デバイスの保護

学習目標 4.1.A： コンピューティングデバイスの種類を特定する。

• 4.1.A.1 サーバーコンピュータは、他のコンピュータに対して1つ以上のサービス（例：DNS、DHCP、FTP）を提供するデバイスです。すべてのコンピュータがサーバーになることができ、企業環境ではサーバーは通常、パーソナルコンピュータよりも高い処理能力とストレージを持ちます。
• 4.1.A.2 パーソナルコンピュータは、一人の人が業務や娯楽目的で使用するよう設計されたデバイスです（例：ワード処理、グラフィックデザイン、ウェブブラウジング、メディア制作または視聴）。これにはデスクトップ、ラップトップ、ノートパソコンが含まれます。
• 4.1.A.3 ハンドヘルドコンピュータ（モバイルコンピュータや情報家電とも呼ばれる）は、パーソナルコンピュータより小さく、バッテリーで動作します。これにはタブレット、スマートフォン、スマートウォッチのようなウェアラブルテクノロジーが含まれます。
• 4.1.A.4 エンベッドドコンピュータは、機械の一部であるデバイスです。エンベッドドデバイスは、組み込まれている機械の専用コンポーネントとのインターフェース用に特定の命令セットを持っています。エンベッドドコンピュータは他のコンピュータより遅く、安価であり、ストレージ容量も最小限です。
• 4.1.A.5 エンベッドドコンピュータを搭載した日常的なデバイスは、Often Internet of Things (IoT) デバイスと呼ばれます。エンベッドドコンピュータは、輸送機器（例：自動車、鉄道、航空機）、重要インフラを稼働させるデバイス（例：変電所の遮断器操作、浄水場のポンプ）、医療機器（例：点滴ポンプ、MRIスキャナー、ペースメーカー、インスリンポンプ）、そして洗濯機、コーヒーメーカー、サーモスタットなどの日常品に見られます。

学習目標 4.1.B： サイバー攻撃で使用されるマルウェアの種類を特定する。

• 4.1.B.1 マルウェアは、デバイスやネットワークを損傷または破壊したり、攻撃者にデバイスへのアクセスやデバイス上のデータへのアクセスを許容する悪意あるソフトウェアです。
• 4.1.B.2 マルウェアは、攻撃者の最終的な目標達成のための計画の一部を遂行するためのツールとしてよく使用されます。マルウェアには多くの種類があります。例えば：
  • ユーザーがファイルを実行または開くことで起動されなければならないマルウェアであるウイルス。
  • 人間の介在なく、一台のコンピュータから別のコンピュータへ拡散するワーム。
  • 無害そうに見える他のソフトウェアに埋め込まれたマルウェアであるトロイの木馬。リモートアクセストロイ（RATs）は、攻撃者に対して標的システムへのリモートアクセスを提供します。
  • デバイスのファイルを暗号化し、ユーザーがデバイス上のファイルにアクセスできなくするランサムウェア。通常、ランサムウェアはユーザーに対し、画面を表示して支払いを要求し、一定期間内に支払えばファイルの復号鍵を提供すると約束します。
  • ユーザーのコンピュータ上での行動を追跡し、情報を攻撃者に送信するスパイウェア。
  • ユーザーのキー入力をログ記録し、情報を攻撃者に送信するソフトウェアまたはハードウェアであるキーロガー。攻撃者はキーロガーのデータからユーザー名やパスワードを抽出できることが多いです。
  • 特定の条件が満たされた場合にのみ効果を発動するよう設定されたロジックボム；条件には日付と時間、特定のOSタイプやバージョン、コンピュータが使用している文字集合などが含まれます。
  • ターゲットコンピュータのオペレーティングシステムに侵入し、システムのほぼあらゆる側面を制御できる高度なマルウェアであるルートキット。ルートキット自体を検知不可にすることも可能です。
• 4.1.B.3 ほとんどのマルウェアはファイルまたはファイルの集まりですが、ファイルレスマルウェアはRAM上に存在し、デバイスに既にインストールされている正規のプログラムを利用してそれを侵害する悪意あるコードです。

学習目標 4.1.C： 攻撃者が一般的なデバイスの脆弱性をどのように利用して、損失、損傷、妨害、または破壊を引き起こすかを説明する。

• 4.1.C.1 攻撃者は、ソフトウェア（オペレーティングシステムを含む）の既知の脆弱性に対するエクスプロイトを開発できる。パッチ未適用のソフトウェアを搭載したデバイスはこれらのエクスプロイトに対して脆弱であり、システムをクラッシュさせたり、ユーザーの操作を監視したり、デバイス上のさまざまなサービスやコンポーネントを有効化または無効化したり（例：Webカメラやマイクのオン/オフ）、さらにはデバイスを掌握して自らの命令を発令し、デバイス上の情報を盗取または破壊する命令を含めることができる。
• 4.1.C.2 攻撃者は、認証要件が緩弱な点を利用し、ユーザーのパスワードを推測したり、ソーシャルエンジニアリングによってユーザーにパスワードを洩れ出させたりすることができる。
• 4.1.C.3 システムに基本入出力システム（BIOS）または統合拡張ファームウェアインターフェース（UEFI）にパスワードがない場合、攻撃者はより高い権限を与える特別なモード（例：「回復モード」）でコンピューターをブートさせることができる。BIOSやUEFIによる保護がない場合、攻撃者は外部ドライブから独自のオペレーティングシステムをデバイスに読み込み、専門的なツールを使用してユーザープロフィールを変更または作成することができ、ユーザーパスワードの変更も含まれる。
• 4.1.C.4 攻撃者は外部ドライブにマルウェアを読み込むことができ、 autorun が有効化されている場合、外部ドライブを挿入するとデバイスがそのマルウェアを実行する。
• 4.1.C.5 攻撃者は開放されたポートを利用してデバイスに接続することができる。
• 4.1.C.6 攻撃者は悪意のあるデータを送信してデバイスを妨害したり、それらを掌握しようと試みることがある。ファイアウォールがない（または誤設定のファイアウォールを持つ）デバイスは、この悪意のあるデータをフィルタリングできない。
• 4.1.C.7 攻撃者はoften、デバイスを妨害または制御するためにマルウェアのインストールを試みる。アンチマルウェアソフトウェアー缺失するデバイスは、この種のアタックに対してより脆弱である。

学習目標 4.1.D： デバイスの脆弱性からのリスクを評価し、記録する。

• 4.1.D.1 デバイスの脆弱性からのリスクは、不正アクセスやマルウェアにより、攻撃者が authorized user を騙り、デバイスに遠隔でアクセスし、デバイスのドライブを暗号化してデータを拉致したり、デバイスのメモリを消去してデータを破棄したり、デバイスを機能不全に陥らせたりすることを可能にする。リスクの程度は、デバイスの重要性や、デバイスが提供するサービスや保持するデータの重さに応じて異なる。
• 4.1.D.2 デバイスの脆弱性による高リスクは、機密情報の漏洩や重要な運用への潜在的な侵害を伴う。
  • 4.1.D.2 の例:
    • 組織がメールサーバーの最新アップデート（既知の重大な脆弱性を修正するパッチが含まれている）を未導入の状態にある。
• 4.1.D.3 デバイスの脆弱性による中程度のリスクは、弱い認証要件や、エクスプロイトされる可能性が低い脆弱性から生じることがある。
  • 4.1.D.3 の例:
    • 水処理プラントにはポンプを制御する組み込みシステムがある。プラントの遠隔管理のために、ユーザー名とパスワードでポンプに遠隔アクセスできるが、デバイスにはマルチファクタ認証（MFA）が要求されていない。
• 4.1.D.4 デバイスの脆弱性による低リスクは、通常、エクスプロイトされたとしても影響が小さい脆弱性に関連している。
  • 4.1.D.4 の例:
    • 社員のラップトップに telnet ポート 23 が開放されている。

学習目標 4.2.A： ハッシュ（ハッシュ出力、チェックサム、メッセージダイジェスト、またはダイジェストとも呼ばれる）がパスワードの保存に使用される理由を説明する。

• 4.2.A.1 暗号ハッシュ関数（メッセージダイジェスト関数とも呼ばれる）は、任意の長さのバイナリデータを受け取り、一連の指示に従って処理し、固定長のバイナリ文字列であるハッシュ（チェックサムまたはメッセージダイジェスト）を出力する数学的アルゴリズムである。有名な暗号ハッシュには以下が含まれる：
  • MD5
  • SHA-1, SHA-256, SHA-512（SHA は Secure Hash Algorithm の略）
  • NTHash
  • RIPEMD-160
• 4.2.A.2 nビットハッシュは $2^n$ 個の出力を持つ。入力数は無限大であるため、必ず2つの異なる入力が同じハッシュを生成することになる。これを衝突（collision）と呼ぶ。
• 4.2.A.3 暗号ハッシュ関数には以下の性質がある：
  • ハッシュは衝突耐性があります；同じハッシュ関数に対して同じ出力を生成する2つの異なる入力を見つけるのは困難です。
  • ハッシュには事前画像耐性があります；与えられたハッシュから、そのハッシュを生成した入力を特定することは非現実的です。
  • ハッシュは反復可能です；同じ入力は常に同じハッシュを生成します。
  • ハッシュは固定長です；特定のハッシュ関数におけるハッシュのビット長は、入力のサイズに関わらず一定です。
• 4.2.A.4 攻撃者は、ハッシュ関数の出力に衝突を強要することでハッシュ関数を乗っ取ろうとします。特定のハッシュ関数に対して衝突を強制する効率的なアルゴリズムが存在する場合、そのハッシュ関数は廃止され（セキュアな環境での使用が中止される）。MD5 と SHA1 は廃止されたハッシュ関数の例である。
• 4.2.A.5 パスワードベースの認証サービスでは、攻击者がユーザー:パスワードディレクトリにアクセスしても直ちにすべてのユーザーのパスワードを知られないよう、パスワードを平文で保存してはならない。代わりに、ユーザーのパスワードはハッシュ化され、そのハッシュがデータベースに保存されるべきである。ユーザーがパスワードを入力すると、それはハッシュ化され、ファイルに保存されたハッシュと比較される。ハッシュが一致した場合、ユーザーは認証される。
• 4.2.A.6 2人のユーザーが同じパスワードを使用していた場合、user:passwordディレクトリ内のハッシュも同一になります。これを防ぐため、数ビットのランダムな値（ソルトと呼ばれる）をユーザーのパスワードと併せてハッシュ化して生成します。各ユーザーのソルトは一意であるため、2人のユーザーが同じパスワードであっても異なるソルトを持つため、パスワードハッシュも異なります。

学習目標 4.2.B: パスワード攻撃が脆弱性をどのように利用するかを説明する。

• 4.2.B.1 攻撃者が正規ユーザーのパスワードを乗っ取ることができ、そのユーザーの組織がMFAやその他の認証保護を有効化していない場合、攻撃者はその組織内で、そのユーザーに付与されているすべてのアクセス権限と権利を使って行動できます。
• 4.2.B.2 パスワード攻撃は、オンラインまたはオフラインに分類されます。
  • オンラインパスワード攻撃は、アクティブな認証ポータルでuser:passwordの組み合わせを試行します。
  • オフラインパスワード攻撃では、ユーザー:パスワードデータベースを捕獲しており、自身のコンピューター上でデータベースに対してパスワード攻撃を実行できます。この手法により、設定されている可能性のあるアカウントロックアウト保護を回避できます。
• 4.2.B.3 多くのユーザーは、警告にも関わらず、所有するすべてのサービスやアカウントで同じパスワード（またはその変形）を再利用しています。組織のユーザーデータベースが盗まれた場合、ユーザー名、メールアドレス、パスワードは攻撃者に売られたり、オンラインで公開されたりします。攻撃者はよく、標的個人のステールまたはリークされた資格情報を試すことで、アカウント乗っ取りを試み始めます。
• 4.2.B.4 多くのユーザーは推測しやすいパスワードを設定し、攻撃者はユーザーのアカウントで一般的なパスワードを推測しようと試みます。「パスワードスプレー」は、攻撃者が多数の異なるユーザーアカウントに対して共通のパスワードを試行する攻撃です。
• 4.2.B.5 一部のサービスやデバイス（スイッチ、ルーター、IoTデバイスなど）には、デフォルトの管理者ユーザーとパスワードが事前構成されています。「クレデンシャルスタフィング」とは、攻撃者が一般的なデフォルト資格情報や盗まれたアカウント資格情報を使用してこれらのサービスやデバイスへのアクセスを試みる攻撃です。
• 4.2.B.6 オフラインパスワード攻撃は、自動化されたハッシュクラッキングツールを使用して可能なパスワードをハッシュ化し、捕獲したハッシュと比較します。ハッシュは逆算できませんが、攻撃者はこれらのツールを使用して多数の潜在パスワードをハッシュ化し、ターゲットハッシュと比較できます。攻撃者が一致するハッシュを見つけると、そのハッシュを生成したパスワードを使用してユーザーのアカウントにログインできます。オフライン攻撃には以下が含まれます：
  • ブルートフォース攻撃：攻撃者が自動化されたツールを使用して、ユーザーが使用し得るすべての潜在パスワードを試すもの
  • ディクションアタック：攻撃者が自動化されたツールを使用して、一般的なパスワードのリストを試すもの
• 4.2.B.7 レインボーテーブル攻撃では、一般的なパスワードのリストを使用してレインボーテーブルを生成します。レインボーテーブルとは、各潜在パスワードとそのハッシュを含むテーブルです。このテーブルはハッシュ順にソートされ、攻撃者は自動化されたツールを使用してハッシュリストから捕獲したハッシュを検索します。ハッシュが一致すれば、攻撃者は同じハッシュを生成するパスワードを見つけたことになります。このパスワードを使用することで、攻撃者はユーザーのアカウントにログインできます。

学習目標 4.2.C: ユーザーの身份を確認するために使用される認証の種類を特定する。

• 4.2.C.1 認証メカニズムは、ユーザーの身份を確認し、承認されたユーザーのみがシステムにアクセスできるようにするための技術的制御です。ユーザーが自身を証明するために提供する証拠は「ファクター」と呼ばれます。一般的な認証ファクターには以下が含まれます：
  • ユーザーが知っていること（知識ファクター）
  • ユーザーが持っていること（所持ファクター）
  • ユーザー自体（生体特徴ファクター）
  • ユーザーがいる場所（位置情報ファクター）
• 4.2.C.2 知識ファクターには、パスワード、PINコード、または事前に選択された質問に対する回答が含まれます。知識ファクターが効果的であるためには、攻撃者が容易に推測できないものである必要があります。しかし、攻撃者にとって見抜くのが困難な知識ファクターは、ユーザーにとっても記憶しにくい場合があります。
• 4.2.C.3 所持ファクターとは、ユーザー固有の物体であり、アクセスカード、銀行カード、携帯電話、または認証トークンなどが該当します。攻撃者がその物体（またはそのコピー）を取得することが困難であればあるほど、所持ファクターは安全です。
• 4.2.C.4 生体特徴ファクターは人体の特徴を測定し、指紋、掌印、顔認識、虹彩または網膜スキャン、音声識別などが含まれます。生体特徴ファクターは個人固有であるため、攻撃者が複製することは困難です。
• 4.2.C.5 位置情報ファクターは、Wi-Fi信号、GPSデータ、タイムゾーン設定、さらにはIPアドレス情報などの情報を用いて位置を判定します。位置情報ファクターに基づいてアクセスを許可または拒否するルールを設定できます。
• 4.2.C.6 マルチファクター認証（MFA）とは、システムが複数のファクターを使用してユーザーを認証することです。MFAは単一ファクター認証よりも安全です。なぜなら、ユーザーは少なくとも2つの別々の認証ファクターを提供しなければならないからです。

学習目標 4.2.D: デバイスをより安全にするためにログイン設定を構成する。

• 4.2.D.1 パスワードの複雑性の要求は、構成可能なログイン設定です。有効化すると、ユーザーが新しいパスワードを設定する際、各文字セットから少なくとも1文字を含める必要があります。各文字セットの文字を含むパスワードは、1つまたは2つの文字セットの文字のみを使用するパスワードよりも、攻撃者によって解読されることが著しく困難です。通常必要となる主な文字セットは以下の通りです：
  • 大文字（A–Z）
  • 小文字 (a–z)
  • 数字（0–9）
  • 特殊文字（!"#$%&’()*+,-./:;<=>?@ [ \ ] ^_`{|}~）
• 4.2.D.2 パスワードの最小長さの要件は、設定可能なログイン設定です。これは、ユーザーがパスワードに一定以上の文字数が必要であることを意味します。パスワードが長く複雑であればあるほど、デジタルツールによるパスワードの解読にはより多くの時間がかかります。
• 4.2.D.3 パスワードの有効期限（最大年齢）の要件は、設定可能なログイン設定です。設定されると、ユーザーは直近のパスワード変更から一定日数後（通常は90日または120日ごと）にパスワードの変更を促されます。もしユーザーのパスワードが漏洩した場合、変更することで攻撃者がアカウントへのアクセスを阻止できる可能性があります。しかし、一部の国家基準では、組織がユーザーに所定の期間ごとにパスワードの変更を義務付けることを推奨していません。これは、ユーザーがパターン化されたパスワード（例：PasswordFall2028）を作成するのを防ぐためです。
• 4.2.D.4 システムに過去のユーザーパスワードを一定数保存することを要求することは、設定可能なログイン設定です。これにより、ユーザーが同じパスワードを再使用することが防止されます。多くの組織では、再使用を防ぐために過去5〜10回のパスワードハッシュを保存しています。
• 4.2.D.5 無効なログイン試行回数が一定回数に達した後のロックアウト期間の要件は、設定可能なログイン設定です。これにより、攻撃者が無作為に間違ったパスワードを連続して試行することを防げます。多くの組織では、3〜5回の無効なログイン試行後にアカウントをロックします。ロックアウト期間は異なります。

学習目標 4.3.A: デバイスセキュリティに関連する管理統制を特定する。

• 4.3.A.1 許容利用ポリシーは、組織所有のデバイスにおいてユーザーが許可される、禁止される、または必須とする活動の範囲を説明し、以下を含む場合があります：
  • ユーザーによる特定のウェブサイトや種類のウェブサイト（例：SNSやゲームサイト）へのアクセスの禁止
  • ソフトウェアの更新状態を維持することの強制
  • 周辺機器の接続の許可
  • 外部ドライブやメディアの接続の禁止
• 4.3.A.2 パスワードポリシーは、組織内のユーザーのパスワードに関する要件を詳細に示し、以下を含む場合があります：
  • パスワードの最小または最大長さ
  • 同じパスワードを保持できる最小または最大の期間
  • パスワードの再使用の禁止
  • パスワードの作成ルール（例：辞書語の禁止、文字セット要件など）
  • パスワードメモ書きではなく、安全なパスワード管理ツールの使用を推奨
• 4.3.A.3 ソフトウェアインストールポリシーは、ユーザーが自分のデバイスにインストールできるソフトウェア（あれば）を説明し、一般的にまた、職務遂行に必要な特別ソフトウェアをリクエストするためのプロセスも含まれ、以下を含む場合があります：
  • ユーザーによるデバイスへのソフトウェアインストールの禁止
  • 職務遂行に必要な新ソフトウェアのリクエストプロセス
  • ユーザーのための承認済みソフトウェア一覧

学習目標 4.3.B: アンチマルウェアソフトウェアがデバイスをより安全にする方法を説明する。

• 4.3.B.1 アンチマルウェアソフトウェア（アンチウイルスソフトウェアとも呼ばれる）には、システムを損壊させたり、監視したり、破壊したりするマルウェアを隔離・除去するためのツールがあります。マルウェアには検出可能にするインジケーターが含まれており、これらのインジケーターはシグネチャと呼ばれます。
• 4.3.B.2 アンチマルウェアソフトウェアには、マルウェアのシグネチャデータベースがあります。デバイスのファイルを定期的にスキャンし、ファイルがデータベース内のどのシグネチャと一致するかを確認します。一致がある場合、ソフトウェアは悪質なファイルを隔離・削除します。

学習目標 4.3.C: デバイスのオペレーティングシステムとソフトウェアを更新することの安全性について説明する。

• 4.3.C.1 オペレーティングシステムやソフトウェアに脆弱性が見つかった場合、そのOSソフトウェアを保守するベンダーや組織が修正し、アップデートを送信します。小さなアップデートはパッチと呼ばれます。
• 4.3.C.2 コンピュータのオペレーティングシステムおよびアプリケーションソフトウェアを最新バージョンに更新しておくことで、攻撃者が既知の脆弱性を悪用することを防げます。

学習目標 4.3.D: ホストベースのファイアウォールを設定する。

• 4.3.D.1 ホストベースのファイアウォールは、単一デバイスへの入出力トラフィックを許可または拒否します。ホストが侵害されたネットワークに接続されている場合に備えて、追加のセキュリティ層を提供します。
• 4.3.D.2 ホストベースのファイアウォールは、デバイス上で動作するソフトウェアであり、ネットワークベースのファイアウォールと同様に一連のルール（ACL）に従います。ファイアウォールルールは順序に従って適用され、最初に一致するルールが適用されます。
• 4.3.D.3 ホストベースのファイアウォールは、指定された種類のアウトバウンドトラフィックをブロックすることもできます。ホストベースのファイアウォールは、特定のデバイスに不要なポートやサービスを常にブロックすべきです。
  • 4.3.D.3 の参考例:
    • ホストベースのファイアウォールがアウトバウンドFTPトラフィックをブロックするように設定されています。これにより、リモートアクセスを持つ攻撃者がFTPを使用してファイルを攻撃者のサーバーへ転送することを防げます。
• 4.3.D.4 ホストベースのファイアウォールのルールは、ソースまたは dest port、IPアドレス、サービス、プロトコル、またはアプリケーションに基づいて、トラフィックを許可または拒否できます。

学習目標 4.4.A: デバイスに対する攻撃を検知する方法を説明する。

• 4.4.A.1 システムプロセスと設定、ログイン試行、ファイルダウンロード試行、およびユーザー操作は、コンピューティングシステムによってログとして記録されます。これらのログは、サイバー事件に至る前および発生時の状況を復元するために使用できます。
• 4.4.A.2 侵害の指標（IoC）とは、攻撃者がデバイスやネットワークを乗っ取ったことを示す証拠である。
• 4.4.A.3 認証ログ（auth logs）は、システムへのログイン試行をすべて記録する。認証ログの分析により、試みられた攻撃が判明することがある。
• 4.4.A.4 ホストベースのIoCは、ログと設定の分析によって発見される。以下の指標などは、認証ログ、ユーザー活動ログ、およびシステム設定ファイルに存在する可能性がある：
  • 不審なファイルの作成または修改
  • 予期せぬプロセスやサービス
  • システム設定に対する無断の変更
  • 無断のソフトウェアインストールまたはアップデート
• 4.4.A.5 ファイルベースのIoCは、デバイス上のファイルの分析によって発見される。指標は通常、実行可能ファイルに含まれ、以下を含むことがある：
  • 既知のマルウェアとハッシュ値が一致するファイル
  • 特定のマルウェアによって生成されることが知られているファイル名
  • 悪意のある活動に関連付けられているファイルパス
• 4.4.A.6 ベースド・イン・-behavior IoCは、ログの分析によって発見される。指標は認証ログおよびアクセスログに含まれることができ、以下を含むことがある：
  • 複数のログイン失敗試行
  • 不審なログイン時間や場所
  • 機密データへの無断アクセス試行
  • システム上でのユーザー権限の昇格試行

学習目標 4.4.B： デバイスに対する攻撃を検出するための統制策を決定する。

• 4.4.B.1 パフォーマンスは検出方法を選択するための基準となる。検出ツールはシステムメモリと処理能力を使用し、デバイスのパフォーマンスに影響を与えることがある。異常ベースの検出ツールは、シグネチャベースのツールよりも多くのシステムリソースを消費する。リソースが少ないデバイスには、シグネチャベースの検出の方が適している。多くの組み込みデバイスは、デバイス上で検出ツールを実行するのに十分なシステムリソースを持っていない。
• 4.4.B.2 コストは検出方法を選択するための基準となる。検出ソフトウェアを購入する組織は、監視が必要なデバイス数分のライセンスを取得するコストを考慮しなければならない。一部の組織は、サードパーティベンダーからエンドポイント検出およびレスポンス（EDR）サービスを購入する。これらのサービスは高価ではあるが、組織のデバイスに対する脅威検出に対して包括的かつ統合されたアプローチを提供します。通常、デバイスに対する攻撃を監視するための集中型アラートプラットフォームが含まれている。
• 4.4.B.3 デバイスの感度または重要度は、検出方法を選択するための基準となる。機密情報を保持または処理するデバイスや重要なサービスを提供するデバイスは、攻撃者の標的となりやすく、最大限の保護を提供するために、可能な限りハイブリッド検出モデルを利用するメリットがある。

学習目標 4.4.C： デバイス検出方法の影響を評価する。

• 4.4.C.1 スピードとパフォーマンスは、検出方法の影響を評価する要因となる。一般的に、シグネチャベースの検出は異常ベースの検出より高速であり、その効果は、異常ベースの検出ツールを効果的に実行する処理能力を欠いていることが多いデバイスにおいてさらに増幅される。リソースを大量に消費する検出ツールをデバイスに実装すると、デバイスのパフォーマンスが低下する可能性がある。
• 4.4.C.2 攻撃フェーズは、検出方法の影響を評価する要因となる。デバイス上で操作を行うために、攻撃者はまず、物理層またはネットワーク層の防御、抑止、および探知セキュリティ統制の組み合わせを回避しなければならない。デバイスレベルで攻撃を検知して停止することは、攻撃者が機密データにアクセスしたり、重要なサービスを妨害したりすることを防ぐことができる。
• 4.4.C.3 フォルスポットと検出回避の容易さは、検出方法の影響を評価する要因となる。ほとんどのデバイスレベルの検出ツールはシグネチャベースであり、シグネチャベースの検出はフォールスポットの率が低い。しかし、シグネチャベースの検出は攻撃者にとって回避しやすい。

学習目標 4.4.D： ログファイルを分析してパスワード攻撃の指標を特定する検出手法を適用する。

• 4.4.D.1 オンラインパスワード攻撃は、認証ログで検出できる。単一のユーザーが多数の誤ったパスワードを試行することは、オンラインパスワード攻撃の指標である。ユーザー:パスワードハッシュデータベースが乗っ取られた場合、データベース内のすべてのユーザーパスワードは不secureと見なされ、すべてのユーザーにパスワードのリセットを強制すべきである。
• 4.4.D.2 正規ユーザーが予想される場所やIPアドレス、または通常の時間とは異なる場所や時間にログインしている場合、これはユーザーのパスワードが乗っ取られたことを示す指標になることがある。
• 4.4.D.3 パスワードスプレーの指標は、1つのIPアドレスまたは不審なIPアドレスから、数秒間隔で多数のユーザーがログインしようとしていることである。
• 4.4.D.4 クレデンシャルスタッフィングの指標は、同じIPアドレスなどから、一度に多数のデフォルトユーザー:パスワード組み合わせがデバイス上で試行されていることである。
• 4.4.D.5 オフラインパスワード攻撃は、攻撃が攻撃者のコンピュータ上で行われるため、検出できない。