ゼロデイ攻撃とは？修正前の隙を突く脅威をやさしく解説

「ゼロデイの『ゼロ』って、何が0なの?」
「普通の攻撃と、どこが違うの?」
「修正がないなら、どう守るの?」

名前の「ゼロ」が何を指すか。ここが分かると、この攻撃の怖さが一気に見えてきます。

ゼロデイ攻撃とは、脆弱性を修正するプログラムが提供される前に、その弱点を突いて行われる攻撃です。守る側が対策に使える時間が実質「0日」——この名前は、そこから来ています。

この記事では、なぜ既知の攻撃より危険なのかを表で切り分け、脆弱性が生まれてから塞がるまでの「露出の窓」を時間軸の図で開きます。最後に、修正がない状況での守り方を優先順位で示します。情報セキュリティマネジメント（SG）の脅威対策に直結します。

1. 危険さは「修正がまだ無い」の一点に集まる

すでに知られている脆弱性なら、対処は明快です。開発元が出した修正プログラム（パッチ）を当てれば、その穴は塞がります。ゼロデイが厄介なのは、当てるべき修正が、この世にまだ存在しない状態を狙う点です。違いを表で並べます。

右の列は、いずれも「守る側の準備がまだ整っていない」ことの言い換えです。だからゼロデイは、防御の穴を確実に狙いたい攻撃者にとって価値が高く、特定の組織を狙う標的型攻撃と組み合わされることがあります。脅威は単独ではなく、重なって現れる——この見方を持つと、対策の全体像がつかみやすくなります。攻撃の入口になる不正なソフトの基礎は マルウェアとは で押さえられます。

2. 露出の窓——弱点が生まれてから塞がるまで

ゼロデイは、時間軸で捉えると本質が見えます。脆弱性が生まれてから完全に塞がるまでの間に、守る側が無防備になる「露出の窓」があります。その窓を図にしました。

窓が開くのは「攻撃者が悪用を始めた瞬間」から。閉じるのは「パッチが公開された瞬間」ではなく、各組織がそのパッチを適用し終えた瞬間です。ここに落とし穴があります。パッチが公開されると、攻撃者はその修正内容を手がかりに弱点の在りかを逆算し、まだ更新していない組織を集中的に狙います。「パッチが出た＝もう安全」ではなく、「出たその日に当てきれるか」が守りの分かれ目になります。露出の窓は、適用が終わるまで閉じません。

3. 修正が無い時間を、どう耐えるか

「修正が無いなら、打つ手も無いのでは」と感じるところですが、そうではありません。ゼロデイを完全に防ぐのは困難ですが、被害を小さく抑えることはできます。鍵は、1つの壁に頼らず複数の防御を重ねる多層防御です。

考え方はシンプルです。入口で不審な通信を止める仕組み、内部でおかしな動きを見張る監視、権限を絞って侵入後に動ける範囲を狭める設計——これらを重ねておけば、たとえ1枚目を突破されても、次の壁で足止めできます。特定の穴を塞ぐのではなく、「突破されても被害が広がらない構え」を作るのが、修正の無い時間を耐える発想です。通信の入口で不審を止める仕組みは ファイアウォールとIDS/IPSとは で基礎を確認できます。

4. 名前の由来が、試験の得点になる

SGでは、ゼロデイは「修正プログラムが提供される前に脆弱性を突く攻撃はどれか」という形で、似た用語との見分けを問われます。ここで効くのが、名前の由来です。

「対策にかけられる時間が0日」という一点さえ握っていれば、選択肢は切れます。修正が出た後に狙う攻撃は既知の脆弱性への攻撃、修正が出る前を狙うのがゼロデイ。この時間軸の前後で、用語がきれいに分かれます。丸暗記ではなく「窓が開いている間の攻撃」と捉えておくと、言葉を入れ替えた引っかけにも動じません。

5. 今日から効く、備えの優先順位

ここまでを、実際に手をつける順番へ落とします。上から効きます。

1. 修正を即当てる体制：パッチ公開から適用までの時間を短くする。露出の窓を自ら閉じにいく、最も直接的な一手
2. 多層防御：入口・内部・権限で壁を重ね、1枚突破されても被害を局所にとどめる
3. 監視と早期発見：不審な動きに早く気づき、広がる前に止める
4. 攻撃対象を減らす：使わない機能・不要な公開を閉じ、そもそも狙われる穴を減らす

順番に意味があります。修正の即時適用が土台で、その上に多層防御と監視が乗る。ゼロデイは「特別な脅威だから特別な対策が要る」と身構えがちですが、実際には基本の徹底こそが最も効く——ここがこのテーマの芯です。

次のステップ

ゼロデイがSGのどの範囲に置かれるかを地図で見たいなら、情報セキュリティマネジメント試験のロードマップから脅威と対策の並びをたどると、学習の順番が定まります。

時間軸での見分けが本番で効くかは、情報セキュリティマネジメント テクノロジ系の問題集で脅威まわりの設問を解いて確かめられます。