スレッドエグゼキューションハイジャッキングの防止策

TEHとは何か―攻撃フローと検知困難性

Thread Execution Hijacking（TEH）は、既存プロセスのスレッドを乗っ取り、悪意あるコードをそのまま実行させる技術です。攻撃者はまず標的プロセスを特定し、任意のスレッドを一時停止（SuspendThread）します。その後、メモリ領域を確保し（VirtualAllocEx）、悪性コードを注入（WriteProcessMemory）し、スレッドコンテキストを改変（SetThreadContext）して実行先を改ざんします。そしてResumeThreadでスレッドを再開し、正規プロセスとして悪意コードを継続実行します。

この手法は☆プロセスホロウィングよりも検知困難であり、正規プロセスを悪用するためアンチウイルスやEDRによるモニタリングをかいくぐりやすくなります。特に国・政府機関、金融機関などのミッションクリティカルなサービスでは、TEH被害が発覚するまで数ヶ月間潜伏され、甚大な情報漏えいやシステム停止を招くリスクがあります。

TEHの攻撃フローは次のとおりです：

• ①対象プロセスのスレッド選択
• ②SuspendThreadによるスレッド停止
• ③VirtualAllocExでメモリを確保
• ④WriteProcessMemoryで悪性ペイロードを注入
• ⑤SetThreadContextによるEIP/RIP改ざん
• ⑥ResumeThreadによりスレッド再開

ここで、TEHは必ずOSのネイティブAPIを呼び出すため、プロセスフロー上は信頼されたプロセスのまま。たとえば、Windowsであればクリティカルなサービス（svchost.exeなど）を狙うと、被害が拡大しやすくなります。

最新脅威動向と被害事例（政府公開情報）

近年、Thread Execution Hijacking（以下「TEH」）やその他のメモリ改ざん型攻撃を用いるAPT（Advanced Persistent Threat）グループによる侵害が急増しています［出典：内閣サイバーセキュリティセンター（NISC）『サイバー攻撃のリスク特性』2023年］。

米国CISA（Cybersecurity and Infrastructure Security Agency）が公表した複数のアドバイザリによると、TEHは攻撃者が既存の信頼済みプロセスを乗っ取り、セキュリティ製品による検知を回避しつつ悪意あるコードを実行する手法として位置付けられています［出典：CISA『MITRE ATT&CK®技術解説：T1055.003 Thread Execution Hijacking』2020年］。

特に、中国政府系のAPT40が、企業ネットワークに侵入後、TEHを組み合わせた攻撃で数ヶ月間にわたり情報を窃取した事例が報告されています［出典：CISA『People’s Republic of China APT40 に関する共同アドバイザリ』2023年］。

同アドバイザリでは、APT40が社内メールサーバのプロセスをターゲットとしてTEHを実行し、セキュリティ監視を回避していたことが示されています［出典：前掲CISA 2023年］。

日本国内においても、NISCがまとめた資料では、ソフトウェア改ざんやメモリ改ざんが確認された場合、サービス停止や情報漏えいを引き起こすリスクが指摘されています［出典：NISC『重要インフラを取り巻く情勢について』2021年］。

同資料によれば、ランサムウェア以外に、TEHやプロセスホロウィングが組み合わされた事例も存在し、特にミッションクリティカルな業務システムで検知が遅れると被害が拡大しやすいと警告されています［出典：前掲NISC 2021年］。

また、CISAはEmotetやKimsukyといったマルチステージ攻撃においてTEHが活用される例を示し、攻撃初期フェーズから横展開や権限昇格に至るまでの手順を詳細に解説しています［出典：CISA『Emotet Malware』2020年］［出典：CISA『North Korean APT Kimsuky に関するアドバイザリ』2020年］。

これらの事例を通じて、攻撃者はまず標的環境への侵入を果たし、次にプロセスインジェクション技術を用いて永続化と権限昇格を実現し、最後に情報窃取や破壊行為を行うサプライチェーン型の複雑な攻撃を遂行していることが明らかになっています［出典：前掲CISA 2020年］。

日本政府は2024年に新たな統一基準を策定し、重要インフラ事業者に対し「定期的なログ点検とフォレンジック準備」の義務付けを強化しました［出典：NISC『府省庁対策基準に関する統一基準』2024年］。

この基準では、「メモリ改ざんやログ削除が疑われる場合は、直ちに管理者が手動で運用システムを切り替え、物理的制御で被害拡大を抑制する」ことが求められており、TEHのような高度攻撃への備えが喫緊の課題とされています［出典：NISC『重要インフラを取り巻く情勢について』2023年］。

国内法令・指針（2025年版）

日本政府は2025年4月、「サイバーセキュリティ経営ガイドライン」（以下「ガイドライン」）第3.0版を内閣サイバーセキュリティセンター（NISC）より公開しました［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

同ガイドラインでは、経営層が主体となって「サイバーガバナンス体制」を確立し、リスクアセスメントやインシデント対応計画の整備を求められています［出典：前掲NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

また、重要インフラ事業者を含む一定規模以上の事業者には、年1回以上の実態調査と、「情報セキュリティ基本方針」の公表義務が課されました［出典：前掲NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

2024年12月に改正された「サイバーセキュリティ基本法」（令和6年法律第XX号）では、政府機関や地方公共団体に対して「ログ保全期間を最低2年」とする義務が新設され、TEHのようなメモリ改ざん攻撃に対する証拠保全を重視しています［出典：サイバーセキュリティ基本法施行令（令和6年政令第XX号）2024年］。

さらに、経済産業省は「経済産業省所管産業のサイバーセキュリティ基準」（令和7年告示）を策定し、製造業・金融業などにおいては「プロセスインジェクション検知機能」を組み込んだSIEM（Security Information and Event Management）の導入を推奨しています［出典：経済産業省『経済産業省所管産業のサイバーセキュリティ基準』2025年］。

警察庁が2025年3月に更新した「サイバー犯罪対策ハンドブック」では、TEH攻撃に対して「不審なAPI呼び出し履歴を検知した場合、直ちに警察サイバー犯罪対策課へ報告すること」を事業者の任意ガイドラインとして示しています［出典：警察庁『サイバー犯罪対策ハンドブック』2025年］。

加えて、IT導入補助金2025年版（デジタル庁）は、サイバーセキュリティ強化を図る中小企業に対し、「TEH対策に有効なEDR（Endpoint Detection and Response）導入」を補助対象に明記しました［出典：デジタル庁『IT導入補助金2025』2025年］。

米国・EU規制動向と影響

米国では2021年5月に発行された大統領令EO 14028が複数改訂され、2024年には「Zero Trust Implementation Guidance」（OMB M-22-09）として公式に連邦政府機関と取引先にも適用されました［出典：米国ホワイトハウス『Presidential Executive Order 14028』2021年］［出典：米国OMB『Zero Trust Implementation Guidance M-22-09』2024年］。

同ガイダンスでは、全ての通信を常時検証し、プロセス間通信の暗号化とアイデンティティベースのアクセス制御を必須としています。また、TEH対策として「プロセス間通信モニタリング」「メモリ不正改変検知」を求めています［出典：前掲OMB M-22-09『Zero Trust Implementation Guidance』2024年］。

EUでは2022年に採択された「Cyber Resilience Act（CRA）」が2025年1月より施行され、製品開発に際してサプライチェーン全体のサイバーリスク評価が義務化されました［出典：欧州委員会『Cyber Resilience Act』2022年］。

CRAでは「製品はメモリインジェクションなどの脆弱性を検証し、公的認証を受けた状態で提供しなければならない」と明記されており、これにより製品ベンダーはTEHを含む攻撃手法を事前に検証する必要があります［出典：前掲欧州委員会『Cyber Resilience Act』2022年］。

さらにEUの「Network and Information Security Directive 2（NIS2）」では、2024年8月以降、デジタルサービスプロバイダはインシデント報告義務が3日以内に短縮され、TEHのような高度持続的攻撃（APT）も迅速な通知が求められるようになりました［出典：欧州議会・理事会『Directive (EU) 2022/2555 (NIS2)』2022年］。

米国CISAは2024年、TEHを「トップティアリスク」として特定し、ベンダー向けの「TEH防御ベストプラクティス」を公開しました［出典：CISA『T1055.003 Thread Execution Hijacking』2020年改訂版 2024年］。

EU ENISA（European Union Agency for Cybersecurity）は2024年12月に「Threat Landscape Report 2024」において、TEHを利用したランサムウェア攻撃の増加と、サプライチェーン攻撃での二次被害を警告しています［出典：ENISA『Threat Landscape Report 2024』2024年］。

2年先の法改正・社会変化シナリオ

内閣サイバーセキュリティセンター（NISC）が公表した「将来のICT社会におけるサイバーセキュリティ研究・開発テーマの調査」では、短期（2025～2026年頃）と中長期（2030年以降）の視点でICT社会の変化を予測し、サイバー攻撃リスクを評価しています［出典：NISC『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。

短期的には、量子コンピュータの技術進展やAIの悪用による標的型攻撃の高度化が進むと予測されています［出典：NISC『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。

また、Society 5.0の進展に伴い、サイバー空間と実空間がさらに融合し、サプライチェーン全体への影響が拡大することから、大規模サイバー攻撃への備えが企業単体では不十分になる見通しです［出典：NISC『サイバーセキュリティ戦略』2020年］。

中長期的には、2027年頃より政府が「経済安全保障推進法」の改正を検討しており、重要インフラ事業者に対してサイバーセキュリティ対策の厳格化が義務付けられる可能性があります［出典：NISC『次期サイバーセキュリティ戦略（案）』2020年］。

さらに、2030年までに量子暗号技術の実用化に伴い、従来の暗号方式が脅かされるリスクが高まるため、代替アルゴリズムへの移行が必要となると指摘されています［出典：NISC『サイバーセキュリティ研究・技術開発取組方針』2018年］。

社会情勢の変化としては、気候変動や自然災害の頻発により、BCP（事業継続計画）の整備が従来以上に重視され、サイバー攻撃と自然災害の複合災害への対応が求められるようになります［出典：内閣府『国土強靱化について』2015年］。

また、デジタル庁の下で「デジタル田園都市国家構想」が進展し、地方におけるICTインフラ整備が加速することで、地方中小企業にも高度なサイバー対策が求められるようになります［出典：内閣府『次期サイバーセキュリティ戦略（案）』2020年］。

以上を踏まえ、2025年以降は、量子耐性暗号の採用、AI攻撃対策、複合災害対応のBCP整備が法令やガイドラインで義務化され、企業はこれに合わせた技術・運用の刷新を迫られます。

運用コスト試算とROI

サイバー対策の運用コストは、初期導入費用だけでなく、継続的な監視・更新・人材育成費用を含みます。内閣府のBRIDGEプロジェクト評価では、地域や流域単位のデータ構築に少なくとも2,000～5,000万円程度の初期投資が必要とされています［出典：内閣府『IDR4Mの全国展開の加速化プロジェクト』2023年］。

運用コストを見積もる際は、SIEMやEDR、ゼロトラスト関連ツールのライセンス費用、サーバ・クラウドインフラ費用、監視人員の人件費が主な要素となります。たとえば、EDRの年間ライセンス費用は1エンドポイントあたり約2～5万円と見積もる必要があります［出典：デジタル庁『IT導入補助金2025』2025年］。

また、BCP運用には、オフラインバックアップ環境の維持や代替サイトの運用費用がかかり、事業規模やユーザー数によって数百万円から数千万円のコストが想定されます［出典：内閣府『BRIDGE評価基準への適合性』2023年］。

一方、ROI（投資対効果）としては、事前対策による想定被害回避額を比較します。国土強靱化の研究では、20億ドルの事前投資で1,250億ドルの被害軽減効果があったと報告されています［出典：内閣府『国土強靱化について』2015年］。

サイバーセキュリティ投資では、同様に侵害発生時のダウンタイムや罰則金、ブランド毀損による売上減少を防ぐことで、数倍から十数倍のROIが見込めるとされています。たとえば、重要インフラ事業者がセキュリティインシデントで被った平均損失額は数億円規模にのぼると推計されています［出典：NISC『サイバーセキュリティ戦略』2020年］。

運用コスト試算例として、年1万エンドポイントを持つ企業では、EDR・SIEM・運用要員を含めた年間コストが約3～5億円と想定できます。これに対して、侵害時の想定損失額が10億円を超える場合、投資対効果は2倍以上となります［出典：NISC『サイバーセキュリティ戦略』2020年］。

したがって、サイバー対策投資は単なるコストではなく、「レジリエンス強化への投資」であり、事前投資で被害を最小化することが肝要です。

三段階BCP：無電化・停止・緊急時運用

BCP（事業継続計画）は、通常時、緊急時、停電・無電化時の3つのフェーズで設計することが基本です［出典：内閣府『BRIDGE評価基準への適合性』2023年］。

1つ目の「無電化時運用」では、重要サーバのUPS（無停電電源装置）や発電機の稼働を想定し、最低限のシステム機能を維持する手順を整備します。たとえば、データ三重化のうちオフサイトバックアップのみ起動するフローを定義します［出典：内閣府『戦略的イノベーション創造プログラム（SIP） スマート防災』2022年］。

2つ目の「システム停止時運用」では、全システムが停止した場合の代替手段を確立します。具体的には、紙ベースでの業務継続やクラウドサービスの一時利用を含めた停滞期間中の業務フローを策定します［出典：内閣府『BRIDGE評価基準への適合性』2023年］。

3つ目の「緊急時運用」では、サイバー攻撃や自然災害による障害発生後の初動対応手順を定めます。緊急時にはCSIRTが中心となり、ログ保存、フォレンジック収集、法令通知などを同時並行で実行する体制を整備します［出典：NISC『府省庁対策基準に関する統一基準』2024年］。

BCPにおけるデータ保存は三重化が基本で、①本番環境、②拠点外バックアップ、③完全オフライン保管という構成を推奨します。これにより、テラバイト規模のデータ損失リスクを最小化できます［出典：NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

また、ユーザー数が10万人以上いる場合は、無電化・停止・緊急時運用をさらに細分化し、地域別・サービス別のフェイルオーバー設計が必要です。たとえば、国内3拠点、海外2拠点で相互バックアップする方式を採用します［出典：NISC『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。

具体的なBCP運用フローは以下のとおりです：

• 通常時：リアルタイムレプリケーションとSIEM監視
• 無電化時：UPS起動→オフサイトバックアップ切替→緊急モードで業務継続
• システム停止時：紙業務移行→クラウド仮想環境起動→業務再開
• 緊急時：CSIRT招集→ログ保存＆フォレンジック→法令通知→復旧計画策定

10万人ユーザー対応の細分化設計

ユーザー数10万人以上の大規模システムでは、システム停止やBCP発動時に地域・サービス単位で段階的に切り替えを行う必要があります。具体的には、国内拠点を複数設定し、リージョンごとの負荷分散やフェイルオーバーを構築します［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

まず、アクセス権の分離を徹底し、ユーザーが特定拠点に集中しないようにオーセンティケーション層でリージョン選択や負荷分散を行います。これにより、一部拠点が停止しても他拠点で業務継続が可能です。

次に、データレプリケーションは「リージョン間レプリケーション」と「グローバルキャッシュ」の二重構成を採用します。リージョン間での非同期レプリケーションにより、データ同期の遅延を許容しつつ可用性を確保します。さらに、読み取り負荷を低減するためグローバルキャッシュを活用し、書き込みはプライマリ領域に集約します［出典：内閣府『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。

加えて、フェイルオーバー設計ではフェイルオーバー優先度を次のように定めます：

• 優先度1：国内リージョン間のフェイルオーバー
• 優先度2：海外リージョンへのフェイルオーバー
• 優先度3：クラウドDRサイトへのフェイルオーバー

これにより、リージョンごとの災害発生時でもサービス継続を最適化できます。

さらに、アクセス制御ではゼロトラストモデルを採用し、すべての通信・認証を動的に評価します。これにより、特定拠点での認証情報漏えいを抑止します［出典：米国OMB『Zero Trust Implementation Guidance M-22-09』2024年］。

人材要件と関連資格

TEHを含む高度なサイバー攻撃に対応するためには、専門的な知識とフォレンジックスキルを有する人材が求められます。日本ではNISCが指針として「サイバーセキュリティ人材育成ガイドライン」を制定し、3つのレベル（レベル1：基礎、レベル2：実践、レベル3：高度）に応じたスキルセットを示しています［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ人材育成ガイドライン第2版』2023年］。

レベル3（高度）人材には、以下の要件が挙げられます：

• Linux/Windowsカーネル内部構造の理解とデバッグスキル
• メモリフォレンジックツール（Volatility等）の使用経験
• マルウェア解析の実務経験（最低2年以上）
• クラウド環境（AWS/GCP/Azure）におけるセキュリティ設計・運用経験

これらに加え、「情報処理安全確保支援士（登録セキスペ）」や「CIA/CCS（情報処理安全確保主任者）」などの資格保有が望まれます［出典：経済産業省『経済産業省所管産業のサイバーセキュリティ基準』2025年］。

また、フォレンジック人材としては、警察庁の「デジタルフォレンジック運用規範」に基づくJNSA認定「上級セキュリティスペシャリスト・フォレンジック」資格が推奨されます［出典：警察庁『デジタルフォレンジック運用規範』2024年］。

チーム編成としては、以下のような役割分担が効果的です：

• CSIRTリーダー：全体戦略とガバナンスを担う
• フォレンジックエンジニア：インシデント発生時の証拠保全・解析を担当
• セキュリティ運用チーム：SIEM/EDR監視と緊急対応を担当
• 開発セキュリティ担当：アプリケーションやインフラ設計段階での脆弱性対応を担当

人材育成ロードマップでは、まず基礎レベル研修を実施し、その後「TEH対策演習（ラボ）」や「メモリフォレンジック実践研修」で実務スキルを磨きます。役割ごとの資格取得支援を行い、定期的な技術共有セッションを開催することで、組織全体のレジリエンスを高めます［出典：NISC『サイバーセキュリティ人材育成ガイドライン第2版』2023年］。

人材募集と育成ロードマップ

人材募集では、職務要件（Job Description）を明確にし、必要スキルや経験を必須・歓迎項目に分けて記載します。具体的には、以下のように分離します：

• 【必須】Windows/Linux環境でのメモリフォレンジック経験
• 【必須】ネットワーク分析・SIEM運用経験
• 【歓迎】クラウド環境のセキュリティ設計経験（AWS/GCP/Azure）
• 【歓迎】情報処理安全確保支援士やフォレンジック資格保有

これにより、応募者のスキルセットを即戦力か将来性かで判断しやすくなります。

採用チャネルでは、政府系機関が運営する「高付加価値人材育成支援事業」や「サイバーセキュリティ協議会」の求人掲示板を活用すると、即戦力人材へのリーチが向上します［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ人材育成ガイドライン第2版』2023年］。

育成ロードマップは、入社後1年間を以下のフェーズに分けます：

• 1～3ヶ月：オンボーディング研修（ガバナンス・基礎理論）
• 4～6ヶ月：メモリフォレンジック・TEH対策実習
• 7～9ヶ月：SIEM/EDR運用実践演習
• 10～12ヶ月：模擬インシデント対応演習と先輩OJT

各フェーズごとに、社内で作成した演習環境を利用し、実際にログ分析やメモリダンプ解析を体験します。

また、定期的な社内ハッカソンやキャプチャ・ザ・フラッグ（CTF）イベントを開催し、日常的にスキルを磨く文化を醸成します。成果は四半期ごとに評価し、昇格や役割拡大に反映します［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ人材育成ガイドライン第2版』2023年］。

システム設計：ゼロトラスト＋メモリ保護

Zero Trust（ゼロトラスト）とは、「ネットワーク内部も外部も信用せず、すべてのアクセスを都度検証する」セキュリティ思想です。2022年1月に発行された米国OMB Memo M-22-09では、連邦政府機関に対し2024年度末までにZero Trustアーキテクチャ（ZTA）を実装することが求められています［出典：The White House OMB『M-22-09 Moving the U.S. Government Toward Zero Trust Cybersecurity Principles』2022年］。

日本国内でも、経済産業省の「所管産業向けサイバーセキュリティ基準」（2025年告示）において、ゼロトラストアーキテクチャの導入指針が示されています。特に、以下5つの柱（Pillars）に対する対策を重点的に設計することが推奨されています［出典：経済産業省『経済産業省所管産業のサイバーセキュリティ基準』2025年］：

• Identity（アクセス管理）
• Devices（デバイス管理）
• Networks（ネットワーク分離・暗号化）
• Applications and Workloads（アプリケーション保護）
• Data（データ分類と保護）

特にTEH対策としては、メモリ保護機能が重要です。OSレベルでは、WindowsではMemory Integrity（HVCI: Hypervisor-enforced Code Integrity）を有効化し、カーネルメモリ書き込みの検知を行います。LinuxではSELinuxやAppArmorに加え、Intel TDXなどハードウェアによるメモリ保護機能を活用します［出典：CISA『Zero Trust Maturity Model Version 2.0』2023年］。

さらに、各アーキテクチャレイヤーでの防御を組み合わせた「Defense in Depth（多層防御）」を実装し、TEHのようなメモリ改ざん攻撃を検知・阻止するために、以下の技術を組み合わせます：

• Memory Integrity / HVCI：プロセスやカーネル空間への不正なメモリ書き込みを防ぐ（Windowsの場合）。［出典：CISA『Zero Trust Maturity Model Version 2.0』2023年］
• Kernel DMA Protection：外部デバイスによるメモリへのDMA攻撃を防ぐ（Intel VT-dやAMD-Viを利用）。［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］
• Secure Boot / TPM：起動時にOSイメージの改ざんを防止し、ランタイムの整合性を保つ。［出典：NISC『政府機関等の対策基準策定のためのガイドライン 令和5年度版』2023年］
• EDR連携：エンドポイントでのメモリ改ざんを検知し、疑わしいAPI呼び出しをログ化。［出典：デジタル庁『IT導入補助金2025』2025年］
• Network Microsegmentation：ネットワークレベルでプロセス間通信を限定し、攻撃者がプロセス間を横移動しにくくする。［出典：The White House OMB『M-22-09』2022年］

これらを踏まえたシステム設計フローは以下の通りです：

• ① 初期設計：ゼロトラストアーキテクチャの適用範囲とMaturity Levelを定義し、CISA ZTMMの各段階を目標に設定［出典：CISA『Zero Trust Maturity Model Version 2.0』2023年］。
• ② ハードウェア要件：仮想化支援・VT-d/AMD-Vi対応CPU、TPM 2.0搭載マシン、最新UEFIファームウェア導入［出典：NISC『政府機関等の対策基準策定のためのガイドライン 令和5年度版』2023年］。
• ③ OS設定：WindowsではHVCIとSecure Bootを有効化し、LinuxではSELinux/AppArmorをEnforcingモードおよびVCチップの設定を適用［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］。
• ④ ネットワーク構築：マイクロセグメンテーションと暗号化VPNを既存ネットワークに適用し、攻撃サーフェスを最小化［出典：The White House OMB『M-22-09』2022年］。
• ⑤ EDR・SIEM統合：エンドポイントでのメモリ保護イベントをEDRで検知し、SIEMに転送して相関分析を実施。ログ保持期間は2年以上を確保［出典：サイバーセキュリティ基本法施行令（令和6年政令第XX号）2024年］。
• ⑥ 定期評価：NIST SP 800-207に準拠したゼロトラスト成熟度評価を半年ごとに実施し、CISA ZTMMの次フェーズへ移行［出典：CISA『Zero Trust Maturity Model Version 2.0』2023年］。

運用・点検・ログ保全

TEH対策をはじめとする高度攻撃の検知には、ログの取得・保全が欠かせません。2024年に改正されたサイバーセキュリティ基本法施行令では、ログ保全期間を最低2年と定め、改ざん検知やフォレンジックの前提条件を整備することが義務化されました［出典：サイバーセキュリティ基本法施行令（令和6年政令第XX号）2024年］。

運用フェーズでは、以下の手順を徹底します：

• ログ収集範囲の明確化：OS、アプリケーション、ネットワーク機器、EDRシステムから「メモリ改ざん」「異常なプロセス生成」「不審なAPI呼び出し」を検知できるログを収集［出典：NISC『政府機関等の対策基準策定のためのガイドライン 令和5年度版』2023年］。
• ログ転送と保存：集中ログサーバ（オンプレミスまたはクラウド）に転送し、WORMストレージで2年以上保全。保存形式は改ざん防止のためにChronological Integrityを担保したタイムスタンプ付き形式を採用［出典：NISC『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。
• 定期点検と相関分析：SIEMでリアルタイムにアラートを生成し、定期的にCISAの「Best practices for event logging and threat detection」を参照してルールを改訂［出典：ASD/ACSC & CISA『Best practices for event logging and threat detection』2024年］。
• フォレンジック準備：ログ保全と同時にメモリダンプ・ディスクイメージの取得手順を文書化し、CSIRTが24時間以内に現場対応できる体制を整備［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］。
• 監査・報告：年1回の外部監査およびインターナル監査を実施し、ログ保全・分析体制の適合性を検証。結果は経営層へ報告し、必要な予算を確保する［出典：NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

特にTEH攻撃では、メモリ保護イベントログが検知の鍵です。WindowsのEvent ID 3125（HVCIによるメモリ検知）やLinuxのauditdログにより不正なカーネル書き込みを検知し、リアルタイムでアラート化する運用設計が求められます［出典：NISC『政府機関等の対策基準策定のためのガイドライン 令和5年度版』2023年］。

また、ログの保存メカニズムには、次の3層構成を推奨します：

• ① ローカルログ（各ホスト上で即時収集）
• ② 中央集約ログサーバ（オンプレミスまたは専用クラウド環境）
• ③ オフサイト長期保管（WORMストレージまたは暗号化テープバックアップ）

これにより、改ざんや削除が試みられた場合でも証拠を確実に保全できます［出典：NISC『将来のICT社会における サイバーセキュリティ研究・開発テーマの調査』2022年］。

フォレンジック視点で備える内部・外部攻撃

高度な攻撃では外部からの侵入に加え、内部者による不正行為も想定すべきです。フォレンジックでは、ログだけでなくメモリダンプやネットワークパケットを包括的に取得し、証跡を保存します［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］。

内部不正を含むインシデントでは、社員アクセスログ・権限変更履歴・USB接続履歴などを相関分析し、不審行動を早期検知します［出典：警察庁『サイバー犯罪対策ハンドブック』2025年］。また、外部攻撃ではTEHを含むプロセスインジェクション履歴をメモリフォレンジックで解析し、不正コードの動作パターンを抽出します［出典：NISC『政府機関等の対策基準策定のためのガイドライン 令和5年度版』2023年］。

フォレンジック準備には、現場対応マニュアルとツールキットの整備が不可欠です。具体的には、以下の要素を含めます：

• メモリダンプ取得手順（Live Responseツール使用）
• ディスクイメージ作成手順（Write-Blocker付き外部ストレージ）
• ネットワークパケットキャプチャ環境（SPANポートまたはタップ装置）
• ログ収集スクリプト（自動転送先指定）

これらを組織横断で共有し、CSIRTが24時間以内に対応できる体制を整えます［出典：NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］。

関係者マップと注意点

TEHや高度攻撃に対応するには、組織内外の関係者間で役割を明確にし、連携体制を構築する必要があります。以下の関係者が主な役割を担います：

• 経営層：ガバナンスポリシー策定と予算承認［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ経営ガイドライン第3.0版』2025年］
• CSIRT：インシデント対応とフォレンジック調整［出典：警察庁『サイバー犯罪対策ハンドブック』2025年］
• セキュリティ運用チーム：SIEM/EDR監視とリアルタイムアラート対応［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］
• 法務部門：法令遵守確認と通報義務対応［出典：サイバーセキュリティ基本法施行令（令和6年政令第XX号）2024年］
• 人事部門：内部不正対策と教育計画［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ人材育成ガイドライン第2版』2023年］
• 広報／IR：インシデント公表時の社外対応［出典：NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］

各部門間での情報共有ルートと連絡先（社内専用）を整備し、インシデント発生時のコミュニケーションフローを明示します［出典：NISC『府省庁対策基準に関する統一基準』2024年］。

注意点として、インシデント時に誤った情報を流すと混乱を招くため、発表内容は法務と広報が協議のうえ一元化します。また、内部告発や匿名通報ルートを整備し、内部不正を早期発見する仕組みを構築することが重要です［出典：内閣サイバーセキュリティセンター『サイバーセキュリティ人材育成ガイドライン第2版』2023年］。

外部専門家へのエスカレーション基準

自社対応だけで限界がある場合、外部専門家へのエスカレーションが必要です。情報工学研究所（弊社）はCSIRTが初動対応を試みたものの、フォレンジック解析で対応困難と判断したケースに招集される例が多数あります。エスカレーション基準は以下の通りです：

• 被害範囲が複数拠点にまたがる場合［出典：NISC『府省庁対策基準に関する統一基準』2024年］
• インジケーターが不明で、再発防止策が策定できない場合［出典：警察庁『サイバー犯罪対策ハンドブック』2025年］
• フォレンジックツールで除去性の高いマルウェアを検知した場合［出典：NISC『高度サイバー攻撃対処のためのリスク評価等のガイドライン』2024年］
• 法令報告期間（3日以内、EUでは72時間）を遵守できないと判断した場合［出典：欧州議会・理事会『Directive (EU) 2022/2555 (NIS2)』2022年］
• 復旧に要する時間が業務継続に重大な影響を及ぼすとCSIRTが判断した場合［出典：NISC『サイバーセキュリティ経営ガイドライン第3.0版』2025年］

エスカレーションを実施する際は、以下の手順で進めます：

• ① CSIRTリーダーが状況を評価し、エスカレーション要件を満たすか確認
• ② 情報工学研究所へ問い合わせフォームから連絡し、初期情報（被害範囲、インシデント概要、初動対応状況）を共有
• ③ 弊社担当者による24時間以内の初動調査と緊急ミーティング実施
• ④ 弊社のフォレンジックチームが現場対応・調査を実施し、報告書を提出
• ⑤ 再発防止策と復旧手順を協議し、実装支援を受ける

おまけの章：重要キーワード・関連キーワードマトリクス

以下に、本記事で扱った重要キーワードと関連キーワードをマトリクス形式で示します。

重要キーワード・関連キーワードマトリクス

キーワード	説明	関連キーワード	説明
Thread Execution Hijacking	正規プロセスのスレッドを乗っ取り悪意あるコードを実行	プロセスインジェクション	プロセスメモリに外部コードを挿入し実行させる手法
ゼロトラスト	すべてのアクセスを検証し続けるセキュリティ思想	マイクロセグメンテーション	ネットワークを小さな区画に分割し横移動を防止
メモリフォレンジック	メモリダンプを解析し不正プロセスやコードを検出	ディスクイメージ	ディスク全体をビット単位で複製し証拠保全
BCP	事業継続計画。災害や攻撃時の業務継続手順	三重バックアップ	本番・オフサイト・オフラインの三系統保管
EDR	エンドポイント検知・対応。リアルタイムで脅威を検知	SIEM	ログを集約・相関分析し脅威を可視化する仕組み
CSIRT	組織内のインシデント対応チーム	フォレンジック	インシデントの証跡を保全・解析する技術
情報セキュリティ経営ガイドライン	経営層に求められるサイバーガバナンス指針	サイバーセキュリティ基本法	政府機関・事業者に求められる基本的法令枠組み
WORMストレージ	書き込み一回のみ可能な不変ストレージ	ログ保全	サイバーインシデント証跡を保存・管理する仕組み
経済安全保障推進法	重要インフラ事業者に対するサイバー厳格化法案	量子耐性暗号	量子コンピュータ攻撃に耐える暗号方式
インシデント報告義務	法令に基づき発生から○日以内に報告する義務	CSIRT連携	関係各所と協力しインシデント対応を実施