サイバー・レディネスとは何でしょうか？ これは、エンドポイント管理、リアルタイムの脅威検知、および迅速な脅威対策において、 Left of Bang といったアプローチを採用した情報技術（IT）分野です。 戦闘作戦において、「 left of bang」 というアプローチでは、攻撃、最初の発砲、爆発に先立って優位性を確立できるよう作戦を立案します。 これには、適切なタイミングで護送隊を編成したり、適切なルートを選定したり、悪意のある人物を探し出したり、あるいは攻撃者を混乱させるような予測不可能な方法で事態に対応したりすることが含まれる可能性があります。 「バングの左側（ ）」とは、脅威を特定し、そのリスクと影響を迅速に評価した上で、これらの脅威に対抗する取り組みを指します。 これらの考え方をエンドポイント管理、リアルタイムの脅威検知、および迅速な脅威対策と結びつけると、可視性が共通の要素となります。 可視性はサイバーセキュリティにおいて極めて重要であり、サイバー衛生管理、脅威の検知、および脅威対策の評価を可能にする基盤となる能力です。
以前のブログ記事「 」（）において、私はサイバー対応態勢を簡潔に説明する方法として、この式を紹介しました。
サイバー衛生管理 ＋ 脅威の検知 ＋ 脅威への対応策 ＝ サイバー対応力
これらの要素について、それぞれ簡単に説明します：
- サイバー・ハイジーン は、エンドポイントとネットワークに焦点を当て、あらゆる防御策が適切に講じられていることを確認します。
- 脅威検知（ ）とは、その名の通り、デバイスを停止させるランサムウェア攻撃から、従業員を騙して犯罪者へ資金を送金させるビジネスメール詐欺（BEC）攻撃に至るまで、さまざまな脅威を迅速に検知することです。 脅威を迅速かつ正確に検知することで、セキュリティチームは、脅威が組織全体に拡散してさらなる被害をもたらすのを食い止めることができます。
- 脅威への対抗措置（ ）とは、攻撃を阻止するための措置を講じ、場合によっては攻撃者の能力を無力化することさえ含まれます。
組織がこれらの取り組みを適切に実施すれば、サイバー対応力、すなわちサイバー攻撃を回避し、それに耐え抜く能力が大幅に向上することになります。
サイバー衛生：IT環境の最適な健全性を維持すること
それでは、これらの要素のうち最初のもの、すなわち「サイバー衛生」について、詳しく見ていきましょう。 「衛生」とは、本来は医学用語ですが、清潔さを保つことで健康を維持し、病気を予防する実践を指します。 サイバーセキュリティにおいて、サイバーハイジーンとは、脆弱性、ソフトウェアの欠陥、セキュリティ上の欠陥、あるいは設定ミスを排除することで、攻撃を防ぐものです。 こうした取り組みは、病気の蔓延を防ぐために、手を洗って細菌を取り除くことと同じようなものです。 マーク・ロバー氏は、YouTube動画「細菌の広がりを見る実験」で、細菌がいかに簡単に広がるかを実証しました。
サイバー衛生は、脆弱性や脅威――つまり、攻撃者がネットワークに侵入できる手段――を取り除きたいという点で、医療衛生と多くの共通点があります。 すべてのエンドポイント（つまり、すべてのノートパソコン、デスクトップパソコン、サーバー、IoTデバイス、クラウドアプリケーションなど）において、その場所や接続しているネットワークに関係なく、何が起きているかを把握する必要があります。 事実上、セキュリティ対策を講じようとしているすべてのエンドポイントについて、サイバー衛生状態に関するデータを継続的に収集する必要があります。 また、攻撃者を撃退し、エンドポイントを完全な稼働状態に戻すための対策（ITセキュリティポリシーやエンドポイントの堅牢化に関するベストプラクティスなど）も必要です。 技術的な観点から言えば、当社の技術環境は完全に稼働しており、不具合がない状態である必要があります。 「 」を「bang 」のアプローチの左側に配置することで、当社のIT運用およびセキュリティ環境を、常に最適な状態を維持できるようになります。
4つのサイバー衛生要件について、さらに詳しく見ていきましょう。
要件 1：包括的な可視性
まず第一に求められるのは、包括的な可視性です。つまり、組織のデータを扱ったり、組織のネットワークに接続したりするすべてのエンドポイントについて、その状況を把握できることです。
包括的な可視化は、基本的な監視ツールを使えば達成できる、当然の目標であるように思われます。 実際には、エンドポイントの可視化は、サイバーセキュリティに多額の投資を行っている組織であっても、ほとんどのIT組織にとって課題となっています。 組織では、エンドポイントを列挙するツールを数多く導入していることがよくありますが、これらの異なるツールから得られる結果は、常に一貫性を欠いています。 この不整合は、エンドポイントのカバー範囲が不十分であることと、環境のBZOが不十分であることの双方に起因しています。 ツールは導入されていますが、完全に稼働しているわけではありません。あるいは、そもそもツールが導入されていない場合もあります。 企業ネットワークの詳細な監査の結果、ほとんどの組織がエンドポイントの 10-20％を見落としていることが明らかになりました。
なぜこのような認知度の格差が生じているのでしょうか？ 多くのエンドポイント管理製品は、特定のオペレーティングシステムや特定の種類のデバイスでのみ動作するといった制限があるほか、その検出アルゴリズムが、すでにエンドポイント管理ソフトウェアがインストールされているデバイスでのみ機能する場合もあります。 つまり、これらの製品は、あなたがすでに知っていることについては把握していることを確認できますが、あなたが見落としている可能性のあるもの――マーク・ロバー氏のYouTube動画に登場する目に見えない細菌――を発見することはできません。 その結果、サイバーセキュリティ上の脅威をもたらすすべてのエンドポイントの集合と、セキュリティチームが管理していると認識している、それよりも規模の小さいエンドポイントの集合との間にギャップが生じています。
残念ながら、ランサムウェア集団のような攻撃者は、組織内に足場を築くために、たった1つのエンドポイントを侵害するだけで済んでしまいます。 セキュリティチームは、エンドポイントの1つたりとも見落とすわけにはいきません。ましてや、管理対象のエンドポイントの 10％や 20％など、なおさら見落とすわけにはいきません。
在宅オフィス、リモートワーク環境、クラウド環境にあるエンドポイントを含め、環境内のすべてのエンドポイントを特定し、管理できる手段を確保してください。 そうすれば、サイバー衛生管理における の最初の重要な要件を満たしたことになります。
要件 #2：リアルタイムでの可視性
包括的な可視性を確立したら、ローカルかリモートかを問わず、すべてのエンドポイントの状態について、継続的かつリアルタイムに把握できるようにする必要があります。 の「bangの左側」 というアプローチの根幹にあるのは、意思決定上の優位性であり、この優位性はエンドポイントデータによって支えられています。
以下の質問に答えられるようにしておいてください：
- どのような種類のエンドポイントでしょうか？
- その端末にはどのようなソフトウェアがインストールされていますか？
- エンドポイントには、どのようなセキュリティツールがインストールされ、設定され、正常に動作していますか？
- エンドポイントではどのようなプロセスが実行されていますか？
- そのエンドポイントが危険な活動に関与していた場合、他にどのエンドポイントと通信していたのでしょうか？
セキュリティチームは、イベントやリスクをエンドポイントデータと照らし合わせて詳細情報を補完し、文脈を把握することで、これらの質問に迅速に回答できる必要があります。 エンドポイントが「キー・サイバー・テリトリー（KCT）」の一部であるかどうかはビジネス機能によって判断されますが、リアルタイムの可視性により、攻撃者がKCTのエンドポイントを乗っ取った場合のリスクや影響を、データの文脈に基づいて把握することが可能になります。 攻撃が進行中の場合、先月のコンプライアンス、変更、または構成に関するレポートを参照しても、リアルタイムの可視性と比較すると、得られる知見はごくわずかです。 迅速かつ効果的に対応するためには、現在どのソフトウェアがインストールされ、稼働しているかを把握し、ソフトウェアの脆弱性や脅威を理解する必要があります。 また、どのエンドポイントでも、いつでも何が起きているかを確認できる必要があります。 「 」という、銃声が鳴り響く直前 の心構えを持ったハンターでなければなりません。 エンドポイントに存在すべきではないプロセス、アクティビティ、および動作を検知する必要があります。
リアルタイムの可視性は、計画立案、意思決定、および脅威の検知を実現するための重要な要素です。 したがって、これはサイバー衛生管理において不可欠な要素です。
要件 #3：ソフトウェアの詳細な可視化 – ソフトウェア部品表（SBOM）に関する洞察
Log4Shell （またはLog4j）のソフトウェアの脆弱性 (CVE-2021-44228) は、 2021年12月9日 で初めて報告され、企業のサイバーセキュリティ業務を一変させました。 ソフトウェア業界で最も信頼されている企業のアプリケーションを含め、数千もの商用アプリケーションに組み込まれていた、広く利用されていたオープンソースのソフトウェアコンポーネントに、攻撃に対する脆弱性が発見されました。 状況によっては、この脆弱性により、サイバー犯罪者がプロセスの実行を完全に制御できるようになり、アプリケーションがアクセス可能なあらゆるプログラムやシェルコマンドを実行できるようになる可能性があります。
大半の大規模組織では、 Log4Shell コンポーネントは商用アプリケーションだけでなく、社内で開発されたアプリケーションにも組み込まれていたため、検索範囲が大幅に広がりました。 Log4j がインストールされている場所をすべて見つけられれば、パッチは利用可能でした。 しかし、その発見のプロセスは困難で時間のかかる作業でした。その理由の一つは、対象範囲が非常に広範で多くのアプリケーションに及んでいたことですが、もう一つは、 Log4Shell 個のアーティファクトが、JAVAアプリケーション内のアーカイブの中にさらにアーカイブとして格納されていたためでもあります。
その間、攻撃者たちは活発に活動していました。 この脆弱性が公表されてから 72 時間以内に、サイバー犯罪者たちは、この脆弱性を悪用した 800,000 回以上の攻撃を仕掛けました。
Log4Shell は、サイバーセキュリティの衛生管理の水準を引き上げました。 Log4Shell以前は、セキュリティチームはアプリケーションやパッチの適用状況を把握することで、適切なパッチ管理を行うことができていました。しかし、 Log4Shell以降、セキュリティチームは、人間の目には見えない「病原菌」を検知するには、虫眼鏡や赤外線（IR）が必要であることに気づきました。つまり、ネットワーク上で実行されているすべてのアプリケーションやサービスの構成要素を可視化する必要があったのです。 戦闘ハンターの観点から言えば、私たちは1日中いつでも状況を把握できることが求められます。そのため、脅威、脆弱性、セキュリティ対策、そして準備態勢を評価するために、ソフトウェアの内部を可視化できるナイトビジョンゴーグルが必要なのです。
つまり、セキュリティチームは現在、 のソフトウェア部品表（SBOM）について、リアルタイムでの可視性を確保する必要があります。 SBOMとは、ある時点においてアプリケーションやサービスを構成するすべてのコンポーネントの一覧のことです。 このレベルの詳細な分析があってこそ、セキュリティチームは、次回のソフトウェアコンポーネントの脆弱性が公表された際に、迅速に対応できる態勢を整えることができます。 また、広く普及しているオープンソースライブラリの多用、ソフトウェアの複雑さ、そして設計上の欠陥が生じる可能性を考慮すると、 Log4j と同様の発表が再び行われることは避けられないでしょう。
2007 で開発された機能は、SBOM Log4j の問題に対応するよう設計されたものではないという点に留意すべきです。 現代の機能は、拡張性が高く、適応性があり、俊敏です。 現代のサイバー能力は、プログラム内の単一の機能というよりは、むしろコンピュータ言語に似ています。 サイバー分野での成功物語において、ここが「チャンス」と「努力」が交差する地点なのです。 カスタムコンテンツを作成する能力は、将来の脅威を見通すための極めて重要な要素です。 この課題における制約要因は、時間と空間です。すべてのデータが必要というわけではありません。適切な意思決定を行い、適切な行動をタイムリーに講じるために必要な、まさにそのデータさえあればよいのです。
そのため、SBOMに関する知見は、今やサイバー衛生管理において不可欠な要件となっています。
要件 #4：構成のばらつき（パッチ適用作業およびソフトウェア管理）
これまでは、すべてのエンドポイントを特定し、それらの脆弱性やリスクを把握することについてお話ししてきました。 そこで、パッチの適用、アクティブなソフトウェア管理の実施、および各エンドポイントの適切な設定を通じて、各エンドポイントが正しい構成になっていることを確認し、セキュリティを強化する方法が必要となります。 エンドポイントを攻撃に対して強靭にするには、組織が設定のばらつきを最小限に抑えるという予測可能性が求められます。 要するに、各エンドポイントは所定の設定になっています。
衛生に関する例え話を続けると、衛生状態が悪いとリスク要因が生じますが、逆に、衛生状態が良いと、病気を引き起こす可能性のある細菌を除去することで、健康と回復力を高めることができます。 ここでは、「 」の「bangの左側」 というアプローチを採用し、脆弱性、設定ミス、古いソフトウェアを排除して環境をクリーンな状態に保つことで、環境の準備態勢を向上させていきます。
どの組織にも、パッチの適用やソフトウェアの展開に使用するツールがありますが、こうしたツールは多くの場合、時間と労力を要する単機能のソリューションです。 その結果、時間と労力を費やしても、平凡な結果しか得られないことになります。 パフォーマンス指標も重要ですが、サイバーレジリエンスに与えるより大きな影響は、すべてのエンドポイントの設定にばらつきがあることにあります。 ソフトウェアのパッチ適用や導入のペースは重要ですが、複数の構成に対応することは複雑さを増し、コンプライアンスや古いデータ、過去のレポートに左右される事後対応的なアプローチにつながってしまいます。 これは、ツールが多すぎるために構成管理プロセスが複雑で一貫性を欠くようになったことが原因である可能性もありますし、あるいは、不適切なツールの採用、組織内の技術的知識債務、そして構成管理に対する「賢く働くのではなく、ただ一生懸命働く」というアプローチが問題である可能性もあります。
デバイスのスキャン、脆弱性の評価、パッチの適用、パッチが実際に適用されたことの確認（多くのツールでは、適用成功の報告が大幅に誇張されている場合があります）、および監査やコンプライアンスのためのレポート作成に、5つや10もの異なるツールに依存していると、そのワークフロー自体が新たなリスクとなります。 手順が省略されたり、遅れたりする場合があります。 データや報告書の形式は異なる場合があります。 重要な詳細が見落とされてしまう可能性があります。 処理が危険なほど長引く可能性があります。
対照的に、 による効果的なパッチ管理 では、以下のことが可能です：
- 他のエンドポイント管理ツールやワークフローによって収集された、パッチの状態やSBOMに関する情報を基に処理を行います
- エンドポイントやネットワークのパフォーマンスを損なうことなく、パッチを迅速かつ効果的に適用する
- エンドポイントのリアルタイムなステータスに関するレポートの作成
- 新たなゼロデイ攻撃が公表された際、セキュリティチームが問題を迅速に特定し、修正できるよう支援します
- エンドポイント管理の他の側面と統合し、エンドポイント運用間のシームレスな引き継ぎを実現します
ツールを単一のプラットフォームに集約することで、技術チームはパッチ適用の遅延を解消しつつ、環境に導入されるソフトウェアの真正性を確保することができ、その結果、信頼性が高く、正確で、利用可能であり、かつ積極的に管理された単一のデータソースが実現されます。 実のところ、現代のデジタルIT組織には多くのチームが存在し、各チームには、「 left of bang 」というアプローチに基づいて調査範囲を拡大できる、共通の全体像が必要です。 組織は、すべてのチームを「業務と機会の交差点」へと導くことで、サイバーハイジーンの4番目の要件を満たします。そこでは、コラボレーションを通じて、設定のばらつきを最小限に抑え、ネットワークが常に既知の状態にあることを保証する活動が推進されます。
サイバー衛生：サイバー対応態勢に欠かせない要素
4つのサイバー衛生要件に対応することで、組織は自社の環境の状態を把握し、理解することができるようになります。 その結果、サイバー対応能力が向上し、攻撃対象領域が縮小され、エンドポイントのセキュリティが強化され、エンドポイント全体がクリーンな状態、すなわち脆弱性のない状態となるでしょう。 組織内の各チームが、脅威情報を踏まえた共通の認識を共有することで、 の有効なエンドポイント管理ソリューション により、組織はチームワーク、サイバー衛生管理、およびエンドポイント環境の設定差異に関する洞察を通じて、自社の環境を整備することが可能になります。 このレベルの認識力こそが、機敏性、適応力、そして脅威への認識を可能にする意思決定上の優位性をもたらします。
のTaniumプラットフォーム（ ）および、パッチ適用やコンプライアンスを含むエンドポイント管理におけるその役割について、詳しくご覧ください。
