何かがうまくいかないときは、一歩引いて、新鮮な視点で自分の状況を振り返ってみると良いでしょう。 サイバーセキュリティのベテランであるアンディ・エリス氏が、RSAカンファレンス 2022で述べるのは、このシンプルでありながら力強いポイントです。
エリス氏は、米空軍をはじめとする多岐にわたる組織で情報セキュリティ分野に携わり、アカマイ・テクノロジーズをインターネット業界の巨人へと成長させました。現在は、サイバーセキュリティ関連ベンチャー企業への出資・支援を行うYLベンチャーズのオペレーティング・パートナーを務めており、CSO殿堂入りを果たしています。
そういうわけで、彼は大局を見通す達人なのです。 彼は、RSA 2022で開催されるパネルディスカッション「：セキュリティプログラム構築の4つの側面」において、その専門知識を活かし、CISOやその他のセキュリティリーダーに対し、一時的に注目を集めている新技術に焦点を当てるのではなく、優れたサイバー衛生管理 の基本 をしっかりと見直すよう呼びかける予定です。
エリス氏は、『 Endpoint』（ ）に対し、自身のパネルディスカッション（水曜日、6月8日、 8:30 ～9:20 PT、サンフランシスコのモスコーン・センターにて）で取り上げる内容について、一足先に紹介しました。
それでは、早速そのパネルのタイトルについて見ていきましょう。 なぜ4次元なのでしょうか？
どの4つですか？
もちろんです。 しかし、ひとまず一歩引いて考えてみましょう。 あまりにも頻繁に、私たちはセキュリティへの取り組みを、チェックリストに頼って行っています。 ISO［国際標準化機構］は、セキュリティの専門家に対し、私たちが実践すべき 900 項目のリストを提示しています。 結局、リストから項目を選んで、それを実行することに集中することになります。
「重要な指標は、これだけの2つです。つまり、自分が何を持っているか、そしてそれを把握するのがどれほど難しいか、ということです。」
この講演では、その点から一歩引いて、いくつかのことを改めて考えてみるよう促しています。 まず第一に、ご自身のIT環境において、一体何を保護すべきか、そもそも把握されていますか？ 誰もがいつも、「もちろんです。まずは最も重要な資産を保護します」と答えます。 しかし、現実には、最もリスクの高い資産が、最も重要な資産であることはめったにありません。 最もリスクの高い資産とは、あなたの最も重要な資産のすぐ隣にあり、かつその資産にアクセスできる資産のことです。
しかし、その資産に目を向ける人は誰もいません。 そこに何があるか、誰も知らないのです。 だからこそ、まず の可視性 と網羅性について検討することが不可欠です。これは、保有する資産の数や種類だけでなく、の資産インベントリを把握するためのプロセスについても同様です。 そして、ご自身の資産について知らないことを受け入れることを学ばなければならないでしょう。 ご自身の クラウドアセット がいくつあるか、ご存知ですか？ その番号を探してみてください。 その数字を算出するのがどれほど難しいか、よくご留意ください。 重要な指標は、この2つだけです。つまり、「何を持っているか」と、「それを把握するのがどれほど難しいか」です。
とはいえ、 15 分後に改めて資産の棚卸しを行えば、また違った数字が出るでしょう。
でも、それは構いません。実際の数字は重要ではないのですから。 重要なのは、その数字にたどり着くのがどれほど難しいかということです。 というのも、クラウドの数が 15 分ごとに変化しているにもかかわらず、その数値を把握するのに6週間もかかってしまうのであれば、ご自身のシステムや、そこに何が格納されているのかについて、まったく理解していないということになるからです。 何しろ、もしそれが本当なら、資産の概算額さえ定期的に把握することすらできないのですから。
次に、資産数を把握する方法が確立できれば、リスクに基づいてシステムの優先順位付けができるようになるはずです。 御社の「至宝」となるシステムがどれか、ご存知でしょうか？ あなたの「至宝」にアクセスできるのは、どの者たちでしょうか？ その点については、後ほど改めて触れます。 私はこれを「次元」という観点から説明します。 これまで、第1の側面であるセキュリティ対策の範囲について議論してまいりました。
それは非常に理にかなっています。まず、管理・保護すべき対象を特定し、攻撃対象領域を定量化してください。 次の次元とは何でしょうか？
2つ目の側面は、制御の包括性です。 私は、2次元を「高さ」と、かつて多くの人が「奥行き」と呼んでいたものだと考えています。
「敵が素早く動く場合、マジノ線は機能しません。」 また、サイバー空間においては、敵対勢力の動きは限りなく速いものです。”
私は、多くの人が「多層防御」という用語を使うやり方はひどいものだと考えています。 実は、講演の冒頭で、 の「マジノ線」（）についてお話ししました。これは、 1930s年にフランスがドイツ国境沿いに築いた防衛施設であり、典型的な「多層防衛」の例として紹介しました。 しかし、敵が素早く動き出すと、マジノ線は役に立ちません。 また、サイバー空間においては、敵対勢力の動きは限りなく速いのです。
2番目の指標では、コントロールの積み重ね具合がどの程度良好かを確認します。 の多要素認証（MFA） について見てみましょう。 人々はよく「2つの要素がある」と言い、2つの要素があることを2倍良いことだと考えます。 さて、もしこの2つの手順が、 のパスワードを入力し、その後システムからSMSが届き、そのメッセージに記載された番号を所定の欄に入力するというものであるなら――このプロセスには、セキュリティが侵害される可能性が数多く存在します。 まず、攻撃者はパスワードを入手し、その後、ソーシャルエンジニアリングを用いて状況を作り出し、テキストメッセージを攻撃します。 このようなことは何度も起きています。
私たちは常に、中間者攻撃やソーシャルエンジニアリングといった脅威にさらされています。 では、そのMFAの手法は、おそらく 25％優れているということでしょうか？
25％も優れているかもしれませんが、敵には時間には限りがないのです。 一方、 の FIDO [Fast Identity Online] に基づく多要素認証（MFA）と、 の X.509 証明書 を組み合わせ、後者が前者をトリガーするように設定すれば、攻撃者がこれらの制御手段を分離して攻撃することは、はるかに困難になるでしょう。 つまり、それらは重複して適用されるわけですね。もしかすると、実際には 100％も優れているのかもしれません。
そのことを念頭に置き、システムのすべての制御領域について検討を始めてください。 そのシステムに何がインストールされているかご存知ですか？ 脆弱性管理の観点から、そのシステムの保守状況がどの程度良好か、ご存知でしょうか？ について、 のシステムがどれほど適切に構成されているかご存知ですか？ このシステム上で、ご自身の身元を保護されていますか？ システムへのアクセス権を持つ人数に制限を設けていますか？ その多くは、単に基本に過ぎません。 しかし、その包括性が適用されていることに気づいていなければ、問題が生じます。
また、測定の難しさについても少し触れています。 の脆弱性管理について見てみましょう。。 最終的には、 のSLA（ [サービスレベル契約]）のような、プロセスの有効性を測定する指標を、単にプロセスの忙しさを示すだけの指標とは区別して測定することが望ましいでしょう。 脆弱性管理の指標については、私たちの考え方が根本的に間違っていると思います。
「平均所要時間」や、重大な脆弱性の修正にかかる平均時間、その他の一般的な主要業績評価指標（KPI）といった指標の使用をやめることをお勧めしますか？
そうですね、私はSLAを使うのが好きです。 『Meantime』は戦術的なゲームです。 そして、この「その間」という概念は、要するに、「もし 50％の確率でその条件を満たした場合、私の中央値はどの程度になるでしょうか？」ということを示しているのです。 それは確かに役立つかもしれませんが、実際には、SLAを1つ選んで、その基準を下回った時間が全体の何パーセントを占めるかを測定するのが良いでしょう。
もし「平均時間」を使用していて、 のパッチをに適用したことがない場合、その処理は平均時間に加算され続けてしまいます。 あるいは、計算方法によっては、平均時間にまったく影響しない可能性もあります。 これは、最も広く使われている標準的な測定単位です。 しかも、それは奇妙な外部性を生み出すため、実に厄介なものです。 修正済みの脆弱性と未修正の脆弱性が混在している場合、それぞれを異なる方法で測定していますか？ これで、それらに対して2つの異なる評価基準が設けられました。そして、ある時点で、一方の欄からもう一方の欄へ移動させることを拒否することで、システムを悪用することが可能になります。
それは興味深いですね。 では、セキュリティプログラムを構築する上での3つ目の側面とは何でしょうか？
3つ目の側面は「深さ」、つまり敵の攻撃経路を理解することです。 そして、自軍の防御がどのように敵を阻止したかというストーリーを語ることで、それを実現することができます。
成功するためには、いくつかやるべきことがあります。 まず第一に、攻撃経路を詳細に説明するシナリオを作成することです。 戦術的なシナリオとしては、次のようなものが考えられます。インターネットに接続されているマシンの1台に、脆弱性のあるソフトウェアやセキュリティ上の問題がある鍵があり、それを通じてより機密性の高いマシンへのアクセスが可能になっているというものです。 さあ、ここに攻撃経路があります。早急にパッチを適用するか、セキュリティ上の問題がある鍵に対処したほうがよいかもしれません。
「 」ランサムウェアに関する報道について、 をご覧ください。 ランサムウェアについては、誰もがパニックに陥っています。 では、ランサムウェアとは何かについて、非常に分かりやすく解説されています。 ランサムウェアとは、1台のマシンを侵害した後、 から横方向に移動する マルウェアのことで、多くの場合、管理者権限や、一般的なオペレーティングシステムに広く存在する既知のリモート脆弱性を悪用して侵入します。
以上です。これがランサムウェアに関する説明です。 先ほど、ディープストーリーについて詳しくお話しいただきましたので、その連鎖を断ち切るディフェンスについてお話しいただけますね。 これにより、防御体制の現状を見直し、管理者の横方向の移動を阻止する方法があるかどうかを検討することができます。 3層構造のActive Directory管理を導入されましたか？ そうでない場合は、[マイクロソフトの] Active Directory を廃止したほうがよいかもしれません。 それは、あなたが思っているほど優秀ではないからです。
ランサムウェアの被害に遭った回答者のうち、約 80％が、攻撃者がActive Directoryを標的にしたと答えているという調査結果を見かけました。Active Directoryとは、IT部門がユーザーやアプリケーション、データなどを管理するためのシステムです。 これらの調査によると、約 90％の組織がActive Directoryを効果的に管理できていないことが明らかになりました。
そうですね。 Active Directoryを導入している企業のうち、10％が、それを安全に管理するための十分なスキルを有しています。 それに、その数字はただ思いつきで言っているだけです。 実際にはそれよりも低いと思います。
「MFAとフィッシング対策サービスの両方を導入してください。 「これで、ほとんどの高度持続的脅威（APT）攻撃者の活動を、はるかに困難なものにしてしまいました。」
昨今、Active Directory が標準でドメイン管理を行う仕組みのせいで、エッジマシン上に一時的な管理者認証情報が残ってしまうことになります。 とはいえ、そのマルウェアはそれらを読み取る方法を知っています。 それが、[ハッカーツール] Mimikatz の機能です。 管理者の認証情報を確認し、特定します。 もしそれを見つけたら、素晴らしいですね。これで、あなたのネットワーク全体を掌握したことになります。
ランサムウェアを駆除したい場合は、管理者権限の問題を解決し、すべての管理システムに多要素認証（MFA）を導入してください。 これは、 フィッシング の問題を解決しようとする場合、単にフィッシング対策サービスをさらに購入すればよいというわけではないのと同じようなものです。 重要なのは、適切な多要素認証（MFA）を導入すべきだということです。
ところで、その両方――MFAとフィッシング対策サービス――をぜひご利用ください。 これで、ほとんどの高度持続的脅威（APT）攻撃者の活動を、はるかに困難なものにしてしまいました。 さらに、ある意味ではユーザーの生活をより便利にしてくださったのです。 それが、あなたの第3の次元です。
そして、4番目の次元は時間です。 セキュリティ対策は、まるでビジネスのようなものです。 ビジネスが成長していなければ、衰退していることになります。 セキュリティ対策が成熟していないのであれば、それは衰退しているということです。 ご自身の成長について、どのようなストーリーをお持ちですか？ 脆弱性管理におけるSLAの遵守状況を測定されている場合、その遵守率は時間の経過とともに上昇していますか、それとも低下していますか？ これを維持するためには、経営陣の関与が必要なのでしょうか、それとも必要ないのでしょうか？
は改善されているのでしょうか、それとも衰退しているのでしょうか？
セキュリティ体制の構築において、企業はどのような点で最も大きな過ちを犯していると思いますか？ では、今、あなたがご講演される内容は、なぜ重要なのでしょうか？
私たちは皆、RSAにやって来ますが、そこで何を買うのでしょうか？ RSAでは、セール品なら何でも購入しています。 たいていそういうことになるものです。
しかし、一歩引いて考えてみる必要があります。「企業を守るためには何が必要なのでしょうか？」 次にすべきことは何でしょうか？ そして、それを第一原理から構築してください。 完璧な計画が立つまで、何もせずにじっとしているべきだと言っているわけではありません。
［さらに読む：可視化とサイロ化の解消に焦点を当てたサイバーセキュリティのアクション計画を策定する］
資産の特定について検討してください。 資産の識別管理を行う最も簡単な方法は、スプレッドシートを使うことです。 一つ開いて、パブリッククラウドのサーバーを入力してください。サーバーの台数を記入する欄もあります。 仮に、現時点ではご存じないとしても、 それで結構です。いいですね。 他に何かありますか？ 企業向けのデスクトップPCはお持ちですか？ それをそこに入れてください。 エンタープライズ向けサービスでしょうか？ まずはすべてをリストアップし始めて、回答が得られたら、そこに追加していってください。 これをどのように体系化するか、よく考えてみてください。
大きな課題の一つは、私たちがこの職業としてまだ成熟の途上にあるということだと思いますが、その成熟の第一歩は、いわゆる「カーゴカルト的思考」を通じて進んでいるのです。 とはいえ、それを完全に否定的な意味で言っているわけではありません。 当社には、才能あふれる優秀なセキュリティ専門家が数多く在籍しています。 しかし、私たち業界としては、流行に流されることなく、リスクを低減できることに注力しなければなりません。
