組織のインフラストラクチャの脆弱性を特定するための脅威モデルを作成する場合、悪用されたことが知られている脆弱性を持つ外部向けインフラストラクチャを優先することが重要です。その理由は次のとおりです。
* 攻撃への露出: 外部に面したインフラストラクチャはインターネットに直接公開されているため、攻撃者の主なターゲットとなります。この層に脆弱性があると、組織のセキュリティに即時のリスクが生じます。
* 既知の悪用された脆弱性: すでに知られていて悪用されている脆弱性は、攻撃者によって積極的に使用されているため、より懸念されます。これらの脆弱性に対処すると、悪用されるリスクが大幅に軽減されます。
* リスク軽減: 悪用されたことが知られている脆弱性を持つ外部向けインフラストラクチャを優先することで、組織は最も差し迫った影響の大きい脅威を軽減し、全体的なセキュリティ体制を向上させることができます。
* 参考文献:
* Mike Chapple と David Seidl による CompTIA Security+ SY0-601 学習ガイド
* NIST 特別刊行物 800-30: リスク評価の実施ガイド
* OWASP 脅威モデリング チートシート

脅威インテリジェンス プラットフォームへの投資は、研究成果を運用化したいと考えている企業にとって最適な選択肢です。脅威インテリジェンス プラットフォームは、脅威データの収集、処理、分析を支援し、実用的な洞察を提供します。これらのプラットフォームは、ダーク ウェブ監視、ハニーポット、その他のセキュリティ ツールなど、さまざまなソースからのデータを統合し、脅威の状況の包括的なビューを提供します。
脅威インテリジェンス プラットフォームが必要な理由
* データ統合: ダーク ウェブ監視やハニーポットなどの複数のソースからのデータを統合し、分析と実用的な洞察の取得を容易にします。
* 実用的な洞察: 潜在的な脅威に関するリアルタイムのアラートとレポートを提供し、組織が積極的な対策を講じるのに役立ちます。
* 運用効率: 脅威の検出と対応のプロセスを合理化し、セキュリティ チームが重要な問題に集中できるようにします。
* 研究開発: 新たな脅威を継続的に監視および分析するためのプラットフォームを提供することで、研究成果の運用化を促進します。
その他のオプションは価値がありますが、同じレベルの統合および運用化機能を提供しません。
* A. ダークウェブ監視: 特定の脅威情報には役立ちますが、包括的な運用化が欠けています。
* C. ハニーポット: 特定の攻撃ベクトルの検出と分析には効果的ですが、より広範な脅威インテリジェンスには効果的ではありません。
* D. 継続的な敵対者エミュレーション: 防御のテストには重要ですが、脅威インテリジェンスの統合と運用には重要ではありません。
参考文献:
* CompTIA SecurityX 学習ガイド
* 「脅威インテリジェンス プラットフォーム」、ガートナー リサーチ
* NIST 特別出版物 800-150、「サイバー脅威情報共有ガイド」

複数の従業員が、採用担当者を装った同一人物から連絡を受けた状況は、まさにスピアフィッシング キャンペーンの典型です。その理由は次のとおりです。
* 標的型アプローチ: スピアフィッシングでは、組織内の特定の個人をターゲットにして、パーソナライズされた説得力のあるメッセージを送り、機密情報を漏らしたり、セキュリティを侵害する行為をしたりするように仕向けます。
* なりすまし: なりすまし (この場合は採用担当者) は、標的の個人の信頼を獲得し、攻撃が成功する可能性を高めるための、スピアフィッシングでよく使われる戦術です。
* 関連する連絡先: 複数の従業員が同じ人物から連絡を受けたという事実は、ソーシャル エンジニアリングを通じて複数の侵入ポイントを標的にして組織のセキュリティを侵害しようとする組織的な取り組みを示唆しています。
* 参考文献:
* Mike Chapple と David Seidl による CompTIA Security+ SY0-601 学習ガイド
* NIST 特別刊行物 800-61: コンピュータ セキュリティ インシデント対応ガイド
* OWASP フィッシング チートシート

* A. 許可リストの実装: 許可リスト (ホワイトリスト) は、ネットワーク通信を許可されたデバイスとアプリケーションのみに制限し、事前に承認されたトラフィックのみが許可されるようにすることで、攻撃対象領域を大幅に削減します。
* F. サイト間 IPSec VPN の実装: サイト間 VPN は、OT システムとベンダー間のデータ転送用の安全な暗号化トンネルを提供し、転送中のデータの傍受や改ざんを防ぎます。
その他のオプション:
* B. ネットワークの動作の監視: 異常を検出するのには役立ちますが、侵害や妨害行為のリスクを積極的に軽減するものではありません。
* C. 保存データの暗号化: デバイスに保存されているデータを保護するには重要ですが、ネットワーク通信のリスクには対処しません。
* D. ブート整合性チェックの実行: 起動時にシステムの整合性を保証しますが、進行中のネットワーク通信は保護しません。
* E. 毎日のヘルスチェックの実行: システムの健全性を維持するのに役立ちますが、ネットワークベースの侵害や妨害行為のリスクを直接軽減するものではありません。
参考文献:
* CompTIA Security+ 学習ガイド
* NIST SP 800-82、「産業用制御システム (ICS) セキュリティ ガイド」
* Eric D. Knapp と Joel Thomas Langill による「産業ネットワーク セキュリティ」

完全な解決策については、以下の説明を参照してください。
Explanation:
適切な場所のアクション項目を選択します。
* 認可サーバー:
* アクション項目: アクセスを許可する
* 説明: 認可サーバーの役割は、ユーザーを認証し、クライアント アプリケーションがリソースにアクセスするために使用できる認可コードまたはトークンを発行することです。アクセスを許可するには、サーバーがリソース所有者を認証し、クライアント アプリケーションに必要なトークンを提供する必要があります。
* リソース サーバー:
* アクション項目: 発行されたトークンにアクセスする
* 説明: リソース サーバーは、クライアント アプリケーションによって要求されたリソースを提供する役割を担います。リソース サーバーは、認可サーバーから発行されたトークンを検証し、クライアントが要求されたデータにアクセスするための適切な権限を持っていることを確認する必要があります。
* B2Bクライアントアプリケーション:
* アクション項目: 他のアプリケーションへのアクセスを許可する
* 説明: B2B クライアント アプリケーションは、ユーザーの資格情報を直接知る必要なしに、ユーザーに代わってアクセスを承認するための OAuth フローを処理する必要があります。これには、承認サーバーから承認トークンを取得し、それを使用してリソース サーバーへのアクセスを要求することが含まれます。
詳細な説明:
OAuth 2.0 は、Web アプリケーション、デスクトップ アプリケーション、携帯電話、リビング ルームのデバイスに特定の認証フローを提供するように設計されています。統合には、次のような複数の手順とコンポーネントが含まれます。
* リソース所有者（ユーザー）:
* アクセスされるデータとリソースはユーザーが所有します。
* クライアントアプリケーション（B2Bクライアントアプリケーション）：
* リソース所有者によって管理されているリソースへのアクセスを要求しますが、ユーザーの資格情報を直接処理することはありません。代わりに、OAuth フローを通じて取得されたトークンを使用します。
* 認可サーバー:
* リソース所有者の認証を処理し、認証が成功するとクライアント アプリケーションにアクセス トークンを発行します。
* リソース サーバー:
* クライアント アプリケーションがアクセスするリソースをホストします。リソースへのアクセスを許可する前に、認可サーバーによって発行されたアクセス トークンを検証します。
OAuth ワークフロー:
* リソース所有者がクライアント アプリケーションにアクセスします。
* クライアント アプリケーションは、認証のためにリソース所有者を認可サーバーにリダイレクトします。
* 認可サーバーはリソース所有者を認証し、クライアント アプリケーションへのアクセスを許可するための同意を求めます。
* 同意すると、認可サーバーはクライアント アプリケーションに認可コードまたはトークンを発行します。
* クライアント アプリケーションは、認証コードまたはトークンを使用して、リソース サーバーからリソースへのアクセスを要求します。
* リソース サーバーは認可サーバーでトークンを検証し、有効な場合は要求されたリソースへのアクセスを許可します。
参考文献:
* CompTIA Security+ 学習ガイド: OAuth を含むさまざまな認証および承認プロトコルに関する包括的な情報を提供します。
* OAuth 2.0 認可フレームワーク (RFC 6749): OAuth の詳細を説明した公式ドキュメント
2.0 フレームワーク、そのフロー、およびコンポーネント。
* OAuth 2.0 Simplified: Aaron Parecki による、OAuth 2.0 プロトコルの詳細かつわかりやすい説明を提供する書籍です。
OAuth ワークフロー内の各コンポーネントが指定された役割を果たすことを保証することにより、B2B クライアント アプリケーションは、最小権限の原則に従い、ユーザーの資格情報を危険にさらすことなく、必要なリソースに安全にアクセスできます。