AIは、セキュリティチームに真の戦力増強手段をもたらしました。それは、分析の高速化、大規模なパターン認識、そして自動検知です。 また、侵入を試みている人々に対しても、同様の機能を提供してきました。 さらに、あまり注目されがちな第3の問題も生じています。それは、あらゆる組織の従業員が、今や日常的に外部のAIシステムに接続し、それらのシステムが保持・処理するデータを共有しているにもかかわらず、ほとんどのセキュリティ対策ではその実態を把握できていないということです。
こうした融合により、可視性のギャップに伴うコストが大幅に高まりました。 しかし、新機能について触れる前に、なぜ「自社のエステートに何が含まれているか、それがどのように動作しているか、そしてそれが正常な状態なのか」という根本的な問題が、これほど多くの組織において未解決のままであるのか、その理由を検証しておく価値があります。
先日私が主催した「ファイアサイド・チャット」で、このことがよく表れていました。 あるベテランのセキュリティ担当者に、彼の組織にとって「可視性」とは何を意味するのかと尋ねたところ、その答えは2つの部分に分かれていました。一つは、彼らが活動を始めた当初の意味、もう一つは現在の意味についてでした。 その2つは、同じ概念だとはほとんど見分けがつかないほどでした。
在庫管理からインテリジェンスへ
ほとんどの組織にとっての出発点は、資産の棚卸しでした。つまり、ネットワーク上にどのようなデバイスがあり、誰がそれらを使用しており、どのソフトウェアが実行されているか、といった点です。 これは依然として基本中の基本ですが、それでもなお、あまりにも多くの組織において未解決のままとなっています。 そして、順調に進んでいる人であっても、その課題は絶えず変化し、ますます困難になっていきます。
暖炉のそばでインタビューに応じた方は、自身のチームが現在、ソフトウェアの更新サイクル中にデバイスを監視するためにリアルタイムのエンドポイント・テレメトリを活用している様子について語ってくださいました。これは単に更新が完了したことを確認するためだけでなく、行動データをリアルタイムで比較し、その時点での「正常な状態」を把握し、その知見を活用して、他の地域や構成における同様の展開がどのように進行するかを予測するためでもあります。 それは棚卸しとは言えません。 これは、数年前までは必要とは考えられていなかったレベルの精度による可視性から導き出されたオペレーショナル・インテリジェンスです。 エンドポイント――ユーザーがシステムとやり取りする場所、データが作成・アクセスされる場所、AIツールが実行される場所――こそが、この問題において最も重要な要素です。
地図の枠を超えた大邸宅
基礎的な可視性が依然として実現しづらい理由の一部は、構造的なものです。 大企業におけるデジタル資産は、整然と増加するものではありません。 それらは、予算サイクルやプロジェクトのニーズ、そして数年にわたる変化を数ヶ月のうちに押し進めざるを得ないような危機によって形作られながら、有機的に成長していきます。
私は国防省で勤務していましたが、同省は 2000s年代初頭、ある指標によれば世界最大級の単一ITネットワークを運用していました。 それでも、当時は6週間ごとにしかネットワークスキャンを実施していませんでした。これは意図的なものではなく、スキャンの頻度を高めるとインフラに過大な負荷がかかるためでした。 脅威が数時間のうちに現実のものとなり得る環境において、6週間前の資産状況の把握は、可視化能力とは言えません。 これは歴史的な文書です。 しかも、これは、遠隔地の基地でゲーム機をネットワークポートに接続してしまった伍長や、最後の利用者が退室してから数週間経っても社内Wi-Fiに接続されたままだった会議室のスマートテレビといった事例を考慮する前の話です。
脅威が数時間のうちに現実のものとなり得る環境において、6週間前の資産状況の画像は、可視化機能とは言えません。 これは歴史的な文書です。
新型コロナウイルスは、あらゆる分野においてこの状況をさらに悪化させました。 これまでリモートワークを一切導入していなかった組織が、ほぼ一夜にして完全に分散型体制へと移行しました。 既定の可視範囲の外でデバイスが急増し、多くの組織では、それ以来、資産の全体像が完全に再把握されたことがありません。
そして、こうした課題はすべて、AIが関与するようになる以前から存在していました。
AIの可視性に関する問題は、3つの側面から成り立っています
AIに関する最初の課題は、脅威の側面にあります。 AIにより、攻撃者は既存のデータベースには掲載されていない脆弱性を発見できるようになっています。これは、既知のパターンと照合するのではなく、コードやシステムそのものを直接分析することで発見されるものです。 脆弱性が特定されてから、それが攻撃に悪用されるまでの期間は、もともと気まずいほど短いものでした。 AIはその範囲をさらに絞り込んでおり、そのペースはほとんどのパッチや対応サイクルを上回っています。
2つ目の問題は、行動面に関するものです。 従業員は、外部の大型言語モデル（一部は承認されていますが、その多くは承認されていません）に接続しており、その過程で、ガバナンスやデータ保護の枠組みの外にあるシステムに機密情報を流してしまっている可能性があります。 これは将来的なリスクではありません。 これは現在、セキュリティ対策が十分に整備された組織において、大規模に発生しており、ほとんどの場合、実質的な可視性がないまま進行しています。
3つ目は内部的なものです。 現在、AI機能はセキュリティおよび可視化ツールそのものに組み込まれています。 これにより、組織がようやく問い始めようとしている一連の疑問が浮上します。具体的には、「どのようなモデルが使用されているのか」「その精度はどの程度なのか」「処理した情報をどのように活用しているのか」といった点です。 ご自身の資産には厳格な可視性基準を適用しながら、その資産を管理するツールには適用しないというのは、検討すべき盲点です。
パッチの隙間と3つ目の経路
脆弱性の特定からパッチが利用可能になるまでの平均期間は、依然として 90 日を超えています。 積極的な悪用は、多くの場合、数日以内に始まります。 増加傾向にあるゼロデイ脆弱性の場合、パッチが提供される前に攻撃が行われます。
このギャップにより、従来、組織には2つの選択肢しかありませんでした。リスクを受け入れて運用を継続するか、影響を受けるシステムを撤去して業務の混乱を受け入れるか、というものです。 どちらも満足のいくものではありません。 重要なシステムの場合、どちらも現実的ではない可能性があります。
3つ目の方法もありますが、それは視界の良さに左右されます。 特定の脆弱性がどのように悪用されているか、つまりエンドポイントでの攻撃がどのようなものかをリアルタイムで把握できれば、パッチが提供される前に、その行動パターンに基づいた的を絞った検知機能を構築することができます。 そうすれば、エクスプロイトが実際にどのように動作するかを把握しているため、運用を継続することができ、事後対応ではなく、攻撃の試みがあったその時点で自動的に対応策を講じることが可能になります。
これを効果的に実施している組織は、最新の脅威インテリジェンスを活用してエンドポイントレベルでカスタマイズされた検知ルールを構築し、被害の拡大を抑制するとともに、パッチ適用期間中も業務の継続性を維持しています。 それは確かに実用的な機能ですが、そのためには、週単位のスナップショットや数週間単位のスキャンサイクルではなく、リアルタイムの精度を備えた可視性が求められます。
その機能は、しばしば見過ごされがちな要素にも左右されます。それは、可視化ツールが報告している内容が実際に正しいという確信です。 多くの組織では、 EDRが導入されているため、 これらがカバーされていると想定しています。カバレッジは 100％またはそれに近い数値を示しており、ダッシュボードは緑色になっています。 しかし、トラブルシューティングの過程でEDRエージェントが無効化され、その後再有効化されない場合があります。 あるいは、積極的に管理されていないマシンでは、それらが古くなってしまうこともあります。 ある大企業で最近実施した概念実証（PoC）において、標準のEDRエージェントが有効になっていない状態でデバイスが稼働しているにもかかわらず、EDRプラットフォームでは完全な導入が完了していると報告されていたことが判明しました。
ツールが報告する内容と、実際に資産状況で起きていることとの間の乖離は、可視性の欠如という観点において独自のカテゴリーを成すものであり、おそらく最も危険な種類であると言えます。それは、自分では気づいていない「死角」なのです。 継続的かつ独立した発見――資産が存在することだけでなく、その資産に対する保護措置が整備され、最新の状態にあり、かつ機能していることを確認すること――は、可視化体制の補完的なものではありません。 それは、その一部の中核をなすものです。
ギャップ内で動作する
どの組織にも90日間のパッチ適用ギャップが存在しますが、AIの登場により、そのギャップの中で業務を行うことの重要性と複雑さが増しています。 インシデントを未然に防ぐ組織と、事例研究の対象となってしまう組織との違いは、その可視性がリアルタイムで、完全であり、重要な局面で行動を起こすのに十分な信頼性があるかどうかにあります。
この点をうまく管理している組織は、可視性を「すでに解決済みの問題」として扱うのをやめ、絶えず変化し続けるインフラ環境や、現在では自分たちと同じツールを積極的に活用している脅威環境に対応し続けなければならない「一分野」として捉えるようになりました。 ご自身に問いかけていただきたいのは、「実際に直面している脅威の状況に適した解決策をお持ちでしょうか？」ということです。