その意図や目的がどうであれ、TAOはハッキンググループである。TAOの狙いは、ハードウェアやソフトウェアを利用し、海外組織と思われる団体に関する情報を収集することにある。この狙いを実現するために、

• インターネットのバックボーンを運営する通信企業にアクセスする
• インターネットのトラフィックを捕捉する
• 物理的な機器の通信を傍受する
• これらの機器に監視機能を組み込む

といった手段を用いる。

　1998年に設立されたTAOは、NSAで最も重要な部門の1つに成長した。その背景には、社会がコンピュータに依存するようになり、コンピュータの通信を監視する必要性が生じたことがある。

　TAOは、無線通信の監視にとどまらず、ネットワークでつながった広範なシステムを全般的に監視する役割を果たすべく設立された。潜在的な監視対象がありとあらゆる技術を利用している可能性があることを踏まえると、TAOはネットワーク機器を主なターゲットにしているものと思われる。攻撃対象となる機器の数が限られていることに加え、ネットワーク機器は広範なアクセスを提供できるからだ。

　NSAの元職員エドワード・スノーデン氏が、悪名高い例のファイルをリークしたことで、TAOの任務や能力、役割に関する詳細が世間一般に明らかになった。例えば、メーカーから出荷される前に、しかもTCP/IPネットワークに接続される前の段階で、システムに細工を施す方法などが暴露されたのだ。

　TAOが編み出したとされるコンセプトの中には、クレジットカードのスキミングやUSBベースのマルウェアに利用されている手法もある。マルウェアが組み込まれた状態でハードウェアやソフトウェアが出荷されたというケースや、ベンダーが基本的なセキュリティチェックすら実施せずに機器を出荷したというケースは枚挙にいとまがない。企業はこうした脅威への対策を講じる必要があるが、そのためにはまず、どういった対策が効果的なのかを理解しなくてはならない。

　NSAは攻撃に際してベンダーのサプライチェーンに侵入し、ネットワーク機器が攻撃対象のネットワークに接続する前に監視ツールを仕込むという手法を用いた。残念ながら、サプライチェーンの弱点は十分理解されておらず、情報収集ツールの埋め込みへの備えができていないベンダーがほとんどだ。

　NSAの能力を詳しく紹介した報道には、プラス面とマイナス面がある。善良な人々にとっては、どういった箇所を調べるべきかのヒントが得られる。一方、これらの報道は悪人にも知恵を与え、将来の攻撃の開発サイクル短縮に貢献する恐れがある。

　「QUANTUM」と呼ばれるTAOのプログラムには、通信チャネル（暗号化されたチャネルを含む）の監視方法が事細かに記載されている。企業が警戒する必要があるのは、NSA以外の攻撃者がQUANTUMの機能リストに示された手法をさらに洗練させ、それを標的型攻撃に利用する可能性だ（既に起きているかもしれない）。

TAOの手法に対する防御策とは

　スノーデン氏による暴露の余波として特に有益だったのは、ネットワーク通信やサプライチェーンといった特定の技術やプロセスのどの部分に、高度な攻撃手法に対する弱点が存在するのかが、個人と企業に知れ渡ったことだ。その結果、企業はこうした問題の犠牲になるのを防ぐための対策を重視するようになるだろう。

　米国企業の場合、NSAに対する防御策を講じるのは現実的ではないが、効果的な対策となる選択肢は幾つかある。まず、新しいハードウェアやソフトウェアを導入する前に、細工が施された形跡がないかどうかを確認することだ。一方ベンダー各社も、製品が細工されていないことを確認する手段（例えば署名付きソフトウェアなど）をユーザーに提供すればよい。こうした手段は、不審な動きを日常的に監視する上でも有効だ。

　企業であれ個人であれ、あらゆる通信が監視されているという前提に立つことが重要だ。専用回線を使っている場合も例外ではない。

　VPNを使用するだけでなく、全ての通信に暗号化を施せば、盗聴をある程度抑止できるだろう。特に高度なセキュリティが要求される企業であれば、電磁エネルギーを遮断する部屋「ファラデーケージ」を介して無線通信をすれば攻撃を防止できるかもしれない。だがほとんどの企業では、そこまでの対策は無理だ。

　代替策として、無線周波数モニターを使って社内をくまなく検査し、不正な接続の有無を監視するという方法がある。これは、ネットワークを監視して不審なネットワーク接続がないかどうかを検査する方法に近い。

　全ての通信回線が監視されているという前提に立つだけでなく、企業は「自社のビジネスが攻撃を受けているという前提に立つべきだ」というNSAの忠告にも耳を傾ける必要がある。資金力と技術力の両面でNSAを上回る攻撃者に狙われているという認識を持っていれば、警戒を怠ることがなくなるだろう。

“攻撃力”より“防御力”こそ注目

　NSAは驚くほどの“攻撃”能力を持っているが、メディアが報じていないもう1つの側面が“防御”能力である。攻撃者がどこで活動しているかが分かれば、ベンダーも企業も情報セキュリティプログラム改善策の優先度付けができる。単に「セキュリティ機能が組み込まれているか」といったおざなりなチェックで済ませるのではなく、「自社のシステムとデータセキュリティを確保するには何が重要か」という問題にあらためて目を向けることができる。

　本記事は、NSAの活動の倫理的、政治的、法的側面に言及するものではない。

本稿筆者のニック・ルイス氏は、情報セキュリティプロフェッショナルの認証資格（CISSP）を有する米Saint Louis University（セントルイス大学）の情報セキュリティアーキテクト。2002年に米Michigan State University（ミシガン州立大学）でテレコミュニケーション、2005年に米Norwich University（ノーウィッチ大学）で情報アシュアランスの科学修士を取得。米Harvard Medical School（ハーバードメディカルスクール）の小児科病院である米Boston Children's Hospital（ボストン小児病院）、米国の学術研究用の超高速ネットワークであるInternet2、米Michigan State University（ミシガン州立大学）に勤務後、2011年より現職。