サイバー攻撃の検知について：包括的なガイド

サイバー攻撃の検知こそが、目立たない侵入とニュースの見出しを飾るような大規模な情報漏洩との分かれ目となります。決然とした敵対者に対しては、予防策はいずれ必ず破られるものです。したがって、真の問題は「侵入されるかどうか」ではなく、「侵入された後、どれだけ早くその存在を発見できるか」にあります。 本ガイドはその出発点となるものです。ここでは、検知の定義、その仕組みの解説、主要な手法の比較、検知と予防・対応の区別を行い、また、不都合な「速度」に関するデータ——攻撃者は今や数秒でアクセス権を譲渡しているのに対し、防御側は依然として「潜伏時間」を日単位で測定しているという現実——にも向き合います。さらに、IDを標的とした攻撃への移行について解説し、検知手法をNISTおよびMITRE ATT&CK フレームワークとの対応関係を整理し、この分野の今後の方向性を示しています。各専門的手法には、その手法を深く掘り下げた専用記事へのリンクが設けられていますので、ルートを選ぶ前に、本ガイドを道しるべとして活用してください。

サイバー攻撃の検知とは何ですか？

サイバー攻撃の検知とは、ネットワーク、エンドポイント、ID、クラウドといった環境全体において、悪意のある活動、侵入、または侵害の兆候を特定し、被害が発生する前に防御側が対応できるようにする取り組みです。これは、攻撃者が予防的な対策を突破することを前提としており、すでに内部に侵入している攻撃者を特定することに重点を置いています。

この考え方が重要なのは、予防だけでは戦略とはならないからです。ファイアウォール、パッチ適用、多要素認証は攻撃のコストを高めますが、十分な動機を持つ攻撃者は、最終的には何らかの隙――パッチが適用されていないエッジデバイス、フィッシングで入手した認証情報、設定ミスのあるクラウドバケット――を見つけ出すでしょう。 いったん侵入を許してしまえば、その存在を明らかにできるのは検知だけとなります。これが「侵害を前提とする」という考え方です。つまり、侵害は避けられないものと見なし、すべての攻撃者を完全に遮断できるふりをするのではなく、攻撃者を迅速に特定することに投資するということです。サイバー攻撃とは、検知システムが捕捉するように設計された悪意のある行為なのです。

このガイドでは、いくつかの重要な用語が繰り返し登場するため、一度定義をまとめておくと理解の助けになります。

• 侵害の兆候（IOC）：侵入が発生したことを示すフォレンジック証拠。これには、悪意のあるファイルのハッシュ値、既知の悪意のあるIPアドレス、異常なログイン、または不審なレジストリの変更などが含まれます。完全な分類体系と具体例については、「侵害の兆候」を参照してください（Kaseya）。
• 滞留時間：攻撃者が最初のアクセスから発見されるまでの間、検知されずに活動し続ける期間。数値は低いほど良い。
• 検知までの平均時間（MTTD）：多数のインシデントにおいて、チームが侵入を特定するのに要する平均時間。
• 真陽性と偽陽性：真陽性とは、システムが正しく検知した実際の攻撃を指し、偽陽性とは、悪意のあるものと誤って検知された無害な活動を指します。この両者のバランスによって、検知プログラムの日常的な作業負荷が決まります。

検知が重要なのは、検知できなければ手探りの状態で運用することになるからです。発見されないままの攻撃者は、自由に権限を昇格させ、機密性の高いシステムへと侵入し、自らの都合に合わせてデータ窃取の準備を進めることができます。攻撃者が発見されない期間が長ければ長いほど――以下の「検知速度」のセクションでも示されているように、侵入の継続期間の中央値は依然として数日に及んでいます――被害は拡大し、復旧にかかるコストも高くなります。検知こそが、期限の定まらない侵害を、封じ込められ、期間の限られたインシデントへと変えるための制御手段なのです。

要点は単純です。検知は、すでに防御をすり抜けた攻撃者を特定するものであり、まさにその理由から、検知はエッジではなく、現代のサイバーレジリエンスの中核に位置づけられています。このガイドの残りの部分では、その検知が実際にどのように行われるのか、現在どれほどの速さで実行されるのか、そしてそれを確立されたフレームワークにどう組み込むのかについて解説します。

サイバー攻撃の検知の仕組み

検知は、テレメトリデータを収集し、正常な動作の基準を確立した上で、侵入を示すパターンや異常を特定することで行われます。その仕組みはベンダーやプラットフォームによって異なりますが、根底にある処理の流れは驚くほど一貫しています。以下に、そのエンドツーエンドのフローを示します。

1. ネットワーク、エンドポイント、ID、クラウドからテレメトリデータを収集します。
2. データを共通の形式に正規化します。
3. エンティティごとに「正常な状態」の基準を定義する。
4. 既知のパターンや行動上の異常について分析を行う。
5. 複数のソースにわたる関連する信号を相互に関連付ける。
6. 人の時間を割く価値のある、優先順位付けされたアラートを発行する。
7. 対応に移行する前に、優先順位付けと検証を行う。

各段階は次の段階へとつながっています。ベースライン設定のないテレメトリは単なるノイズに過ぎず、相関分析を行わない分析では、単独ではほとんど意味をなさない孤立した異常信号しか得られません。優れたサイバー攻撃検知システムの真髄は、重要な少数のシグナルを際立たせつつ、重要でない数千ものシグナルを抑制することにあります。

検知は4つの領域にまたがっており、それぞれに専門的な分野が関わっています。エンドポイントでは、エンドポイント検知・対応（EDR）がプロセス、ファイル、レジストリの活動を監視します。ネットワーク上では、ネットワーク検知・対応（NDR）がトラフィックのメタデータを解析し、コマンド＆コントロールやラテラルムーブメントを検知します。 アカウントに関しては、ID脅威検知・対応（ITDR）が認証情報の悪用を検知し、クラウド上では、クラウド検知・対応（CDR）がコントロールプレーンおよびワークロードの挙動を監視します。その中核となる考え方は、実際の攻撃はこれらの領域を横断するため、各領域を統合的に監視する必要があるというものです。これらすべてを支えるのは、堅実なネットワークセキュリティ対策です。

では、検知システムから見て、攻撃は実際にはどのような姿をしているのでしょうか？その兆候は行動パターンに現れます。見慣れない宛先への異常な送信トラフィックは、データが外部に流出していることを意味する可能性があります。不審なログイン（地理的な不一致、不自然な時間帯、物理的に不可能な移動など）は、盗まれた認証情報が使用されていることを示唆しています。新しく作成された管理者アカウント、予期せぬ暗号化転送、あるいはクラウドストレージ内のウェブシェルの痕跡などは、いずれも調査に値する侵害の兆候です。 ある報告例では、Webシェルの特徴を持つ悪意のあるファイルが、定期的な自動スキャン中に検出され、実行される前にブロックされました（Security Boulevard）。こうした兆候は、多くの場合、ソーシャルエンジニアリングや標的型phishingを通じて獲得された初期の足掛かりに起因しています。そのため、検知システムは、攻撃者がどのように侵入したかだけでなく、侵入後に何を行うかにも注意を払う必要があります。

つまり、「検知システム」とは、単一の製品というよりは、テレメトリ情報源、分析機能、アラート機能が各プラットフォーム間で連携して動作する「スタック」のようなものです。そのスタックを選定し構築することは、それ自体が専門分野であり、「脅威検知ソフトウェア」というカテゴリーに含まれます。このハブでは、どの製品を購入すべきかという点ではなく、検知がどのように機能するかという点に焦点を当てています。

検出方法の比較

あらゆる脅威を網羅できる単一の手法など存在しません。各検知手法は特定の種類の脅威に対しては優れた性能を発揮しますが、別の種類の脅威に対しては検知できないため、成熟したプログラムでは複数の手法を組み合わせて多層防御を行っています。以下の表では、最も頻繁に遭遇する7つの手法について、それぞれが何を検知し、どのような点で不十分であるかを比較しています。

表1. 7つの主要なサイバー攻撃検知手法について、検知対象、長所、盲点、および具体的な事例を比較した表。

これらの手法のうちいくつかについては、一行程度の概要を述べ、詳細については各手法の専用ページで解説することにします。シグネチャベースと異常検知ベースは、基本的な分類です。シグネチャベースは既知の脅威を認識するのに対し、異常検知ベースの手法はベースラインを学習し、それからの逸脱をスコアリングすることで未知の脅威を検知します。これらは競合するものではなく、互いに補完し合う関係にあります。 このアプローチのネットワークトラフィック版については、「ネットワーク異常検知」で解説しています。行動検知は、ユーザーやシステムが時間の経過とともにどのように振る舞うかを分析するものであり、行動ベースの脅威検知の核となる技術です。そのアイデンティティに焦点を当てた派生形である「ユーザーおよびエンティティ行動分析（UEBA）」は、正常な活動を基準として設定し、アカウントの侵害を示唆する逸脱を検知します。

機械学習を用いたサイバー攻撃の検知は、異常検知および行動検知の分野における最先端技術です。機械学習モデルは、ラベル付けされていないデータから正常なトラフィックの構造を学習し、アイソレーションフォレストやワンクラスサポートベクターマシンなどのアルゴリズムを用いて異常値を特定し、異常なトラフィックを抽出します（ManageEngine）。 機械学習を用いたネットワーク侵入検知に関する研究は、従来のベンチマークデータセットの枠をはるかに超え、ラベル付けされたペイロードではなく、関係性やメタデータから学習するモデルへと移行しています（Springer）。詳細な解説は「AIによる脅威検知」のセクションに掲載されています。ここでは概要を簡潔に説明し、詳細についてはそちらを参照してください。

この全体像を補完する2つの関連概念があります。侵入検知システム（IDS）は手法というよりは製品カテゴリーであり、シグネチャ、異常検知、あるいはその両方を基盤として構築される場合があります。その違いについては、「侵入検知システム」の項を参照してください。また、既知の悪意ある指標から攻撃者の手口に至るまで、前述の各手法の精度を高める外部的な文脈は、脅威インテリジェンスツールからもたらされます。ここから得られる実践的な教訓は、これらの手法を多層的に組み合わせることで、個々の手法ではカバーしきれない隙間を埋めることができるということです。

検知・予防・対応

「予防」「検知」「対応」はそれぞれ異なる3つの役割であり、これら3つすべてが必要です。予防は、既知の攻撃が実際に侵入する前に阻止します。検知は、防御をすり抜けた攻撃を見つけ出します。対応は、検知によって明らかになった問題を封じ込め、是正します。これら3つを混同してしまうことは、学習者がツールを評価する際に犯しがちな最も一般的な間違いの一つです。

この違いを最も明確に把握するには、それぞれを「サイバーキルチェーン」――偵察から標的に対する行動に至るまで、侵入がどのように展開されるかを段階的に示したモデル――に照らし合わせてみるのが最も分かりやすい。

• チェーンの最前線で攻撃を未然に防ぎます。ファイアウォール、パッチ適用、メールフィルタリング、多要素認証は、攻撃者が足場を築く前に、偵察、配信、悪用を阻止することを目的としています。
• 「検知」はこれらの段階の中間に位置し、本ガイドの焦点となっています。攻撃者が境界を突破し（ツールのインストール、横方向の移動、コマンド＆コントロールの確立など）、テレメトリや行動パターンからその活動が検知されるようになります。
• 対応は最後に実行されます。検知によって侵入が確認されると、対応措置としてホストを隔離し、認証情報を無効化し、攻撃者のアクセス権を削除します。

‍

「侵害を前提とする」という考え方は、そこから直接導き出されます。予防を最優先とする考え方では、攻撃者がシステム内に侵入した瞬間に事態を見失ってしまいます。なぜなら、予防的な対策では、阻止できなかった事態を把握できないからです。したがって、検知と対応は、予防の上に重ねられた「オプションの追加機能」ではなく、必須の「同等の要素」なのです。ここで関連する検索用語である「サイバー攻撃の検知と予防」は、しばしばこの2つのいずれかを選択することを示唆していますが、正直なところ、これらは代替案ではなく、連続した層であるというのが正解です。

「対応」とは、検知が終了した時点から始まる段階であり、インシデント対応において独自の分野を形成しています。攻撃者の発見から調査、排除に至る一連のプロセスは、「脅威の検知、調査、対応（TDIR）」と呼ばれます。要点は、予防は既知の攻撃を阻止し、検知はすり抜けた攻撃を発見し、対応はそれらを封じ込めるということです。この3つのいずれかが欠けているプログラムには、攻撃者が悪用する隙が生じてしまいます。

攻撃が発見されないまま続く期間

この疑問こそが、検知の緊急性を際立たせるものであり、そのデータは衝撃的です。マンディアント社の「M-Trends 2026」レポートによると、2025年の世界的な攻撃者の潜伏期間の中央値は14日間で、前年の11日間から増加しました。 サイバー諜報活動や北朝鮮のIT要員による事件では、ステルス性を最優先しているため、その滞在期間ははるかに長く、中央値は約122日だった。その対極として、同調査では、初期アクセスから引き継ぎまでの時間が22秒にまで短縮されていることが判明した。これは、攻撃者が足場を築いてから次のオペレーターに引き継ぐまでの時間である（SecurityWeek）。

これらの数値は、変化の緩やかなベンチマークと対照をなしている。ポネモン研究所の「データ侵害のコスト」調査によると、データ侵害のライフサイクル全体の平均日数は241日（検知までの平均日数181日＋封じ込めまでの平均日数60日）であり、これは9年間で最も短い数値である。また、世界平均のデータ侵害によるコストは444万米ドルであった。 22秒という検知から対応への引き継ぎ時間と、6ヶ月という検知までの期間とのギャップこそが、現代の検知における中心的な課題である。攻撃者は機械並みの速度で行動する一方で、多くの組織では依然として人間の速度で侵害を発見しているからだ。

表2. 2025年から2026年にかけて実施された一次調査に基づくサイバー攻撃検知速度のベンチマーク。各数値について、報告書名およびデータ収集年を記載している。

このセクションでは、2つの定義が基本となります。「平均検知時間（MTTD）」とは、侵入を特定するまでの平均時間を指し、「平均対応時間（MTTR）」とは、侵入が発見された後にそれを封じ込めるまでの平均時間を指します。これら2つの時間を短縮することが検知プログラムの核心的な目標であり、その追跡は、本格的なサイバーセキュリティ指標のセットには欠かせない要素です。

このデータには、真に喜ばしいニュースが含まれています。「M-Trends 2026」の調査によると、2025年には組織の半数強（52％）が内部での悪意ある活動を検知しており、これは2024年の43％から増加しています（Help Net Security）。一方、外部やサードパーティからの通知への依存度は43％から34％へと低下しました（Industrial Cyber）。 この長年にわたる傾向には微妙なニュアンスがあります。検知能力は明らかに向上しているものの、ステルス的なスパイ活動や内部関係者による操作といった「ロングテール」が分布の中央値を押し上げているため、潜伏期間の中央値は依然として上昇しています。

方法論に関して、1つ重要な注意点があります。ドウェルタイムの数値はサンプルによって大きく異なります。長期に及ぶスパイ活動事例を含むマンディアント社のインシデント対応データセット全体では、中央値が14日となっていますが、ランサムウェアが多数を占めるマネージド検出サンプルでは、その数値は数日間と、はるかに短い結果となっています。これは範囲の違いであり、矛盾ではありません。そのため、本ガイドに記載されているすべてのドウェルタイムの数値には、その報告書およびデータの年が明記されています。 サンプルが何であれ、重要な点は変わりません。攻撃者はわずか22秒でアクセス権を譲渡できるにもかかわらず、侵害の特定には依然として約6ヶ月の中央値がかかっており、そのギャップを埋めることが、検知の本来の目的です。最初の検知から封じ込めまでの全ライフサイクルは、脅威の検知、調査、および対応から構成されています。

アイデンティティ主導型検出への移行

ここ数年の検知における最大の変化は、攻撃者が侵入するのではなく、ログインするケースが増えているという点です。業界のインシデント対応調査によると、調査対象となったインシデント対応（IR）およびマネージド検知のケースの56％において、攻撃者は外部のリモートサービスを通じて有効な認証情報または不正入手した認証情報を使用していました（中立的なメディア報道）。攻撃者が正当なユーザー名とパスワードで認証を行う場合、malware 、警告すべきエクスプロイトも存在しません。

これは、設計上、シグネチャベースの検知を無効にしてしまいます。盗まれた認証情報による有効なログインは、バイト単位で見れば、実際のユーザーが業務を行っているのと区別がつきません。したがって、これを検知する唯一の方法は、その行動に不審な点があることに気づくことです。このアカウントは、午前3時に新しい国からログインしたばかりではありませんか？ これまでアクセスしたことのないシステムに突然アクセスしようとしていませんか？こうした疑問に答えられるのは、正常な動作の基準を確立し、逸脱を検知する行動分析およびID分析のみです。これこそが、行動ベースの脅威検知 およびIDベースの脅威検知・対応の領域であり、認証情報の盗難が、検知戦略を最も大きく変える初期侵入手法となっている理由です。

フレームワークの世界も、この現実に対応しつつあります。MITRE ATT&CK 、まさにこのパターンを捉えた「ステルス（Stealth）」という戦術が追加されました。これは、攻撃者が目立つmalwareを展開するのではなく、正当な動作の中に身を隠すというものです。ここから得られる教訓は明白です。最近の侵入のほとんどは有効な認証情報を利用しているため、malware 攻撃者の行動を検知することが重要になっており、シグネチャのみに基づいて構築された検知プログラムは、間違ったレイヤーを監視していることになります。

検出項目の NIST CSF 2.0 およびMITRE ATT&CKへのマッピング

検出手法を確立されたフレームワークに組み込むことで、セキュリティチームとGRCチームは、対象範囲について共通の言語で話し合うことができるようになります。特に重要なフレームワークは2つあり、それらの現状を正確に把握することが何よりも重要です。

2024年2月に公表されたNISTサイバーセキュリティ・フレームワーク（CSF）2.0が現在のバージョンであり、CSF 3.0は存在しません。 その「検知（Detect：DE）」機能は、サイバー攻撃の検知に直接対応しており、2つのカテゴリーで構成されています。1つは、資産を監視して有害事象を発見する「DE.CM（継続的モニタリング）」、もう1つは、それらの事象を分析して何が起きているかを把握する「DE.AE（有害事象分析）」です。これら2つが一体となって、テレメトリデータの観測からその意味の解明に至るまでの全プロセスを網羅しています。

MITRE ATT&CK もう一方のアンカーですが、その検出モデルは最近変更され、多くの古いガイドではその点が取り上げられていません。v18時点では（2025年10月)、MITREは従来の「Detections」を置き換え、「Data Sources」を非推奨とし、行動を最優先とする2層モデルである「Detection Strategies」と「Analytics」を導入しました。これは、どの生のログを読み取るかではなく、攻撃者の行動をどのように検知するかを記述する方向への転換です。現在のv19リリース（4月2026) その後、従来の「防御回避」戦術を2つに分割し、「ステルス」（0005) および防御機能の低下（0112）、これによりエンタープライズの戦術マトリックスは15種類となった。

表3. サイバー攻撃の検知が、NIST CSF 2.0の「検知（Detect）」機能および検知MITRE ATT&CK 戦術とどのように対応しているか。

検知に関連する戦術は、依然として実務の主力となっている。 横方向の動き (0008) は、有効な認証情報を用いたリモートサービスの悪用として現れる。 データ流出 (0010) は、異常な暗号化された送信データ転送として検出されます。認証情報のアクセス (0006) には、ブルートフォース攻撃やクレデンシャルスタッフィング攻撃が含まれます。新しい 0005 ステルス戦術は、アイデンティティ主導の「侵入ではなくログイン」というパターンと明確に一致しています。要点は、検知が NIST CSF 2.0 の「検知（Detect）」機能およびMITRE ATT&CK「行動優先モデル」に対応しており、プログラムをこれらに基づいて構築することです。 セキュリティフレームワーク 抽象的なカバレッジを測定可能なものに変える。

最新のアプローチと検知技術の今後の展望

検知技術は、AIを活用した行動分析と自動化されたトリアージへと移行しつつあります。2026年の主なトレンドは、AIを活用し、ますます「エージェント的」になるセキュリティ運用――自律的なトリアージ、自動化された調査、ガードレールによって制限された封じ込め――であり、これによりチームは「ヒューマン・イン・ザ・ループ」の姿勢から「ヒューマン・オン・ザ・ループ」へと移行し、その一方で自動化ガバナンスが対抗テーマとして浮上しています。 その効果は具体的です。AIと自動化を幅広く活用している組織は、セキュリティ侵害のライフサイクルにおいて、平均190万米ドルと約80日間のコスト削減を実現しました（ポネモン研究所）。事後ではなく、発生と同時にアクティビティをスコアリングするリアルタイムのサイバー攻撃検知こそが、AIによる脅威検知と行動分析が目指す目標です。

2026年に発生したあるインシデントは、迅速な検知がなぜ重要なのか、そしてそれが最終目標ではない理由を如実に示している。Instructure社が運営する学習プラットフォーム「Canvas」への不正アクセスは2026年4月25日に発生した。Instructure社は4月29日――およそ4日後――に社内で侵入者を検知し、アクセス権を無効化、4月30日に復旧措置を講じ、5月1日に公表した（The Register）。 攻撃者グループ「ShinyHunters」は、約2億7500万人のユーザーと約9,000の教育機関にまたがる、およそ3.65 TBのデータを奪取したと主張しているが、これらの数値は攻撃者側の主張であり、確認されたものではない。 注目すべきはその後の一連の出来事だ。5月7日に2度目の侵入とウェブページの改ざんが発生した。迅速な内部検知により、最初の潜伏時間と被害範囲は最小限に抑えられた。これは内部検知の重要性が高まっている傾向を示しているが、同時に、検知には持続的な対応が不可欠であることも示している。なぜなら、攻撃者が組織内に根を下ろし、再侵入を試みる可能性があるからだ。 市場全体では、複数の攻撃面におけるシグナルを相関分析する拡張型検出・対応（XDR）、完全なSOCを持たないチーム向けの管理型検出・対応（MDR）、そして検知ルールを構築・調整する専門分野である「検出エンジニアリング」を中心に統合が進んでいる。これらはすべて、アラート疲労という根強い制約に対抗するものであり、だからこそ、アラートの量ではなく、シグナルの質こそが重要な指標となるのである。

Vectra AIがサイバー攻撃の検知をどのように捉えているか

Vectra AIは、Attack Signal Intelligence」というアプローチを通じてサイバー攻撃の検知に取り組んでいます。これは、シグネチャの照合ではなく、ネットワーク、ID、クラウド環境全体にわたる攻撃者の行動の検知に焦点を当てたものです。その基本理念は「侵害を前提とする」というものです。つまり、巧妙な攻撃者は侵入してくるものだと想定し、レジリエンスを構築するための取り組みとは、侵入後の行動から攻撃者を見つけ出すことにあるのです。 その目的は、「ノイズよりシグナル」を重視することです。つまり、少人数のチームですら処理しきれないほど溢れかえるアラートにさらに追加するのではなく、進行中の攻撃に関する真の、優先度の高いシグナルを浮き彫りにすることです。

結論

サイバー攻撃の検知がセキュリティの中核に位置づけられるのは、予防策だけではすべてを阻止することはできず、侵入を許してしまった攻撃を迅速に発見する必要があるからです。その仕組みは、テレメトリデータを収集し、正常な状態のベースラインを設定した上で、侵入者を裏切るパターンや異常を洗い出すというものです。そして、シグネチャ、異常検知、行動分析、AI/MLといった手法を多層的に組み合わせ、それぞれが他の手法の死角をカバーするようにすることで、最大の効果を発揮します。 速度に関するデータは、その重要性を如実に示しています。攻撃者は数秒でアクセス権を譲渡する一方で、侵害の特定には依然として中央値で約6ヶ月を要しており、現在ではほとんどの侵入がmalwareではなく有効な認証情報を利用して行われています。 NIST CSF 2.0の「検出（Detect）」機能と、MITRE ATT&CK「行動優先（behavior-first）」モデルに基づいてプログラムを構築することで、この課題を測定可能なものに変えることができます。ここから、ネットワークやエンドポイントの検出から、ID、行動、AI駆動型のアプローチに至るまで、本文中にリンクされている各専門ページが、自然な次のステップとなります。行動ベースの検出が、どのように優先順位付けされた調査可能なシグナルとなるかを確認するには、VectraAIのAI脅威検出アプローチをご覧ください。