用語集

S=1:500 一文の説明S=1:5 技術者向けの補足全29語

RDP（リモートデスクトップ）RDP (Remote Desktop Protocol)

S=1:500Windows 端末を遠隔操作するための Microsoft のプロトコル。

S=1:5社内では横展開によく使われる。インターネットに公開していればそれ自体が入口になり、警察庁の被害調査では VPN 機器に次いで多い侵入経路である。出典: 警察庁

Active Directory（AD）Active Directory (AD)

S=1:500組織内の Windows のユーザー、パスワード、端末を一元管理する仕組み。

S=1:5VPN 機器は、機器に保存したサービスアカウントで AD に問い合わせてログインを確認することが多い。AD を握った攻撃者は、AD を信頼するすべての Windows 端末を操作できる。

EDR（エンドポイントでの検知と対応）EDR (endpoint detection and response)

S=1:500端末上の不審な動作を監視し、攻撃を検知して止めるセキュリティソフトウェア。

S=1:5VPN 機器には通常インストールできない。ランサムウェアの実行者は暗号化の前に EDR の削除や無効化を試みることが多く、脆弱なドライバーを読み込ませる手口（BYOVD）も使われる。

Web シェルWeb shell

S=1:500Web サーバに仕込まれ、通常の Web 通信を通じて攻撃者がコマンドを実行できるようにする小さなスクリプト。

S=1:5VPN 機器ではポータルの Web アプリケーション内に置かれ、パッチを当てた後も残ることがある。CISA は、ベンダーの整合性チェックツールが問題なしと判定した Ivanti の機器で Web シェルを見つけている。

SSL-VPN

S=1:500HTTPS の Web ポータルを通して接続する VPN。

S=1:5ポータルは機器上で動く大きな Web アプリケーションで、ログイン前から誰でも到達できる。ランサムウェアに悪用された VPN の脆弱性の多くはこの部分にあり、Fortinet FortiOS の CVE-2018-13379 や CVE-2024-21762 がその例である。

エッジデバイス（境界機器）Edge device

S=1:500組織のネットワークとインターネットの境目に置く機器。

S=1:5ファイアウォール、VPN ゲートウェイ、ルータ、ロードバランサーなどを指す。多くは EDR を導入できず、ログも少ないため、侵入されても気づきにくい。

NデイN-day

S=1:500修正が公開済みなのに、まだ適用されていない既知の脆弱性。

S=1:5つるぎ町立半田病院（2021年）と大阪急性期・総合医療センター（2022年）の調査報告書は、いずれも侵入口として CVE-2018-13379 を挙げている。Fortinet が2019年に修正済みの脆弱性である。

KEV（悪用が確認された脆弱性カタログ）KEV

S=1:500米 CISA が公開する、実際の攻撃で悪用が確認された脆弱性の一覧。

S=1:5今すぐ修正すべきかを判断する、最も明確な指標である。各項目には米連邦機関向けの対応期限と、ランサムウェアでの悪用が知られているかを示す knownRansomwareCampaignUse 欄がある。出典: CISA（米国）

サポート終了（EOL）End of life (EOL)

S=1:500ベンダーが製品の修正プログラムの提供をやめる時点。

S=1:5サポートが終了した機器は動き続けるが、次に見つかる脆弱性は修正されない。米 CISA、FBI、英 NCSC は2026年、サポートが終了したエッジ機器の置き換えを求める共同文書を公表した。

CVE（共通脆弱性識別子）CVE

S=1:500公開された脆弱性に付く識別番号。

S=1:5CVE 番号は脆弱性を特定するだけで、実際に悪用されているかどうかは示さない。それを判断する材料は、KEV への掲載とインターネットからの到達可否である。

CVSS（共通脆弱性評価システム）CVSS

S=1:500脆弱性の深刻度を 0〜10 で表す評価値。

S=1:5深刻度とリスクは別のものである。Cisco ASA の CVE-2023-20269 は CVSS 5.0 だが、CISA のカタログではランサムウェアでの悪用が記録されている。出典: CISA（米国）

侵害指標（IoC）Indicator of compromise (IoC)

S=1:500システムが侵害された可能性を示す痕跡。ファイル、IP アドレス、ログの記録など。

S=1:5注意喚起やアドバイザリは、利用者が自組織を調べられるよう IoC を公開する。見つからなくても安全とは限らない。攻撃者は道具を変え、機器のログは欠けていたり消されていたりすることが多い。

整合性チェックツールIntegrity checker

S=1:500機器のシステムファイルが改ざんされていないかを調べる、ベンダー提供のツール。

S=1:5既知のハッシュ値と照合するだけなので、機器を握った攻撃者は検査を通過させられる。CISA は、Ivanti の Integrity Checker Tool が侵害を検知できなかった事例を報告している（AA24-060B）。独立した監視と組み合わせて使う。

セッショントークンSession token

S=1:500ログイン後に、ログイン済みであることを示す値。

S=1:5盗まれると、パスワードも多要素認証も経ずにログイン状態を使われる。CitrixBleed（CVE-2023-4966）は機器のメモリからトークンを漏らした。侵害後はパスワードの再設定に加え、全セッションを失効させる。

ZTNA（ゼロトラストネットワークアクセス）ZTNA (zero trust network access)

S=1:500利用者と端末を毎回確認し、特定のアプリケーションだけへのアクセスを許す方式。

S=1:5盗まれた認証情報で到達できる範囲は、ネットワーク単位の VPN より狭くなる。ただし ZTNA ゲートウェイもエッジで動くソフトウェアで、脆弱性はある。CVE-2025-0282 は Ivanti Neurons for ZTA のゲートウェイにも影響した。

ゼロデイZero-day

S=1:500修正プログラムが出る前に悪用される脆弱性。

S=1:5ベンダーが修正を出すまで、パッチでは防げない。Ivanti Connect Secure の CVE-2025-0282 はゼロデイとして悪用された。修正が出るまでは、露出を減らし、監視を強めるしかない。

滞留時間（ドウェルタイム）Dwell time

S=1:500侵入されてから発見されるまでの期間。

S=1:5ランサムウェアでは、暗号化が侵入を明らかにするため、滞留時間はそこで終わる。暗号化をせず、ログの乏しいエッジ機器に潜み続ける攻撃者は、はるかに長く見つからないことがある。

多要素認証（MFA）MFA (multi-factor authentication)

S=1:500パスワードに加えて、別の要素でも本人確認するログイン方式。

S=1:5ワンタイムパスワードやプッシュ通知は、フィッシングなどで突破され得る。2025年の Akira による侵入では、OTP を設定した SonicWall の VPN アカウントにもログインされたと Arctic Wolf が報告している。FIDO2 の鍵や証明書のような、フィッシングに強い方式の方が破られにくい。

ドメイン管理者Domain admin

S=1:500Active Directory ドメイン内のすべての Windows 端末を操作できる管理者アカウント。

S=1:5権限昇格の主な目的である。メモリからの認証情報の窃取（ATT&CK T1003）や、複数台で共通のローカル管理者パスワードの使い回しで奪われ、全台へのランサムウェア配布に使われる。

二重恐喝Double extortion

S=1:500暗号化に加え、持ち出したデータを公開すると脅す手口。

S=1:5バックアップで暗号化からは復旧できても、流出は取り消せない。Akira や LockBit のアフィリエイトは、暗号化の前にデータを持ち出す。

認証情報Credential

S=1:500システムに対して本人であることを示すもの。パスワード、鍵、証明書、トークンなど。

S=1:5脆弱性を突いて盗まれた認証情報は、パッチを当てた後も使える。CVE-2018-13379 で盗まれた VPN 認証情報の一覧は公開されており、半田病院の報告書は、同院の VPN 認証情報がその中にあったとしている。侵害後は、機器が保存した、または処理したすべての認証情報を再設定する。

認証前（pre-auth）Pre-authentication

S=1:500ログインする前の段階で到達でき、悪用できること。

S=1:5VPN ポータルの認証前リモートコード実行は認証情報を必要としないため、パスワードも多要素認証も防御にならない。インターネットに公開された機器では最も深刻な種類の脆弱性である。

パッチ（修正プログラム）Patch

S=1:500ベンダーが出す、脆弱性の修正。

S=1:5パッチは穴を塞ぐ。すでに入り込んだ攻撃者は残り、盗まれた認証情報も有効なままなので、パッチと併せて認証情報を再設定し、侵害の有無を調べる。

VPN（仮想プライベートネットワーク）VPN

S=1:500社外から社内ネットワークを使うための暗号化された接続。

S=1:5接続を受ける VPN 機器はインターネットのどこからでも到達でき、通過すれば社内ネットワークに入れる。警察庁のランサムウェア被害調査では、最も多い侵入経路である。出典: 警察庁

VPN 機器VPN appliance

S=1:500ネットワークの境目に置き、VPN 接続を受け付ける機器や仮想マシン。

S=1:5FortiGate、Ivanti Connect Secure、Palo Alto Networks の GlobalProtect、Cisco ASA、SonicWall などのファイアウォールやゲートウェイ製品が多い。中身は利用者が検査できないベンダーのファームウェアで、侵入を調べられるだけの期間ログを残していないことが多い。

変更不能バックアップImmutable backup

S=1:500一定期間、管理者でも変更や削除ができないバックアップ。

S=1:5管理者権限を得た攻撃者は、暗号化の前に到達できるバックアップを削除するか暗号化する。変更不能なコピーやオフラインのコピーはそれでも残り、復旧を可能にする。ただし、すでに持ち出されたデータには効果がない。

MITRE ATT&CK

S=1:500MITRE が公開している攻撃手法の体系。手法ごとに ID が付いている。

S=1:5T1190（公開アプリケーションの悪用）や T1133（外部リモートサービス）のような ID で侵入の各段階を表すため、アドバイザリ、ログ、検知ルールの間で同じ行為を同じ名前で扱える。

横展開（ラテラルムーブメント）Lateral movement

S=1:500侵入した1台から、社内の別の端末へ移っていくこと。

S=1:5盗んだ認証情報や共通の認証情報を使い、RDP、SMB、リモートでのサービス実行で行うのが典型である。半田病院では全 PC の ビルトイン Administrator のパスワードが同じで、横展開が容易だった。

ランサムウェアRansomware

S=1:500データを暗号化して使えなくし、復旧と引き換えに金銭を要求するマルウェア。

S=1:5現在は人が直接操作する攻撃で、RaaS（サービスとしてのランサムウェア）の運営者からマルウェアを借りたアフィリエイトが実行することが多い。暗号化は、数時間から数日前に始まった侵入の最後の段階である。