――現代のセキュリティ脅威の進化について。企業はどんな課題に直面しているのか。

シリング氏　攻撃者が使うツールや手口は、5～6年前からそれほど変わっていない。驚異的なのは、彼らのビジネスプロセスと遂行能力だ。大手小売り業者から情報が流出した事件では、必ずしも攻撃に使われたツールや手口が巧妙だったわけではない。攻撃者は戦略的に標的のネットワークに侵入し、そのネットワークインフラを使って自分たちのマルウェアを環境全体に感染させ、システムを乗っ取ったのである。飛躍的な進歩が見られるのはこうした戦略的な動きだ。

　攻撃者は、攻撃への足掛かりを得ると、特に国家が関与する活動や犯罪の場合、もはやマルウェアなどの手口は利用しない。単に、システムにログインできる状態にまで権限を昇格させる。攻撃者が標的となるシステムにログインしてネットワークのポリシーを変更、RDP（リモートデスクトッププロトコル）を有効にして、VPN（仮想プライベートネットワーク）アカウントを乗っ取るために必要な手段を講じる実態を、われわれは実際に目の当たりにしてきた。

　こうなると攻撃者は、もはや外部の人間でもリモートアクセスの脅威でもなく、内部関係者と化し、検出は非常に難しくなる。例えば社内の環境を自分よりも把握している優秀なシステム管理者の1人が、実は組織内に侵入した攻撃者だったと想像できるだろうか。侵入の手口は依然として、従来通りのマルウェア感染メールだったりWebサイトだったりする。だが攻撃を仕掛ける側は進化している。ログイン情報を入手すれば、ネットワークを制御したのも同然だ。

　私がDell SecureWorksに勤務していたとき、非常に優れた技術やツールを導入していながら、攻撃を検出できないと訴える顧客がいた。攻撃者は既にキルチェーン（※）の先へ進んで、もうだましの手口は使っておらず、単純にネットワークにログインしているのだと私は説明しようとした。この顧客はキルチェーンにおける手始めの攻撃を監視するための技術を使うのではなく、方向転換して別の種類の行動に目を向ける必要があった。

※　キルチェーン（kill chain）：米セキュリティ企業Lockheed Martinが提唱したサイバー攻撃を一連のフェーズで説明する概念。サイバーキルチェーンのフェーズは順に、Reconnaissance（偵察）、Weaponization（武器化）、Delivery（配備）、Exploitation（攻撃）、Installation（インストール）、Command and Control（C2、遠隔操作）、Actions on Objectives（目的実行）。“キルチェーン”は元は米空軍の軍事用語。

――攻撃の高度化に対応するためにはサイバー防衛に対するアプローチをどう進化させるべきか。

シリング氏　やるべきことは防御、検出、対応、復旧だ。それぞれに人材とプロセスと技術を割り当てる。例えば、ヘルメットを着けて自転車で坂を下っている人が、顎ひもを結んでいなければ、あまり賢い人物とはいえない。何かにぶつかった瞬間にヘルメットが飛んで、頭を打つだろう。

　これはうまい例えだ。少なくとも、私がDell SecureWorksや陸軍時代に見たり対応したりした顧客は、多くのセキュリティプログラムを導入していたが、こうした顧客はセキュリティ技術を持っていても、きちんとひもを結んでいなかった。つまり、「自分の環境でその技術を活用し、自分のツールを有効活用するために訓練された人材を確実に配置できる最善の方法は何か」や「問題を最大限に見通して対処できるレベルまで引き上げるプロセスが確立できているか」といったことも分かっていなかった。

　人は必ずだまされるものであり、100％の自己防衛は不可能だ。だが検出から対応までの時間を短縮できることにこそ真の意義がある。そしてその多くは優れた技術ツールを使うことで達成できる。

――5年前から手口はあまり変わっていないとのことだが、何が変わるのか。

シリング氏　攻撃者はOSI（Open Systems Interconnection）参照モデルをさらに進化させるだろう。情報収集能力においてOSI参照モデルを進化させるほど、収集できる情報量は増え、重要なものを選び出せるようになる。

　攻撃者のリモートアクセスを阻止する能力は日々向上している。そうなると、特に犯罪組織の人間は、システムデータへの物理的なアクセスを試みるだろう。ITインフラの物理的なセキュリティを破ったり、内部関係者の手を借りて侵入し、必要なものを探し出したりといった至近距離からのアクセスが浮上する。従ってFireHostでの私の役割は、情報セキュリティだけでなく、物理的なセキュリティも含まれると考える。

――物理層に対する攻撃はどう阻止するのか。

シリング氏　高度で執拗な攻撃を見つけ出すためにわれわれが使っているセキュリティツールの多くは、データに対する見方を変えれば、内部関係者の脅威も発見できる。例えば、システム管理者が深夜にリモートからアクセスしているといった、通常の基本業務を逸脱したケースに目を向ける。この管理者は何の目的でそうしているのか、といった具合だ。

――従うべき基本事項は無数にあるのでは。

シリング氏　セキュリティ業界の関係者の多くは、攻撃者が自分たちのネットワークをどう狙うかについて、人の行動や思考を考慮しない。私は、FireHostの社内に「フレンドリーネットワークフォース」と呼ぶ業務を専門とする役割を設けた。この担当者は、FireHostの内部関係者としてネットワークがどう構成されているかを知っている。私はこの人物に、もし自分が攻撃者だったとすると、どこを狙い、どうやってわれわれを最悪の目に遭わせるかと尋ねる。これは侵入テストにも似ているが、内部情報を知った上での侵入テストだ。自分たちの環境を継続的に評価し、攻撃者に狙われそうな場所に目を光らせるのがこの担当者の仕事だ。最も脆弱なのはどこか、最も大切なデータや重要な顧客情報はどこにあるのか。

　フレンドリーネットワークフォースの概念は、国防総省で生まれた。これからは多くのCISO（最高情報セキュリティ責任者）がこの概念を採用するだろう。

――フレンドリーネットワークフォース担当者に求められる能力とは。

シリング氏　何を求めるかによる。例えば次週の課題として、「わが社のインフラに侵入を試みるリモートユーザーだったらどう出るか」と尋ねる。普通の侵入テストであれば、相手は内部の知識を持っていないので、あちこちつつき回す必要があるかもしれない。結果としてある程度の成功を収めるかもしれない。従って外部からの侵入テストも依然として必要だ。だが、インフラのことを熟知していて、弱点がどこにあるかを把握している担当者がいれば、その担当者にはそうした弱点に取り組ませ、自社のセキュリティコントロールがこの種の攻撃の検出と対応にどの程度有効かを調べさせることができる。