📦 製造業（工場・繊維・化学・機械）

攻撃者の狙い： 物理破壊ではなく「操業停止リスク」を人質にして交渉する（止まると払う確率が上がる）。

🏥 医療（病院・クリニック）

攻撃者の狙い： 診療継続を止める／止められる直前で脅し、支払い圧力を最大化する。

💻 IT企業／SaaS／Web

攻撃者の狙い： サプライチェーンを踏み台にして顧客へ波及。CI/CDやSecretsが狙われる。

🔍 2026年：ファイルレス（LotL）と“正規ツール悪用”が標準化

PowerShell / WMI / rundll32 / mshta など、OS標準機能を悪用する攻撃は「ファイルを残さない」ため、従来の検知（ハッシュ・ファイル名中心）が効きにくい。

🤖 生成AIで“文章で見抜けない”BECが増える

なりすまし／請求書詐欺／送金先変更などは、文章の違和感では止められない。止めるのはプロセス（承認・別経路確認・二人承認・手順固定）。

⚙️ ブートレベル（UEFI）とサプライチェーンが“上位脅威”へ

端末基盤（ファーム/ブート）や、ビルド・署名・配布などの供給網を狙う攻撃が増える。ここは“運用設計”がすべて。

🎯 SOCは「検知」／CSIRTは「判断」

📊 最小で強いログ設計（最初に集める順）

まずは「入口（VPN/メール）」「横展開（AD）」「実行（EDR）」「通信（FW/DNS）」を揃える。全部は後で良い。

🚨 検知ユースケース（最小12本）

💻 すぐ使える防御設定

Windows：ASR（Attack Surface Reduction）

$rules = @(
  "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # Officeが子プロセス作成をブロック
  "3B576869-A4EC-4529-8536-B80A7769E899", # Officeから実行ファイル作成をブロック
  "75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84"  # 不正なスクリプト実行をブロック
)

foreach($r in $rules){
  Add-MpPreference -AttackSurfaceReductionRules_Ids $r -AttackSurfaceReductionRules_Actions Enabled
}

Linux：auditd（改ざん・権限変更）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k sudoers
-w /etc/ssh/sshd_config -p wa -k sshd
-a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -k perm_mod

⚡ 初動30分（迷わないための固定手順）

👥 CSIRT RACI（責任分解）テンプレ

🔄 「払わない前提」を成立させる復旧要件

🚀 90日で“武器化”する実行計画

💰 経営向け：意思決定3つ

🎯 最終メッセージ

🔥 製造業版：IT/工場/OT 分離のFWルール雛形

ベンダー問わず流用できる“設計書レベル”の雛形です。要点は 方向・時間・送信元IP・宛先IP・ポート を固定し、例外は期限付き にすること。

ルールの大原則（必須）

推奨ポリシー表（設計書用）

設定例（ベンダー非依存の疑似設定）

# IT → FACTORY (MES Web)
ALLOW  src=IT_Admin_PC  dst=MES_Web  proto=tcp  port=443  schedule=office-hours  log=on

# IT → FACTORY (Jump only)
ALLOW  src=IT_Admin_PC  dst=Factory_Jump  proto=tcp  port=3389  mfa=vpn-required  log=on

# FACTORY → OT (PLC comm)
ALLOW  src=HMI_or_MES   dst=PLC_List     proto=tcp  port=502  log=on

# MAINT → OT (Vendor maint, restricted)
ALLOW  src=Vendor_VPN   dst=Target_Device proto=tcp port=VENDOR_PORT schedule=approved-window log=on

# Explicit deny IT/Internet to OT
DENY   src=ANY          dst=OT_ZONE      proto=any port=any log=on

🏥 医療版：医療機器LAN隔離＋外部保守の条件テンプレ

医療は「更新できない機器がある」前提で、隔離・最小通信・監視・保守制御 で守ります。

医療機器LANの基本設計

外部保守（ベンダー）の必須条件テンプレ（そのまま契約・運用に落とせる）

FWルール雛形（医療機器LAN）

# Vendor → Jump Server only (time-limited)
ALLOW src=VENDOR_IPS dst=MED_JUMP proto=tcp port=443 schedule=approved-window log=on
DENY  src=VENDOR_IPS dst=ANY      proto=any port=any log=on

# MED_DEVICES → Internet (blocked)
DENY  src=MED_DEVICE_LAN dst=Internet proto=any port=any log=on

# MED_DEVICES → EHR/LIS/PACS (minimal)
ALLOW src=MED_DEVICE_LAN dst=EHR/LIS/PACS proto=tcp port=SPECIFIED log=on

💻 IT版：SBOM / 署名 / Secrets / CI Gate 実装チェックリスト

IT/SaaSは「顧客へ波及」するため、ビルド・署名・配布の完全性 が最重要です。ここでは“実装できる粒度”でチェック化します。

チェックリスト（まず90日で揃える）

GitHub Actions：Secrets漏洩をCIで止める

name: Security Gate
on: [push, pull_request]

permissions:
  contents: read

jobs:
  secret-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Secret scan (TruffleHog)
        uses: trufflesecurity/trufflehog@v3
        with:
          path: .
          extra_args: --only-verified

SBOM生成（Syft / CycloneDX）

# syftでSBOM（CycloneDX JSON）を生成
syft . -o cyclonedx-json > sbom.cdx.json