サマリ
脅威インテリジェンスに継続的に取り組み、「前方防衛」を実施することで、米国は近年、世界中の多くのサイバー攻撃を阻止することができました。中国が支援するボットネットが260,000台のMicrosoft Exchangeサーバーに侵入した事例から、阻止されなければ数十万人のウクライナ人の死につながっていたかもしれないウクライナ鉄道へのロシアの攻撃まで、その成果は多岐にわたります。
この新しい積極的なサイバーセキュリティアプローチの主要な設計者であり、オックスフォード大学出版局刊行の『サイバー持続性理論：サイバー空間における国家安全保障の再定義』、の共著者であるリチャード・ハークネットは、国家に有効であることが証明されたことがビジネスにも驚くほど適用できると述べています。 ハークネットは、主要なサイバー勝利事例（少なくとも未分類または機密解除されたもの）を紹介し、同じ考え方を採用した企業リーダーが契約、サプライチェーン、そして全体的なビジネス機会においてどのような恩恵を受けられるかを提案しています。
（来週もハークネットとの対話は続き、TikTok、AI、そして来年企業リーダーが取り組む必要があるその他の問題に関する最新のサイバーセキュリティへの影響を検討します。） ホスト：マイク・カラン、グローバルタレント担当VP、Tanium ゲスト：リチャード・J・ハークネット博士、サイバー戦略・政策センター所長兼オハイオ・サイバーレンジ研究所共同所長、シンシナティ大学
ショーノート
米国のサイバーセキュリティポリシーや、自律型エンドポイント管理がどのように受動的な対応ではなく能動的な状態を維持するのに役立つかについての詳細は、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointの記事や、以下のその他の有用なリソースをご覧ください。
- 新しい米国サイバーセキュリティ戦略についてビジネスが知っておくべきこと | Focal Point
- 持続的エンゲージメントについて多くの人が誤解していることと、それがビジネスに重要な理由 | Focal Point
- 連邦政府がCISOに迫る – 回避策はこちら | フォーカルポイント
- 自動化とAIがソフトウェアサプライチェーンを守る方法 | Focal Point
- エンドポイント管理の次なる進化は自律型 | Tanium
- 継続的エンドポイント管理のメリット（およびウイルス対策ソフトウェアとの違い） | Tanium
- Tanium Automateのご紹介：大規模で簡単に作成できるオーケストレーションと自動化 | Tanium
トランスクリプト
以下のインタビューは、明確さのために編集されています。
"私たちは、合理的な衛生管理、合理的なセキュリティとは何かについて、実際に考え方を変える必要があります。 ですから、サイバーセキュリティにはベストプラクティスは存在しないという考え方が好きです。 あるのはより良いプラクティスだけです。"リチャード・J・ハークネット、シンシナティ大学サイバー戦略・政策センター所長兼オハイオ・サイバーレンジ研究所共同所長
マイク・カラン： サイバーセキュリティに関しては、受動的であるより能動的である方が良いです。 それが今日の米国サイバー政策の核心的な原則であり、「ディフェンド・フォワード」戦略と呼ばれるものです。 数年前はかなり急進的と見なされていましたが、英国や他のサイバー同盟国が今や我々の先例に倣っており、米国企業もこれを実施すべきかどうか気になっています。
こんにちは、私はTaniumのグローバルタレント担当VPのマイク・カランです。本日のLet's Convergeでは、「ビジネスを前向きに守る」こと、そしてそれがどれほど実用的で利益をもたらすかについてお話しします。
少し背景をご説明すると、連邦政府はこの戦略を2018にテストし始め、昨年それを公式のサイバー防衛計画として制定しました。 本日のゲストは、それを実現するための重要な人物です。
リチャード・ハークネット博士、シンシナティ大学のサイバー戦略・政策センター所長、およびオハイオ・サイバーレンジ研究所の共同所長です。 教授であり、米国サイバーコマンドおよび国家安全保障局における初の常駐研究者です。 そして、サイバー防衛における持続性と積極性に関するこの新しい理論の設計者の一人です。
実際、彼はこのテーマに関する書籍を共同執筆しています。 タイトルは『サイバー持続性理論：サイバー空間における国家安全保障の再定義』で、オックスフォード大学出版局から刊行されています。
ポッドキャストへようこそ、リチャード。 お時間をいただき、ありがとうございます。 ワシントンD.C.、ウィーン、ロンドンと、あちこちを飛び回っていらっしゃいますね。 本日はお時間をいただき、誠にありがとうございます。
リチャード・ハークネット： どうもありがとうございます。 マイク。 実はちょうどロンドンから戻ったところで、同盟国とサイバースペースの課題について少し話し合ってきました。
Curran: 素晴らしい。 それはありがたいですね。 あなたの右肩の後ろに何か気になるものがありますね。 コインか何かですか？ とても興味深そうに見えますが、読めません。 あれは何ですか？
ハークネット： ああ、ありがとうございます。 私のオフィス、ホームオフィスへようこそ。 そうですね、それは本当に素晴らしい心遣いでした。米サイバー軍の四つ星司令官兼NSA長官であったマイク・ロジャース提督によるものです。 私はシンシナティ大学から2016に出向し、彼らが初めて設けたスカラー・イン・レジデンスに就任しました。そして、現在は公知の事実となっていますが、国家サイバー戦略における重要な転換点のいくつかを策定する支援を行いました。 そしてロジャース提督は私に小さな表彰状と四つ星コインを贈ってくれました。とても素晴らしいものです。
カラン： よかったですね。 おめでとうございます。 教えていただきありがとうございます。 さて、本日はパーシステント・エンゲージメント、つまりサイバーへの積極的なアプローチについてお話しするために来ています。 少し振り返ってみると、あなたは核抑止の専門家としての経歴をお持ちですね。 サイバーに対する新しいアプローチが必要だと気づいた、いわゆる「アハ・モーメント」はいつ、どのような出来事がきっかけでしたか？
ハークネット： そうですね、それは1992年頃まで遡ります、’93-ish。 私はソ連崩壊とその管理方法に関して、核問題に取り組んでいました。 そして国防総省のために少し仕事をしたところ、彼らは気に入ってくれて、「ブラウザというものがあるんだが、 セキュリティへの影響はどうなると思うか？」と言ったんです。 そこで初期分析を行い、これは私たちがセキュリティについて考える方法や、セキュリティのための組織化の方法とは合致しないと述べました。
ですから、マイク、かなり早い段階で、サイバー空間の現実と私たちのセキュリティに対する考え方の間に、私たちにとって問題となるものがあると感じていました。 そのことについて、約20年間、一貫した考えを持っていました。 問題が何かはわかっていましたが、解決策が何かは正確にはわかりませんでした。 そして過去20、25年の間に、たどり着くまで少し時間がかかりましたが、答えがわかったと思います。
カラン：「持続的関与」と「前方防衛」について定義していただけますか？
ハークネット：はい。 つまり、それらが互いにどのように関連しているかを[見ていく]ことが重要です。 「持続的関与」は公式に軍事ドクトリンとして位置づけられており、サイバー軍の作戦を組織化するのに役立つものです。 しかし、それはまた、司法省がサイバー犯罪に対処するために、その一形態として現在展開されているものでもあります。
持続的関与とは、簡単に言えば、サイバー空間はネットワークコンピューティング全体に内在する脆弱性を悪用しようとする継続的な活動の環境であるというものです。
つまり、私たちがインターネットと呼ぶこのものを構築した際、ソーシャルメディアから大規模な経済的支援や効率化といったものまで、その上に積み重ねることになるすべてのことを予測していなかったのです。 その核心において、セキュリティを中心に設計されたのではなく、アクセスを中心に設計されていました。
しかし、個人の身元情報や経済的な富を重ねるようになると、これらは他の人々が欲しがるものになります。 そのため、どのようにして安全を確保するかを考える必要があります。 そして課題は、それが悪用されやすい空間であるということです。
つまり、持続的な関与とは基本的に、セキュリティは私があなたが私の脆弱性を悪用しようとする前に、その方法を予測することに依存していると言っています。 そして、軍事および国家安全保障の観点からそれを行う一つの方法は、敵対者が私たちに何をしようとしているかを、実行される前に把握することです。 そこで「前方防衛」が登場します。
なぜなら、自分のネットワーク内で防衛することはできないからです。 ネットワークの境界で防衛しようとすれば、穴の中のウサギを追いかけるだけになってしまいます。 だから、空間と時間の両方において前方で防衛しなければなりません。 つまり、自分のネットワークの外に出て、他の人々のネットワークに入り込み、彼らが私に対して使用できるマルウェアを開発しているかどうかを確認する必要があるということです。 そうすることで、彼らが脆弱性を悪用する前にパッチを当てることができるかもしれません。
しかし、私はまた先手を打つ、つまり時間的に「前方防衛」する必要があります。 なぜなら、彼らがツールを使用する前に実際に発見できれば、それらの脆弱性を修正できるからです。 そして、彼らが私を攻撃するために使用しようとしているサイバーツールの開発に費やした時間、才能、エネルギーはすべて、もはや役に立たなくなります。
では…なぜ持続的である必要があるのでしょうか？ 相手側がそうしているからです。 相手側は常に、この空間の相互接続性を悪用する機会を探しています。 そのため、セキュリティは予測に基づいており、マイク、だからこそ私は持続し、常に関与し続けなければならないのです。 これは、冷戦時代のセキュリティに対する考え方から大きく、大きく変化しています。
Curran: ええ、劇的な変化ですね。 民間企業に特化して見てみると、今日はそこに少し踏み込んで、彼らがどのように関与し、どのように前方防衛を行うかについて話したいと思います。 民間企業を見て、国防総省の政策を調べたところ、「兆候と警告」と呼ばれていたと思いますが、注目すべき政策が一つありました。
Harknett: そうですね。
Curran: 彼らは特に、DCIとDIB、つまり[防衛]重要インフラと防衛産業基盤と呼ばれるものに焦点を当てていました。 ボーイングやその他の大企業など、それが誰であるかは分かっています。 しかし、残りのアメリカ企業はどうでしょうか？ それほど密接に関連していないG-2000の残りの企業は？ 彼らはどのように前方防衛を行うのでしょうか？
Harknett: ええ、それは素晴らしい質問です。 そこで、2つの考え方を提案したいと思います。
企業の立場から言えば、外に出て他者のネットワークに侵入することは違法です。 それは、相手のネットワークに干渉しようとするハッキングとみなされます。 国家政府、国際法の下での国家安全保障政府は、それを行う権限を持っています。 つまり、企業が対応できるようにする必要があるのは、前方防衛を開始し、持続的な関与を進める中で、政府から寄せられる情報を受け入れることです。
これらは新しい概念であり、新たな部隊を構築しています。サイバーコマンドと国家安全保障局がその中核を担っていますが、他の情報機関や法執行機関も積極的に取り組んでいます。 しかし、私たちが積極的に動いて振り返り、「脆弱性を発見した」と言っても、企業がシステムの更新に適応し柔軟に対応する準備ができていなければ、意味がありません。
かなり重大なMicrosoft Exchangeの脆弱性があり、結果的に中国の作戦であったことが判明しています。 つまり、この問題が長く放置されるほど、国内のより多くの企業が脆弱な状態に置かれていたということですよね？
カラン： ええ。
ハークネット： 米国司法省は、Rule 41と呼ばれる捜索・押収権限を通じて、この脆弱性に実際にパッチを当てることができました。
モノのインターネット[デバイス]や各種サーバーが存在しており、260,000が侵害され、私たちがボットネットと呼ぶものに組み込まれていました。 つまり、それらは単一のコマンドサーバーによって制御されています。 私の見解では、非常に非常に巧妙な作戦でした。 これらの260,000を侵害した中国のコマンドサーバーの場所を突き止め、そのコマンドサーバーを乗っ取り、自身のマルウェアを削除するよう、つまりこれらすべての民間部門のデバイスから自らを除去するよう命令しました。
つまり、中国はそこにいますが、[本来]そこにいるべきではありません。 米国政府は米国企業の民間部門には立ち入りません。 実際には、中国側に自分たちのものを削除させるのです。 どのようにしてそれが実現するのでしょうか？
それは持続的な関与によって実現します。彼らが常に悪用しようとしていることを把握することで…。 [この場合]、彼らは良い一日を過ごした。彼らは妥協した 260,000。
それは彼らがしばらくの間、主導権を握ったということだ。 しかし、粘り強く関与し、前方で防御することで、私たちはそのコマンドサーバーがどこに[あったか]を突き止め、非常に巧妙な戦術によって、これらすべてのITデバイスが持っていた独自の空間を回復することができた。
これは、この分野で起きているダイナミクスについて、少しだけ雰囲気をお伝えするものだ。 民間部門はこの先を見越した姿勢を取らなければならない。 だから、脆弱性がどこにあるかについて事前に情報を提供できる場合、パッチを当てるかどうかを決めるのに5ヶ月もかけることはできない。 なぜなら、その期間はあなたが脆弱な状態にあるからだ。
しかし、マイク、特に大企業のビジネス慣行という観点で、もう一つの側面がある。 言うなれば、前方防御の能力は、サプライチェーンやサプライヤーとのより良い慣行を通じて発揮される。 つまり、ネットワークを下流のサプライヤーに接続しようとするなら、前方防御の考え方から、そのネットワークの品質を把握しておきたいと思うかもしれない。
例えば数年前、TargetはPOSシステムをハッキングされました。 Targetの店舗でカードを読み取らせると、そのカードデータが盗まれていたのです。 そのサイバーマルウェアは、全Targetストアの空調（HVAC）サプライヤーを通じて展開されました。 そのHVACが実際に脆弱であることを把握していなければなりませんでした。なぜなら、それが企業としての脆弱性につながっていたからです。
つまり、契約や調達において考慮し始めるべき慣行があるということです。 サプライヤーに対して、一定レベルのセキュリティを求める必要があります。
また、私たちが「ハント・フォワード」作戦と呼んでいる、もう一つの前方防衛・持続的関与作戦があり、米サイバー軍がより多く語るようになっています。 カナダもイギリスもこれを実施しています。 これは、ある国やパートナーが米国を自国のネットワークに招き入れるというものです。 それはまず、大きな信頼の問題です。 しかし、彼らのネットワークに入り、隣でキーボードを打つことで、彼らが発見していなかったことを発見し、彼ら自身のネットワークを支援しながら、国土防衛に役立つ資産を持ち帰ることができます。
私がお話しできる最大の公開事例は2021年10月、ロシアの戦車がウクライナに侵攻する前に、米サイバー軍がウクライナ側の招待を受け、実際にウクライナのネットワーク内で「ハント・フォワード」作戦を実施していたことです。 彼らは、ウクライナの鉄道システムを停止させるような、非常に悪質で高度なマルウェアを発見しました。 ウクライナについて少しでも知っている方はご存知でしょうが、ウクライナでは車を運転せず、ほとんどの人が電車を利用しています。
そこで私たちがしたことは、それを隔離してそのままにしておくことでした。 ロシア側はそれが機能していると思い込み、それを使って様々な操作を続けていました。 そのため、〔私たちは〕情報を収集し、〔私たちは〕自国の交通ネットワークに戻って「この脆弱性はありますか？」と確認することができました。 どのようにして知ったかは教えませんが、「この脆弱性がありますか？ これがパッチを当てるために必要なことかもしれません。」
そこから国土安全保障が得られます。
そして2月に戦車が侵攻し、[ロシア人たちは]エンターキーを押したが、それは機能しなかった。 ロンドンのフィナンシャル・タイムズは、これがおそらく命を救った最初のサイバー作戦であると示唆している。なぜなら、1.2百万人のウクライナ人がロシア侵攻の最初の一週間に列車で都市から脱出したからだ。
カラン： ほう。 魅力的ですね。
ハークネット： つまり…たった一種類の作戦にしては、かなり大きな成果だ。 先手を打つことで得られるものをすべて考えると、企業も同じことができるはずだ。
契約環境を「ハント・フォワード」の招待として考えてみてほしい。 サプライヤーは「あなたは私のネットワークに入って、実際に私があなたが必要とする基準を満たしていることを確認できますよ」と言っているのだ。 そうすることで、それらの企業はより魅力的なサプライヤーになる。
ビジネス慣行の観点から言えば、サイバーセキュリティが高ければ高いほど、サプライチェーンの上位においてより魅力的な存在になる。 [そして]それは双方向に機能する必要がある、マイク。 私たちは、より大きな組織がその下の組織により良い慣行を求めるようにする必要があり、経済的インセンティブの観点から、より小さな企業がサプライチェーン全体を通じてより安全になる必要があります。
カラン: つまり、アーンスト・アンド・ヤングやアクセンチュアのような中立的で信頼できる情報源からサイバー衛生スコアがあれば、この特定のサプライヤーは必要な衛生管理をすべて備えており、安心できると基本的に示すことができるでしょう。 しかし、サプライヤーの選定などの意思決定において、人々が納得できる普遍的な衛生スコアが存在するかどうかは分かりません…。
ハークネット: いいえ、それは素晴らしい観察だと思います。これはサイバー持続性理論の課題の一部であり、これが継続的に流動的な環境であることを理解することです。 私たちはコンプライアンスモデルの観点から標準を考える傾向があります。 例えば、Xの静的なレベルを満たせば、それを多くの項目に適用できるというようなものです。 そして、コンプライアンスを満たしているかどうか、ということですよね？ そのExcelシートを確認するつもりです。
それがサイバーに適用されてきましたが、それは本当に効果的な方法ではありません。
なぜなら、あなたと私が今日話し始めてから、それほど長い時間ではありませんが、あなたの携帯電話のアプリが新しいバージョンに更新されているからです。 そのため、昨日のコンプライアンス対応ではそれを捉えることができていません。
私たちは、適度な衛生管理、適度なセキュリティとは何を意味するのかについて、実際に考え方を変える必要があります。 私は、サイバーセキュリティにはベストプラクティスというものは存在しないという考え方を好んでいます。 あるのはより良いプラクティスだけです。
組織的な観点から私たちがすべきことは、組織がこの純粋なコンプライアンスモデルから脱却し、<em>誰かが定期的にこれを確認している</em>という組織形態を採用し始めることです。適応し、取り入れる組織的な流れが必要です。 残念ながら、私たちはビジネスチャンスのためにそれを行いますが、セキュリティの面ではそうする傾向がありません。
しかし、セキュリティの確保こそがビジネスチャンスであると理解し始めれば、21世紀においてビジネスをうまく行うための一部であるという考え方の転換が生まれると私は主張します。
Curran: 本日はお時間をいただきありがとうございました。引き続き取り組まれている素晴らしい活動のご成功をお祈りしています。 感謝申し上げます。
Harknett: ありがとうございます。また、リスナーの皆さんにお話しする場を提供していただきありがとうございます。 本当に感謝しており、会話をとても楽しみました。
カラン： シンシナティ大学のサイバー戦略・政策センター所長およびオハイオ・サイバーレンジ研究所の共同所長であるリチャード・ハークネット氏とお話ししました。
プロアクティブなサイバーセキュリティ戦略についてさらに詳しく知りたい方は、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointをご覧ください。ショーノートに記事へのリンクを掲載しています。 または、tanium.com/pにアクセスして出版物をご覧ください。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このエピソードが気に入ったら、ぜひ五つ星評価をお願いします。
ご清聴ありがとうございました。 Let's Convergeの次のエピソードでも、さらなるサイバーインサイトをお届けできることを楽しみにしています。
