サイバーセキュリティにおける滞留時間（Dwell Time）とは？平均検知日数と復旧コストを徹底解説

サイバーセキュリティにおける滞留時間（Dwell Time）とは

サイバーセキュリティにおける滞留時間（Dwell Time）とは、攻撃者がネットワークやシステムに最初に侵入した時点から、組織がその攻撃を検知するまでの期間を指します。この期間が長引くほど、攻撃者は内部で自由に行動でき、データ窃取やランサムウェア感染の拡大など、深刻な被害をもたらす可能性が高まります。

かつては攻撃者が数年間も気づかれないケースがありましたが、近年は検知技術の向上により滞留時間は大幅に短縮されています。それでも、いまだ数週間から数か月単位で侵入が見過ごされているのが実情です。

滞留時間の推移：統計データで見る変化

業界調査によると、世界の中央値ベースの滞留時間は、2011年の416日（1年以上）から2020年には24日（1か月弱）へと劇的に短縮されました。

一方、Mandiantの調査では、企業環境における脅威の平均滞留時間は2017年時点で99日、2018年5月には101日と報告されており、何年間も潜伏し続ける脅威に気づいていない組織が多い実態も明らかになっています。

またFireEyeのレポートでは、海外全体の平均滞留時間は146日である一方、EMEA（欧州・中東・アフリカ）地域では469日に達するとされています。

さらに英国のセキュリティ企業Sophosによれば、ランサムウェア攻撃の場合、攻撃者の活動が発見されるまで平均11日程度かかるとしています。

サイバー攻撃が増加している理由

セキュリティ企業SonicWallの2021年の報告書によると、ランサムウェア攻撃は2019年から2020年の間に62%増加し、北米だけでも158%の増加となりました。

この背景には、インターネット利用者数の急増があると指摘されています。オンライン人口が増えるほど攻撃対象も拡大し、攻撃者にとって魅力的な標的が増えるためです。

攻撃の検知と封じ込めにかかる時間

IBMの調査データによると、企業がデータ侵害を特定するまでに平均197日、封じ込めるまでにさらに69日を要します。2020年のデータでは、特定までに228日、封じ込めまでに80日という数字も報告されています。

またIBMの2020年データセキュリティレポートでは、攻撃の検知・封じ込めから通知までに合計280日（約9か月）かかった事例が示されています。

このように長期化する対応プロセスにより、毎年数百万ドル規模のコストが失われています。実際、30日以内に被害を封じ込められた企業は、そうでない企業と比べて100万ドル以上のコストを削減できたという分析もあります。

復旧にかかる時間とコスト

サイバー攻撃からの復旧には、通常2〜4週間程度かかるのが一般的です。特にセキュリティ対応の経験が浅い企業では時間が長引きやすい傾向があります。また、ランサムウェアの被害者は、復旧後に再び攻撃を受けるケースも少なくありません。

復旧コストも急騰しています。Sophosの調査によると、ランサムウェア攻撃からの復旧費用の平均は200万ドルを大きく超え、2020年と比較して76万1,000ドルの増加となりました。

NIST（米国国立標準技術研究所）によると、「復旧」とは、レジリエンス（回復力）計画を維持するための適切な活動を策定・実施し、サイバーセキュリティインシデントによって悪影響を受けた機能やサービスを復元することを意味します。

ランサムウェア攻撃から復旧する方法

ランサムウェアに感染した場合、最も迅速な復旧方法はバックアップからのシステム復元です。ただしこの方法が有効なのは、ランサムウェアに汚染されていない最新のデータとアプリケーションのコピーが存在する場合に限られます。システムを復元する前に、必ずランサムウェアを完全に除去しておきましょう。

脅威ハンティングで滞留時間を短縮する

脅威ハンティング（Threat Hunting）とは、ネットワーク、エンドポイント、データセットを能動的に精査し、従来の検知ツールでは見逃されがちな悪意のある・疑わしい・危険な活動を探し出す活動です。滞留時間を短縮するために極めて有効な手法です。

主な脅威ハンティング手法

• 構造化ハント：Tactics, Techniques and Procedures（TTP：戦術・技術・手順）とIoA（攻撃指標）に基づいてターゲットを特定します。
• 非構造化ハント：トリガー（きっかけ）を起点として開始されます。
• インテリジェンス駆動型：脅威インテリジェンスを活用して捜索を行います。
• 仮説駆動型：脅威ハンティングライブラリーを用いて仮説を立て、検証します。
• カスタムハント：組織固有の環境に合わせて調整された捜索です。

脅威ハンティングツール

機械学習や行動分析を活用した分析駆動型ツールが主流です。マルウェアやランサムウェアの解析、脆弱性スキャンの実施、脅威インテリジェンスレポートの生成などを通じて、脅威が拡散する前に特定・検知できるよう支援します。

脅威ハンティングの始め方

1. 内製するか外部委託するかを決める
2. 計画を立てて十分に準備する
3. 調査対象となるテーマを決定する
4. 仮説を立てて検証する
5. 記録を取りながらデータを収集・整理する
6. 定型作業は自動化する
7. 結果を分析し、次のステップを計画する

補足：他の分野における「滞留時間」

「滞留時間」という用語はサイバーセキュリティ以外でも使われます。例えば、サプライチェーン分野ではトラックやドライバーが荷物の積み降ろし後に待機する時間を指し、軍事分野では海外派遣から帰国後、次の派遣までの国内滞在期間を意味します。また、ウェブ分析ではユーザーがリンクをクリックしてからページを閲覧している時間を指すこともあります。

まとめ

滞留時間は、組織のサイバーセキュリティ体制の強さを測る重要な指標です。攻撃の高度化が進む現在、早期検知・早期封じ込めが被害額を大きく左右します。脅威ハンティングの導入、バックアップ体制の整備、監視体制の強化などにより滞留時間を最小限に抑えることが、被害を軽減する鍵となります。