Techniques“を翻訳した資料です。内容については、最大限の努力を持って正確に期していますが、本書の内容に基づく運用結果については責任を負いかねますので、ご了承ください。GitHub』を参照してください。ブログは『セキュリティコンサルタントの日誌から』を参照してください。はじめにこの記事では、誘導質問(Elicitation)の基礎と技術を紹介します。技術と脅威を知ることで、誘導質問に気付き、回避することができます。誘導質問は、こっそりと情報を収集するための技術です。特定の情報を狙っていることを相手に気付かせず、簡単には入手できない情報を収集するために行う会話技術です。この技術は、威嚇的ではなく、簡単に偽装したり(攻撃したことを)否定できる効果的な手法です。この手法は通常の会話だけでなく、電話経由であったり、あるいは手紙などでも応用可能です。熟練した攻撃者が実行すれば、誘導質問は、普段の会話や業務上のただの会話のように見えます。攻撃対象者は、自分がターゲットになっていること、もしくは自分が価値のある情報を提供したことにまったく気付かないでしょう。多くの産業スパイや海外の諜報機関に所属する担当者は誘導質問技術の訓練を受けています。彼らの仕事は、非公開情報を入手することです。商売敵はあなたの会社と競争で勝つために情報を欲しがりますし、海外諜報機関の担当者は米国の国防技術に関する情報を欲しがるでしょう。シンプルかつ露骨に実施されることもあります。露骨に行われた誘導質問は簡単に気付き、回避することもできてしまいます。その一方、創造的な方法で、継続的かつ壮大な計画の下に行われ、時には仲間も雇って行われるような場合もあります。誘導質問を行う際には、会話内容と特定の質問をコントロールするため、偽の経歴を使うこともあります。誘導質問者は、将来の攻撃に備えて、あなたやあなたの同僚の情報を集めることもあります。誘導質問は、情報交換の場、カンファレンス、電話、街中、インターネット、誰かの家などありとあらゆるところで実施される可能性があります。あなたも誘導質問を受ける可能性がある対象人物に意図を知られず、情報を取得することは珍しいことではありません。あなただって、誰かのためにサプライズパーティを開こうとして、本人に気付かれることなく、スケジュール、欲しいもの、食事の好み、もしくは他の情報を集めたことはあるでしょう?但し、このことは、経験豊富な誘導質問者が(あなたが共有しようとは考えてない)価値がある情報を狙った場合にこのことは問題になります。あなたが誘導質問であることを理解し、質問を避けることが難しいからです。誘導質問は有効なのか?訓練された誘導質問者は、人間の性質や文化の特徴を理解しており、それを悪用する技術を持ち合わせています。誘導質問者が利用するであろう特徴は以下のとおりです。礼儀正しく、協力的でありたい。(たとえ、赤の他人や最近知り合いになった人に対しても)博識があり、見聞の広い人物でありたい(特に自分の専門分野については)高く評価され、なにか重要なことに貢献していると思いたい賞賛や励ましが受けた場合、よりその分野に携わり、自分をよく見せたい噂を好む他人の間違いを正そうとする相手が詮索している情報、与えられた情報の価値を低く評価する(特に、情報がどのように利用されるか知らない場合)他人が正直だと信じ、他人を疑うことを好まない。「正直」な質問をしたときに、正直に答える。他人と意見交換をしたい例えば、あなたが公共の場で誰か(攻撃者)に会った際、自然な会話の中で「相手を知る」ような質問が仕事に関連する内容だったとします。所属している会社のことには一切触れていません。彼(攻撃者)は仕事の満足度について聞いてました。かたら、あなたは仕事に関する不満をこぼしたかも知れません。その時あなたは「この人は私がどこで働いているか、何をしているか知らないし、ただちょっとした会話をしているだけだ。この質問に答えても害はないだろう」と考えたことでしょう。攻撃者はあなたが何を本当は知ることができてしまうかも知れません。彼は、他人という立場、あなたが正直かつ博識のある人だと思われたいという性質、「情報を悪用される」とは疑わない人間の自然な特徴をうまく活用しているのです。多数の技術が存在し、実際には複数の技術を組み合わせて利用します。以下にその技術の一部を記載します。Knowledge)特定の知識を持っている、もしくは知識を持つ人と知り合いだと装うこと。例:「前一緒に働いていたネットワーク専門の人によれば...」ブランケッティング(Bracketing)より具体的な数値を聞きだすために、高い値と低い値を提供すること。例:「もうすぐ利率を上げると仮定します。私は、それを5ドルから15ドルの間だと予想しています。this?)昇進したいと思っている人に対して、期待をこめて大げさな嘘をつくこと。Bait)見返りに機密情報を受け取ることを期待して、機密情報を漏らす振りをすること。批判(Criticism)(反論の中で)機密情報を話してくれると期待して、個人や組織を批判すること。Ignorance)その分野について詳しくないことを装い、正しいことを教えてあげようとする人間の特徴を悪用すること。例:「私はこの分野には詳しくなくて、助けて欲しいんですよ。例:「あなたはきっと、この新製品を設計する上で重要な人物であったに違いありません。Listener)辛抱強く耳を傾け、人の気持ち(ポジティブかネガティブか)を確認しながら、不満を漏らしたり、自慢する本能を悪用する手法。信用に値すると思われれば、より多くの情報を共有してくれるはず。例:「前の仕事を辞める前、統合テストに関する仕事をしていたことがありますか?(真意:「あなたは前の職場でどのような仕事をしていましたか?」)訳注:YESと答えれば統合テストに関する仕事をしていたことがわかるし、Noと答えれば追加情報をくれる可能性が高い。Micro)マクロなレベルから会話を開始し、徐々に実際に興味があるトピックに対して会話を誘導していくこと。最初に経済のことから会話を始め、政府の支出、国防予算の削減に話を移し、その後「予算削減があった場合、Xプロジェクトにはどんな影響があるんでしょうか?」などと話を進めていく。よい誘導質問者は、情報おを聞きだした後、逆のプロセスをたどり、会話をマクロな話題に再度誘導する。Interest)趣味・経験など共通の興味があることを利用して類似性をアピールして、情報を引き出したり、情報を引き出す前にラポールを形成すること。Reference)別のトピックへの洞察を与えるようなトピックを議論します。パーティのケータリングに関する質問をすれば、外部業者が施設に持っているアクセスの種類を推測するための情報源となり得ます。Incredulity)自分の立場を守るために追加の情報を求める目的で、反対勢力や不信感を表明すること。例:「あなたがそんなスピードで設計し製造できるはずがありません。Statement)会話の残りの部分を誘導し、質問が攻撃者のほうに向くように挑発して誘導すること。他の人の会話に乗っかることで、挑発は会話の一部となりより無害な印象をもたれます。「仕事のオファーを受けなかったことに後悔したよ。Surveys)調査のための無害な目的を述べ、他の質問の中に、自分が本当に知りたい質問をいくつか混ぜて質問します。調査を会話を開始するための口実として利用します。Interviews)ヘッドハンターを装ってで電話して、経験や資格、最近のプロジェクトのことについて聞き出します。Outsider)ターゲットが所属していないグループの人たちに質問をしてみる。(なにかしらの)情報をもっていますが、なにが共有すべきでないかについてはきちんと理解していないかも知れません。Quo)見返りを期待して情報を提供すること例:「当社の赤外線センサーは、その距離では80%の正確性しか保障できません。Repetition)重要な単語や概念を繰り返し、より詳細な情報を提供させようとすること。誘導質問を避けるためにはどんな情報が共有すべきではないか理解し、そのような情報を収集している人を疑うことが重要です。その情報を知るべき立場でない人には、いかなる情報を伝えてもいけません。守るべき情報はあなた自身、家族、同僚に関する情報までもが含まれます。以下の方法を使うことにより、丁寧か形で誘導質問を回避することができます。公開情報を参照するように伝える不適切だと思う質問やコメントを無視し、話題を変える質問を別のものに摩り替える「なんでそんなことを聞くの?」と聞き返してみる。平凡な答えを返す「知らない」と伝える「しかるべき承認をもらわないと話すことができない」と伝える「その話題については議論できない」と伝えるもし誰かがあなたか情報を引き出そうとしているとわかったら、特に仕事に関連する場合、セキュリティ担当者に報告すべきです。