米国土安全保障省のサイバーセキュリティ・アンド・インフラストラクチャ・セキュリティ庁（CISA）は2026年9月16日、重要インフラの所有者・運営者などを対象とする「Using Cyber Decoys to Strengthen Detection and Response」を公開した。現実的な偽システムや情報資産をネットワーク内に配置し、悪意のある活動を早期に検知・分析・阻止するための実践的な導入手順を示している。
事案の詳細
今回の発表は、CISAがサイバーデコイの計画・導入・運用に関する初の詳細なガイドを公開したものだ。サイバーデコイは、正規のシステム、アカウント、データなどに見える一方、攻撃者の注意をそらし、存在を検知し、脅威情報の収集を支援するよう設計された資産を指す。
ガイドでは、トリップワイヤー、ブレッドクラム、ハニートークンなどの概念を紹介している。これらを内部ネットワークやシステム、特に重要度の高い領域に配置し、アクセスや操作が発生した際に高精度のアラートを生成することで、侵入ライフサイクルの初期段階における攻撃者の活動を把握しやすくする。
サイバーデコイは、侵入を完全に防止する代替策ではなく、攻撃者が何らかのアクセス権を得る可能性を前提とした検知・対応の仕組みである。CISAは既存のゼロトラストモデルと組み合わせて導入することを推奨している。
ガイドは、侵入や侵入の試みから得た情報の収集・分析、防御リソースの適切な配分、平均検知時間（MTTD）の短縮を主な効果として挙げている。また、MITRE ATT&CKおよびMITRE Engageのフレームワークを活用し、組織の成熟度に応じて実施できる、複雑さを抑えた導入手順を示している。
影響と背景
サイバーデコイのようなおとり技術は、侵害後の活動を高い確度で検知し、攻撃者の行動を分析するための防御手段として位置づけられている。CISAが重要インフラ組織向けに導入ガイドを公表したことは、侵入を前提に、検知と対応を継続的に強化する必要性を反映した動きといえる。
ガイドでは、デコイを単に配置するだけでなく、既存の資産や防御策を把握し、攻撃手法と防御範囲を対応付け、脅威情報を踏まえて検知の弱点を特定する手順が示されている。導入後は、レッドチーム演習や脅威エミュレーションなどを通じて運用を検証し、配置やアラートを継続的に見直すことが求められる。
対策・今後の展望
CISAが導入ガイドを示したことを踏まえ、組織側は、サイバーデコイを既存の監視・インシデント対応・ゼロトラスト施策と連携させ、「早期に気付く」ための運用を具体化することが求められる。サイバーデコイの採用有無にかかわらず、以下の観点で社内の準備状況を点検したい。
- 検知と通報の流れ：異常を検知した際に、誰が何を確認し、どこへ連絡し、証拠をどのように保存し、必要に応じて端末の隔離やアカウント停止を行うかを事前に決めておく。
- 監視対象の明確化：守るべき重要な情報やシステムを整理し、どのログやアラートを見れば兆候を拾えるかを定義する。デコイを配置する場合は、正規資産と誤認されないよう管理方法と監視責任者も明確にする。
- フレームワークと脅威情報の活用：MITRE ATT&CKなどを用いて想定する攻撃手法と検知状況を整理し、検知の弱い領域にデコイを配置する。
- 訓練と見直し：レッドチーム演習や脅威エミュレーションを含む検証を定期的に行い、検知後の初動、アラートの精度、デコイの配置を実務に合わせて更新する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断やMDR運用では、「気付けない」状態が課題になりがちです。アラートは出ていても見逃され、ログの保管や確認手順が未整備のまま、異常の切り分けができないケースを多く見ます。
【観点②：セキュリティ専門家でない人への平易な解説】サイバーデコイは、例えるなら「侵入者が触りたくなる偽物の引き出し」を用意して、開けられたらすぐ分かるようにする仕組みのようなものです。つまり、被害が大きくなる前に“異変の合図”を増やす発想です。ただし、侵入そのものを防ぐ仕組みではないため、認証強化、脆弱性対策、バックアップ、通常の監視と併用する必要があります。
【観点③：中小企業が今週中にできること】まず、異常の連絡先と初動担当を1枚のメモにして社内で共有してください。次に、今使っている端末やサーバのログが「どこに残り、誰が見られるか」を担当者に確認します。最後に、アラートが来た時の確認手順を短く書き起こし、端末の隔離やアカウント停止が必要な場合の判断者も決めておくと動けます。