APT攻撃を支援士試験問題で解説｜侵入・横展開・初動対応

この問題を含まれている資格学習ページ

APT攻撃を情報処理安全確保支援士試験の問題で理解する｜侵入・横展開・初動対応を徹底解説

APT攻撃を理解するには、マルウェア名や攻撃グループ名を暗記するだけでは不十分です。

試験で問われるのは、攻撃者がどのように侵入し、どのようにアクセスを維持し、組織内部へ広がるのかという一連の流れです。

さらに、侵入を示すログ、初動対応、証拠保全、認証情報の失効、復旧判断まで理解する必要があります。

この記事では、先ほど作成した15問を題材に、APT攻撃を次の流れで解説します。

初期侵入
  ↓
永続化
  ↓
認証情報の窃取
  ↓
権限拡大・横展開
  ↓
情報収集・持ち出し
  ↓
検知・封じ込め
  ↓
安全な復旧

結論・要点

APT問題を解くときは、次の5点を押さえてください。

正規アカウントによる操作でも、通常時との差から侵害を疑う
初動では、隔離と証拠保全を並行する
1台の端末ではなく、ID・サーバー・クラウドまで調査する
WAF・IPS・EDRは役割が異なり、単独では十分でない
復旧前に、侵入経路と認証情報を無効化する

APT攻撃では、攻撃者が正規アカウントや標準機能を利用することがあります。

そのため、「不審なファイルが見つからなかったから安全」とは判断できません。

この記事で分かること

APT攻撃の全体的な流れ
正規アカウント侵害の見分け方
永続化とビーコニングの意味
Windowsイベントログの読み方
横展開や情報持ち出しの兆候
クラウドOAuthアプリ悪用への対応
インシデント発生時の初動対応
復旧前に確認すべき項目
記述問題で使える解答の組み立て方

対象読者・前提

この記事は、次の読者を対象としています。

情報処理安全確保支援士試験を学習している人
APTや標的型攻撃を基礎から理解したい人
SOC、CSIRT、インフラ運用に関心がある人
Windowsやクラウドのログ分析を学びたい人

この記事で使用する問題は、学習用に作成したオリジナル問題です。

2026年度の情報処理安全確保支援士試験はCBT方式で実施され、科目A-1と科目A-2は四肢択一、科目Bは記述式です。この記事の複数選択問題や完全一致入力問題は、知識を定着させるための練習形式であり、本試験の出題形式をそのまま再現したものではありません。

APT攻撃の全体像

APTは、Advanced Persistent Threatの略です。

簡単に表現すると、攻撃者が一度侵入して終わるのではなく、組織内へ長期間潜伏し、目的の情報へ到達しようとする攻撃活動です。

MITRE ATT&CKでは、攻撃者がアクセスを維持する活動をPersistence、侵入した環境から情報を持ち出す活動をExfiltrationとして整理しています。

flowchart TD
    A[初期侵入] --> B[永続化]
    B --> C[認証情報の窃取]
    C --> D[権限拡大]
    D --> E[横展開]
    E --> F[情報収集]
    F --> G[外部への持ち出し]
    G --> H[再侵入・長期潜伏]

APT問題では、一つの製品や攻撃手法だけを見るのではなく、攻撃の前後関係を考えます。

問題1：正規アカウントの侵害をどう見分けるか

問題の要点

職員本人が利用していない時間帯に、その職員の正規アカウントでVPNログインが成功していました。

正解は次の3項目です。

通常利用しない国や地域からの接続
認証失敗を繰り返した直後の成功
普段と異なる端末情報やUser-Agent

なぜ正解なのか

正規アカウントが使用されているため、アカウント名だけを見ても攻撃とは判断できません。

そこで、普段の利用パターンとの差を確認します。

確認する要素
├─ 誰がログインしたか
├─ いつログインしたか
├─ どこから接続したか
├─ どの端末を使用したか
├─ MFAはどのように通過したか
└─ ログイン後に何を操作したか

MITRE ATT&CKのValid Accountsでは、攻撃者が盗んだVPN、ドメイン、ローカル、クラウドの正規アカウントを、初期侵入、永続化、権限拡大、横展開などに利用する手法が整理されています。

誤答が不適切な理由

VPN装置のCPU使用率が5％低下した

CPU使用率の低下だけでは、アカウント侵害との因果関係を判断できません。

OSアップデートが正常に完了した

アップデートの成功は、VPNアカウントが正規利用されたことを証明しません。

試験での判断方法

正規アカウントの問題では、次の言葉を探します。

通常と異なる
本人が利用していない
深夜・休日
未知のIPアドレス
新しい端末
MFA設定の変更
失敗後の成功

問題2：APTを疑ったときの初動対応

正解

対象PCをネットワークから隔離する
メモリやログなどの証拠を保全する
安全な別端末から認証情報を失効する

初動対応の目的

初動対応には、二つの目的があります。

被害拡大の防止
        ＋
調査に必要な証拠の保全

隔離だけを行い、ログやメモリを失うと、侵入経路を確認できない可能性があります。

一方で、証拠保全を優先しすぎて端末を接続したままにすると、攻撃者が横展開や情報持ち出しを続ける可能性があります。

NIST SP 800-61 Rev.3は、インシデント対応をDetect、Respond、Recoverだけの作業として扱うのではなく、組織全体のサイバーリスク管理へ統合することを推奨しています。最新版のRev.3は2025年4月3日に確定し、Rev.2を置き換えました。

なぜ感染端末からパスワードを変更してはいけないのか

感染端末では、キーロガー、認証情報窃取ツール、遠隔操作などが動作している可能性があります。

感染端末から新しいパスワードを入力すると、新しい認証情報まで攻撃者へ渡るおそれがあります。

誤答が不適切な理由

調査前に初期化する

初期化すると、次の証拠が失われる可能性があります。

実行中プロセス
ネットワーク接続
メモリ内の情報
不審ファイル
タイムスタンプ
イベントログ
永続化設定

ログを消去する

ログの消去は証拠保全と正反対の操作です。

試験では、「証拠を残す」「時系列を復元する」という観点を優先します。

問題3：永続化とは何か

正解

不審なスケジュールタスク
不正なサービス
不審なOAuthアプリケーション

永続化とは、攻撃者が端末の再起動やパスワード変更などが行われても、侵入した環境へ戻れる状態を残すことです。

MITRE ATT&CKでは、Persistenceを「再起動、認証情報の変更、その他の中断が起きてもアクセスを維持するための技術」と定義しています。

代表的な永続化

対象	永続化の例
Windows	スケジュールタスク、サービス、レジストリ
Linux	systemdサービス、cron、SSH公開鍵
Webサーバー	Webシェル
Active Directory	不正アカウント、グループ変更
クラウド	OAuthアプリ、APIキー、追加ロール
メール	転送ルール、代理アクセス権限

WindowsサービスやLinuxのsystemdサービスは、起動時または定期的に不正なプログラムを実行する永続化手段として悪用される可能性があります。

覚え方

永続化は、攻撃者が作る「合鍵」です。

マルウェアファイルを一つ削除しても、別の合鍵が残っていれば再侵入されます。

問題4：Windowsログから横展開を見つける

正解

複数サーバーで記録されたイベントID 4624
通常使用しないアカウントのイベントID 4672
不明なサービス登録を示すイベントID 7045

イベントIDの意味

イベントID	意味	確認ポイント
4624	ログオン成功	接続元、アカウント、ログオンタイプ
4672	特別な権限が割り当てられたログオン	アカウント、付与された権限
7045	システムへのサービス登録	サービス名、実行ファイル、登録時刻

Microsoftは、4624をログオン成功、4672を特別な権限が割り当てられた新しいログオンとして説明しています。7045は、システムへサービスがインストールされた際に記録されます。

イベントIDだけで攻撃と断定しない

4624や4672は、正規の管理作業でも発生します。

7045も、ソフトウェアやドライバーの正規インストールで記録される場合があります。

次の情報と照合してください。

接続元端末
アカウント
ログオンタイプ
実行ファイルのパス
デジタル署名
変更申請
保守作業時間
EDRのプロセス情報

試験でのポイント

ログ問題では、「イベントが存在すること」よりも「通常の運用と一致するか」が重要です。

問題5：ビーコニングとは何か

正解

一定または類似した間隔で、少量の外部通信が繰り返される挙動です。

感染端末は、攻撃者のC2サーバーへ次の目的で通信する場合があります。

感染が継続していることを通知する
新しい命令を受信する
追加プログラムを取得する
調査結果を送信する

感染端末 ──5分後──▶ C2
感染端末 ──5分後──▶ C2
感染端末 ──5分後──▶ C2

ただし、実際の攻撃者は検知を避けるため、通信間隔に揺らぎを加えることがあります。

5分 → 7分 → 4分 → 6分 → 5分

検知の考え方

ビーコニングは、次の情報を組み合わせて確認します。

通信間隔
送受信量
宛先ドメイン
接続先IPアドレス
TLS証明書
通信を開始したプロセス
業務上必要な通信か
初めて観測された通信先か

周期的な通信があっても、監視エージェントやアップデート確認などの正常通信である可能性があります。

周期性だけで攻撃と断定してはいけません。

問題6：情報持ち出しの兆候

正解

多数の機密ファイルの読み取り
一時ディレクトリでの大容量ZIP作成
ファイルサーバーからの大量HTTPS通信

APT攻撃では、情報を見つけた直後に送信するとは限りません。

多くの場合、次のような準備が行われます。

機密ファイルを検索
        ↓
対象ファイルを収集
        ↓
一時フォルダーへコピー
        ↓
ZIP・7z・tarなどで圧縮
        ↓
必要に応じて暗号化
        ↓
外部サービスへ送信

MITRE ATT&CKでは、正規のWebサービスやクラウドストレージを情報持ち出しへ利用する手法が整理されています。通常から利用されているHTTPSサービスは、攻撃通信を正規通信へ紛れ込ませる隠れみのになる可能性があります。

相関分析が重要

一つのログではなく、次の流れを関連付けます。

大量のファイル読み取り
        ↓
圧縮ツールの起動
        ↓
大容量ファイルの作成
        ↓
未知の外部サービスへHTTPS送信

これが「ログを点ではなく線で見る」という考え方です。

問題7：WAF・IPS・EDRの役割

正解

WAFはWebアプリケーションへのHTTP攻撃を監視する
IPSはネットワーク上の攻撃通信を監視する
EDRは端末上のプロセスや挙動を監視する

役割の違い

製品	主な監視場所	得意な領域
WAF	Webアプリケーションの前段	不正HTTPリクエスト
IPS	ネットワーク経路	攻撃通信、既知パターン
EDR	PC・サーバー	プロセス、ファイル、永続化
SIEM	ログ集約基盤	複数ログの相関分析
NDR	ネットワーク全体	異常通信、横展開、C2

単独では防げない理由

WAFは、盗まれたVPNアカウントによる侵入を直接防げません。

EDRは、EDRが導入されていないVPN装置の脆弱性を修正できません。

IPSは、正規クラウドサービス内の不正なOAuth権限を自動的に削除できません。

WAF ─ Webの入口
IPS ─ ネットワーク
EDR ─ 端末
IAM ─ 認証・権限
SIEM ─ ログの関連付け

試験では「この製品を入れればすべて解決する」という選択肢を疑ってください。

問題8：ドメイン管理者が侵害された場合

正解

影響範囲を確認し、ドメインコントローラーを含む環境を隔離した上で、特権認証情報の失効と信頼できる状態からの復旧を検討します。

なぜ深刻なのか

ドメイン管理者は、Active Directory環境の広い範囲へ影響を与えられます。

攻撃者がドメイン管理者権限を取得すると、次の操作を行う可能性があります。

新しい管理者アカウントの作成
グループポリシーの変更
複数端末でのプログラム実行
認証情報へのアクセス
セキュリティ設定の無効化
ログの削除
他サーバーへの横展開

この状態では、一般利用者PCを1台初期化しても解決しません。

復旧の基本

侵害された管理端末を隔離
        ↓
安全な管理環境を確保
        ↓
ドメイン内の変更を調査
        ↓
永続化と不正アカウントを確認
        ↓
認証情報を段階的に更新
        ↓
信頼できる状態から復旧

「IPアドレスを一つ遮断したので解決」という判断も不適切です。

攻撃者は複数のIPアドレス、クラウドサービス、正規アカウントを使い分ける可能性があります。

問題9：不審なOAuthアプリへの対応

正解

付与された権限と同意した利用者を確認する
アプリの同意、資格情報、トークンを失効する
監査ログからアクセス履歴を確認する

OAuthアプリが危険になる理由

OAuthは、利用者がパスワードをアプリへ直接渡さず、限定した権限を与える仕組みです。

しかし、利用者や管理者が不審なアプリへ強い権限を与えると、攻撃者がメールやファイルへアクセスできる可能性があります。

利用者
  ↓ 同意
不審なOAuthアプリ
  ↓ アクセストークン
メール・ファイル・ユーザー情報へアクセス

Microsoftのインシデント対応ガイドでも、アプリに付与された権限、影響利用者、アクセス期間、監査ログを調査し、不正な同意を取り消すことが示されています。

パスワード変更だけでは不十分

OAuthトークンやアプリケーション権限が残っている場合、パスワード変更後もアクセスが続く可能性があります。

次の項目を確認します。

OAuth同意
アクセストークン
リフレッシュトークン
アプリケーションシークレット
証明書
サービスプリンシパル
付与されたロール

Microsoft Entra IDでは、リフレッシュトークンやサインインセッションを失効するための機能も提供されています。

問題10・11：PersistenceとBeaconing

Persistence

Persistenceは「永続化」です。

攻撃者が、再起動やパスワード変更後もアクセスを維持するための活動を指します。

覚え方は次のとおりです。

Persistence＝攻撃者が残す合鍵

Beaconing

Beaconingは「ビーコニング」です。

感染端末が、C2サーバーへ一定または類似した間隔で通信する挙動を指します。

覚え方は次のとおりです。

Beaconing＝攻撃者へ送る定期的な生存信号

用語だけで終わらせない

記述問題では、用語の意味だけでなく、目的や検知方法まで説明できるようにします。

Persistenceの解答例

攻撃者が、端末の再起動や認証情報の変更後も侵害環境へのアクセスを維持するために、不正なアカウントやサービスなどを登録する活動。

Beaconingの解答例

感染端末がC2サーバーへ生存確認や命令取得のため、一定又は類似した間隔で繰り返し通信する挙動。

問題12：サプライチェーンとMSP対策

正解

顧客ごとに管理アカウントを分離する
リモート管理へフィッシング耐性MFAを導入する
必要な時間だけ権限を付与して操作を記録する

なぜ保守事業者が狙われるのか

保守事業者やMSPは、複数の顧客環境へ接続できる場合があります。

攻撃者が保守事業者を侵害すると、一つの組織から複数顧客へ到達できる可能性があります。

CISAなどの共同ガイダンスは、MSPアカウントへのMFA、認証失敗の監視、顧客環境ごとのアカウント管理、ログ管理などを推奨しています。

危険な設計

全顧客で共通の管理者ID
全顧客で共通のパスワード
常時接続されたVPN
過剰な管理権限
操作ログなし

一つの認証情報が漏れるだけで、複数環境へ影響が広がります。

推奨設計

顧客ごとのアカウント分離
        ＋
フィッシング耐性MFA
        ＋
接続元制限
        ＋
必要時だけの権限
        ＋
操作ログ

問題13：APT調査に必要なログ管理

正解

認証、VPN、DNS、Proxy、EDR、クラウドログを集約する
各機器の時刻を同期する
ログを保護された別環境へ転送する

ログを集約する理由

APT攻撃は、複数のシステムにまたがります。

VPNログ
  ↓
認証ログ
  ↓
端末ログ
  ↓
Active Directoryログ
  ↓
Proxy・DNSログ
  ↓
クラウド監査ログ

端末だけを調べても、VPNへの侵入やクラウド上の操作は確認できません。

CISAは、アプリケーション、アクセス、セキュリティのログを有効化し、中央システムへ集約することを推奨しています。

時刻同期が重要な理由

各機器の時計がずれていると、イベントの前後関係を正しく判断できません。

例として、実際には次の順序だったとします。

10:00 VPNログイン
10:03 サーバー接続
10:05 管理者権限取得

サーバーの時計が10分ずれていると、ログ上では管理者権限取得がVPNログインより前に見える可能性があります。

ローカルログだけでは不十分

攻撃者が管理者権限を取得すると、端末内のログを削除する可能性があります。

そのため、ログはリアルタイムまたは短い間隔で、別の保護された環境へ転送します。

問題14：安全に復旧するための条件

正解

脆弱性や設定不備が修正されている
パスワード、鍵、トークンが失効されている
信頼できるイメージから再構築されている
EDRや監査ログが正常に動作している

復旧前に確認する順番

1. 侵入経路を特定する
2. 脆弱性や設定不備を修正する
3. 不正アカウントと永続化を除去する
4. 認証情報を失効・更新する
5. 信頼できる状態から再構築する
6. 監視を有効化する
7. 段階的に業務へ戻す
8. 再侵入の有無を監視する

なぜ先に侵入経路を閉じるのか

脆弱性を残したままサーバーを再構築すると、攻撃者が同じ方法で再侵入する可能性があります。

盗まれたVPNアカウントやOAuthトークンを残したまま復旧しても、同じ問題が起きます。

バックアップも無条件には信用しない

バックアップの取得時点ですでに侵入されていた可能性があります。

次の項目を確認します。

バックアップ取得日時
最初の侵入時刻
バックアップ内の不審ファイル
永続化設定
復元後の通信
EDRの検知結果

問題15：APTグループの特定とアトリビューション

正解

マルウェアの類似性だけでは攻撃主体を確定できない
攻撃手法、インフラ、標的、活動時間などを総合評価する

アトリビューションとは

アトリビューションは、攻撃を行った主体を推定することです。

調査では、次の情報を組み合わせます。

使用されたマルウェア
コードの特徴
攻撃手法
C2インフラ
標的となった業界
活動時間帯
使用言語
過去の攻撃との類似性
攻撃者の目的

一つの証拠で断定できない理由

マルウェアは、他の攻撃者に流用される可能性があります。

IPアドレスは、乗っ取られたサーバーやクラウドサービスである可能性があります。

言語設定やコメントは、意図的な偽装かもしれません。

そのため、次のように確度を示します。

確定
高い確度
中程度の確度
低い確度
現時点では判断不能

試験でも、「一つのIOCだけで攻撃者を断定する」という選択肢は不適切です。

記述問題で使える解答の組み立て方

情報処理安全確保支援士試験の記述問題では、知っている用語を並べるだけでは不十分です。

次の型を使うと、短く具体的に説明できます。

対策を問われた場合

何を
どのようにして
何を防止・確認するか

悪い解答

MFAを導入する。

改善例

VPNへフィッシング耐性のあるMFAを導入し、盗まれたパスワードだけでは接続できないようにする。

初動対応を問われた場合

対象
操作
目的

改善例

不審端末をネットワークから隔離し、C2通信と他端末への横展開を防止する。

ログ確認を問われた場合

どのログで
何を確認し
何と照合するか

改善例

VPNログで接続元IPアドレスと時刻を確認し、職員の利用記録及びIdPの認証ログと照合する。

復旧条件を問われた場合

原因への対処
認証情報への対処
安全性の確認

改善例

悪用された脆弱性を修正し、侵害された認証情報を失効した後、信頼できるイメージから再構築する。

問題を解くときの共通判断基準

「すべて」「完全に」という選択肢を疑う

セキュリティ製品一つですべてを防げるという説明は、通常は不適切です。

例：

WAFですべてのAPTを防げる
EDRでVPN脆弱性を修正できる
IPアドレスを一つ遮断すれば解決する
パスワード変更だけで完全に復旧する

証拠を消す操作を選ばない

次の操作は、初動として不適切になる可能性があります。

調査前の初期化
不審ファイルの即時削除
ログ消去
無計画な再起動
感染端末からのパスワード変更

ただし、破壊活動が進行している場合などは、証拠保全より被害抑止を優先する判断もあります。

実務では、事業影響と攻撃状況を踏まえて判断します。

単一のログだけで断定しない

認証ログ
＋
端末ログ
＋
ネットワークログ
＋
クラウドログ
＋
運用記録

複数の情報を組み合わせることが重要です。

動作確認・学習確認

この記事を読んだ後、次の質問へ答えられるか確認してください。

正規アカウントの不正利用を何から判断するか
隔離と証拠保全を並行する理由は何か
Persistenceとは何か
WindowsイベントID 4624、4672、7045は何を示すか
Beaconingとはどのような通信か
情報持ち出しの前にどのような準備が行われるか
WAF、IPS、EDRの役割はどう違うか
OAuthアプリ侵害でパスワード変更だけでは不十分な理由は何か
ログの時刻同期が必要な理由は何か
復旧前に侵入経路を閉じる理由は何か

答えられない項目があれば、該当する章へ戻って確認してください。

注意点・よくある誤解

APTは必ず未知のマルウェアを使うわけではない

攻撃者は、正規アカウント、VPN、PowerShell、クラウドサービスなど、通常業務でも使われる仕組みを悪用します。

アラートがないことは安全を意味しない

ログが収集されていない、監視対象外である、正規操作に見えているなどの理由で、アラートが発生しない場合があります。

IOCが見つからなくても侵害を否定できない

攻撃者は、IPアドレス、ドメイン、ファイルハッシュを変更できます。

IOCだけでなく、操作や通信の振る舞いを確認します。

復旧と調査は別の作業ではない

調査結果が不十分な状態で復旧すると、侵入経路や永続化が残る可能性があります。

NIST SP 800-61 Rev.3も、検知、対応、復旧を組織の継続的なリスク管理へ組み込む考え方を採用しています。

まとめ

APT攻撃は、マルウェアを一つ発見して削除すれば終了する問題ではありません。

攻撃者は、正規アカウント、VPN、クラウド、スケジュールタスク、サービスなどを組み合わせます。

試験問題を解くときは、次の流れを意識してください。

入口はどこか
  ↓
どのようにアクセスを維持したか
  ↓
どの認証情報を盗んだか
  ↓
どこへ横展開したか
  ↓
何を収集・持ち出したか
  ↓
どのログで確認できるか
  ↓
どう隔離・失効・復旧するか

特に重要なのは、次の5点です。

正規アカウントでも利用状況の異常を確認する
初動では隔離と証拠保全を並行する
端末だけでなくID・クラウドまで調査する
単一のセキュリティ製品へ依存しない
侵入経路を閉じてから安全に復旧する

FAQ

APTと標的型攻撃は同じですか？

完全に同じ意味とは限りません。

標的型攻撃は、特定の組織や個人を狙った攻撃です。APTは、侵入後も長期間活動し、目的達成までアクセスを維持する脅威や攻撃活動を表します。

イベントID 4672があれば侵害されていますか？

いいえ。

4672は、特別な権限が割り当てられたログオンで記録されます。正規の管理者操作やシステム処理でも発生するため、アカウント、時刻、ログオンID、操作内容と照合します。

7045が記録されていれば不正サービスですか？

いいえ。

正規ソフトウェアやドライバーの導入でも7045が記録される場合があります。サービス名、実行ファイル、署名、導入記録を確認します。

EDRを導入すればAPTを防げますか？

EDRは端末上の攻撃を検知する重要な対策ですが、VPN装置、クラウドアカウント、EDR未導入機器などは別の対策が必要です。

パスワードを変更すればOAuthアプリの侵害も解決しますか？

パスワード変更だけでは不十分な場合があります。

アプリへの同意、トークン、シークレット、証明書、付与された権限を確認して失効します。

APT攻撃者をIPアドレスから特定できますか？

IPアドレスだけでは特定できません。

侵害されたサーバー、VPN、クラウドサービスが中継地点として使われる可能性があります。攻撃手法、標的、インフラ、マルウェアなどを総合的に評価します。

参考情報

IPA「情報処理安全確保支援士試験」：試験対象者、出題形式、2026年度のCBT方式に関する公式情報。
IPA「試験要綱・シラバス」：試験で求められる知識・技能の公式資料。
MITRE ATT&CK「Persistence」：永続化に使用される戦術と技術。
MITRE ATT&CK「Valid Accounts」：正規アカウントを悪用する手法。
MITRE ATT&CK「External Remote Services」：VPNなどの外部リモートサービスを悪用する手法。
MITRE ATT&CK「Exfiltration Over Web Service」：Webサービスを利用した情報持ち出し。
NIST SP 800-61 Rev.3：サイバーセキュリティインシデント対応の推奨事項。
Microsoft Learn：WindowsイベントID 4624、4672、7045の公式情報。

出典・最終確認（2026年7月31日）

APTの公式分類とインシデント対応手順

APTは単一の製品名や攻撃手法ではなく、複数の戦術・技術を組み合わせた継続的な活動として評価します。試験解説の対応判断はNISTのインシデント対応手順とも照合してください。