ネットワークのログを何年も追ってきた技術者には、通信量のグラフが年々右肩上がりに動く感覚があるかもしれません。攻撃を試みる通信もその例外ではなく、国内で観測されるサイバー攻撃関連の通信は近年も積み上がっています。IoT機器を踏み台にしたボットの感染も広がりを見せており、通信を観測し、分析し、脅威を検知するという一連の仕事は、これまで培ってきたログ解析の経験を生かせる領域になりつつあります。この記事では、増え続ける攻撃通信の実像から、観測網の仕組み、検知の考え方、IoT機器への対策、そしてリモート案件としての関わり方まで順に整理します。

1. なぜいまサイバー脅威観測の案件が増えているのか

攻撃関連通信は前年から11%増え、観測パケット数も過去最高に

国内のネットワークを見ている技術者の間では、攻撃を試みる通信そのものが増えているという実感が共有されています。NICTが公表したNICTER観測レポート2024によると、2024年に観測されたサイバー攻撃関連の通信は、2023年と比べて11%増加しました¹。IoTボットの感染やスキャンパケットも増えており、観測史上もっとも多いパケット数を記録しています²。日本のIPアドレスを標的にした攻撃は累計で17万件に達しており⁴、狙われているのは特定の業種や大企業だけではありません。

「攻撃は増えている」という報道は珍しくありません。ただ、増えた分だけ、その通信を観測し、意味のある形に整理する仕事も増えているという事実は見落とされがちです。攻撃が増えるほど、観測データを読み解く人手が不足しているのが実情で、ここに、ネットワークやログ分析の経験を積んできた技術者が関われる余地が広がっています。

こうした変化は、特定のセキュリティ企業だけが扱う話ではありません。ネットワーク機器のログを収集し、傾向を可視化してきた経験があれば、観測データの読み方にもそのまま応用できます。観測とは、通信を記録し続けることそのもので、日々のログ運用と地続きの作業だといえます。

攻撃の件数だけを追いかけるより、その通信が何を意味するのかを読み解く力のほうが、これからの案件では重宝されます。次の章では、その観測の仕組みを具体的に見ていきます。

出典：NICTER観測レポート2024（国立研究開発法人情報通信研究機構、2025年2月）をもとに作成

2. 攻撃を観測し分析するとは

ダークネット観測網が、2005年から通信を集め続けている

攻撃を観測するといっても、実際の防御対象のシステムを直接監視するわけではありません。NICTはNICTERプロジェクトの中で、大規模なサイバー攻撃観測網（ダークネット観測網）を構築し、2005年からサイバー攻撃関連の通信を観測し続けています⁵。ダークネットとは、実際には使われていない住所の集まりのことで、そこに届く通信は正規の利用者からのものではなく、無差別に送られるスキャンや攻撃の試みだと考えられる性質を利用した仕組みです。

観測されるデータには、宛先や送信元のIPアドレス、通信のプロトコル、時間帯といった要素が含まれます。これらを継続的に蓄積し比較することで、単発の攻撃ではなく、繰り返される攻撃の傾向が見えてきます。何年分ものデータが積み上がっているからこそ、短期間では見えない変化も捉えられます。

この仕組みの発見は、観測された通信のほとんどが「誰かに向けた」ものではなく「手当たり次第」に送られているという点にあります。個々の通信の宛先を細かく追うよりも、全体の傾向をつかむことのほうが、脅威の実像に近づく近道になります。長年にわたって同じ観測網で継続的にデータを集めているからこそ、変化の大きさも比較できるようになります。

観測網が集めるのは、あくまで生の通信データです。ここから意味のある脅威情報を取り出すには、分析と検知の工程が欠かせません。次の章では、その絞り込みの流れを見ていきます。

出典：NICTER観測レポート2024（国立研究開発法人情報通信研究機構、2025年2月）をもとに作成

3. 膨大な通信から脅威を検知する

観測パケットは過去最高。絞り込みには段階が要る

観測網が集める通信の量は、IoTボットの感染やスキャンの増加によって、観測史上もっとも多いパケット数に達しています²。この量をそのまま人が目視で確認することは現実的ではなく、既知のパターンで明らかにノイズとなる通信を除く一次フィルタリング、続いて検知ルールを当てはめて脅威候補を絞り込む工程を経て、最後に人が状況を確認し、対応の要否を判断するという段階を踏みます。

検知ルールの設計は、細かすぎれば見逃しが増え、粗すぎれば誤検知に埋もれるという難しさを抱えています。ルールを厳しくするより、まず全体の傾向をつかんでから絞り込みの精度を上げるほうが、結果として見逃しも誤検知も減らせます。ここに、ログ分析や統計的な視点を積んできた技術者の判断が生きてきます。

この一連の流れは、一人がすべてを担う体制というより、収集・フィルタリング・ルール設計・対応判断のそれぞれに専門性を持つ人が分担して進める体制に近いものです。自分の得意な工程を軸に関わりを持てる余地があります。

出典：NICTER観測レポート2024（国立研究開発法人情報通信研究機構、2025年2月）をもとに作成

脅威検知に関わる代表的な工程

脅威検知の工程は、観測データの収集から分析・対応判断まで、いくつかの段階に分かれています。それぞれの工程で必要になる視点は異なり、収集基盤の設計、フィルタリングルールの保守、検知ルールの調整、状況の報告といった役割に分かれて案件が構成されます。次の表に、代表的な工程と、そこで求められる視点、リモートでの関わり方の例をまとめました。自分がどの段階に関心を持てるかを確かめる手がかりにしてみましょう。工程ごとに求められる経験は異なるため、自分の強みがどこに合うかを確認してから案件を選ぶと、参画後の食い違いも抑えられます。

工程	内容	求められる視点	関わり方の例
観測データの収集	ダークネット観測網などで通信を収集し蓄積する	収集対象や範囲の設計	収集基盤の運用・監視
一次フィルタリング	既知のパターンでノイズとなる通信を除く	パターンの精度と更新頻度の見極め	フィルタリングルールの保守
検知ルールの適用	残った通信に検知ルールを当てはめ脅威候補を絞り込む	ルールの網羅性と誤検知のバランス	検知ルールの設計・調整
分析・対応判断	絞り込まれた候補を人が確認し対応の要否を判断する	状況を整理し伝える力	分析結果の報告・エスカレーション

検知ルールを作る作業は、一度作れば終わりではありません。攻撃の手口は変化するため、ルールの見直しも継続して必要になります。次の章では、特にIoT機器を狙う攻撃について、どのような対策の観点があるかを見ていきます。

4. IoT機器を狙う攻撃への対策

DVRやIoT向けLTEルータへの感染が、特に目立っている

個別の観測事象としては、DVR（録画機器）へのIoTボット感染が活発に発生しており、IoT向けLTEルータの感染も顕著に確認されています⁶。国内では、1日あたり平均で約2,600台がIoTボットに感染している状況も確認されており³、感染した機器がそのまま他への攻撃の踏み台になる懸念があります。どちらも、常時ネットワークに接続されたまま長期間放置されやすい機器という共通点があります。

これらの機器は、パソコンのように利用者が日常的に画面を確認する対象ではないため、感染に気づきにくいという性質を抱えています。気づきにくいからこそ、通信ログを監視し、異常な通信を検知する仕組みを整えることが、対策の出発点になります。

監視の仕組みを整える際は、まず正常な通信のパターンを把握しておくことが土台になります。異常は、普段の状態と比較して初めて見えてくるもので、平常時のログを丁寧に見ておく積み重ねが、対策の精度を左右します。

機器を一つひとつ手作業で点検するより、通信ログを継続的に監視し、異常を自動で検知する仕組みを整えるほうが、台数が増えても対応を続けやすくなります。

出典：NICTER観測レポート2024（国立研究開発法人情報通信研究機構、2025年2月）をもとに作成

対策の観点を整理する

IoT機器を狙う攻撃への対策は、特定の一つの対応で完結するものではなく、初期設定の確認、ファームウェアの更新状況の確認、通信ログの監視、異常検知の仕組みづくりといった複数の観点を組み合わせて進めることが有効です。次の表に、狙われやすい機器と、対策の観点、関わり方の例を整理しました。機器の種類によって狙われ方も変わるため、対象を絞って優先順位をつけて対応を進めることが現実的です。

対象機器	主なリスク	求められる対策の視点	エンジニアの関わり方
DVR（録画機器）	IoTボット感染が活発に発生	初期設定・認証情報の運用の見直し	ログ監視の仕組みづくり
IoT向けLTEルータ	感染も顕著に確認	ファームウェアの更新状況の確認	通信の異常検知の実装
それ以外のネットワーク機器全般	同様の手口で狙われる対象になりやすい状況です	初期設定の総点検・棚卸し	資産の可視化を支援する

対策を重ねることでリスクは抑えられますが、どれか一つの対応で攻撃を防ぎきれるわけではありません。地道な監視と改善の積み重ねが、この領域の仕事の中心になります。次の章では、こうした観測・分析・対策の仕事に、リモートやフリーランスの案件としてどう関わっていけるのかを見ていきます。

5. リモート・フリーランス案件でどう関わるか

観測・分析・検知のどこから入っても、経験は生きる

ここまで見てきた観測・分析・検知・対策の仕事は、一人がすべてを担うわけではありません。SOCアナリスト、脅威インテリジェンスアナリスト、検知エンジニア、インシデント対応支援といった役割に分かれて案件が構成されることが一般的です。

ネットワークやログ分析の経験は、そのままSOCでのアラート対応や検知ルールの調整に生かせます。データ分析の経験があれば、観測データの傾向整理や報告資料の作成でも力を発揮できます。特定のセキュリティ製品の操作経験がなくても、通信の意味を読み解く力があれば、参画してから習得できる部分もあります。操作の経験より、データを整理し状況を伝える経験のほうが、この領域では評価につながりやすい傾向があります。

案件で求められる役割を整理する

案件で求められる役割は一つではなく、アラート対応を担うSOCアナリスト、観測データを整理する脅威インテリジェンスアナリスト、検知ルールを設計する検知エンジニア、発生した事象に対応するインシデント対応支援など、経験や関心に応じて選べる幅があります。次の表に、代表的な役割と、活きる経験、関わり方の目安をまとめました。

役割	主な作業	活きる経験	関わり方の目安
SOCアナリスト	アラートの一次対応、優先度づけ	ログ分析、運用ルールの理解	リモートでの監視シフトへの参加
脅威インテリジェンスアナリスト	観測データや外部情報を整理し傾向を把握する	情報整理、レポーティング	定期レポートの作成・共有
検知エンジニア	検知ルールの設計・調整・チューニング	ルール設計、誤検知の削減	ルール開発・保守
インシデント対応支援	発生した事象の切り分け・記録・連携	状況整理、関係者との調整	発生時の対応・報告資料の作成

どの役割から始めても、観測データを扱った経験は次のステップにつながります。まずは自分がこれまで担ってきた工程に近い役割から関わりを持ってみるという選び方も、無理のない一歩になります。

リモートでの働き方を望む技術者にとって、気になるのは実際にどこまで在宅で完結できるのかという点です。Remogu（株式会社LASSIC運営）では、案件の90%以上がフルリモート可能です⁷。観測・分析・検知に関わる案件も、条件は案件によって異なりますが、リモートで進めやすい領域の一つです。

観測網の仕組みを知り、検知の流れを理解し、対策の観点を押さえておくと、案件に参画してからの立ち上がりも早くなります。ここまでの内容を整理します。

6. まとめ

サイバー攻撃関連の通信は、2024年に前年比11%増加し¹、IoTボットの感染やスキャンの増加によって観測パケット数も過去最高を記録しました²。日本のIPアドレスを狙う攻撃は累計17万件に達しており⁴、対象は特定の業種や大企業だけにとどまりません。

この通信を観測しているのが、2005年から続くダークネット観測網です⁵。集まった膨大な通信は、一次フィルタリングと検知ルールの適用を経て、対応が必要な脅威候補まで絞り込まれます。DVRやIoT向けLTEルータへの感染が特に目立っており⁶、通信ログの監視と異常検知の仕組みづくりが対策の出発点になります。収集から対応までの各工程は独立しておらず、前工程の精度が後工程の負担を左右するというつながりを持っています。

観測・分析・検知・対策のどこに関心を持つかによって、SOCアナリストから検知エンジニアまで、複数の役割から案件に関わる道があります。ネットワークやログ分析で積み上げてきた経験は、この領域でそのまま生かせます。まずは自分の経験に近い役割を見つけることから、次の一歩を踏み出してみましょう。

7. よくある質問

セキュリティの経験がなくても、この分野の案件に関わることはできますか

観測・分析・検知の仕事は、セキュリティ専業の経験だけで成り立っているわけではありません。ネットワークの知識やログ分析、データ整理の経験があれば、参画してから習得できる部分もあります。まずは自分の得意な分析軸を明確にしておくと、役割を選びやすくなります。面談の段階で、これまでのログ分析やネットワーク運用の経験を、脅威観測の文脈でどう生かせるかを一緒に整理していく進め方が中心になります。

どんなスキルが活きますか

ネットワークの基礎知識、ログ分析、統計的にデータを扱う力が土台になります。加えて、絞り込んだ情報を分かりやすく整理し、報告する力も重宝されます。プログラミングでログを加工した経験があれば、検知ルールの調整にもつながります。可視化ツールでの集計経験や、レポート作成の経験も、観測データの傾向整理にそのまま応用できます。

観測データはどのように分析しますか

ダークネット観測網⁵で集めた通信を、既知のパターンで一次フィルタリングし、検知ルールを当てはめて絞り込みます。最後に人が状況を確認し、対応の要否を判断するという段階を踏みます。統計的な視点で通信の傾向をつかむ力が役立ちます。分析には、統計ソフトやBIツール、あるいはSQLでの集計など、使い慣れた道具をそのまま生かせる場面もあります。

ネットワークの知識は必須ですか

観測データも通信の記録の一つなので、ネットワークの基礎知識があると理解が早くなります。詳細なプロトコルの知識がなくても、通信の宛先や量の変化を読み取る視点があれば、分析の入り口には立てます。案件に参画しながら知識を広げていく進め方も選べます。TCP/IPの基礎や、通信の宛先・時間帯の見方を押さえておくと、観測データの理解も早まります。

案件はフルリモートでも進められますか

Remoguが扱う案件は、条件は案件によって異なりますが、リモートで進めやすい領域の一つです。観測・分析・検知の仕事は、対面での作業を前提としない工程が多く、まず登録して、自分の経験に合う条件を確かめてみることをおすすめします。面談の段階で、稼働の曜日や時間帯についても具体的に相談できます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊2 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊3 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊4 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊5 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊6 国立研究開発法人情報通信研究機構「NICTER観測レポート2024」（2025年2月）
＊7 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能