脅威保護の定義

脅威保護とは、システムや利用環境で起こり得る攻撃・不正行為を「脅威」として想定し、その脅威に対して検知（気づく）、抑止（止める）、被害軽減（広げない）を行うための総合的な考え方です。ここで重要なのは、脅威保護は万能ではなく、守ろうとする対象と、どの攻撃を現実的に扱うか（脅威の範囲）によって効果が変わる点です。

仕組み：脅威モデルと防御の組み立て

脅威保護を理解するための簡単なモデルは、「脅威モデル」と「防御の判定」の2つです。脅威モデルは、想定する攻撃手段、狙われ方、成功条件、影響度を整理するもので、どこにリスクが集中しているかの見立てになります。防御の判定は、観測できる情報（通信の特徴、振る舞い、入力の形、認証や権限の状態など）から、疑わしい状態を“検知”し、必要に応じて遮断や制限で“抑止”し、被害が出た場合も“被害軽減”で被害拡大を抑える流れです。

このとき、次の要素が実装の方向性を左右します。

  • 何を観測できるか（ログやメタ情報の範囲）
  • 何を疑わしいとみなすか（検知条件）
  • 疑わしいと判断した後に何をするか（隔離、制限、通知など）
  • その結果をどう評価するか（誤検知・見逃しのバランス）

制限：すべてを防げない理由

脅威保護は「想定した範囲でのリスク低減」を目的とします。見逃し（本来止めたい攻撃を検知できない）や誤検知（無害な行為を脅威として扱う）といった限界が生じます。これは、脅威が常に変化し、観測できる情報にも限界があるためです。

また、守る対象によって成功条件が異なります。たとえば、同じ“怪しい動き”でも、運用上の正当な手順として起こる場合があります。逆に、攻撃が痕跡を残しにくい形で行われると、検知側が判断材料を得られないこともあります。そのため、脅威保護を導入したら終わりではなく、脅威モデルの更新と、検知条件・運用の見直しを続ける必要があります。

さらに、被害軽減は「起きた後の被害の広がりを抑える設計」に依存します。 検知できても遮断が間に合わなければ影響が残り、遮断できても業務要件と衝突すれば運用側で許容が増える可能性があります。