セオドア・ルーズベルトはかつて、「過去について知れば知るほど、未来への備えは万全になる」と述べました。
これは、特に のサイバー脅威インテリジェンス（）に当てはまる知見です。 過去の脅威を分析することで、サイバーセキュリティの専門家は、脅威アクターが用いるパターン、戦術、手法、手順を把握し、それに応じて防御策を調整できるようになります。
シスコ・タロスのセキュリティ調査員であるニコール・ホフマン氏にとって、サイバーセキュリティ対策や慣行の向上は、過去の脅威が今日の組織にどのような影響を与えているかを理解することにとどまらないものです。 また、彼女は一連の絵本のシリーズを通じて、はるか遠い未来――つまり、 将来の世代 のサイバーセキュリティ専門家たち――を見据えています。 彼女の目標は、デジタルフォレンジック、倫理的ハッキング、検知エンジニアリングなど、特定のニッチな職種や、それぞれが担う業務内容について、子どもたちに紹介することです。
彼女の著書『 』（）、『The Mighty Threat Intelligence Warrior』（）、『』は、来週開催されるRSAカンファレンスでの彼女のパネルディスカッション「Applying Past Lessons for Intel-Driven Identity Threat Detection」（）を補完する推奨図書です。
ホフマン氏は、ハーモニック・セキュリティのプロダクトマーケティング担当副社長であるマイケル・マリオット氏と共に、 のID・アクセス管理（IAM） およびサイバー脅威インテリジェンスについて議論を行います。両氏は、過去2年間にのインシデント対応 で確認された主なID攻撃について振り返ります。 （50分間のセッションは、5月 6-9 日にサンフランシスコのモスコーン・センターで開催されるRSAC 2024において、木曜日（ 5月9日）の 12:40 （東部時間）／9:40 （太平洋時間）に、RSAC 101会場で行われます。）
デジタルIDの保護は、かつてないほど重要になっています。Identity Defined Security Alliance（IDSA）が発表したレポート『 2023 Trends in Securing Digital Identities 』（ ）によると、調査対象となった専門家の90％が、昨年、所属組織でID関連の情報漏洩が少なくとも1件発生したと回答しています。
『Focal Point』 は、将来のサイバー脅威インテリジェンスや脅威検知を構築するための積極的なアプローチとして、過去のインシデントを分析することの重要性について、ホフマン氏にその見解を伺いました。
（このインタビューは、明確さと長さのために編集されています。）
RSAのセッション一覧をじっくりご覧になっている方々は、あなたのセッションの「必読文献」をご覧になった際、きっと二度見してしまうことでしょう。 絵本でしょうか？ サイバーセキュリティについて？？ なぜこのメッセージを子どもたちに伝えるのでしょうか。また、なぜ絵本という形式にしたのでしょうか。
当初、私はストーリーテリングの質を損なうことなく、次世代のサイバー脅威インテリジェンス（CTI）の専門家たちに刺激を与えたいと考えていました。 『The Mighty Threat Intelligence Warrior』 シリーズは、風変わりな中世の物語を通じて、脅威インテリジェンスの概念を紹介しています。 このシリーズでは、サイバーセキュリティに関する比喩を多用しており、 ランサムウェアや 暗号化といった事柄について学ぶのに必要な集中力を持ち合わせていないかもしれない若い視聴者にも、物語をより理解しやすくしています。
「過去から学ぶことは、脅威の検知において極めて重要です。なぜなら、それによって傾向を把握し、防御体制を強化し、将来の脅威を予測することができるからです。」
サイバーセキュリティ教育に焦点を当てるのではなく、CTIの役割を担う場合に担当することになる業務の種類に重点を置いています。例えば、 の探偵が謎を解き明かそうとするように、複雑な脅威を分析すること、あるいは脅威活動の「歴史家」となり、他の人々に情報を提供して、狡猾なドラゴンから守ることなどです。
タイトルに「脅威インテリジェンス」というフレーズを含めたのは、このトピックについてさらに詳しい情報を探したいと思った保護者と子どもたちが、一緒に学びの旅を歩んでくれることを期待しての意図的なものでした。
[関連記事：アイデンティティおよびアクセス管理（IAM）とは？]
RSAセッションでは、過去のインシデントやそこから得られた教訓を振り返ります。 脅威の検知において、過去から学ぶことがなぜそれほど重要なのでしょうか？
脅威の検知において、過去から学ぶことは極めて重要です。なぜなら、それによって傾向を把握し、防御体制を強化し、将来の脅威をより効果的に予測することができるからです。 CTIチームと連携することで、組織は一歩引いて脅威の全体像を把握し、包括的な知見を活用して、十分な情報に基づいた意思決定を行うことが可能になります。
また、組織は、 の業界関係者 や の政府機関 と情報共有のパートナーシップを構築し、同様の知見を得ることも可能です。同時に、社内のセキュリティチームに対する継続的な研修に投資し、分析能力を向上させ、進化し続ける脅威に先手を打つことが重要です。
[関連記事：貴社のセキュリティ戦略には、サイバーセキュリティ分析が欠けていませんか？ 【AIがビッグデータの分析にどのように役立つか】
IDおよびアクセス管理は、サイバーセキュリティにとって極めて重要です。 あなたの見解では、組織がIAMの取り組みにおいて犯している最大の過ちには、どのようなものがあるでしょうか？
私がよく目にするセキュリティ上の脆弱性として最も多いのは、リモートアクセスを含むすべてのアカウントにおいて、適切な 多要素認証（MFA） が導入されていないこと、および不十分なセキュリティ対策の下で特権アカウントやサービスアカウントが不正に使用されていることです。
「MFAの消耗を狙った攻撃が増加傾向にあり、攻撃者はMFAのプッシュ通知を大量に送信しています。」 敵対者は、被害者を圧倒し、最終的にそれを受け入れさせることを狙っています。”
特権アカウントやサービスアカウントは、高い権限による広範なアクセス権を提供するため、攻撃者にとって格好の標的となっています。これにより、攻撃者は悪意のある活動を実行したり、 の機密データにアクセスしたり、さらには ネットワーク内を横方向に移動したり することが、より容易になります。 さらに、サービスアカウントは多くの場合、永続的なアクセス権を持ち、監視もそれほど厳重ではないため、検知を避けつつ永続的な活動を維持しようとする攻撃者にとって、魅力的な標的となっています。
MFAは、セキュリティと認証の層をさらに追加することで、攻撃者の動きを阻止し、数多くの潜在的な攻撃を防ぐことができます。 しかし、MFAの「疲労」を悪用した攻撃が増加傾向にあります。これは、攻撃者が流出した認証情報を使ってアカウントへのログインを試み、その結果、アカウント所有者のモバイル端末にMFAのプッシュ通知が大量に送信されるというものです。 この攻撃では、攻撃者は被害者を圧倒し、最終的にプッシュ通知のいずれかを受け入れさせることを狙っており、それによって攻撃者はアクセス権を取得することになります。
[関連記事：多要素認証（MFA）は非常に効果的ですが、ハッカーたちは巧妙な回避策を見出しており、「MFAは期待通りの効果を発揮しているのだろうか」と疑問を抱く人もいます。]</p
したがって、組織がMFAを導入するにあたっては、ユーザーが不正なMFAプッシュ通知を識別し、報告できるよう、ユーザーへの教育が必要となります。
セッションの概要によると、IAM、セキュリティ運用、CTI間の連携の重要性について議論されるとのことです。 この協力が必要である理由について、簡単に概要を説明していただけますか？
コラボレーションを通じて成長は促進されます。なぜなら、コラボレーションは、 複数のチームから寄せられる多様な視点 が集まり、問題に対するより幅広い理解をもたらし、革新的な解決策への道を開く環境を育むからです。
セキュリティに対する意識は、セキュリティ運用チームだけで始まり、そこで終わるべきではありません。組織全体に浸透し、 セキュリティが全員の責任であることを確実にすべきです。
また、コラボレーションは、知識の共有や継続的な学習のための豊かな環境を育みます。 例えば、CTIの専門家たちは、常に最新の脅威に関する情報を把握し、攻撃がどのように行われるのか、またそれをどのように防ぐことができるのかを理解するよう努めています。 もしCTIの専門家が、最近の活動急増を受けてMFAの認証情報使い切り攻撃を調査している場合、IAMに連絡を取り、予防策に関する提言を確認することができます。 この例において、双方がこの協業を通じて学び、新たな気づきを得ています。
RSA Conference 2024の会場内および周辺で行われた、参加者への独占インタビューをぜひご覧ください： 大規模な脆弱性の管理方法
