サイバー攻撃と防御の実務
脅威の検知で使われるIoC(Indicator of Compromise)とIoA(Indicator of Attack)の説明として、正しいものはどれか。
- AIoCは攻撃者の振る舞いや意図に注目したもので、IoAはマルウェアのハッシュ値やC2サーバのIPアドレスのような具体的な痕跡である
- BIoCはマルウェアのハッシュ値やC2サーバのIPアドレスのような侵害の具体的な痕跡で、IoAは認証情報の窃取の試みのような攻撃者の振る舞いに注目したものである
- CIoCもIoAも、脆弱性の深刻度を0.0〜10.0の数値で表したもので、修正を適用する順番を決めるのに使う
答えと解説を見る
正解：B. IoCはマルウェアのハッシュ値やC2サーバのIPアドレスのような侵害の具体的な痕跡で、IoAは認証情報の窃取の試みのような攻撃者の振る舞いに注目したものである
IoC(侵害の痕跡)は、侵害が起きたことを示す具体的な痕跡で、マルウェアのファイルのハッシュ値、C2サーバのIPアドレスやドメイン名、特有のファイル名などがあります。ほかの組織や脅威インテリジェンスの提供元と共有し、自組織のログや端末と照らし合わせて、同じ攻撃を受けていないかを調べるのに使います。ただし、ハッシュ値やIPアドレスは攻撃者が簡単に変えられるので、認証情報の窃取の試みや、正規のツールを使った内部での移動といった、攻撃者が変えにくい振る舞いに注目するIoA(攻撃の兆候)と組み合わせて使います。
- A. 説明が逆です。具体的な痕跡がIoCで、振る舞いに注目するのがIoAです。
- B. 正しい。具体的な痕跡がIoC、攻撃者の振る舞いに注目するのがIoAです。
- C. 脆弱性の深刻度を数値で表すのは、CVSSです。