インサイダー脅威とリスク軽減の理解

# 内部脅威の定義  
### ― CISA の知見を踏まえた包括的テクニカルガイド ―

内部脅威は、公的機関・民間企業を問わず組織にとって重大な課題です。本稿では、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）が示す内部脅威の定義を起点に、その種類と発生形態を整理し、検知・識別・緩和のための技術的手法を詳細に解説します。実際の事例や Bash／Python のコード例も交え、初心者から上級者まで内部脅威対策プログラムの構築に活用できる内容を目指しました。

---

## 目次
- [はじめに](#はじめに)
- [インサイダー／内部脅威とは](#インサイダー内部脅威とは)
  - [インサイダーの定義](#インサイダーの定義)
  - [内部脅威の定義](#内部脅威の定義)
- [内部脅威のタイプ](#内部脅威のタイプ)
  - [意図しない内部脅威](#意図しない内部脅威)
    - [過失](#過失)
    - [事故](#事故)
  - [意図的な内部脅威](#意図的な内部脅威)
  - [その他のカテゴリ](#その他のカテゴリ)
    - [共謀型脅威](#共謀型脅威)
    - [サードパーティ脅威](#サードパーティ脅威)
- [内部脅威が発生する仕組み](#内部脅威が発生する仕組み)
  - [暴力・職場不正行為](#暴力職場不正行為)
  - [スパイ行為](#スパイ行為)
  - [サボタージュ](#サボタージュ)
- [実例](#実例)
  - [ケーススタディ：インサイダースパイ](#ケーススタディインサイダースパイ)
  - [ケーススタディ：偶発的な情報漏えい](#ケーススタディ偶発的な情報漏えい)
- [内部脅威の検知と識別](#内部脅威の検知と識別)
  - [行動分析・モニタリング](#行動分析モニタリング)
  - [技術的モニタリング（ログ／ネットワーク）](#技術的モニタリングログネットワーク)
  - [スキャンコマンドとログ解析](#スキャンコマンドとログ解析)
- [実用コード例](#実用コード例)
  - [Bash によるログスキャン](#bash-によるログスキャン)
  - [Python によるログパース](#python-によるログパース)
- [高度な内部脅威緩和策](#高度な内部脅威緩和策)
  - [アクセス制御と特権管理](#アクセス制御と特権管理)
  - [ユーザ行動分析（UBA）](#ユーザ行動分析uba)
  - [インシデント対応とデジタルフォレンジック](#インシデント対応とデジタルフォレンジック)
- [まとめ](#まとめ)
- [参考文献](#参考文献)

---

## はじめに

内部脅威は、信頼と認可済みアクセスが絡むため特に複雑です。過失・事故・悪意いずれのケースでも、インサイダーは組織の脆弱性を突いて機密性・完全性・可用性（CIA）を損なう可能性があります。CISA は内部脅威を次のように定義しています。

> 認可されたアクセスを持つ個人が、そのアクセスを **意図的または意図せず** 行使し、組織の使命・資産・人員・施設・情報・機器・ネットワーク・システムに被害を与える脅威。

本稿では CISA の定義を踏まえ、内部脅威の種類、実際の事例、検知コード例、緩和策まで体系的に解説します。

---

## インサイダー／内部脅威とは

### インサイダーの定義

インサイダーとは、組織のリソースに **現在または過去に認可されたアクセス** を持つ人物を指します。

- **従業員・契約社員・ベンダー**  
- **物理的アクセスを持つ人員**（バッジや制服などで施設に入れる者）  
- **開発者・プロダクト設計者**（機微技術を知る者）  
- **信頼された協業者**（ビジネス戦略や財務情報を共有するパートナー）  

政府機関の場合、国家機密情報へアクセスするあらゆる人員が該当します。

### 内部脅威の定義

CISA 定義（抄訳）

> インサイダーが認可アクセスを **自覚的・無自覚的に利用** し、組織の使命・資源・人員・施設・情報・機器・ネットワーク・システムへ損害を与える脅威。

この定義は「悪意ある行為」に限定せず、**過失・ミス** も含む点が重要です。

---

## 内部脅威のタイプ

### 意図しない内部脅威

#### 過失
- 他者を“便乗”入館させる  
- USB 等の可搬媒体を紛失  
- パッチ適用を怠る  など

#### 事故
- メール誤送信  
- フィッシング URL クリック  
- 機密文書の不適切廃棄  など  

### 意図的な内部脅威
- 個人的怨恨、金銭・昇進欲、イデオロギー  
- 機密データの漏えい、システム破壊、評判毀損

### その他のカテゴリ

#### 共謀型脅威
複数インサイダーが外部と結託  
- 知財窃取、組織犯罪、標的型スパイ

#### サードパーティ脅威
- ベンダーや外部委託先の侵害・共謀

---

## 内部脅威が発生する仕組み

### 暴力・職場不正行為
- **職場暴力**、脅迫、ハラスメント  
- **テロ行為**：内通者が施設・人員を標的に

### スパイ行為
- **経済スパイ**：技術・営業機密の漏えい  
- **政府スパイ**：国家機密の流出  
- **犯罪組織への情報提供**

### サボタージュ
- **物理的破壊**：設備損壊  
- **サイバー破壊**：コード改ざん、データ消去  
- **意図的な非遵守** による脆弱化

---

## 実例

### ケーススタディ：インサイダースパイ
防衛産業の社員が外国政府へ機密を売却。共謀型脅威となり、国家安全保障・企業競争力に甚大な被害。

### ケーススタディ：偶発的な情報漏えい
社員がメールアドレスのタイプミスで機密資料を外部へ送信。悪意はなくとも深刻な漏えいとなり、データ取扱プロセスの重要性を示す。

---

## 内部脅威の検知と識別

### 行動分析・モニタリング
- **勤務パターンの急変**  
- **権限外リソースへのアクセス試行**  
- **不満・情緒変化の兆候**

### 技術的モニタリング（ログ／ネットワーク）
- **ログ解析**：異常ログイン、権限昇格、ファイル転送  
- **ネットワーク分析**：大量送信、怪しい IP への通信

### スキャンコマンドとログ解析
Nmap などのスキャンツール、grep・awk と Python を併用して自動化。

---

## 実用コード例

### Bash によるログスキャン

```bash
#!/bin/bash
# insider_log_scan.sh
# 01:00〜05:00 の異常ログインを抽出

LOG_FILE="/var/log/auth.log"
OUTPUT_FILE="suspicious_logins.txt"

grep -E "([0-1][0-9]:[0-5][0-9]:[0-5][0-9])|([0-4][0-9]:[0-5][0-9]:[0-5][0-9])" "$LOG_FILE" | \
grep -Ei "failed|error|login" > "$OUTPUT_FILE"

echo "疑わしいログインは $OUTPUT_FILE に保存されました"

Python によるログパース

#!/usr/bin/env python3
"""
insider_log_parser.py
ログを解析し、異常なコマンド実行を検出するサンプル。
"""

import re
import sys

LOG_FILE = "sample_log.txt"

def parse_logs(file_path):
    suspicious = []
    pattern = re.compile(r"(?P<timestamp>\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}).*COMMAND:\s+(?P<command>.+)")

    with open(file_path) as f:
        for line in f:
            m = pattern.search(line)
            if m:
                ts = m.group("timestamp")
                cmd = m.group("command")
                safe = ["ls", "cd", "echo", "vim", "nano", "python"]
                if not any(s in cmd for s in safe):
                    suspicious.append((ts, cmd))
    return suspicious

def main():
    sus = parse_logs(LOG_FILE)
    if sus:
        print("潜在的な内部脅威を検出:")
        for ts, cmd in sus:
            print(f"{ts} - {cmd}")
    else:
        print("異常なコマンドは検出されませんでした。")

if __name__ == "__main__":
    if len(sys.argv) > 1:
        LOG_FILE = sys.argv[1]
    main()