JITA

なんだかんだでサイバーセキュリティの仕事してます。底辺管理職

●資格
OSEP/OSCP/OSWP/OSWA/OSTH/OSIR/支援士/ネスペ/MS系
●ちょっとだけ得意
IR、アーキ、M365/Azure、OT、内部不正対策、WebApp
●まあまあわかる
AWS、診断系
●苦手
セキュリティチェックシート、監査

[JITA @ff_0000_ff]

ISOやIECなどの有料フレームワーク系に携わるといつも思うが、NISTってすごいよな。無料かよと。ふるさと納税したいわ

[JITA @ff_0000_ff]

@yuzuha4355 残念ながら私の観測範囲では全く対応進めてないですね〜
「他社の状況を注視する」というポーズだけ撮ってるところが多い印象です

[JITA @ff_0000_ff]

Purview記事の第二弾書きましたーー

[JITA @ff_0000_ff]

https://t.co/oZGiLD5dED

[JITA @ff_0000_ff]

次世代型ファイアウォール
次世代型アンチウイルス

[Keisuke Nishitani @Keisuke69]

ITエンジニアでそれなりのキャリアがあるのでわかってるフリしてるけど実はよくわかってないもの選手権2026

[JITA @ff_0000_ff]

"セキュリティ投資"という言葉が気持ち悪いと感じたことある人へ
https://t.co/mIgKa8NqQc

[JITA @ff_0000_ff]

https://t.co/oZGiLD5dED

[JITA @ff_0000_ff]

最近、自分がエンジニアなのかコンサルタントなのか営業なのかわからなくなくて自我が崩壊しかけていたが、これは良い傾向なのかもしれない。複数軸で経験できているのかなと。

[JITA @ff_0000_ff]

サービスは止まるものという常識を作っていかなくてはいけない。金融に限らずこれはまじ。

少しのシステム停止で炎上したり過度な株価への影響がある世界では、パッチ適用のためのシステム停止や不審な挙動があった時の停止措置が行えなくなる。

機密情報漏洩に至る手前で停止できたのであればむしろ賞賛される世界を目指したい。

そして本来批判されるべきは攻撃者だというスタンスを忘れてはならない。

[日本経済新聞 電子版（日経電子版） @nikkei]

金融サービスは止まるもの、ミュトスで変わるサイバー防御
https://t.co/yDuZCGDrKQ

[JITA @ff_0000_ff]

セキュリティ業界にいると想像もつかないが、

「不審なメールを受信した→開かないっていう」

思考回路は普通ではないんですよね。

「不審だなー、でも開いて確かめよっ」

って人が一定数いるので「不審なメールは開かない」という教育は大事だったりします。

フィッシングメールも巧妙になってきてるので、不審じゃないメールは問答無用で開いていいのかというとそうではないという点は同意です。

[Haruhiko Okumura @h_okumura]

> 不審なメールは開かない

不審かどうか判断できないので無理なんですよね

[JITA @ff_0000_ff]

AI for Securityが展開しやすいかどうかを見極めるポイントのひとつは「AIを実稼働環境で動かす必要がない」こと。

技術的にはとっくに凄腕エンジニアを超えている中で、本番環境で自律的なアクションをさせることに対する抵抗がなくなるのにはもう少し時間がかかる。

・ソースコード診断/テスト環境サイトへの診断/クライアントアプリ解析
・脅威ハンティング/脅威検知/アラートトリアージ
・脆弱性管理/資産管理/ASM
この辺りは本番稼働に影響が少なく実装ができる一方で、

・ペネトレーションテスト
・OTセキュリティ
・EDR/SOAR(封じ込め)
はどうしてもAIが入り込むことに抵抗感があるというのが現状とみてる。

仮にLLMが軽量にローカルで動かせるようになったとして、「うちのEDRは LLMでマリシャス判定してブロックします」と言われて、入れようと思う人がどのくらいいるのかという話。

AIの実装側に周るか、AIができない領域にフォーカスするか、悩ましい。

[JITA @ff_0000_ff]

サイバーセキュリティの根本対策はもはや技術者がどうこうするレベルではないと思うんだよな。

ただでさえ逮捕できない(可能性が高い)という現代のバグがあることに加え、AIにより質・速度が増しすぎている。

Torとか仮想通貨とか、間接的に加担してしまっているプラットフォームにアプローチはないのだろうか。こういう研究してる人いそうだけどどうなんだろ。

[JITA @ff_0000_ff]

これ本当に深刻です。数年前から正規のクラウドサービスをC&Cとして使うAPTが観測されています。

OneDriveが紹介されてますが、ExchangeやGoogleカレンダーなど様々なサービスが悪用されています。

SWGなどでマリシャス判定されないのはもちろん、NW構成によってはローカルブレイクアウトされてしまっておりログに残らない点が厄介です。

対策としては、↓が挙げられますが、どれも完璧に防げるものではありません。
・不要なクラウドサービスはSWGでブロックける
・テナント制限(Tenant Restriction)をかける
・EDRなどでネットワークログを取得

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

中国系の攻撃グループが、MicrosoftのOneDriveをそのまま指令サーバー（C2）に悪用する新バックドア「GraphWorm」を投入したとの報告です。被害者ごとに専用フォルダを作り、3つのサブフォルダで指令の受け取り・実行結果の返送・ファイル保管を分担する設計。

感染端末がやり取りするのは公式クラウドへの通常のファイル操作に見えるため検知を逃れやすい背景です。

攻撃元は標的を長期間しつこく狙うAPT（高度標的型攻撃）グループ「Webworm」によるもの。

4月に紹介したOutlook受信トレイをC2に使うLinuxバックドアと同じ「正規クラウドをC2にする」系統で、別のグループでも同種の手口が観測された形です。

Discord、Outlook、OneDriveと、正規クラウドをC2に転用する手口が短期間に複数の攻撃グループで観測されています。
通信先が信頼されたサービスそのものになるため、宛先が正規かどうかだけでは見抜きにくい一例です。

【要点の整理】

・出典：ESET（WeLiveSecurity、2026/5/20公開）。Webwormは2022年にSymantecが初めて報告した中国系APTで、当初はアジアを狙っていたが近年は欧州へ標的を移し、2025年はベルギー・イタリア・セルビア・ポーランドの政府機関を狙い、南アフリカの大学を侵害。

・GraphWormの動作（検体名C2OverOneDrive）：初回起動時に、ネットワークアダプタのIPやCPUのID、機器のシリアル番号を組み合わせて端末ごとの固有IDを作り、それを名前にしたOneDriveフォルダを生成。やり取りするデータはAES（共通鍵暗号）で暗号化したうえでbase64というテキスト形式に変換し、大きなファイルはMicrosoftの公式API「Graph」の大容量アップロード機能で送り出したとみられる。

・もう一つの新バックドアEchoCreep：チャットアプリのDiscordをC2に使うタイプ。ESETは復号した400件超のDiscordメッセージから、被害者ごとに分かれた4つのチャネルを特定。

・侵入経路の探索：弱点を自動で探す脆弱性スキャナ「nuclei」と、隠れたページを総当たりで探す「dirsearch」で標的のWebサーバーを調査し（dirsearchは56の標的に対し実行）、Webメールソフト「SquirrelMail」のログイン後に外部から命令を実行できてしまう不具合（CVE-2017-7692）を突くコードをセルビアの標的に使った形跡。追跡をかわすため、高速中継ツールfrpを改造したWormFrpや通信を何段も中継するChainWormなど独自のプロキシを組み合わせて経路を隠す。

・正規サービスの悪用：マルウェアの配布に、本物のWordPress配布元を複製（フォーク）したGitHubページを使い、設定や盗んだデータの保管には乗っ取った正規のクラウド保管サービス（Amazon S3）を利用。中にはイタリア政府機関のマシンの設定や状態を保存した仮想マシン（VM）のスナップショットや、スペイン政府から盗まれたファイルが含まれていたとされる。

詳細は以下を参照：
https://t.co/UQ3tlumK8T

[JITA @ff_0000_ff]

サプライチェーン攻撃やらゼロデイやら、セキュリティ業界大変だが、これからの時代は不審な挙動検知したら問答無用で隔離して、その間は臨時でクリーン端末貸与するとかそういう世界観にならざるを得ないのかなぁ。

当然ネットワークセグメンテーションや認証系など基礎的な対策もセットで。

脆弱性対策に頑張ってパッチを当てたり、外部業者に脆弱性診断依頼するよりも、入られた時の封じ込めと、封じ込め叩きの事業継続性の重要度が大事になってくる感じか。

そして遠隔地フルリモートワークの社員の端末を隔離したらどうなるのかは知らない。

[JITA @ff_0000_ff]

Homebrewの偽物が出回っているようなので注意が必要です。

SEOポイズニングにも成功しているとのこと。

[Autumn Good @autumn_good_35]

⚠️⚠️⚠️
『As I write this today (2026-05-01), the fake Homebrew page at hxxps[:]//sites.google[.]com/view/brewpage is still active.』

Malicious Ad for Homebrew Leads to MacSync Stealer
https://t.co/I6V6sy63bu

[JITA @ff_0000_ff]

@Keisuke69 学生時代、新宿区一人暮らし、仕送りなし、手取り13万ぐらいで生活してましたー

[JITA @ff_0000_ff]

Purview勉強会なるものがあったのか！参加したかった
#なんでもCopilot

[JITA @ff_0000_ff]

https://t.co/Axh2ffy3V2

[GOETAN @GOETAN_GOETAN]

Purviewの監査ログはONにしとこうね
一般ユーザーのMicrosoft Entra ID 管理ポータルへのアクセスも制限しとこうね

https://t.co/g7e7nX9rjr

[JITA @ff_0000_ff]

有識者から有用な設定がたくさん！
↓

[JITA @ff_0000_ff]

【M365テナントを契約してすぐにやったほうが良いこと】
●独自ドメインの取得
onmicrosoft[.]comでメールやTeamsを使い始めてしまうと独自ドメインを使おうと思った時の移行が超大変。テナント作成直後に独自ドメインを取得すべき

●DMARKの設定
運用が広がった後に有効化すると、SaaS、業務システム、マーケツール、代理送信サービスなど「自社ドメインを名乗って送っている全送信元」を洗い出してSPF/DKIMを整える必要があり、調査範囲が一気に膨らむ。テナント作成直後にDMARKを導入すべき

●Teamsのチーム作成を制限
チームは利用者が自由に作れるため、放置すると不要なチャネルが乱立する。チームは管理者が作成する運用としチャネルを整理すべし

●外部共有・ゲストアクセスの厳格化
デフォルトのままだと、SharePoint/OneDrive/Teamsから想定以上に外部共有できてしまう。外部共有のツールが他にあるのであれば、M365の外部共有は原則行わない設定とすべし

他にもあれば引用ポストやリプライで教えてください

[JITA @ff_0000_ff]

https://t.co/Rxt88GJiAq

[e. @twilight_memory]

組織の規模と民度によるかな…。
Teams周辺のアプリの導入、特にPowerAutomateやら追加拡張やらは無法地帯になるので早めに禁止。拡張絵文字追加もさっさと殺したほうが不満が出ない。
あとEntra周辺のポリシー設定とグラスブレイカーの運用チェック。
自動化したいとかは後から個別許可。

[JITA @ff_0000_ff]

https://t.co/tdzC2xaOA4

[ryou @ryou_365]

ログの有効化と長期保存できるようにしておくこと。
特に初期のイザコザは後から追えなくなることがあるので誰が何したのか残せるようにしておくのは必須。