空間の保護

学習目標 2.1.A: ソーシャルエンジニアリング攻撃を識別する。

• 2.1.A.1 ソーシャルエンジニアは心理戦術を用いて、標的を望ましい行動をとるよう操作する。
• 2.1.A.2 プレテクスティングとは、攻撃者が標的と連絡を取るための説得力のある理由を作成することである。
• 2.1.A.3 権威性とは、攻撃者が標的に対して権力を持つ人物を装ったり、その人物からの指示を伝達すると偽ったりすることである。
• 2.1.A.4 威嚇とは、要求が満たされない場合のネガティブな結果を声明することである。
• 2.1.A.5 合意形成とは、攻撃者が他の誰もが望ましい行動を取っていると標的に信じさせることで社会的圧力を生み出すことである。
• 2.1.A.6 希少性とは、攻撃者が限られた利用可能性の感覚を生み出すことである。
• 2.1.A.7 親近感とは、攻撃者が標的の知人であることを装ったり、知人であると知っていたりして信頼を確立することである。
• 2.1.A.8 緊急性とは、攻撃者がネガティブな結果を回避するために標的が即座に行動する必要がある期限を設定することである。

学習目標 2.1.B: 攻撃者の種類を識別する。

• 2.1.B.1 スクリプト・キッズとは、ツールの仕組みを理解せず、他者が開発したツールを使用する低スキルな攻撃者である。彼らは金銭的な動機や承認欲求から行動することが多い。
• 2.1.B.2 ハクティビストは、社会的、政治的、または個人的な目的から動機づけられている。彼らは自分の運動を支援したり、 perceived される被害を止めたりするためにコンピュータやネットワークを乗っ取っており、自らの目的が違法な手段を正当化すると信じている。
• 2.1.B.3 インサイダー攻撃者は、正当な証明書とシステムおよびデータへのアクセス権を持っているため、独自の脅威となる。彼らは悪意のある第三者に招聘されることがあり、金銭的な動機や復讐心から行動することがある。
• 2.1.B.4 サイバーテロリストは、政治的または思想的な動機から、サイバー攻撃（電力網、水道処理施設、その他のインフラ基盤への攻撃など）を通じて地域社会、地域、または国家全体を混乱させようとする。政府や犯罪組織のために行動することもあるし、独立して行動することもある。
• 2.1.B.5 国際犯罪組織は、主にランサムウェアの展開や企業用知的財産（IP）の盗難と非法市場での販売を通じて利益を得ようとする。

学習目標 2.1.C: サイバー攻撃のフェーズを説明する。

• 2.1.C.1 サイバー攻撃は、デバイス、ネットワーク、またはデータの妨害、危害、窃盗、破壊を目的とする。攻撃者はフェーズに分かれて活動するが、すべての攻撃で全てが使用されるわけではない。フェーズは以下の通りである：
  • i. 偵察
  • ii. 初期アクセス
  • iii. 持続性
  • iv. 横断移動
  • v. 行動の実行
  • vi. 検知回避
• 2.1.C.2 攻撃の偵察フェーズにおいて、攻撃者は標的について可能な限り多くの情報を収集する。この際、 freely available information（自由可利用情報）として知られるオープンソースインテリジェンス（OSINT）が頻繁に用いられる。
• 2.1.C.3 攻撃の初期アクセスフェーズにおいて、攻撃者はソーシャルエンジニアリングや侵害されたまたは脆弱な認証情報を通じて、標的コンピュータに足がかりを確立します。
• 2.1.C.4 攻撃によるアクセス獲得後、攻撃者は再アクセスを得る必要なく継続的にアクセスを維持するために持久性を確立します。彼らは、コマンドとコントロール（C2）プロトコルを使用してデバイスへコマンドを送信し出力を受信することがあり、遠隔アクセストロイ（RAT）やルートキットのようなマルウェアを通じて行われることが一般的です。
• 2.1.C.5 攻撃の横断移動フェーズにおいて、攻撃者は elevated権限を持つサービスおよびデータへのアクセスを通じて、自身の権限を昇格させようとします。
• 2.1.C.6 攻撃のアクション実行フェーズにおいて、攻撃者は自らの目的達成のために、ターゲットデータ収集、データ漏洩、サービス妨害、またはデータ破壊を行います。
• 2.1.C.7 攻撃最終フェーズにおいて、多くの攻撃者はログファイルの削除や編集、およびデバイス上に植付けられた他のファイル（例：マルウェア）の消去によって検知を回避しようとします。

学習目標 2.1.D： リスク評価プロセスを説明する。

• 2.1.D.1 脅威が脆弱性を利用して資産を損なうことができる場合にリスクが発生します。
• 2.1.D.2 資産とは価値のあるもののすべてを指します。資産には金融リソース、知的財産、データ、デジタルインフラ、物理資産、評判が含まれます。
• 2.1.D.3 リスク評価は以下の2つの要因を考慮します：
  • 特定の脆弱性に対する攻撃の可能性
  • 特定の脆弱性に対する攻撃から想定される被害の深刻度
• 2.1.D.4 脆弱性が利用される可能性は多くの要因に依存します。その例として以下が挙げられます：
  • ターゲットの価値：攻撃者は価値あると認識したターゲットを攻撃されやすい傾向があります。
  • 脆弱性を利用するために必要なスキルレベル（すなわち難易度）：riet exploitが詳細に文書化されている脆弱性は、より少ないスキルで利用可能であり、より多くの攻撃者によって実行できる可能性があります。
  • 想定される攻撃者の動機と能力：高い動機とスキルを持つ攻撃者は、より複雑なexploitを実行できる可能性が高いです。
• 2.1.D.5 攻撃の深刻度は通常、財務コストによって測定されます。これには、評判および運営への影響も含まれることがあります。
  • 2.1.D.5 ための例示:
    • ハックティビストは地元の食品生産会社が支援する違法な漁業行為に熱心です。この食品生産会社のメインウェブページはこのハックティビストにとって高価値なターゲットとなります。网页を改ざんして会社の違法な漁業支援を露出させても、攻撃者に直接的な経済的利益は得られませんが、自身を動かす問題への意識向上に寄与できます。
• 2.1.D.6 リスク評価の結果は定量的または定性的であることがあります。
  • 定量的リスク評価は、数値スケール（例：1〜10）または可計測な影響に基づき、脆弱性に数値的な価値を割り当てます（例：年間のリスク$10,000）。
  • 2.1.D.6 ための例示:
    • 低、中、高、甚大
    • 発生しにくい低影響、発生しやすい低影響、発生しにくい高影響、発生しやすい高影響
• 2.1.D.7 リスク評価の文書には以下を含めるべきです：
  • 脆弱性がある資産とその価値
  • 資産に対する想定される脅威の説明
  • 特定の資産に対する特定の脆弱性の詳細と、それらがどのように利用されるか
  • 特定の資産が侵害された場合の被害の深刻度（財務、運営、評判など）の説明、およびその侵害が発生する可能性
  • 特定された各リスクに対する最終評価（定量的または定性的）
  • 2.1.D.7 ための例示:
    • スケールされたスコア（例：1〜10）
    • 金銭的価値（例：$10,000 risk vs. a$100,000のリスク）

学習目標 2.1.E： リスク管理のための戦略を特定する。

• 2.1.E.1 リスクが特定・評価された後、組織はそのリスクを管理するための4つの選択肢を持ちます：
  • i. 回避
  • ii. 移転
  • iii. 軽減
  • iv. 受容
• 2.1.E.2 リスク回避は、リスクを生み出している活動を停止することです。活動が組織の使命や目的の重要な一部である場合、回避は不可能です。
• 2.1.E.3 リスク移転は、保険会社、政府、または消費者などの他機関にリスクの負担を移すことです。
• 2.1.E.4 リスク軽減は、セキュリティ制御を実装してリスクの可能性や影響を低減することです。
• 2.1.E.5 残留リスクとは、組織が回避、移転、軽減を完了した後に残るリスクです。残留リスクは、組織が受け入れられるリスクのレベルを指します。リスク受容は、絶対的なセキュリティが達成不可能であることを認めることを意味します。
• 2.1.E.6 財務リソースおよび従業員リソースを節約するため、組織は一般的に、コスト効率が高く、実装・保守が簡単なソリューションを好みます。コスト効率の高いソリューションは、攻撃からの予想される損失よりも設置・保守コストが低いものです。

学習目標 2.1.F： セキュリティ制御の種類を特定する。

• 2.1.F.1 セキュリティ制御は、以下の原則の少なくとも1つに対応します：
  • 機密性： authorized individuals, systems, or processes のみがデータにアクセスできるように保証します。機密性が欠如したシステムは、データ盗難や破壊に対して脆弱です。
  • 完全性： データが正確で信頼できると保証します。完全性が欠如したシステムは、データ操作に対して脆弱です。
  • 可用性は、必要な時にデータとサービスが権限のある個人によりアクセス可能であることを保証します。可用性に欠けるシステムでは、予期せぬダウンタイムが発生する可能性があります。
• 2.1.F.2 セキュリティ制御は、タイプ別に分類できます。
  • 物理的制御は、物理的な空間におけるセキュリティを提供し、錠前、柵、カメラ、バリア、警備員などを含みます。
  • 技術的制御は、デジタル空間におけるセキュリティを提供し、ファイアウォール、マルウェア除去ソフト、暗号化などを含みます。
  • 管理的制御は、セキュリティが整っているべき内容を示す規則、ガイドライン、方針、手続を提供し、パスワードポリシー、定期アクセスレビュー、インシデント対応計画（IRP）などを含みます。
• 2.1.F.3 セキュリティ制御は、機能別に分類できます。
  • 予防的制御は、潜在的な脆弱性に対処し、攻撃者が攻撃を仕掛けるのを防ぐことを目的とし、錠前や暗号化などを含みます。
  • 探知的制御は、攻撃が発生した際にそれを特定するのを助け、侵入検知システム（IDS）、カメラ、セキュリティインシデントおよびイベント管理（SIEM）システムなどを含みます。
  • 是正的制御は、問題を修正し、システムを稼働可能な状態に戻すのを助け、脆弱性のパッチ適用、破損したカードリーダーの修理、侵入防止システム（IPS）などを含みます。

学習目標 2.1.G: 組織を最適に保護するために、ディフェンス・イン・デプス戦略が必要である理由を説明する。

• 2.1.G.1 ディフェンス・イン・デプス戦略、あるいは階層防御は、複数の種類のセキュリティ制御を使用して、重要なデータやシステムを保護する。
• 2.1.G.2 ディフェンス・イン・デプス戦略により、組織は異なる種類の脅威に対応でき、それぞれに対して最も適切なセキュリティ制御で軽減できる。
• 2.1.G.3 ディフェンス・イン・デプス戦略により、データ保護の耐性が確保され、攻撃者が一つのセキュリティ制御を回避した場合でも、別のセキュリティ制御によってデータやシステムへのアクセスを阻止したり、データやシステムへの被害を制限したりできる。
• 2.1.G.4 ディフェンス・イン・デプス戦略の層には、人間、物理、ネットワーク、デバイス、アプリケーション、データが含まれる可能性がある。

学習目標 2.2.A: 一般的な物理攻撃を同定する。

• 2.2.A.1 攻撃者は、物理攻撃を行う際、よくソーシャルエンジニアリングを使用する。
• 2.2.A.2 ピッグバックとは、攻撃者がソーシャルエンジニアリングを使用して権限のある個人を操作し、制限区域へのアクセスを付与させる攻撃のことである。一般的なピッグバックの戦術には、大きな荷物を持って権限ある人物にドアを開けてもらおうとする、アクセストークンを忘れた権限ある人物を装う、検査や修理のために特定の区域に入ろうとする保守作業員を装うなどが含まれる。
• 2.2.A.3 テイルゲートとは、権限ある個人の背後に密着して追従することで、その個人の気づきや認知なくして制限区域への無許可アクセスを得る攻撃のことである。
• 2.2.A.4 ショルダーサーフィンとは、ユーザーが敏感情報をアクセスしている様子を観察し、後で使用できるようにする攻撃のことである。有时攻击者使用相机录制目标访问敏感信息，以便稍后分析。
• 2.2.A.5 ダンプスター・ダイビングとは、攻撃者がターゲットの物理ゴミを翻し searching for information that could be used to help the adversary reach their goal. 翻译：攻击者通过翻找目标的实体垃圾来寻找可能帮助其达成目标的信息的攻击方式。
• 2.2.A.6 カード克隆とは、攻击者复制授权用户的访问卡以获取所有可访问资源的攻击方式。

学习目标 2.2.B： 解释威胁如何利用常见物理漏洞造成资产损失、损坏、中断或毁灭。

• 2.2.B.1 威胁包括寻求造成伤害或中断的人类攻击者以及自然灾害。自然灾害可能导致计算机和数据的物理损坏或毁灭，以及由计算机提供的数字服务的中断。
• 2.2.B.2 漏洞是指可能导致资产被攻陷的弱点或缺陷。常见的攻陷包括：
  • 对敏感数据或限制物理空间的未经授权的访问
  • 服务中断
  • 数字或物理资源的盗窃或破坏
  • 数据的未经授权的修改
• 2.2.B.3 当攻击者切断设备的电源时，该设备及其提供的所有服务都将不可用。为切断电源，攻击者可能损坏配电箱中的保险丝或断路器，拔掉或剪断电线，或损坏变电站和变压器等配电系统。
• 2.2.B.4 当攻击者进入包含敏感信息的区域时，他们可以窃取或复制敏感信息。
• 2.2.B.5 当攻击者获得设备的物理访问权限及其端口时，他们可以插入键盘记录器或包含恶意软件的外部驱动器，这可能使他们能够收集用户数据甚至控制该设备。通过直接物理访问，攻击者还可以物理上破坏设备，使设备本身、其上存储的任何数据以及其提供的任何服务都不可用。

学习目标 2.2.C： 评估并记录来自物理漏洞的风险。

• 2.2.C.1 对设备的物理访问可能允许攻击者绕过许多技术控制和安全层。
• 2.2.C.2 当敏感信息或系统在物理空间中被暴露且没有足够受限和受控的访问时，会产生严重的物理漏洞风险。
  • 2.2.C.2 ための例示:
    • カスタマーデータを格納するサーバーが、施錠されていない部屋にあり、監視されていない廊下を通じてアクセスされる。
• 2.2.C.3 組織の非重要かつ非敏感な部分が、攻撃者が他のリソースへの初期アクセスを得るための足掛かりとなり得る方法で保護されていない場合、物理的な脆弱性から中程度のリスクが発生する。
  • 2.2.C.3の例示:
    • 受付エリアがあり、それ以降のアクセスは管理されているオフィスがある。受付係のコンピューターはオフィスの内部ワイヤレスネットワークに接続されており、USBポートが露出している。
• 2.2.C.4 脆弱性のある資産の価値が低く、その脆弱性が悪用されにくい場合、物理的な脆弱性からのリスクは低い。
  • 2.2.C.4の例示:
    • バッジによるアクセスが必須のオフィスにいる社員が、全員で昼食に行く間にデスクに置いたラップトップを留守にする。これらのコンピューターには敏感な情報は含まれていないが、デバイスとデスクを固定するケーブルはない。

学習目標 2.3.A: 物理セキュリティに関する管理統制を特定する。

• 2.3.A.1 組織は、従業員が以下のようにして組織のセキュリティに貢献できるかを教育するために、セキュリティ認知研修を実施すべきである。
  • フィッシングなどのサイバーサミング攻撃の検知
  • 制限区域への他人のバッチング（同行）を行わないこと
  • デバイス盗難の防止
• 2.3.A.2 組織は、物理的な職場を保護するために必要な措置を明記したワークステーションセキュリティポリシーを持つべきである。このポリシーは、ワークステーションで取り扱われるデータの種類に基づいて、ワークステーションセキュリティの階層を含むことがある。ワークステーションポリシーは通常、以下を要求する。
  • 留守にした際に unauthorized access を防ぐため、ワークステーションを離れる前にデバイスをロックすること
  • 留守にする前にワークステーション上の敏感な文書を取り除くこと（クリーンデスクポリシーとも呼ばれる sometimes called a clean desk policy）
  • プライバシースクリーンフィルターやその他の物理的バリアを使用して、他人が画面の情報を見るのを防ぐこと
  • サージプロテクタまたは無停電装置（UPS）にデバイスを接続すること

学習目標 2.3.B: 物理的脆弱性によるリスクに対する軽減策を決定する。

• 2.3.B.1 関連する統制を決定するためには、サイバーディフェンダーは、攻撃者がどのように脆弱性を悪用してシステムを攻撃し、また攻撃を防止、検知、または修正するかを検討する。
• 2.3.B.2 建物の周囲にフェンス、ゲート、ボールドなどを設置することで、攻撃者が組織の建物への物理的アクセスを試みるのを阻止できる。
• 2.3.B.3 ドア、サーバーキャビネット、およびコンピューターのロックは、デバイスへのアクセスや盗難を防ぐことができる。
• 2.3.B.4 キャードリーダーは、どの時刻にどの従業員のバッジを使って異なる入り口/accessed different entries at specific times and deny access to unauthorized badges.
• 2.3.B.5 アクセスコントロール・ベスティブルとターンstileは、権限のある人が意図的または偶発的に権限のない人を制限区域に持ち込むのを防ぐことができる。
• 2.3.B.6 組織は外部ドライブによるマルウェアのロードを防ぐためにUSBポートを無効化できる。
• 2.3.B.7 無停電装置（UPS）は、停電時にデバイス用のバックアップ電源を提供する。組織はまた、発電機を使用して、より大規模なスケールで建物や一連の重要なデバイスに電力を提供することもできる。
• 2.3.B.8 組織はリスクの深刻さと推奨される軽減策のコストに基づいてリスク軽減を優先順位付ける。

学習目標 2.4.A: セキュリティ統制が物理攻撃を検知する方法を特定する。

• 2.4.A.1 カメラは、攻撃者の悪意ある活動を視覚的に記録できる。カメラの映像は最大限の効果のために録画され、監視されるべきである。録画は、事件後の調査において特に役立つことがある。
• 2.4.A.2 警備員は、区域内の活動を監視し、不審な活動が検知されたら対応する。
• 2.4.A.3 動作センサーは、区域内での動きを警備員に警告する。
• 2.4.A.4 物理空間で働く従業員は、 often the first to notice the presence of an unauthorized person and can alert security.

学習目標 2.4.B: 物理攻撃を検知するためのセキュリティ統制の有効な配置を決定する。

• 2.4.B.1 カメラを設置する際は、視覚的カバレッジ、角度、および攻撃者による操作の可否を考慮すべきである。特定の領域にあるカメラが攻撃者の何を撮影できるか、そしてその情報がどのように役立つかも考慮すべきである。入退口は often monitored by camera.
• 2.4.B.2 動作センサーは、サーバールームのような予期せぬ交通量がある場所や、敏感な資料が保管されておりアクセスできる人が少ない場所に設置すべきである。高交通量の領域にある動作センサーは多くの誤警報を引き起こすため、実際のセキュリティイベント发生时 alarms less likely to be taken seriously when there is a real security event.
• 2.4.B.3 敏感な情報やシステムが含まれる領域へのすべての入り口にロックを設置すべきである。特に敏感な情報やシステムがある領域については、組織はピッグバックやテイルゲートを防ぐために入り口にアクセスコントロール・ベスティブルを使用することができる。
• 2.4.B.4 警備員は常駐型または巡回型である。常駐型警備員は特定のエリア、入口、または高価値アイテムに対して絶えず保護を提供できる。巡回型警備員は敵対者による計画を立てにくく、敵対者に時間的圧力をかけることができる。交通が集中する場所（例：入構ゲート、主要なエントランスやロビー、より厳重なアクセスエリアへの入り口）に常駐型警備員を配置することは非常に効果的であり、一方、巡回型警備員は周縁部や外郭エリアに適している。

学習目標 2.4.C： 検知技術を用いて物理攻撃を特定する。

• 2.4.C.1 カメラは指定された空間内の活動を視覚的に監視し、活動の記録を残す。カメラには顔認識ソフトウェアと組み合わせることができ、未授权者が管理区域に入国した際にアラートを発報することができる。物理的な侵害が検知された後、防衛者は生放送および録画された映像を使って、敵対者の経路や行動を追跡できる。
• 2.4.C.2 動体検知器はカメラと組み合わせることで最も効果的に機能する。動体検知器が作動して警報が出た場合、防衛者はカメラを使用して空間を視覚的に確認し、物理的なセキュリティ侵害を検証できる。
• 2.4.C.3 従業員が制限区域の扉を開錠するために電子バッジを使用する場合、センサーは扉が開いていた時間を記録する。扉の入出 logs を確認する際、通常より長時間扉が開いている場合は、ピグバックまたはテイルゲーティングの疑いが検知される。