ゼロデイ攻撃とは？パッチ公開前後の対応手順と確認項目

ゼロデイ攻撃という言葉を聞いても、通常のサイバー攻撃と何が違うのか、すぐにはイメージしにくいかもしれません。

修正プログラムがまだ用意されていない弱点を狙われるため、一般的な脆弱性とは異なる対応が求められます。

対応が遅れると、攻撃を防ぐ手段が限られた状態で被害が広がるおそれもあります。

この記事では、ゼロデイ攻撃の仕組みやパッチとの関係を確認したうえで、発覚時に担当者が進める5つの対応手順をご紹介します。

セキュリティー診断さん

ゼロデイ…？ どんな攻撃なのか、まったく想像つかないや…

ゼロデイ攻撃とは？

ゼロデイ攻撃とは、修正プログラムがまだ公開されていない脆弱性を悪用するサイバー攻撃です。

脆弱性とは、ソフトウェアやシステムにある「セキュリティ上の弱点」を指します。

通常であれば、弱点が見つかると製品の提供元が修正プログラムを公開します。

しかし、ゼロデイ攻撃では、その修正が間に合う前に攻撃が始まってしまうのです。

攻撃者はこのすきを狙い、システムへ侵入したり、情報を盗み出したり、不正な操作を行ったりします。

「ゼロデイ」という名前は、脆弱性への対策に使える日数が「0日」であることに由来します。

問題が公表された時点で、すでに攻撃が始まっている可能性も否定できません。

そのため、「次のアップデートを待てばよい」と考えるのは危険です。

ゼロデイ攻撃とパッチの関係

ソフトウェアやシステムに見つかった弱点を修正するための更新プログラムを「パッチ」と呼びます。

たとえば、自宅の窓に壊れた鍵が見つかった場合、その鍵を交換するための部品がパッチにあたります。

通常は、脆弱性が見つかると製品の提供元がパッチを公開し、利用者が適用することで攻撃を受けにくい状態にできます。

しかし、ゼロデイ攻撃では、弱点がすでに悪用されているにもかかわらず、有効なパッチがまだ用意されていません。

この状態では、いつもどおりソフトウェアを更新するだけでは、攻撃に使われる入口をふさげないのです。

まずは影響を受ける製品や機能をできるだけ早く見つけましょう。

そのうえで、パッチが公開されるまでは、問題のある機能を止めたり、外部からのアクセスを制限したりする一時的な対策が必要です。

パッチが公開された後も、適用しただけで終わりではありません。

正しいバージョンに更新できているか、業務に問題が出ていないか、すでに攻撃を受けた形跡がないかまで確認しておきましょう。

セキュリティー診断さん

誰も知らない弱点を攻撃されるの！ ？ 防ぎようがなくない？ どうしよう…

ゼロデイ発覚時に進める5つの対応手順

ゼロデイ攻撃に関する情報を見つけると、慌ててシステムや機能を止めたくなるかもしれません。

しかし、最初に行うべきなのは、情報が正しいか、自社で使っている製品に影響があるかを確かめることです。

確認した結果をもとに、業務への影響と攻撃を受ける危険性を比べながら、必要な対策を選びます。

また、パッチが公開されるまで何もせずに待つのは避けましょう。

すでに攻撃を受けていないかを調べながら、確認した情報や判断の理由を記録しておくことも大切です。

1．信頼できる情報源を確認する

最初に、製品の提供元やJPCERT/CC、IPAなどが公表している情報を確認しましょう。

特に見ておきたいのは、影響を受ける製品とバージョン、実際の攻撃に使われているかどうか、製品の提供元が案内している一時的な対策です。

SNSの投稿や、情報の出どころがわからない記事だけを見て、システムを止める判断をするのは避けたほうがよいでしょう。

誤った情報を信じてしまうと、本来は止める必要のない業務まで止まり、別の問題が起きるかもしれません。

• 担当者：セキュリティ担当者または情報システム担当者
• 対応期限：情報を把握した当日中。悪用確認済みの場合は直ちに確認
• 残す記録：情報源URL、確認日時、対象バージョン、悪用状況、推奨策

2．自社の利用製品と照合する

次に、影響を受ける製品を自社で使っていないか調べます。

社内の資産台帳やクラウドサービスの管理画面を見ながら、対象製品の有無やバージョン、インターネットへの公開状況、利用している部門、管理責任者を確認しましょう。

社内の一覧で製品が見つからなかったとしても、すぐに「影響はない」と判断するのは危険です。

委託先が管理するシステムで使われていたり、別の製品の一部として組み込まれていたりする可能性もあります。

目立つ場所に製品名が書かれていなくても、システムの裏側で動いているケースがあるため、委託先やシステムの提供元にも確認しておくと安心です。

• 担当者：情報システム担当者。業務システムはシステム所有部門と委託先も参加
• 対応期限：原則24時間以内。外部公開システムは優先して確認
• 残す記録：対象資産、バージョン、公開範囲、責任者、該当・非該当の根拠

3. パッチ公開前の機能停止やアクセス制限を判断する

影響を受ける製品が見つかったら、パッチが公開されるまでにどのような対策を取るか決めます。

まずは製品の提供元が案内している対策を確認しましょう。

問題のある機能を一時的に止める、インターネットから見えない状態にする、接続できるIPアドレスを絞る、認証を追加するといった方法が考えられます。

WAFやEDRを利用している場合は、攻撃を見つけたり防いだりするためのルールを追加できることもあります。

ただし、すべてのシステムをすぐに止められるとは限りません。

業務を止めた場合の影響と、攻撃を受けた場合に想定される被害を比べながら判断する必要があります。

すぐに対策を行わないと決めた場合も、何もしないまま放置するのは避けましょう。

どのような危険が残るのか、なぜその判断をしたのか、誰が承認したのかを記録しておくことが重要です。

• 担当者：システム責任者がセキュリティ・業務責任者と判断
• 対応期限：悪用確認済みまたは外部公開中なら即時。その他も当日中に方針決定
• 残す記録：選んだ緩和策、変更内容、実施時刻、動作確認、見送り理由、承認者

4．侵害の痕跡を調べる

パッチが公開されていない段階でも、すでに攻撃を受けている可能性があります。

認証ログやWebサーバーのログ、アプリケーションのログ、EDRの警告、通信記録などを確認し、見覚えのない操作や不自然な通信がないか調べましょう。

製品の提供元から、攻撃を受けた環境で見つかりやすいファイル名や通信先が公表されることもあります。

こうした攻撃の手がかりは「侵害指標」と呼ばれます。

難しく聞こえますが、空き巣が残した足跡や指紋のようなものだと考えるとわかりやすいでしょう。

公表された手がかりと、自社に残っているログやファイルが一致しないかも確かめます。

攻撃を受けた可能性がある場合は、被害がほかの機器へ広がらないように、対象となる端末やサーバーをネットワークから切り離しましょう。

ただし、ログやファイルを慌てて削除すると、何が起きたのかを調べるための証拠まで消えてしまいます。

記録を残したうえで、社内で決めているインシデント対応の流れに移りましょう。

• 担当者：セキュリティ担当者、インフラ・アプリ担当者
• 対応期限：影響製品の特定後すぐに開始。確認範囲と終了条件を当日中に決定
• 残す記録：確認したログ、期間、検索条件、検出結果、保全場所、隔離・連絡の履歴

5．パッチ適用後に再確認する

パッチが公開されたら、可能であれば最初に検証用の環境へ適用しましょう。

システムが正常に動くか、業務に影響が出ないかを確かめ、問題がなければ本番環境にも適用します。

適用後は、製品のバージョンが正しく更新されているかを確認しましょう。

一時的に止めていた機能を元に戻してもよいか、追加した監視ルールが適切に動いているか、外部から意図しないアクセスができないかも見直します。

パッチを入れたことで弱点が直っていても、攻撃を受けた形跡まで消えるわけではありません。

適用前後のログも確認し、不審な動きが残っていないか調べておくと安心です。

• 担当者：システム担当者が適用し、セキュリティ担当者と業務責任者が確認
• 対応期限：ベンダーの緊急度と自社の公開範囲に基づいて設定。悪用確認済みなら最優先
• 残す記録：適用日時、適用前後のバージョン、テスト結果、再確認結果、未解決事項

ゼロデイ対策の土台として脆弱性診断を活用する

ゼロデイ攻撃への対応では、製品の提供元から発信される最新情報を確認し、パッチが公開されるまで一時的な対策を取ることが欠かせません。

ただし、ゼロデイ脆弱性だけに注意していれば安全というわけではないのです。

すでに知られている脆弱性や、危険な設定が残っていると、そこが攻撃者の入口として使われるおそれがあります。

家にたとえるなら、新しく見つかった壊れた窓だけでなく、以前から鍵が壊れている裏口や、閉め忘れている勝手口にも注意が必要です。

こうした既知の弱点を日頃から減らしておけば、新しい脆弱性が見つかったときも、攻撃に使われる入口を少なくできます。

脆弱性診断は、Webサイトやシステムを調べ、すでに知られている脆弱性や危険な設定が残っていないかを確認する取り組みです。

私たちが受ける健康診断のように、普段は気づきにくい問題を見つけ、重大な被害が起きる前に対策するために役立ちます。

自社だけでは見つけにくい弱点を把握し、日頃のセキュリティ対策を進める方法の一つとして活用できるでしょう。

『セキュリティー診断さん』では、専門家がWebサイトを確認し、見つかった脆弱性と対応の優先度を報告書で案内します。

発見された一つひとつの脆弱性には「重大度」が付けられるため、「どの問題から直せばよいの？」と迷いにくくなります。

診断結果を見ながら対応する順番を決める際は、CVSSを使った診断報告書の読み方と対応優先順位も参考にしてみてください。

セキュリティー診断さん

なるほど！ 他の穴を全部ふさいでおけば、万が一新しい穴が見つかっても被害を小さくできるってことか！

まとめ：情報確認からパッチ適用後の再確認まで記録しよう

ゼロデイ脆弱性は、修正プログラムがまだ用意されていないため、発覚した直後に完全な防御を行うのが難しい問題です。

しかし、「パッチがないから何もできない」というわけではありません。

信頼できる情報を確認し、自社への影響を調べ、必要に応じて機能停止やアクセス制限を行うことで、被害を受ける可能性を下げられます。

パッチが公開された後も、正しく適用できているか、すでに攻撃を受けていないかまで確認しておきましょう。

専門知識がないからといって、対策を諦める必要はありません。

例えば『セキュリティー診断さん』を活用すれば、見積もり不要の明朗会計で、高度なセキュリティ診断をすぐに受けることが可能です。

まずはあなたのサイトの現状を知ることから、始めてみませんか？

セキュリティー診断さん

ヨシ！ これなら僕でも始められそう！ まずはうちのサイトが安全か、診断をお願いしてみようっと(๑•̀ㅂ•́)و✧