標的型攻撃メール対応訓練実施支援サービスについて

こんにちは。企画担当のＭＩです。

今回は、実際にサービス提供をしている「標的型攻撃メール対応訓練実施支援サービス」（以下「標的型攻撃メール訓練」）についての内容をご紹介します。

セキュリティ診断会社目線の標的型攻撃メール訓練

ファイブドライブでは創業以来、セキュリティ診断を中心に調査、監査業務などを手掛けてきましたが、標的型攻撃メール訓練についても数多く実績がございます。

ファイブドライブの提供する本サービスの特長は、主力であるペネトレーションテストや脆弱性診断による知見が活かされることです。診断で培ったサイバーリスクに係る情報や対応策等の知見を用いて、トレンドに合った最良の提案を行います。

そのため、他社サービスに多くみられるようなSaaS型やツール型等のサービスとは少し異なるアプローチでご提案し、料金の算定をおこなっています。また、本業務で使用する全ての機器・システムを自社のエンジアが構築・運用しています。

お客様側で精度の高いセキュリティ製品を使用していたとしても、そのせいで「訓練メールが正常に届かない」、「訓練メールが隔離されてしまった」という問題が発生したことはありません。円滑で丁寧な動作確認テストを経て、訓練本番に至ります。

標的型攻撃メール訓練の手順や全体像、コンテンツ

ヒアリングから実施までの手順（概略）

訓練実施イメージ

メール文面例

開封時コンテンツ例

ご報告書例

お客様のご予算やどういった成果を必要としているかに応じて報告形式を選択することが可能です。

①文書形式の報告書

• グラフ・表を掲載し、その分析による考察を文書にして報告します。
• 実施方法・実施結果・総括・課題・解決策を記載します。
• 上長や他組織への報告を必要とする場合はこの形式を推奨します。

②一覧形式の報告書

• ご提供いただく対象者リストに訓練結果を追記して報告します。
• 開封者に「○」・「開封時間」を記載します。
• 訓練における分析や教育は自社で行い、メール送信・開封者情報収集システムを委託したい方はこちらがお勧めです。

カスタマイズ事例

メールの送信日を分けて送信したい

メールを数種類使用したい

集計サーバを内部ネットワークに設置したい

訓練後に対象者へアンケートを実施したい（開封理由の把握や訓練に対する意識等の把握）

標的型攻撃メールに関する理解度確認テストを実施したい（訓練効果の計測）

標的型攻撃メールに関する教育資料を作成してほしい（概要・攻撃メールの見分け方・受信時及び開封時の対応方法等）

実施にあたっては、主力である診断業務の繁忙時期に重なると、リソースの確保が困難な可能性があります。そのため、あらかじめ年度計画等で実施時期がわかる場合は、お早めにご相談ください。

価格について

ファイブドライブの標的型攻撃メール訓練は、お客様の状況に合わせて設計することから、ユーザ数（メールアドレス数）で価格を設定するのではなく、手順内容ごとに工数を検討し、価格をご提示します。

メールアドレス数のボリュームに応じた価格テーブルを作って欲しいとご要望をいただくこともありますが、より納得いただける価格を提示できることから、工数をきちんと検討する方式を採用しております。

価格例

価格例Ａ、Ｂどちらも1,000ユーザ（メールアドレス数）を対象とした標的型攻撃メール訓練の価格例ですが、実施内容によって価格が変化しています。

　主な実施内容として、メール文案の数、メール送信回数を挙げていますが、他にも部署毎に送信時間を変更する等のご要望を取り入れて価格をご提示いたします。

ご相談方法

• まずは、ファイブドライブ営業担当へご連絡ください。

• ミーティング（オンラインまたはご訪問）により実施方法などを案内いたします。

よくあるご質問

利用者側で作成したメール文案を使うことは可能でしょうか

⇒可能です。訓練に使用できるか確認するため、事前にどのような内容をご希望かご相談ください。

メール文の外国語対応は可能でしょうか

⇒外国語（英語）でのメール文作成が可能です

開封者への教育コンテンツを作成することは可能でしょうか

⇒可能です。そのほか、座学形式での講義を提供することも可能です。

メール文に合わせたドメインを購入してもらうことは可能でしょうか。

⇒可能です。ドメインの購入はオプションではなくメール文案作成の費用に含まれております。

編集後記

今回もお読みいただきありがとうございました。標的型攻撃メール訓練は多くの会社・組織で啓発や訓練として取り入れているものですから、一見、目新しい情報では無いように思われたかもしれません。一方で、ファイブドライブの標的型攻撃メール訓練は、診断技術者が入り込んでいたり、価格ご提示も単に送付メール数ではなく、工数を明らかにしてご提示するなど、少し他社様のものとは味付けが異なります。

「対象数が多くてメールアドレス数での料金設定だと予算が高くなる」といった不安や、「インシデント発生を想定した訓練にしたい」といったご要望等、ファイブドライブのサービスで解決できる可能性がありますので、ひと声おかけいただければと思います。

また、ファイブドライブでは、人に対する標的型攻撃メール訓練だけでなく、実際のインシデント発生時はシステム側の検知・防御態勢もチェックしておくべきという考えのもと、『人、システムに対するハイブリッド型メール訓練』をリリースしています。

詳細は以下のリリース記事をご覧ください。

サイバーインシデント緊急対応支援サービス担当者インタビュー

こんにちは、サービス企画部ディレクターのＭＩです。

今回は『サイバーインシデント緊急対応支援サービス』チームで実際に活躍する担当者AN君にインタビューという形で色々聞いていきたいと思います。

『サイバーインシデント緊急対応支援サービス』の具体的な内容については、以下の記事をご覧ください。

 『サイバーインシデント緊急対応支援サービス～ご相談の流れ～』

AN君のデータ

〇入社２年目

〇ＩＴやセキュリティ経験：

前職ではソフトウェアエンジニアとしてセキュリティ製品を作っていました。もともとセキュリティへの興味があり独学で勉強していて、縁あってファイブドライブに入社しました。

〇趣味：

趣味は筋トレと読書です。ジムへは週4回ほど行っていて、体を追い込むことでストレス発散をしています。読書は私小説が好きです。中村文則さんや李 龍徳さんの小説は繰り返し読んでいます。

Q.１：AN君は「サイバーインシデント緊急対応支援サービス」チームの中でどのような役割を担っているの？

簡潔にいうと全てになります。具体的にはお客様へのヒアリング、HDDなどの証拠品の収集、証拠品から原因の究明に繋がるデータの解析と抽出、そして報告書の作成までを担当しています。

Q.２：チームは何人くらいいるの？また、どんな人がいるの？

6人体制のチームで案件に取り組んでいます。チームメンバーはそれぞれ得意分野が異なっていて、リバースエンジニアリングやペネトレーションテストが得意なメンバーがいるほか、セキュリティ業界での経験が20年以上のベテランの方もいます。

Q.３：最近手がけたインシデント調査にはどのようなものがある？

傾向からするとクレジットカード系の調査依頼が多いです。ただ、最近はランサムウェア被害が流行していることもあり、そういった依頼も増えている状況ですね。弊社はペネトレーションテストや脆弱性診断の技術に強みを持っているので、ハッキング被害に関する調査依頼が多いですね。

Q.４：調査過程で感じるサイバー攻撃の傾向は？

より業務的になっているのかなと思います。決められた順番で攻撃用プログラムを実行して、決められたバックドアを設置するといった行動が多数の案件で共通していて、組織的な業務としてハッキング行為を実施しているような印象です。

Q.５：調査をするにあたって気を付けていることは？

 事実と推測を混ぜないということですかね。僕たちが提出する報告書は間接的に誰かの責任を追及することになると考えています。そのため、調査時に見つけた証拠が憶測で採用されていないか、チーム全体で証拠の妥当性についてレビューすることになっています。

Q.６：インシデントを遠ざけるために、普段から心がけておくと良いことは？

 難しい質問です。セキュリティ意識が高い人でも、繁忙期のように余裕が無い時を狙うことで、インシデントに巻き込むことはそこまで難しくないんです。そのため個々人の心がけに頼るのではなく、EDRの導入や社内機器のセキュリティ設定の見直しをおこない、攻撃者に狙われた場合でも問題ないようなシステムを構築することが効果的な対策かなと思います。

Q.7：インシデントが発生（または発生可能性を感じた）段階から相談をいただく間に気を付けるべきことは？

 ありがちな行為として、自分たちで解決しようと不審なファイルを削除してしまったり、データのバックアップを作成する前にサーバを初期化してしまうケースがあります。こうなると調査が困難となり、調べられる内容が少なくなったり、調査費用が高くなる原因となります。
基本的にデスクトップPCなどであればLANケーブルを抜いて、電源はついたままにしておく、サーバなどであればIP制限をかけて外部からアクセスできないようにしていただければ問題ありません。

Q.８：最後にひとこと

ファイブドライブでは攻撃者としての視点を持ったインシデント調査に強みがあります。ランサムウェア被害、標的型攻撃の被害、Webサーバからの情報漏洩など、インシデントが発生した際はとりあえず一度ご相談いただければと思います。
また、セキュリティが好きな技術者の方がいれば採用もしているので、ご連絡をお待ちしています。

ありがとうございました。

（編集後記）

本記事をお読みいただきありがとうございました。インタビュー内容や見解は必ずしも社を代表するものではありませんが、担当者が現場での経験から感じた意見としてそのまま掲載しています。よろしければご参考にしてください。

今後も各サービス担当者へのインタビューを掲載してまいります。「このようなことを聞きたい、知りたい」というご要望がございましたら「コメントを書く」でお知らせください。

また、インタビュー内にもございますが、ファイブドライブではサイバーセキュリティの視点で世の中を良くしようと志す仲間を募集しています。詳しくはファイブドライブのホームページでご確認ください。

採用情報 | 株式会社ファイブドライブ

サイバーインシデント緊急対応支援サービス～ご相談の流れ～

こんにちは、サービス企画部ディレクターのMIです。

今回はPRTIMESでリリースした『サイバーインシデント緊急対応支援サービスのアップデートについて』について、サイバーインシデント調査のご相談の流れについて解説いたします。

１．サイバーインシデントとは

　まず用語の定義として、『サイバーインシデント』とは、皆さんの会社や組織で取り扱っているサービスや業務システムが不正使用、妨害、破壊されたりすることによって、停止したり意図しない情報の漏えいなどにつながり、経営戦略や事業継続に影響を与える事象を指します。

そのうち、当社の「サイバーインシデント緊急対応支援サービス」では主に以下のような状況について調査をおこないます。

• 自社が提供するサービスを管理するシステム環境への不正アクセス

• 業務上利用する端末、システムのマルウェア、ランサムウェア等への感染等

• 業務関係者などによる不正な操作による情報持ち出し、改ざん

２．サイバーインシデント調査ご相談内容と調査プロセス　

ファイブドライブに寄せられるご相談は様々ございますが、概ね以下のようなタイミングや内容でいただくことが多くございます。

（ご相談例）

1. （検知）サイバー攻撃を受けた可能性があるので調べて欲しい

2. （発覚）明らかにサイバー攻撃を受けた状況は確認できるが被害状況を知りたい

3. （事後対策）被害実態を綿密に調査して事後対策に結び付けたい

このような問い合わせに対して、ファイブドライブでは主に機器や記録デバイスを対象にした調査を以下のようなプロセスでおこなっています。

 

３．ご相談いただく手段

ファイブドライブホームページのTOP画面にございます、サイバーインシデント緊急対応支援用ご相談フォームを利用いただき、まずはご連絡ください。

この際、「何を書けばいいのだろう」と迷われるような場合は、ファイブドライブに直接お電話いただいても問題ございません。丁寧にご対応させていただきます。

会社案内 | 株式会社ファイブドライブ

４．ご相談受付後の３ステップ

お客様からのお問い合わせを受けた後、弊社担当者が状況を確認させていただき、適切な調査ご提案をさせていただきます。

５．調査プランについて

上記ステップの中に書かれている調査プランについてご説明します。

サイバーインシデントが発生したお客様ごとに、調査範囲や期間、予算感などご要望が異なることが考えられます。

そのため、これまでの調査ケースに沿ってプランをご用意いたしました。まずは、お客様の状況により近いプランをご確認いただくことで、より適切な提案に繋げることを目的としています。

サイバーインシデント調査プラン

1. 初期調査（ログ調査）：怪しいメールのファイルを開封したなどのサイバー攻撃を受けた可能性を調べる初期調査に最適
2. 影響調査（ログ調査、HDD解析）：ランサムウェアなど明らかにサイバー攻撃を受けた場合の状況調査に最適
3. 詳細調査（ログ調査、HDD解析、ファイル復元調査）：痕跡が消されているケースなど、ファイル復元などによって詳細に調査したい場合に最適）

６．調査期間について

調査期間は、お客様ごとに違ってまいりますが、（１）調査準備にかかる期間はどのプランを用いても大きく変わらず、（２）調査からご報告までにかかる期間は、ご選択する調査内容によって違ってまいります。

（１）調査準備にかかる期間

最初にお問い合わせをいただいてから、調査準備にかかるまでは概ね1週間程度かかります。（お客様の中での決裁時間を除く）

（２）調査からご報告までの期間

実際には個別のお客様ごとに異りますので、あくまでご参考としてください。

（ご参考）調査ご相談例

「社で使用するパソコン1台が使用できなくなり、画面に脅迫メッセージが表示されていることから、サイバー攻撃を受けたことは明らか。

社内システムへの侵害拡大有無、感染端末の振舞い（どこに通信したか、何がおこなわれているか）を知りたい。」

ステップ１（自己状況に近いプラン選定）

この内容の場合、サイバー攻撃を受けたことは認識している状況なので、まずは”影響調査プラン”をお示ししながらご相談を受けることになります。

ステップ２（担当者によるヒアリング）

求める調査の内容のほか、かけられる時間、予算感などお客様状況を確認してまいります。

ステップ３（ご提案）

ステップ２の諸々の条件を踏まえて、お客様ごとに適切な調査をご提案します。

ご契約後に調査を進めていくうちに、新たに調査が必要なケースが出てまいります。例えば攻撃の痕跡が消されており、より詳細な被害状況調査をおこないたい場合など、状況をご相談しながら追加でお受けすることが可能です。

（編集後記）

緊急対応支援サービスでは、ひっ迫した状況にあるお客様にとって相談いただきやすい環境づくりをおこなうことを心掛けています。これからも継続的にわかりやすい内容への修正を続けてまいりますので、お気づきの点などがございましたら、「コメントを書く」でご意見を賜れれば幸いです。

また、文中でも記載していますので重ねてのお願いとなりますが、相談フォームへの記入内容に迷われる場合など、躊躇して時間が経過してしまうような場合は、ご遠慮なくファイブドライブの電話番号にお電話ください。ただし、基本的な営業時間は平日の9時30分から18時30分とさせていただいておりますのでご承知いただければ幸いです。

本サービスを担当するメンバーへのインタビュー記事もよろしければご一読ください。

『サイバーインシデント緊急対応支援サービス担当者インタビュー』

蓄積のその先へ。脆さを見つめ、対策へつなぐ。

皆さんは脆弱性情報を日頃からチェックしていますでしょうか。

当ブログを読んでいただいている方であれば多少なりとも脆弱性やセキュリティ情報に興味をお持ちかと存じます。脆弱性対策の始まりは脆弱性とその対策方法の情報を得ることになりますが、様々なお客様の話をお聞きしているとどのように情報収集したらよいか分からないという話を聴くことが多く、しっかりと情報収集が実施できているところは少ないのが実情のように見受けられます。

そこで今回の記事では脆弱性情報の集め方、活かし方について説明していきます。セキュリティ技術者向けの情報収集に関しては他社様の記事を参考にしていただくとして本記事は「どのように情報収集したらよいか分からない」「情報をどのように判断したらよいか分からない」という方に向けた内容です。

情報収集するための準備（仕込み作業）

まずはじめにですが、タイトルには「その先へ」と書いていますが、実は「その前に」準備をすることが実は重要です。
「脆弱性情報の収集」となると「どのサイトをチェックすればよいか」となりがちでチェックするサイトの一覧を作っておしまい、なんていうケースもあります。そうではなく、収集する範囲や情報項目、その後の対応方法を明確にして対策へと確実につながるようにする必要があります。

①確認対象となるソフトウェア・機器のリストを作成する

「敵を知り、己を知れば、百戦して殆（あや）うからず」

セキュリティ業界では擦り切れるくらい引用されている『孫子』の一説です。情報収集に関しては「敵を知り」と同じくらい、いやそれ以上に「己を知れば」が非常に重要です。今システムはどのような状態なのか、スタート地点がどこなのかを知るところから始めるべきです。

どのソフトウェアや機器の情報を集めるのか、情報提供ページの中のどの情報(危険度、CVSS基本値、対策バージョンetc)を集めるのかなどをリストにして明確にしましょう。対象はシステムで使われる各OS・パッケージをベースにして、NW機器、アプライアンスを含めて網羅的に含めたものにしましょう。これだけでも結構大変です。

• 収集対象のソフトウェア/機器をリストアップする(OS、アプリケーションパッケージ、NW機器、アプライアンスなど)
• 情報提供ページの中で集める情報項目をリストアップする(脆弱性の危険度、CVSS基本値、対策されたバージョン、参考情報など)

闇雲に脆弱性情報を集め始めると、あっという間に整理できない情報量が蓄積されてしまい「集めたはいいがどこから手をつければいいんだ…」と途方にくれるでしょう。そうならないためにも、システムで使用されるソフトウェア・機器のリストを整理し、
対象とする範囲を決定してから情報収集をはじめましょう。

②定期的な確認の頻度を決定する

脆弱性情報は常に新しいものが公開されています。ベンダーによって差はありますが定期的または不定期にパッチ情報・アップデート情報が出ており、それに追従して確認と対策実施を進めていく必要があります。そのため定期的に確認する頻度を決定しましょう。この界隈は情報のアップデートがつきものです。

オススメは運用の手間と対策頻度のバランスを考慮すると、月1回程度が妥当というところです。しかし、緊急の脆弱性が出た場合には臨機応変に対応することを忘れずに。

③対策を実施する際の基準を設定する

情報を集めた後は「どうするか」が必要になるので、次は判断基準を策定します。
脆弱性情報は多種多様で、影響を受ける条件や影響範囲、影響の内容も個別に異なるため、ただ集めただけでは「対策する/しない」をすぐに判断することは困難です。

ということで、脆弱性情報において以下の情報項目を軸として対策要否の判断を
行うことがよいでしょう。

• 管理しているシステムの中でどのサーバ/機器が影響を受けるか（重要システムが含まれるか）
• 危険度はどう評価されているか（リスクは高いか/低いか）
• CVSS基本値はどの程度か（数値は高いか/低いか）
• どのような影響があるのか（情報漏えいか/コマンド実行か）
• 対策することによる副作用はあるか（既存システムや機能への影響はあるか）

そして「対策をするぞ」と決まったら、さらにどの対応をとるかの判断も必要です。この段階ではセキュリティリスクの側面だけではなく、業務や運用への影響はもちろんのこと、かかるコストについても全部考慮した上でどの手段を取るかを決定します。対策つまりリスク対応は一般的に以下の4種類に分類されます。

• リスク軽減（低減）　⇒パッチ適用やアクセス制限の強化など
• リスク回避　⇒ソフトウェアの停止や機能無効化など
• リスク移転　⇒セキュリティ保険の加入、運用管理のアウトソースなど
• リスク保有　⇒対応策を取らず受容する

ちなみに「内部だからリスクは無い」という判断基準については、ひと昔ふた昔くらいまではそれでヨシ！とされてきましたが、現代ではシステムへの侵入手段や経路が大きく変化していて、内部ネットワークの重要システムもバンバン攻撃されていますので今の侵害事例と現状の対策を加味して考える必要があります。

④おまけ：用語集を作成する

実はご存じかと思いますが、脆弱性情報の説明はシステムとセキュリティの専門用語があふれており「ちょっと何言っているか分からない」ということが多々あります。冷静に一つ一つの用語を理解すれば把握できるのですが、いかんせん専門的な話なのでその「一つ一つの用語」自体も苦労することがあります。なので適切に理解するための補助として独自の「用語集」を作っておくと便利です。

ググってもいいのですが毎回検索しては煩雑になるので担当者自身が理解しやすいように自分用辞書があると脆弱性情報の解釈が驚くほど捗るでしょう。

ここまででやっと情報収集をするための準備ができました。
次は、準備段階で作られた土台に合うように脆弱性情報を集めていきます。

●情報収集時の着目点

• 複数のサイトで緊急扱いになっているか
• 脆弱性を攻撃するためのコード(方法)が公開され利用できる状態になっているか
• 脆弱性は複数の製品やサーバソフトウェアに影響するものか
• 対策方法は何ができるか（恒久的な対策、一時的な対策、代替手段による対策

と、思ったよりも記事が長くなってしまったので、今回はここまでとしてます。

次回は収集時の着目点の詳細と、参照すべき情報源について紹介していきたいと思います。

技術ブログ編集員

技術ブログはじめました。

はじめまして、ファイブドライブの技術ブログ編集員です。

情報セキュリティ診断を続けて早17年。毎日情報セキュリティ対策の良し悪しを考え走ってまいりました。老舗の風格が少しばかり漂ってきた弊社ですが業務以外でお客様へ情報発信するチャネルが必要と思い立ち、ブログを開設させていただきました。

ブログ名にある「よっこより」とは茨城の方言で「寄り道」を意味します。
本ブログでは「寄り道」的に情報セキュリティに関するお話を中心として、セキュリティや監査に関するアレコレや診断技術者の日常をご紹介していきたいと思います。

専門的な分野で何かと取っつきにくいイメージがある情報セキュリティ分野ですが、さまざまなバックグラウンドを持つ方を対象として、少しでも親しみを持って読んでいただいてセキュリティ診断や監査の実情を知ってもらえればと存じます。

弊社ならではの記事を定期的に発信してまいりますので今後ともよろしくお願いいたします。