第6章S=1:500S=1:100S=1:5
再発防止策
VPN の扉を1つの対策で閉めることはできない。パッチの期限、すべてのリモートアクセスへの多要素認証などを、経営・情報システム担当・技術者ごとに示す。ID とパスワードだけの組織は39.8%（警察庁）。
要旨
どの対策も侵入経路の一か所でしか効かない。修正版が出る前に悪用された欠陥にパッチは効かず、ログインより手前で突かれる欠陥に多要素認証は関係しない。オフラインのバックアップで暗号化からは戻れるが、流出したデータは戻らない。
経営が決めるのは、インターネットに面した機器すべての担当者、修正にかけてよい日数、侵入者が届かないバックアップの予算。図 6-5で対策を1つずつ入れ、経路がどこで止まるかを確かめられる。
経営者が決めること
公開された欠陥の悪用は数日で始まり、実際の修正には1か月以上かかっている。パッチの期限は経営が決める。担当者を名指しし、再起動のたびに承認を待たずに済むよう予備機か冗長構成を用意する。
出典: CISA（米国） BOD 26-04: Prioritizing Security Updates Based on RiskGoogle Cloud（Mandiant） How Low Can You Go? An Analysis of 2023 Time-to-Exploit TrendsVerizon 2025 Data Breach Investigations Report: Executive Summary (p.6)Verizon 2026 Data Breach Investigations Report: Executive Summary (p.9)
データ
| 指標 | 日数 | 出典 |
|---|---|---|
| 米連邦機関に対する CISA の最短の修正期限 | 3 | CISA BOD 26-04（2026年6月10日） |
| 公開から悪用までの平均（2023年） | 5 | Mandiant の悪用までの日数の分析 |
| エッジ機器の脆弱性の修正にかかった日数の中央値 | 32 | Verizon 2025 DBIR エグゼクティブサマリー p.6 |
| CISA KEV 掲載脆弱性の完全修正にかかった日数の中央値 | 43 | Verizon 2026 DBIR エグゼクティブサマリー p.9 |
CISA の3日の期限には、その機器がすでに侵害されていないかを調べるフォレンジック調査が付いている。期限と侵害確認は同じ規程に書く。
| 決めること | 理由 | 担当 |
|---|---|---|
| インターネットに面した機器すべてに担当者を決める。保守ベンダーが設置した機器も含む。 | 大阪急性期・総合医療センターでは、給食事業者側の VPN 機器の保守と脆弱性管理の分担が曖昧だった。半田病院には、事業者から VPN の脆弱性情報が届いていなかった。 | 社長。誰がパッチを当て、誰が脆弱性を知らせるかを保守契約に書く。 |
| インターネットに面した機器の悪用済み脆弱性に、日数でパッチ期限を決め、侵害確認を付ける。 | CISA の最短の期限は3日。エッジ機器の修正にかかった中央値は32日。警察庁の調査では、VPN 機器を使う組織の52%が最新のパッチを適用していなかった。 | 経営が期限を決め、情報システム担当が達成状況を報告。 |
| すべてのリモートアクセスの多要素認証に予算を出す。 | リモートアクセスの認証が ID とパスワードだけの組織は39.8%（警察庁）。CISA は、多要素認証のない VPN から Akira が侵入した事例を報告している。 | 経営が予算、情報システム担当が導入。 |
| サポート終了のエッジ機器を、予算付きの計画で更新する。 | サポート終了後の機器には修正版が出ない。大阪急性期・総合医療センターの侵入口の機器は導入以来更新されず、ファームウェア 5.4.2 のままだった。 | 経営。設備投資として。 |
| 侵入者が届かないバックアップと定期的な復元テストに予算を出す。 | 2025年、バックアップから復元を試みた99件のうち79件が復元できなかった。うち48件はバックアップも暗号化されていた。 | 経営が予算、情報システム担当がテスト。 |
| インシデント対応の契約を事前に結び、調査に足りる期間ログを保存する。 | 2つの病院ではいずれも、ログを保全する前に保守事業者がファームウェアを更新し、VPN のログが失われた。 | 経営。 |
| ネットワーク全体に入れる VPN から離れる計画を立てる。移行先もインターネットに面したソフトウェア。 | Ivanti Connect Secure の認証前の脆弱性 CVE-2025-0282 は、Ivanti Neurons for ZTA のゲートウェイにも影響した。 | 経営と情報システム責任者。 |
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)CISA（米国） BOD 26-04: Prioritizing Security Updates Based on RiskVerizon 2025 Data Breach Investigations Report: Executive Summary (p.6)警察庁 サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策 (p.1)CISA・FBI ほか（米国） #StopRansomware: Akira Ransomware (AA24-109A)CISA・FBI・英国 NCSC Reducing the Attack Surface for End-of-Support Edge Devices (p.1; pp.1–2)警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)CVE Program CVE-2025-0282 (Description)
ゼロトラストネットワークアクセス（ZTNA）製品では、盗まれたパスワードで届く範囲が1つのアプリケーションに狭まる。インターネットからの接続を受けるソフトウェアなので、VPN と同じく CVE が出てパッチが要る。
情報システム担当が実施すること
多くは費用より人手のかかる作業だ。
| 作業 | 理由 | 担当 |
|---|---|---|
| インターネットに面した機器の一覧を持つ。機種、ファームウェアの版、サポート終了日、担当者、保守ベンダー。 | 大阪急性期・総合医療センターでは資産の棚卸しがされていなかった。CISA・FBI・英国 NCSC もエッジ機器とサポート期限の一覧を求めている。 | 情報システム担当。保守ベンダーが自社の機器の情報を出す。 |
| CISA の KEV カタログと各ベンダーの脆弱性情報を毎営業日確認し、期限内にパッチを当てる。 | KEV は実際の攻撃に使われた脆弱性の一覧。警察庁の2022〜2025年のデータで、侵入口の機器にパッチの適用漏れがあったのは344件中203件。 | 情報システム担当。 |
| VPN 機器に脆弱性が出たら、パッチ適用済みでも、機器が持っていたパスワードをすべて変え、接続中のセッションを切る。 | JPCERT/CC は、適用前に盗まれた認証情報で、適用済みの SSL-VPN 機器から侵入された事案を扱っている。 | 情報システム担当。保守ベンダーは自社のアカウントを変更する。 |
| すべての VPN アカウントに多要素認証。使っていないアカウントは委託先のものも含めて削除。 | CISA の Akira に関する勧告は、多要素認証のない VPN を侵入口に挙げている。 | 情報システム担当。 |
| 管理者に管理専用のアカウントを別に渡す。ローカル管理者のパスワードはサーバごとに変える。 | 大阪急性期・総合医療センターでは、サーバのビルトイン Administrator のパスワードが共通で、横展開が容易だった。 | 情報システム担当。 |
| バックアップの1つはオフラインか変更不能にし、別の認証情報で守り、復元を試験する。 | 大阪急性期・総合医療センターの重症系システムのバックアップはオンラインのみで使えず、残りはオフラインのテープから戻した。半田病院では2018年までのオフラインバックアップが無事で、それ以降は復旧業者が戻した。 | 情報システム担当。 |
| 侵害が疑われる機器に手を入れる前に、ログと設定を書き出す。 | 2つの病院はいずれも、ファームウェアの更新で VPN のログを失った。 | 情報システム担当と保守ベンダー。 |
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)CISA・FBI・英国 NCSC Reducing the Attack Surface for End-of-Support Edge Devices (p.1; pp.1–2)CISA（米国） Known Exploited Vulnerabilities Catalog (catalogVersion 2026.10.23; VPN/remote-access entries of the chapter 3 door schedule, bug class from NVD CWE and vendor advisories)警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14)CISA・FBI ほか（米国） #StopRansomware: Akira Ransomware (AA24-109A)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
適用漏れのなかった残りの機器も侵入されている。その経路を警察庁のデータは示していないが、JPCERT/CC は1つを記録している。パッチの前に写し取られたパスワードだ。
技術者向けの詳細
技術者が確認すること
| 確認項目 | 構成要素と識別子 | 根拠 |
|---|---|---|
| 管理画面にインターネットから届かない。利用形態が許せば、ポータルへの接続元を制限する。 | 管理プレーン。CCCS ITSM.80.101 | CCCS: 管理インターフェースはインターネットに直接公開しない。半田病院の機器はインターネット上のすべてのシステムから接続できた。 |
| VPN の KEV が出たら、保全してから、クリーンなイメージで更新か初期化。ローカルユーザー、管理者、LDAP/AD のバインド用アカウント、RADIUS の共有鍵、証明書、API トークンを再設定し、セッションを無効にする。 | 認証情報の保存領域、セッションキャッシュ。AA24-060B | Fortinet: 修正後も読み取りアクセスを残すシンボリックリンク。Mandiant: SPAWNANT が Ivanti の更新をまたいで残る。CISA: 機器に保存された認証情報は漏れたと考える。 |
| 管理者のアクセスにはフィッシングに強い多要素認証。ワンタイムパスワードだけで十分としない。 | 認証基盤。T1078 Valid Accounts | Arctic Wolf は2025年の Akira の攻撃で、ワンタイムパスワード設定済みの SonicWall アカウントへのログインを確認した。 |
| VPN 利用者と保守ベンダーは制限されたゾーンに着地させる。ベンダーのネットワークから常時接続できる RDP を置かない。 | アドレスプールとファイアウォールのポリシー。T1021.001 Remote Desktop Protocol | 大阪急性期・総合医療センターでは、給食業者のサーバからの常時接続の RDP が入口になった。報告書によればこの接続は不要だった。 |
| ログを機器の外の SIEM に送り、管理者のログインと設定変更で通知を出す。 | syslog 転送。CCCS ITSM.80.101 | CCCS は機器の外での集中ログ保存と、管理者ログインや設定変更の通知を求めている。 |
| 整合性は機器内のツールに加え、外からも確認する。 | Integrity Checker Tool（Ivanti）、実行中の設定と基準設定の比較 | CISA によれば、Ivanti の内部と以前の外部の整合性チェックは侵害を検知できなかった。 |
| バックアップサーバの認証情報をドメインから分け、バックアップの削除で通知を出す。 | バックアップのサービスアカウント。T1490 Inhibit System Recovery | Arctic Wolf によれば、Akira は暗号化の前に Veeam Backup & Replication の認証情報を読み出した。 |
| ZTNA のゲートウェイにも、VPN と同じパッチ期限とログ確認を適用する。 | CVE-2025-0282、Ivanti Neurons for ZTA ゲートウェイ 22.7R2.3 より前 | Connect Secure と同じ認証前の脆弱性。JPCERT/CC は公開前の2024年12月下旬から国内の悪用被害を複数確認した。 |
出典: カナダ サイバーセキュリティセンター Security considerations for edge devices (ITSM.80.101) (ITSM.80.101)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)Fortinet PSIRT Analysis of Threat Actor ActivityCISA ほか（米国） Threat Actors Exploit Multiple Vulnerabilities in Ivanti Connect Secure and Policy Secure Gateways (AA24-060B)Google Cloud（Mandiant） Ivanti Connect Secure VPN Targeted in New Zero-Day ExploitationArctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or Less地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)MITRE Enterprise TechniquesCVE Program CVE-2025-0282 (Description)JPCERT/CC Ivanti Connect Secureなどにおける脆弱性（CVE-2025-0282）に関する注意喚起 (JPCERT-AT-2025-0001, updated 2025-02-13)
VPN の KEV が出たら、保全、パッチ適用か再構築、認証情報の再設定、機器の奥の調査の順に進める。先にパッチを当てると、再設定や調査が要るかを判断するログが消える。
対策が止めるのは経路の一か所だけ
第2章の平面図で、侵入の手口を選び、対策を入れる。
想定は固定。盗まれたパスワードは、もう使われていない VPN アカウントのもの。認証前の脆弱性は、修正版の公開から5日目に悪用が始まる（2023年の Mandiant の平均に近い）。ゼロデイは修正版が出る前に悪用される（JPCERT/CC が国内の CVE-2025-0282 について報告した状況）。
出典: Google Cloud（Mandiant） How Low Can You Go? An Analysis of 2023 Time-to-Exploit TrendsJPCERT/CC Ivanti Connect Secureなどにおける脆弱性（CVE-2025-0282）に関する注意喚起 (JPCERT-AT-2025-0001, updated 2025-02-13)
対策ごとの結果
- 対策が1つも入っていない。経路は最後まで通る。
この組み合わせで起きること
- 侵入
- 入られる
- 鍵（AD）
- 奪われる
- バックアップ
- 消される
- データ流出
- 届く範囲のデータがすべて出る
- 暗号化
- 全社。戻せない
出典: JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14)Arctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or LessGoogle Cloud（Mandiant） How Low Can You Go? An Analysis of 2023 Time-to-Exploit TrendsJPCERT/CC Ivanti Connect Secureなどにおける脆弱性（CVE-2025-0282）に関する注意喚起 (JPCERT-AT-2025-0001, updated 2025-02-13)
データ
| 対策 | 経路が止まる位置 | 止まらないもの |
|---|---|---|
| 3日・14日・60日以内にパッチ | ① 扉。悪用が始まる前にパッチが入った場合だけ | ゼロデイ。パッチ前に盗まれたパスワード |
| VPN に多要素認証 | ① 扉。盗まれたパスワードによる侵入 | 認証前の脆弱性。盗まれたセッション情報 |
| 使っていないアカウントの削除 | ① 扉。盗まれたのが使われていないアカウントのパスワードの場合 | 脆弱性の悪用。使用中のアカウントのパスワード |
| 管理者アカウントの分離 | ③ 鍵保管庫。マスターキーは持ち出されない | 侵入。最初のアカウントで読めるファイルの流出 |
| オフラインまたは変更不能なバックアップ | ④ バックアップ。残るので復旧できる | 侵入。データの流出（二重恐喝は成り立つ） |
対策をすべて入れてゼロデイを選んでも、侵入者は入り、最初のアカウントで読めるデータは外に出る。