OSINTを逆手に取る「ハニーポット」。偽情報を流して攻撃者を惑わす

サイバー攻撃というと、脆弱性を突いた侵入やマルウェア感染をイメージする人が多いかもしれません。しかし実際の攻撃は、そのずっと前から始まっています。

攻撃者が最初に行うのは情報収集です。

企業のWebサイト、採用ページ、技術ブログ、プレスリリース、SNS、GitHub、登記情報、過去の漏洩データ。攻撃者は利用できるあらゆる情報を集めながら、標的企業の姿を少しずつ組み立てていきます。

こうした公開情報を活用する調査手法はOSINT（Open Source Intelligence）と呼ばれています。本来はセキュリティ調査や脅威分析に活用される技術ですが、近年では攻撃者の重要な武器にもなっています。

一方、防御側も黙って情報を見られているわけではありません。

むしろ近年は、攻撃者がOSINTを利用することを前提に、あえて偽の情報を見せる取り組みが増えています。その代表例がハニーポットやディセプション（欺瞞）技術です。

従来のセキュリティ対策が「侵入を防ぐ」ことを目的としていたのに対し、ディセプション技術は「侵入した攻撃者を発見する」ことに重点を置いています。攻撃者がどのような情報を探し、何を狙っているのか。その行動を逆手に取り、攻撃そのものを監視対象へ変えてしまう考え方です。

攻撃者は企業のどこを見ているのか

企業が公開している情報の多くは、本来ビジネス活動に必要なものです。

しかし攻撃者にとっては、それらが攻撃準備のための材料になります。

例えば採用情報です。

◆ Microsoft 365管理経験者募集
◆ AWS環境の設計・運用経験必須
◆ Palo Alto製品の運用担当募集

こうした記載は人材募集としては自然ですが、攻撃者にとっては利用しているシステムや製品を推測する手掛かりになります。

技術ブログも同様です。

クラウド移行の事例やインフラ構成の紹介は企業の技術力を示す良いコンテンツですが、見方を変えればネットワーク構成や利用サービスのヒントにもなります。

さらに社員のSNS投稿から組織体制が見えることもあります。

役職者の異動情報、イベント写真、オンライン会議のスクリーンショットなど、何気ない投稿の積み重ねが攻撃者の情報収集を助けてしまうケースは珍しくありません。

近年ではダークウェブ上で流通する漏洩データと公開情報を突き合わせる手法も一般的になっています。

単独では価値がないように見える情報でも、複数を組み合わせることで攻撃シナリオが完成するのです。

ハニーポットとは何のために存在するのか

ハニーポットは一言で言えば「囮（おとり）」です。本物のサーバーやシステムに見せかけながら、実際には攻撃者の行動を観察するために設置されます。

重要なのは、「業務では一切利用されない」点です。例えば、社内で誰も利用していないはずのサーバーにアクセスがあった場合、その行為自体が不正アクセスの可能性（調査対象）になります。

通常のログ監視では、大量の正常イベントの中から異常を探さなければなりません。しかしハニーポットへのアクセスは、本来発生しないはずの通信です。そのため誤検知が極めて少なく、優先度の高いアラートとして扱えるという大きなメリットがあります。

攻撃者がアクセスしてきた瞬間から、以下のような高精度な情報を収集できます。

◆ 侵入元（どこから来たのか）
◆ 攻撃の意図（何を探しているのか）
◆ 手法やツール（どのツールを使っているのか）
◆ 標的（どの脆弱性を狙っているのか）

つまりハニーポットは単なる囮ではなく、攻撃者を観察するための高度なセンサーでもあるのです。

OSINTを逆手に取る発想

近年のハニーポット運用は、以前とは少し考え方が変わっています。従来はインターネット上に設置して攻撃を待つだけのケースが多く見られました。しかし現在は、攻撃者がOSINTを行うことを前提に設計されるケースが増えています。

例えば、攻撃者が興味を持ちそうな「サブドメイン」をあえて公開する方法です。

・ backup.example.com
・ vpn-old.example.com
・ admin-test.example.com

といった名称は、攻撃者にとって価値がありそうに見えます。実際にはハニーポットであっても、攻撃者は本物だと信じて調査や攻撃を試みるため、そこで足がつきます。

また、意図的に偽の認証情報を配置する企業もあります。GitHubや設定ファイルの中に、利用されていないAPIキーやアカウント情報を埋め込んでおく手法です。もし誰かがその情報を利用しようとすれば、即座に検知できます。これは「ハニートークン」と呼ばれる代表的なディセプション技術です。

「攻撃者が価値のある情報を探しているなら、その行動そのものを利用して罠にかけてしまおう」という逆転の発想です。

ディセプション技術が注目される理由

近年、ディセプション技術が再び注目されている背景には、攻撃手法の変化があります。ランサムウェア攻撃を例に考えてみましょう。

攻撃者は侵入後、すぐに暗号化を始めるわけではありません。まずネットワークを探索し、管理者権限を取得し、共有フォルダやバックアップ環境を確認します。そして、重要な情報を窃取した「後」で暗号化を実行します。

つまり、被害が発生する前には、必ず何らかの「探索行動」が存在するのです。

ディセプション技術は、この探索行動を初期段階で検知するための仕組みです。攻撃者が横展開（ラテラルムーブメント）を始めた段階で発見できれば、本格的な被害が発生する前に対応できる可能性が格段に高まります。そのため近年は、EDRやXDRと組み合わせて導入されるケースも増えています。

攻撃者を理解するための「脅威インテリジェンス」

ハニーポットやディセプション技術の価値は検知だけではありません。むしろ攻撃者を理解するための情報源として注目されています。

・ どの認証情報を優先的に探したのか
・ どのサーバーに興味を示したのか
・ どの脆弱性を悪用しようとしたのか
・ どのマルウェアを投入したのか。

こうした情報は、自社固有の「脅威インテリジェンス」として利用できます。実際の攻撃者が今何を狙っているのかをリアルタイムに把握できれば、自社の防御体制をピンポイントで強化できます。

セキュリティ対策は「何を守るか」を考えがちですが、「相手が何を欲しがっているか」を知ることも同じくらい重要なのです。

まとめ：ゼロトラストの先にある「攻めの防御」

ゼロトラストの考え方が普及したことで、多くの企業が認証強化やアクセス制御に取り組むようになりました。しかし、どれだけ認証を厳格にしても侵害リスクをゼロにはできません。認証情報の漏洩やサプライチェーン攻撃、内部不正など、侵入経路は数多く存在するからです。

そのため近年は、以下の三段階で対策を考える企業が増えています。

１．侵入を防ぐ（境界防御・認証）

２．侵入を検知する（EDRなど）

３．侵入後の行動を監視・妨害する（ディセプション技術）

ディセプション技術は、この「侵入後の行動監視」において非常に強力な役割を果たします。

また、攻撃者は組織の外側（OSINT）から情報を集めています。そのため防御側も、自社が外部からどのように見えているのか、あるいはダークウェブ等で自社の機密情報が流通していないかを継続的に把握する（外部監視）体制づくりが求められています。

社内での不審な動きをあぶり出す「ディセプション」と、社外の状況を捉える「OSINT・ダークウェブ監視」。この両者を組み合わせることで、攻撃者の準備段階から侵入後の活動までを包括的に捉え、先手を打つ防御が可能になるのです。