ゼロデイ攻撃の特徴は主に次の点です。
- 未公表または対策が未提供の脆弱性を突く
- 公表前の脆弱性を悪用するため、修正パッチの提供が遅れる期間を狙います。これにより「0日」という名称が生まれました。
- 初動は目立たず、痕跡を最小化する傾向
- 発見後すぐに悪用されるわけではなく、検知を避けるために静かな動作から始まり、徐々に侵入を拡大します。環境判定や時限式のペイロード分布が用いられることがあります。
- 侵入後の展開が多様で影響が大きい
- 資格情報の窃取、権限昇格、横展開、持続化といった工程を経て、機密情報の窃取やランサムウェア投下、業務停止などの広範な被害につながる場合が多いです。
- 対象は多岐にわたり、OS・アプリ・ライブラリ・ネットワーク機器など幅広い
- プラットフォーム依存のエクスプロイトが作り込まれることが多く、正規ツールの悪用や暗号化トンネル、コード署名の悪用など監視回避手段が用いられます。
- 事前対策が難しく、発生後の対応が重要
- 事前に完璧なパッチ適用が難しい場合が多く、検知・隔離・早期の脆弱性管理・多層防御の強化が重要です。
補足しますと、ゼロデイの定義は「公開前の脆弱性を利用する攻撃」という点に集約されます。対策としては、脆弱性情報の迅速な収集と適用、機密データの保護強化、侵入検知と応答手順の整備、監視の強化、サプライチェーンセキュリティの強化などが挙げられます。
もし具体的な業界や組織規模（企業、自治体、教育機関など）に合わせた対策案を知りたい場合は、対象を教えてください。適切な対策の優先順位と実行計画を、実例とともに示します。
