攻撃の事前調査とは？偵察・スキャン・脆弱性探索の流れ【SG試験】

まず結論

攻撃は、いきなり侵入から始まるとは限りません。
多くの場合、攻撃者はまず対象を調べ、どこから侵入できそうかを探します。

選択肢では、「対象組織の情報を集める」「開いているポートを調べる」「脆弱性を探す」と書かれていたら、攻撃の事前調査に関係する説明として考えます。

攻撃の事前調査は、泥棒が建物に入る前に下見をするようなものです。

たとえば、次のような確認をします。

サイバー攻撃でも考え方は似ています。

つまり、攻撃の事前調査は、攻撃を成功させるための情報集めです。

攻撃の事前調査は、攻撃対象を理解し、侵入しやすい場所を探すための準備活動です。

代表的には、次の流れで整理できます。

MITRE ATT&CKでは、Reconnaissance（偵察）は、攻撃者が将来の作戦に使える情報を能動的または受動的に集める技術として整理されています。
MITRE ATT&CK Reconnaissance

また、IPAの「情報セキュリティ10大脅威」でも、システムの脆弱性を突いた攻撃が組織向け脅威として継続的に取り上げられています。
IPA 情報セキュリティ10大脅威

SG試験では、攻撃手法の細かい名前よりも、攻撃前に何を調べているのかを見分けることが大切です。

攻撃者は、次のような場面で事前調査を行います。

一方、防御側は、攻撃の事前調査を前提に、次のような対策を行います。

SG試験では、攻撃者の行動だけでなく、防御側が何をすべきかも問われることがあります。

3つは似ていますが、見る対象が違います。

選択肢では、「会社情報や社員情報を集める」なら偵察、「開いているポートを調べる」ならスキャン、「既知の弱点を探す」なら脆弱性探索です。

ポートスキャンは、攻撃の事前調査の一部として使われることがあります。

ただし、ポートスキャン自体は管理目的でも使われます。

SG試験では、ポートスキャン＝必ず攻撃と決めつけないことが大切です。
目的と権限を見て判断します。

攻撃の事前調査は、基本的には侵入前の準備です。

一方、侵入後には、権限昇格、内部探索、情報窃取、マルウェア実行などが行われることがあります。

段階	例
侵入前	偵察、スキャン、脆弱性探索
侵入後	権限昇格、内部移動、情報窃取

選択肢で、すでに内部に入った後の操作が書かれている場合は、事前調査ではなく侵入後の活動として考えます。

防御側が許可された範囲で弱点を確認する場合は、脆弱性診断です。
攻撃者が無断で弱点を探す場合は、攻撃の事前調査になります。

同じように「弱点を探す」行為でも、誰が、何の目的で、どの範囲に対して行うかで意味が変わります。