サイバー攻撃によって政府のITネットワークが乗っ取られ、国全体が機能停止に追い込まれたらどうなるだろうか。そんな事態は現実離れしているように思えるだろうか。そうではない。2018年4月、カリブ海に位置する小さな独立国シント・マールテンは、丸一日にわたって公共サービスが全面停止する事態に見舞われた。その前月には、アトランタ市がランサムウェア攻撃で麻痺し、2週間にわたって影響を受け、約300万ドルの損害が生じた。
米国だけでも、ボルティモア、シャーロット、ダラス、サンフランシスコが過去1年間にサイバー攻撃の被害に遭っている。皮肉にも、スマートシティ技術への移行後のことだ。スマートシティ構想によって都市間の接続性は高まったが、サイバーセキュリティへの備えが不十分なため、深刻な脆弱性が生じることが少なくない。では、スマートインフラ、クラウドネットワーク、IoT環境への移行を目指す組織は、高まるサイバー脅威にどう対処すればよいのだろうか。
縮小するセキュリティ境界と増大するコスト
サイバー脅威を取り巻く状況は、セキュリティ担当者にとって大きな課題だ。今日の最高情報セキュリティ責任者（CISO）は、複数の方面からの脅威に対処しなければならず、その結果、セキュリティ境界は広がると同時に深まっている。サイバー攻撃が核戦争より人類にとって大きな脅威なのか、結論はまだ出ていない。しかし、ネットワークがかつてないほど脆弱になっているのは確かだ。FBIの報告によると、ランサムウェア攻撃は1日に4,000件以上発生している。一方、別の調査によれば、新たなマルウェアのサンプルが23万件毎日作成されている。
ここ数年の悪名高い攻撃により、サイバーセキュリティはついに取締役会の最重要課題となり、その重要度はかつてない水準に達した。その結果、世界のセキュリティ支出は2017年に864億ドルに達し、減少の兆しはない。むしろ、ガートナーは2018年の業界支出が930億ドルに達すると予測している。ファイアウォールやウイルス対策ソフトウェアなど、従来型のセキュリティ対策では不十分であることが明らかになっているためだ。
サイバーセキュリティの最前線の現状
過去1年間における攻撃の件数と深刻さを受け、2018年には組織の問いが「攻撃される可能性があるか」から、「どのような攻撃を受けるのか」へと変わった。セキュリティ境界が急速に縮小していると気づいた組織は、セキュリティをめぐる戦いが自らのネットワーク内で繰り広げられる現実に目を向け始めている。
セキュリティ境界の縮小に加え、クラウドへの移行や膨大な数のIoT機器の導入によって、攻撃対象領域は拡大している。基準や方針が追いつかず、組織のリスクは大幅に高まっている。今や消費者さえ懸念を抱いている。
かつてネットワークを狙った初期のウイルスやワームは、はるかに強力で厄介なものへと進化した。新たな攻撃手法は、目立たずゆっくりと活動することを好み、ネットワーク内を横方向に移動しながら、まるでネットワーク全体に防壁がないかのように、気づかれずに侵入と離脱を繰り返すことが多い。こうした攻撃により、組織はサイバー攻撃に関する知識を深め、内部からネットワークを守るための新たなツール、戦術、プロセス（TTP）を採用せざるを得なくなっている。
脅威グループの能力向上に対処するため、2020年を見据えて検討すべき点を以下に挙げる。
境界を押し広げる高度持続的脅威（APT）
今日、最も破壊力の大きい攻撃手法の多くは、APTに起因する。APTとは、第三者がネットワークに不正アクセスし、長期間にわたって検知されずに潜伏する攻撃を指す。APTは高度な巧妙さ、個別に開発されたソフトウェアのバックドア、ゼロデイ脆弱性の利用で知られている。
APTの不穏な特徴は、その「持続性」にある。高度な技術を持つハッカーは、最終目的を追求するまで長期間にわたりネットワーク内で検知されずに潜伏しようとする。今日、APTがとりわけ危険なのは、計画、資金提供、実行を担う組織の背後に戦略的な意図があるためだ。
こうした脅威アクターは、機密データやシステムにアクセスするためにネットワークへAPT攻撃を仕掛け、標的に評判上および業務上のリスクをもたらす。シャドーITの抜け穴、劣悪なIT衛生管理、ヒューマンエラーを利用することも多い。今日では、規模や種類を問わず、攻撃を免れるネットワークはない。
サイバーセキュリティ人材のスキル危機
ハッカーの専門性が高まり、APTがますます巧妙化する一方で、既存のセキュリティ対策は追いついていない。セキュリティ人材の不足が深刻化し、状況をさらに悪化させている。2018年末までに、サイバーセキュリティ関連の職が100万～200万件空席のまま残る可能性がある。サイバーセキュリティアナリストは約600万人必要とされるが、これらの職を埋められる人材は400万～500万人にとどまる見込みだ。
ITセキュリティチームは、ますます巧妙化し、自動化さえ進む攻撃に対処するためのスキルを欠いている。それだけでなく、組織の36％がセキュリティ部門では、他部門より人材の入れ替わりが激しいと考えている。
レッドチームによる攻撃シミュレーションの台頭
スキル不足に対処するため、組織は自らの対応力を試す目的で、セキュリティサービスプロバイダーを利用するようになっている。こうした事業者は模擬攻撃を実施し、組織がサイバー攻撃にどの程度脆弱かを調べる。
レッドチームと呼ばれることが多いこうしたチームは、組織のアプリケーション、ネットワーク、データを対象に、目的を絞った攻撃を実施する。レッドチームによる攻撃はシミュレーションだが、通常は一時点でのみ実施される。また、セキュリティ上の穴を塞ぎ、対応の時間差を最小限にするには、ブルーチームとも呼ばれる社内のセキュリティ防御チームと緊密に連携しなければならない。
高度な訓練を受けたレッドチームの専門家は、セキュリティ脅威の発見に成功したと主張できるかもしれないが、それでも人間であることに変わりはない。残念ながら、運用上の障害や組織の効果的でない対応によって、APT攻撃を防ぐ継続的な戦略を実行する能力が損なわれることがある。社内に独自のレッドチームとブルーチームを置ける組織でさえ、現実の攻撃者を防ぐのに苦労している。コストのかかる対応の時間差に加え、連携や予算の問題にも直面し、攻撃者、とりわけ隠密に活動する者が、ネットワーク内を横方向に移動し続け、検知を逃れて活動する余地を与えてしまう。
自動攻撃シミュレーションへの移行
自動攻撃シミュレーションに迅速な修復対応を組み合わせれば、APT攻撃への包囲網を狭め、人材不足を緩和できる可能性がある。常時複数の攻撃キャンペーンを実行できるネットワークは、事実上、自動化されたレッドチームの部隊として24時間365日稼働し、組織を継続的な偵察状態に置くことができる。
とはいえ、発見した脆弱性を直ちに修正しなければ、攻撃キャンペーンを真に効果的なものにはできない。攻撃が隙間をすり抜ける機会を一切与えてはならないため、これは極めて重要だ。死角や抜け穴が見つかるたびに、ブルーチームは実行可能で優先順位を付けた修復対応を直ちに行わなければならない。これにより、決して止まることのない、継続的かつ迅速な攻撃と修復のサイクルを形成する必要がある。
新たなパープル体制
レッドチームとブルーチームが継続的なサイクルの中で連携し続ける役割を担うのが、自動化されたパープルチームだ。自動化されたパープルチームは、レッドチームが発見した攻撃手法と脆弱性を、ブルーチームの防御戦術と組み合わせ、可能な限り強固なセキュリティプログラムを構築する。
連携によって、滞りのない24時間365日の攻撃・修復サイクルが生まれるだけでなく、攻撃側と防御側のチームが互いから学び、取り組みながら改善できる。パープルチームを継続的に稼働させれば、企業は優先順位を付けた修復指針に従い、新たな脅威が現れた時点ですぐに把握できる。
最終的には、組織、都市、国がネットワークの優位性を取り戻し、重要インフラへの執拗な侵入の試みに対抗し、人材不足に対応するとともに、攻撃手法の修復に直ちに着手できるようになる。
XM Cyberは、世界経済フォーラムの2018年テクノロジー・パイオニアに選出されている。今年のテクノロジー・パイオニア全参加企業はこちらからご覧ください。こちら。
