---|---|
| 攻撃の理解 | キルチェーンの全フェーズを攻撃者視点で解説 |
| 防御の設計 | 保護・検知・対応の3軸で体系化 |
| インシデント対応 | クラウド含む実例で具体的に解説 |
| 脅威インテリジェンス | 敵を知ることを防御の起点に置く |
| 脆弱性管理 | 資産インベントリから始まる6ステップのライフサイクル |
セキュリティは「入れたら終わり」ではなく、継続的に改善し続けるプロセスです。本書はそのサイクルを俯瞰するための優れたロードマップになっています。