上記のようなセキュリティ脅威に備えるためには、攻撃者がどのようなプロセスを経てインシデントを引き起こすのかを把握しておく必要があります。一般的に攻撃者は、企業の「隙」を見つけ出し、データ奪取という最終目的を達成するまでに7段階のプロセスを経ることが多いです。それでは、今からウェブサービスの脆弱性を利用した侵入を例に挙げ、このプロセスを詳細に解説します。

1) 初期侵入 (Initial Access)

攻撃の第一歩です。侵入は、公開された管理ページへのアクセス、PoC（Proof of Concept）が公開されている脆弱性の悪用、またはウェブサービスの脆弱性の悪用など、さまざまな方法で開始されます。この段階で攻撃者は、外部に公開されているウェブサービスから攻撃ベクトルを見つけ出し、ファイル（ウェブシェル）のアップロードやリモートコマンド実行などの方法でシステムに足を踏み入れます。

• 例：攻撃者は、ウェブサービスの1:1相談機能において、ファイルのアップロード時に拡張子の検証が不十分であるという隙を悪用し、悪意のあるファイル（ウェブシェル）をアップロードしてコマンドを実行する準備を整えます。

2) 権限昇格 (Privilege Escalation)

初期侵入の後は、制限された権限から脱却し、システムへの支配力を広げる必要があります。攻撃手法としては、資格情報（クレデンシャル）関連ファイルの捜索、PoCが公開されているLPE（Local Privilege Escalation）脆弱性の悪用などが主に用いられます。ただし、権限昇格がすぐに不可能であっても、次の段階へ進むことは可能です。

• 例：アップロードしたウェブシェルを通じてコマンドを実行し、サーバー上に存在する設定ファイルなどの資格情報関連ファイルを見つけ出して、最高権限であるルート（Root）権限を確保します。

3) マルウェア設置および永続性の維持 (Persistence)

次は、既存の脆弱性がパッチされたりシステムが再起動されたりしても、攻撃者が継続的にアクセスできるように環境を設定する段階です。攻撃者は、新規アカウントの作成、SSHの有効化、マルウェア自動実行のためのサービス作成、またはバックドアやルートキットなどを設置して、「秘密の抜け道」を作ります。

• 例：ルート権限を確保した攻撃者は、新規の管理アカウントを作成し、リモート接続（SSH）を可能に設定することで、いつでもアクセスできる環境を構築します。

4) 内部資産の偵察 (Internal Reconnaissance)

システムへの継続的なアクセス権を確保したら、次は内部を調査する段階です。攻撃者は、占拠した資産に接続されている内部資産（外部からはアクセスできない資産）を偵察します。アクセス可能な内部資産の探索、ポートスキャン、脆弱なサービスの捜索などを行い、次の侵入ポイントを物色します。

• 例：占拠した資産の内部IP帯域を確認し、通信可能なIPを見つけた後、ポートスキャンを実行してそのIPでどのようなサービスが動作しているかを把握します。

5) 内部システムへの侵入 (Lateral Movement)

偵察によって得られた「地図」をベースに、DMZや内部ネットワークなど、重要なデータが存在しそうな他の資産への侵入を試みます。侵入方法は、以前に取得した資格情報を利用したログイン、公開されている内部管理ページへのアクセス、脆弱性の悪用など多岐にわたります。

• 例：ウェブサービスが動作している資産にアクセスしたところ、内部サーバーの管理パネルがそのまま公開されていたため、攻撃者はこれを利用して内部システムへ容易に侵入します。

6) 権限昇格 + マルウェア設置・永続性の維持 (Replication)

内部システムに侵入した攻撃者は、最終目的地（例：DBサーバー、バックアップサーバー）に近づくため、該当の資産において権限昇格と永続性維持の段階を再度繰り返し実行します。段階的に支配力を高めていくのです。

• 例：内部サーバー管理パネルを通じて把握した重要サーバー群にアクセスして権限昇格を行い、追加のマルウェアを設置して永続的な環境を再構築します。

7) 目的達成 (Goal Achievement)

最後に、攻撃者は最終目的地（Goal）にアクセスして目標を達成します。この段階で、ランサムウェアへの感染、重要情報の流出など、企業が最も懸念する被害が発生します。

• 例：攻撃者はついにDBサーバーにアクセスし、患者情報や診療記録などの大量の機密性の高い個人情報を奪取することに成功します。