「私たちのネットワークは安全でしょうか？」 「私たちは、サイバー脅威に対して、可能な限り安全を確保できているのでしょうか？」
今日では、どの技術リーダーも、会社の幹部、取締役、あるいは指揮官から、こうした質問を投げかけられることが予想されます。
これらの疑問に確信を持って答えるためには、エンドポイント、パッチ適用状況、ネットワークの活動状況、ランサムウェアの亜種などに関する、膨大なデータが必要となります。 また、そのデータがどこにあるのか、そしてどのように収集・分析すればよいかについても把握しておく必要があります。 このデータを収集・分析して初めて、ネットワークのセキュリティについて有意義かつ包括的な評価を行うことができます。
多くの組織にとって、この種の分析を行うには、ITおよびセキュリティの専門家を対象とした、数週間、あるいは数ヶ月にわたる綿密な調査が必要となります。 たとえそうであっても、その結果として得られる分析結果は、データが収集、解析、報告された時点でのみ有効である可能性が高いでしょう。 新たな脆弱性やその他のリスクは、翌日には――いや、ほんの数分後には――現れる可能性があります。
より良いアプローチとしては、セキュリティデータをリアルタイムで継続的に収集できるツールやプロセスを導入することです。 ネットワークやエンドポイントの状態に関するリアルタイムのデータがあれば、セキュリティ全般に関する質問に対して、明確な回答を提示することができます。 そうすれば、たとえ水曜日に新サービスを立ち上げたとしても、あるいは木曜日に買収を完了したとしても、月曜日の朝に自社のサイバーセキュリティ対策の状況を説明し、金曜日の午後にもその状況を正確に説明することができるようになります。
また、必要な回答をいつでも提供できる自動化システムを構築したことで、攻撃に対する防御において、運用上の優位性を得ることができるでしょう。 つまり、サイバー脅威に直面した際のサイバー対応体制の確立に、一歩近づくことになります。
サイバー対応体制の構築につながる質問
サイバー対応態勢を整えるには、最終的には、サイバーセキュリティのそれぞれ異なる側面に関連する3つの異なる問いに答えることが求められます。 これらの質問は以下の通りです：
- 私のネットワークの状態はどうなっていますか？ （サイバー衛生）
- どのような脅威が見つかるでしょうか？ （脅威の検知）
- 脅威への対抗措置は、どのくらいの速さで展開できるでしょうか（脅威への対抗措置）
これらの質問を総合すると、サイバー対応力となります。 もしよろしければ、この問題を数学的に考えてみてもよいでしょう：
サイバー衛生管理 ＋ 脅威の検知 ＋ 脅威への対応策 ＝ サイバー対応力
このブログシリーズでは、これらのトピックをそれぞれ詳しく掘り下げていきます。 ただし、まずは、このサイバーセキュリティへのアプローチの根底にある「防御的な考え方」についてお話ししたいと思います。 これは、イラク戦争中に海兵隊が打ち立てた哲学です。 そのタイトルは『Left of Bang』です。 仕組みは以下の通りです。
攻撃への対応ではなく、攻撃の未然防止
2006年半ばまでに、米国海兵隊は、イラク駐留部隊を保護するために新たな戦略が必要であると認識しました。 イラクでの反政府勢力の活動は、まさに全盛期を迎えていました。 反政府勢力は道路に即席爆発装置（IED）を埋設しており、こうした隠された装置が甚大な被害をもたらしていました。 9月だけで、即席爆発装置（IED）により 776 人のアメリカ人が負傷しました。 そして、その多くは27トンのブラッドリー戦闘車両を破壊できるほどの威力を持っていたこれらの装置は、至る所にあるようでした。 7月には、 666 個の即席爆発装置（IED）が爆発しました。 海兵隊は、爆発の準備が整った装置をさらに1,000個近く発見しました。
（これらの攻撃および海兵隊の対応に関する詳細については、 およびパトリック・ヴァン・ホーンとジェイソン・A・ライリー著『Left of Bang: How the Marine Corps’ Combat Hunter Program Can Save Your Life』（ ）をご参照ください。）
当時の戦況において、海兵隊員たちは、問題が発生した際に効果的に対処できるよう、高度な訓練を受けていました。 しかし、IEDの爆発への対応を行っても、攻撃の頻度は減っていませんでした。 また、こうした対応も、反乱勢力の全体的な勢力を弱めるという点では、あまり効果がありませんでした。 海兵隊には新たな戦略が必要でした。
第1海兵遠征軍司令官のジェームズ・マティス海兵隊大将は、海兵隊員たちに先手を打って攻勢に出ることを望んでいました。 彼は海兵隊員のために、新たなタイプの訓練を望んでいました。それは、海兵隊員が「狩人のような心構え」を身につけ、状況を迅速に判断し、潜在的な脅威を特定し、最も効果的な行動をとれるようになるための訓練でした。 こうして、海兵隊の「コンバット・ハンター」プログラムが誕生しました。
このプログラムの主な目的は、海兵隊の作戦を「発砲前の段階」へと移行させることでした。 IEDによる攻撃の経緯を想像してみてください。 タイムラインの途中で、IEDが爆発します。 それがその衝撃です。 「バン」という音の右側には、爆発に対するあらゆる反応が描かれています。損傷した車両、逃げ惑う市民、そして現場へ駆けつける救急隊員たちです。
2006時点、爆発の直前――つまり、爆発が発生する前のタイムライン上の時点――では、主に反政府勢力が攻撃の計画を立て、即席爆発装置（IED）を製作し、それを道路に埋設する作業を行っていました。 海兵隊は、こうした活動についてほとんど把握していませんでした。 その結果、彼らの意図的な行動のうち、「bang」の左側で起こったものはごくわずかでした。
「コンバット・ハンター」の訓練プログラムが、その状況を一変させました。 海兵隊員たちは、公共の場における人々の行動パターンを観察する方法を学びました。 彼らは、自分が暮らす街や市場とは一線を画した行動をとる個人など、異常な兆候を見抜くことを学びました。 彼らは、地元の人々が予期せずその場所から立ち去る様子に気づくようになりました。おそらく、攻撃が起きることを知っていたからでしょう。 そして海兵隊員たちは、いつ攻勢に出るべきかを学び、反乱勢力が先制攻撃を仕掛ける前に彼らを捕らえるようになりました。
As a military advisor in Iraq between 2005-2006, we would apply ‘Left of bang’ basics to reduce risk to our convoys and improve the quality of our outcomes – to arrive at our destination on time, safely. このアプローチにおいて、可観測性、俊敏性、そして予測可能性が極めて重要でした。 ほとんどのアメリカ人にとって、ロングアイランド、ミシガン、タンパは単なる地名ですが、海兵隊員や陸軍兵士にとっては、これらは脅威の高いルートであり、「左側警戒」というアプローチによって護送隊の態勢が強化された場所です。 「ゴールデンアワー」を認識し、部門間の垣根を越えて連携し、ミッション計画にテクノロジーを統合することが、我々の生存能力と護送隊の態勢整備にとって極めて重要でした。
要約すると、この訓練を通じて海兵隊員は以下のことを学びました：
- 行動に基づいて脅威を特定する
- 人間の行動、意図、および環境に基づいて、脅威の微妙な兆候と明らかな兆候の両方を評価します
- その場その場で批判的に考え、最も重要なことに焦点を当ててください
- 入手可能な情報に基づいて、的確かつ迅速な判断を下してください
「コンバット・ハンター」の訓練が大きな違いをもたらしました。 突然、海兵隊員たちは状況をより的確に読み取れるようになりました。 彼らは、IED攻撃による脅威を含め、脅威をより早期に検知し、被害を回避するための措置を講じることができました。 IEDによる死傷者数は減少しました。 反乱分子が捕らえられました。 研修生たちはこのプログラムを高く評価し、もっと早くその知見を学べたらよかったと語りました。
このプログラムは、先を見越して考えること、つまり「bang」の左側で処理を行うことの利点を実証しました。
「バン・トレーニング」からITセキュリティチームが学べる安全対策の教訓
今日、多くのITセキュリティチームは、守勢に立たされています。 同社は、ランサムウェア、フィッシング、ビジネスメール詐欺など、多岐にわたる攻撃から防御するために最善を尽くしています。
しかし、それらの可視範囲は限られています。 多くの組織では、不完全または古いエンドポイントのインベントリに基づいて業務を行っています。 どのソフトウェアコンポーネントがどこにインストールされているのか把握できていないため、サプライチェーン攻撃の標的になりかねません。 ITセキュリティチームは、あまりにも頻繁に、ただ必死に働くことに追われてしまったり、あるいは本質的には「事後対応」の世界に囚われ、脅威やデータに関する問い合わせ、サイバーインシデントにただ反応するだけの状態に陥ってしまっています。
「bangの左側」の考え方によって、私が先ほど述べた「 がサイバーレジリエンスにつながる」という問いを、どのように洗練させることができるか、考えてみましょう。：
- 私のネットワークの状態はどうなっていますか？ （サイバー衛生）
「Left of bang」に関する考察：- 自分のネットワークの状態を、本当に理解できているでしょうか？ 自分のネットワークを確認することはできますか？
- 脅威をできるだけ早く検知するために、気づくべきことはすべて気づいているでしょうか？
- たとえ些細なものであっても、意味のある異常について洞察を持っていますか？
- どのような脅威が見つかるでしょうか？ （脅威の検知）
「Left of bang」に関する考察：- 見落としていたかもしれない脅威を示す、わずかな異常を検知することはできるでしょうか？
- 私のネットワークに接続している、あるいは組織のデータを扱っている、あらゆる場所のあらゆるエンドポイントにおいて、あらゆる場所に潜む脅威を検知する能力は、私にはあるのでしょうか？
- 脅威への対抗措置は、どれほど迅速に展開できるでしょうか （脅威への対抗措置）
「Left of bang」に関する考察：- 攻撃を未然に防いだり、より迅速に封じ込めたりするために、的確な即断を下して、より素早く対応することはできるでしょうか？
- 攻撃の範囲や性質について、より早く把握することはできますか？
- それらを封じ込め、同様の攻撃が再び発生しないよう対策を講じることは可能でしょうか？
セキュリティチームは、サイバーセキュリティにおいて「レフト・オブ・バング」戦略を採用し、これらの知見を活用することで、サイバーレジリエンスを大幅に強化することができます。
サイバー対応態勢を詳しく見てみましょう
今後のブログ記事では、 におけるサイバー衛生管理、脅威の検知、および脅威への対応策に関するベストプラクティスについて、詳しく解説していきます。
また、 の「Tanium Converged Endpoint Management（XEM）」プラットフォーム （新しいタブで開きます） が、セキュリティチームの可視性、制御、および是正措置の能力を向上させ、サイバーセキュリティ体制の強化にどのように貢献するかについて、ぜひ詳しくご覧ください。
