用語辞典9分で読める

IOA（攻撃指標）とは：痕跡ではなく、進行中の攻撃の動きで侵害に気づく考え方

IOA（攻撃指標）は、残った痕跡（IOC）ではなく、権限昇格や横移動など進行中の攻撃の振る舞いで侵害に気づく考え方です。IOCとの違い、振る舞いが変えにくい理由、小規模での活かし方を解説します。

本文を読む

#IOA #インシデント対応 #脅威インテリジェンス #検知

公開日: 2026-06-11
更新日: 2026-10-06

「侵害の痕跡（IOC）を照合する」だけでは、攻撃者が痕跡を変えると追いつけません。そこで効くのが、振る舞いで気づくIOAです。意味と使い方を解説します（攻撃手順は載せません）。

IOC と IOA — 結果の痕跡と進行中の振る舞い

IOC（侵害指標）＝結果の痕跡

ハッシュ・IP・ドメインなど事後の証拠
既知の悪いものと機械的に照合できる＝速い
だが攻撃者が簡単に変えられる
本質的に後追い

IOA（攻撃指標）＝進行中の振る舞い

「権限昇格→横移動→外部送信」等の手口の流れ
リアルタイムに近い段階で気づける
攻撃の本質なので変えにくい
仕組みの理解が要るぶん導入の手間が大きい

なぜ振る舞いは変えにくいのか

攻撃者にとって、ファイルのハッシュやIPは“使い捨て”です。一方で、「どう攻めるか」という手口の流れは、目的（権限を得て、広げて、持ち出す）に縛られるため、そう簡単には変えられません。

手口の流れ（IOA・変えにくい）

↑ 振る舞いで気づく

ハッシュ・IP（IOC・一瞬で変えられる）

個別の痕跡（下）は変えやすい。手口の“流れ”（上）は攻撃の本質なので変えにくい＝長く効く指標。

小規模でもできる活かし方

専用のEDR（端末の振る舞いを監視する製品）が無くても、「普段と違う挙動」に注目するのがIOAの本質です。

“普段”を知っておく

正常時のログイン時間帯・通信量・使う機能を把握しておく。基準が無いと「違い」に気づけない。

振る舞いの異常に注目する

深夜の大量送信、見慣れない常駐プロセス、ふだん使わない管理機能の連続実行、短時間の大量ログイン試行など、手口の流れを示す動きに注目する。

気づいたら隔離して調べる

該当端末・鍵・トークンを切り離し、影響範囲を確認する。痕跡（IOC）も併せて記録する。

痕跡照合（IOC）と併用する

IOAで“いま起きている異常”に気づき、IOCで既知の悪いものを照合する。どちらか一方ではなく両方を使う。

攻撃の段階ごとのIOAの例

IOAは「何を見るか」まで決めて初めて使えます。攻撃の段階は、MITRE ATT&CK（攻撃者の手口を段階ごとに整理した公開の知識ベース）の分け方に合わせると整理しやすくなります。

段階	振る舞いの例	どこで見るか
初期アクセス	短時間の大量ログイン失敗の直後に成功／普段と違う国・時間帯からのログイン	認証ログ（Windowsのイベント4625・4624、クラウドのサインインログ）
権限昇格	ふだん使わないアカウントが管理者グループに追加される	Windowsのイベント4732、クラウドの権限変更ログ
居座り（永続化）	新しいアカウント・定期実行タスク・サービスが作られる	イベント4720・4698・4697
痕跡の消去	監査ログが消去される	イベント1102
外部との通信	一定間隔で同じ宛先へ続く通信（C2）、深夜の大量送信	プロキシ・DNS・ファイアウォールのログ、通信量の推移

1つずつは、管理者の正常な作業でも起こります。マイクロソフトも監視すべきイベントの一覧で、重要度が中・低のイベントは「想定外に起きたときや、普段の件数を大きく超えたときに調べる」としています。IOAは単発の値ではなく、普段との違いと、動きの並び方で判断します。

具体例：痕跡と振る舞い、どちらで気づいたか

当サイトで扱った公開事例でも、気づいた手がかりは事案ごとに違います。

事例	気づいた手がかり	種類
Codecov（2021年）	配布スクリプトのハッシュが公式の値と食い違っていた	IOC（痕跡の照合）
Hugging Face（2026年）	同社の公表によれば、セキュリティの計測データに対する異常検知の仕組みが兆候を拾った	IOA（振る舞いの異常）

Hugging Faceの事案では、侵入したのは人の指示なしに動くAIエージェントだったと両社が報告しています。こうした相手は、休まない・待たない・同じ操作を並べて実行する、という人間には出せない動き方をします。ハッシュやIPのような既知の痕跡が用意されていない新しい攻撃ほど、振る舞いの側で気づく価値が大きくなります。

自分の環境で確認する方法

専用の製品がなくても、OSやクラウドに標準で残る記録から始められます。

Windows：イベントビューアーの「Windowsログ → セキュリティ」で、上の表のイベントIDを絞り込む。PowerShellなら Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 で直近のログイン失敗を一覧できる（管理者権限が必要）
記録が出ていない場合：Windowsは版や設定によって既定で残る監査イベントが異なる。必要なイベントが残るよう、グループポリシーの「高度な監査ポリシーの構成」を確認する
Linuxサーバー：last でログイン履歴、journalctl -u ssh（ディストリビューションにより sshd）や /var/log/auth.log で認証の成否を確認する
クラウドやSaaS：管理画面の監査ログ・サインインログで、普段と違う国・時間帯のログインや、権限の変更を探す
基準を残す：平日・休日それぞれの通常のログイン件数や通信量を一度控えておく。比べる基準がないと「普段と違う」を判断できない

当サイトの視点：気づく力と、起こさない力は別。両方持つ

IOAは「振る舞いで気づく」強力な考え方ですが、当サイトは「気づく」だけに寄りかからないことを勧めます。検知（IOA/IOC）は事故が起きてからの話で、まず必要なのはそもそも起こさない・広げない設計です。具体的には、最小権限、素早いパッチ（CVE監視）、フィッシング耐性MFA、秘密を平文で置かないことです。とはいえ完全な予防は無いので、予防（起こさない）と検知（IOA/IOCで気づく）の両方が必要です。振る舞いベースのIOAは、痕跡照合より一歩早く異常を示せるのが価値です。

出典（一次情報）

MITRE「ATT&CK Enterprise Tactics」 — attack.mitre.org（攻撃の段階の分け方）
IETF RFC 9424「Indicators of Compromise (IoCs) and Their Role in Attack Defence」（2023年8月） — rfc-editor.org（手口＝TTPは痕跡より変えにくいという整理）
Microsoft Learn「Appendix L: Events to Monitor」 — learn.microsoft.com（イベントIDと、普段の件数と比べて調べるという考え方）
CodecovとHugging Faceの出典は、各事例の解説記事に掲載しています

次に読む

用語：IOC（侵害指標）とは / C2 とは / EDR とは / CVE とは
事例：Hugging Faceへの侵入（2026年） / Codecov 改ざん事件（2021年）
速報：脆弱性速報フィード

よくある質問

QIOAとIOCの違いは何ですか？

IOC（侵害指標）は『すでに起きた侵害の痕跡』で、ファイルのハッシュ、通信先IP/ドメインなど、事後に残る証拠です。IOA（攻撃指標）は『いま進行している攻撃の振る舞い』で、権限昇格→横移動→外部送信、といった手口の流れに注目します。IOCは事後・静的、IOAはリアルタイムに近く・振る舞いベース、という違いです。

QなぜIOAのほうが『長く効く』のですか？

攻撃者はファイルのハッシュやIPアドレスを一瞬で使い捨て・変更できます（IOCはすぐ陳腐化）。一方で、攻撃の“やり方”そのもの（権限を上げ、横に広げ、外へ持ち出す、という流れ）は、攻撃の本質なので簡単には変えられません。だから振る舞い＝IOAに注目するほど、防御は長持ちします。

Q小規模でもIOAは使えますか？

高度なEDR製品が無くても、考え方は使えます。『普段と違う挙動』に注目するのがIOAの本質です。例えば、深夜の大量データ送信、見慣れないプロセスの常駐、ふだん使わない管理機能の連続実行、短時間の大量ログイン試行など。これらは個別のIOCより、攻撃の進行を早く示すことがあります。

QIOAの具体例は？

たとえば、短時間に大量のログイン失敗が続いた直後の成功、ふだん使われないアカウントへの管理者権限の付与、新しいアカウントや定期実行タスクの作成、監査ログの消去、一定の間隔で同じ宛先へ続く外向き通信、深夜の大量送信などです。1つずつは正常な操作でも起こり得るので、普段との違いと、複数の動きの並び方で判断します。

QIOAとEDRはどう関係しますか？

IOAは『振る舞いで気づく』という考え方で、EDRはそれを端末上で自動化する製品の代表です。EDRは端末のプロセス・通信・ファイル操作を記録し、IOAに当たる一連の動きを検知します。EDRが無くても、OSの監査ログや認証ログを使えば、IOAの考え方の一部は実践できます。

QIOAとTTP、MITRE ATT&CKの関係は？

TTPは攻撃者の戦術・技術・手順（Tactics, Techniques, and Procedures）のことで、MITRE ATT&CKはそれを『初期アクセス』『権限昇格』『C2』などの段階ごとに整理した公開の知識ベースです。IOAは、そのTTPが実際に動いているときの兆候を捉えるものです。ATT&CKの段階に沿って「どの段階を何で見ているか」を整理すると、監視の抜けに気づきやすくなります。