ゼロデイ攻撃と標的型攻撃の違い
修正前の弱点を突くか、関係者を装って誘い込むか

ゼロデイ攻撃とは

ソフトウェアに新しい脆弱性が見つかったとき、修正プログラムが提供される日より前に、その脆弱性を突いて行われるサイバー攻撃です。要点は、修正プログラムが提供される前という時間にあります。

対策が間に合わない状態で行われるため、防ぐ側には常に緊急の対応が求められます。もちこ道場の問題では、IoT システムの運用管理のうち、セキュリティアップデートの話として出ます。脆弱性が見つかった当日にも攻撃が来うるので、修正プログラムが公開されてから数か月ほど様子を見て適用する、という運用は誤りです。ファームウェアや OS、ミドルウェアの脆弱性を直すために、アップデートを計画して実施することが重要です。

最新の情報は、日本国内で使われているソフトウェアの脆弱性と対策を提供する JVN（Japan Vulnerability Notes）や、攻撃事例と緊急性の高い脆弱性の情報を提供する JPCERT/CC から得ます。

標的型攻撃とは

関係者を装った巧妙な内容のメールなどで、対象者に添付のマルウェアを開封させたり、不正な Web サイトに誘導したりするサイバー攻撃です。修正前の脆弱性を突くことが要点ではなく、受け取った人に添付ファイルを開かせたり、不正なサイトへ誘い込んだりする点が特徴です。

そのため、システムの仕組みだけでなく、社員の訓練や教育による備えも重要になります。また、境界防御（外部との境目にファイアウォールなどを置く従来の考え方）では、標的型攻撃などでいったん内部に侵入されると、内部で自由にアクセスされてしまうという弱点があります。

違いを表で比べる

試験での問われ方

IoTシステム技術検定 基礎では、第7章「情報セキュリティを知る」で出ます。もちこ道場の第7章の問題では、次のような問われ方をしています。

• 穴埋め（空欄1つ）: 「修正プログラムが提供されるよりも前に、その脆弱性を突く」にゼロデイ攻撃、「関係者を装った巧妙なメールなどで、添付のマルウェアを開封させる」に標的型攻撃を選ぶ。選択肢には、パスワードクラック、サービス妨害攻撃、ソーシャルエンジニアリング、ショルダーサーフィンも並びます。
• 2つの空欄: 「関係者を装ったメール等で不正な Web サイトへ誘導する」標的型攻撃と、「背後から画面を盗み見る」ショルダーサーフィンを、順番を間違えずに入れる。
• 不適切な記述を選ぶ: 「ゼロデイ攻撃を防ぐため、修正プログラムの適用は数か月様子を見てから行う」のような、緊急性を取り違えた記述や、ソーシャルエンジニアリングを「技術的な脆弱性を突く」と書いた記述を見抜く。

覚え方

• ゼロデイは「時間」。修正プログラムが出る前、という時間の話です。選択肢に「修正前」「提供される前」とあればゼロデイです。
• 標的型は「関係者を装う」。メールなどで巧妙に誘い込む、という手口の話です。「添付のマルウェアを開封させる」とあれば標的型です。
• 「話術で聞き出す」はソーシャルエンジニアリング、「背後から盗み見る」はショルダーサーフィンです。標的型攻撃とは別の言葉なので、選択肢で入れ替わっていないかを確かめます。
• サービス妨害攻撃（DoS）は、サーバの性能を極端に落とす攻撃です。修正前の脆弱性を突くこととも、関係者を装うこととも関係しません。

第7章のほかの用語は「第7章 情報セキュリティを知るの要点」にまとめています。