2022年に無視できないサイバーセキュリティの課題

本記事の一部は Infosecurity Magazine に掲載されたものです。内容を更新し、転載しています。

‍

ここ2年間、誰もが試練の時を過ごしてきました。多くの組織にとって、サイバーセキュリティの青写真は、突然のリモートワークへの移行によって試されることになりました。特に、パンデミック以降、必死の脅威アクターによって 報告されたサイバー犯罪が300%急増 したことを受け、業界全体として対策を強化し、適応せざるを得ませんでした。

私たちはいくつかの教訓を得ました。一般的なサイバーセキュリティだけでなく、コードレベルでのソフトウェアセキュリティや品質もより真剣に受け止められるようになっていることは心強い限りです。 バイデン大統領による大統領令 は、SolarWindsの大規模な侵害を受け、ソフトウェアサプライチェーンの保護における重大な問題を浮き彫りにしました。セキュリティをより重視し、測定可能なセキュリティ意識を持って脆弱性を低減する取り組みは、間違いなく議論の大きな柱となっています。

サイバー犯罪者との戦いにおいて、私たちは彼らの一歩先を行き、予防的な考え方で彼らの活動の場を先回りする必要があります。

来年、彼らがどのような動きを見せるか、私の予測をまとめました。

メタバースという新たな攻撃対象領域

メタバースはインターネットの次なる進化形かもしれませんが、ソフトウェアやデジタル環境の保護に対する多くの業界のアプローチには、同様の変革がまだ見られません。

フィッシング詐欺のような一般的なサイバーセキュリティの落とし穴は避けられませんが（メタバースに慣れるまでの間は特に増えるでしょう）、この没入型仮想世界を実現する実際のインフラやデバイスを保護する必要があります。スマートフォンがオンライン生活を支えたように、VRヘッドセットなどの周辺機器は膨大なユーザーデータへの新たな入り口となります。IoT機器を安全にするためには、ますます複雑化する組み込みシステムのセキュリティが不可欠であり、主流となりつつあるVR/ARの世界も例外ではありません。Log4Shellの脆弱性で明らかになったように、コードレベルの単純なミスが脅威アクターへのバックステージパスになり得ます。シミュレーションされた現実では、あらゆる動きが盗まれる可能性のあるデータとなります。

メタバースはまだ初期段階ですが、成功には暗号資産（単なる流行のコインの買いだめではなく）やNFTのような価値あるアイテムの実用的な導入が不可欠です。つまり、私たちの現実の資産、アイデンティティ、データ、生活が、新たな「無法地帯」にさらされるリスクがあるということです。エンジニアが壮大な機能や拡張に夢中になる前に、この広大で新しい攻撃対象領域を根本から最小限に抑えることを優先すべきです。

Log4Shellを受けた法規制の動き

広く使われているログツール「Log4j」の脆弱なバージョンが使用されているか、あるいは依存関係があるかを必死に調査し、混乱に陥った多くの開発者にとって、休暇期間は決して楽しいものではなかったはずです。

このゼロデイ攻撃は 史上最悪の部類 に入ります。Log4Shellは、6年以上経った今も悪用され続けている壊滅的なHeartbleed脆弱性と比較されています。この先例から判断すると、私たちは今後長い間、Log4Shellの後遺症と付き合っていくことになるでしょう。Heartbleedから学んだ教訓（パッチを可能な限り迅速に展開・実装する必要性など）があっても、多くの組織が保護のために十分迅速に行動できていないことは明らかです。企業の規模によっては、パッチ適用は非常に困難で官僚的であり、部門間の文書化や実装が必要になります。多くの場合、IT部門や開発者は使用しているすべてのライブラリ、コンポーネント、ツールを完全に把握しておらず、混乱やアプリケーションのダウンタイムを最小限に抑えるための厳格なデプロイメントスケジュールに縛られています。こうした作業方法には正当な理由がありますが（誰もシステムを壊したくはありません）、パッチ適用が遅すぎれば、格好の標的となってしまいます。

Just as the SolarWinds attack changed the game for the software supply chain, I predict that similar will happen in the wake of Log4Shell. While there are already patch management mandates and recommendations in some critical industries, widespread legislation is another story. Preventative software security will always be the best chance we have to avoid urgent security patching altogether, but security best practices dictate that patching is a non-negotiable priority measure. I think this will be a hot topic, and lead to not-so-subtle recommendations to patch quickly and often. 

アーキテクチャセキュリティへの注目の高まり（しかし開発者の準備は不十分）

新しい OWASP Top 10 2021 では、いくつかの重要な項目が追加されました。また、インジェクションの脆弱性がトップから3位に転落するという驚きもありました。これらの追加項目は、セキュアコーディングとセキュリティのベストプラクティスにおける開発者の旅路の「第2ステージ」を示唆していますが、残念ながら、適切なトレーニングを受けていない限り、リスク低減に貢献できる開発者はほとんどいません。

コード内の一般的なセキュリティバグに対処するには、開発者がセキュリティスキルを身につける必要があることは以前から知られており、組織も開発者主導の予防という考え方に以前よりうまく対応しています。しかし、安全でない設計（Insecure Design） がOWASP Top 10にランクインし、単一のセキュリティバグではなくアーキテクチャ上のセキュリティ問題のカテゴリとなったことで、開発者は基礎を習得した先へと進む必要があります。理想的にはセキュリティチームのサポートを受けながら脅威モデリングを学ぶ環境は、開発者のスキルアップが成功すれば大きなプレッシャーを軽減しますが、現状では、ほとんどのソフトウェアエンジニアにとって大きな知識のギャップとなっています。

これに対抗するには「村全体」の協力が必要です。組織は、開発者のワークフローを大きく妨げることなく、彼らの好奇心を刺激し、前向きなセキュリティ文化を醸成する役割を果たすことができます。