25年前、Code Redワームは脆弱なMicrosoft IISサーバーを悪用し、世界中の組織へ急速に拡散する、インターネット規模では初期のサイバーセキュリティ事案の一つとして登場しました。単なるワームという枠を超え、この事件は今なお変わらないセキュリティの現実を浮き彫りにしました。それは、組織は自らが把握していないものを守ることはできない、ということです。
今回のPartner Perspectiveでは、BeyondTrust社のCTOであるMarc Maiffret氏が、2001年にCode Redを発見した当時を振り返り、このワームが脆弱性管理・資産の可視化・パッチ適用・セキュリティ運用といった現代的なアプローチをどのように形作ってきたかを語ります。
長年サイバーセキュリティを取材してきたジャーナリストのDennis Fisher氏と、BeyondTrust社のField CTOであるJames Maude氏を交え、Code Redが登場した節目の瞬間を振り返りながら、ワーム時代の攻撃が今日のセキュリティ実務に与えた長期的な影響について語り合います。話題はやがて、インターネットの台頭以来もっとも重要な技術的転換の一つである人工知能(AI)へと移っていきます。
組織がAIツール、AIエージェント、AI駆動のワークフローを急いで導入する中、セキュリティチームは過去の技術導入の波で直面してきたのと同じ課題の多くに向き合っています。可視性、ガバナンス、そして環境内で実際に何が動いているのかを把握することは、Code Redが発見された当時と同じくらい今も重要な、セキュリティの基本要件であり続けています。
この動画では、25年前のCode Redワームから得られた教訓が、今日のセキュリティリーダーがAIセキュリティ、シャドーAI、攻撃対象領域の管理、そして攻撃者に先んじて新興技術を特定し保護することの重要性をどう考えるべきかについて、どのように役立つのかを解説します。
関連情報を見る
この動画で取り上げたトピックに関するさらなる知見、ガイダンス、リサーチについては、以下をご覧ください。
続きを読む
Code Redシリーズの他の記事もあわせてご覧ください。
トランスクリプト:
[01:00:00] James: 本日は、友人であり同僚でもあるBeyondTrust社CTOのMarc Maiffretさんをお迎えできて光栄です。ようこそ、Marc。
[01:00:05] Marc: やあ、また一緒に話せて嬉しいよ。
[01:00:07] James: そして、Decipherで名高いレジェンド、Dennis Fisherさんにもお越しいただいています。Dennis、ようこそ。
[01:00:12] Dennis: お招きいただきありがとうございます。参加できて嬉しいです。
[01:00:14] James: Dennis、あなたは我々のサイバー史の生き証人として、長年この業界を取材してきたジャーナリストですが、今日集まった理由を視聴者の皆さんに説明していただけますか?
[01:00:23] Dennis: 喜んで、James。そうですね、私たちは今日、Code Redワームの25周年について語るために集まりました。このワームはMarcが共同発見者ですよね——それが正しい言い方でしょうか、Marc?
[01:00:34] Dennis: あの当時はまったく違う時代でした。あの時点ではセキュリティというもの自体がほとんど存在していなかった——コミュニティとしても、業界としても。このワーム自体は、サイバーセキュリティの歴史の中でも際立った位置を占めていると思いますが、それにはいくつか理由があります。一つは、「Code Red」というその名前自体が、瞬く間に大きな悪名を与えたことです。そしてもう一つは、これがインターネット規模の大規模ワームとしては最初期のものだったことです。それ以前にも「I Love You」やAnna Kournikovaワームのような小規模なものはありましたが、それらはメールワームでした。Code Redはネットワークワームで、DDoS機能も備えていました。当時私たちが暮らしていた小さなセキュリティの世界を飛び出し、広く世に知られるようになった最初期の大規模ワームの一つだったと思います。
[01:01:23] Dennis: Code Red発見に至るまでの当時のことで、覚えていることはありますか?
[01:01:30] Marc: 私とRyan Permehが——確か金曜の夜、仕事が終わった後のことでした。2社の異なる顧客からそれぞれメールが届き、「うちのWebサーバーが何か変な動きをしている」と言われたんです。彼らはそれをうまく説明できませんでした。私たちはパケットキャプチャを調べ始めましたが、最初はそれほど気に留めていませんでした。ところが、通常とは異なるように見えるアウトバウンド接続が発生していることに気づいたんです。パケットキャプチャの中でその糸をたどっていくうちに、これは単なる一般的な脆弱性攻撃を誰かが行っているだけではない、ということが分かってきました。実際にペイロードの中身を見た時——Ryanがコードを逆アセンブルしてその挙動を解析したとき——私たちは「待てよ、これは通常のエクスプロイトじゃない。何か違うものだ」と気づいたんです。
[01:02:24] そして、もちろん「Code Red」という名前ですが——当時Code Redという素晴らしいソーダがあって——これが実に的を射た名前になりました。というのも、ペイロードの一部が文字通り「Hacked by Chinese…」といったメッセージをウェブサイトに投稿するものだったからです。何もかもがぴったりはまったんです。
[01:02:43] 私たちは基本的に、あまり深く考えずにいくつかのセキュリティメーリングリストに解析結果を投稿しただけでした。こんな形の出来事はそれまでになかったからです。そこから先は、皆さんご存知の通り、大変な騒ぎになりました。その週の後半、Pepsi社のマーケティング部門の上層部の人から電話がかかってきました。「この悪名高いワームと関連付けられるのは何とも妙な気分だが、おかげでソーダがよく売れている」と言うんです。彼らは、私たちのオフィスから数ブロック先にPepsiの配送拠点があることに気づき、無償でソーダを送ってくれると申し出てくれました。実際、何カ月もの間そうしてくれて、最終的には私たちの方から「もう結構です、これ以上は飲めません」と言うほどでした。
[01:03:32] [Marcが Code Red ソーダの缶を開ける] ちなみに、ここでひとつ、昔懐かしく缶を開けてみましょうか……
[01:03:45] Dennis: これ、もう25年くらい飲んでいなかった気がしますよ、Marc。
[01:03:48] Dennis: いや、なんというか……ああ、これは美味しいですね。認めたくはないですが、本当に美味しいです。
[01:03:52] James: さて、Code Redはデフォルトで有効になっていたサービスを悪用しましたが、多くの組織はそもそも自分たちがそれを稼働させていることさえ知らず、それが誤設定されていることも、パッチが提供されていることも知りませんでした。今日で言えば、それに相当するもの——組織の中で悪用されるのを待っている可視性の死角——とは何でしょうか?
[01:04:10] Marc: 企業がAIを急いで導入しようとする動きの中で、私が目にしてきたものすべてがそれに当たります。そして、それは完全に理にかなったことでもあります。AIを導入し、それを自社のビジネスに活かさなければ、後れを取ってしまいますから。競争力を維持するために急いで物事を取り入れようとするこの動き——インターネットブームの時とまったく同じですが——の中で、多くの人々が性急に飛び込んでいく一方で、セキュリティが後手に回っていると思います。ですから問題は、AIセキュリティについて第一原理から考えるとすればどう考えるか、ということだと思います。ある意味では、それはCode Redの時と同じ原則です。自分たちが何を持っているかをそもそも把握しているか。それがセキュリティの第一歩なのです。
[01:04:53] AIについては前向きに考えています。誰もが新しい「当たり前」を模索する中で、しばらくは混乱と動揺の時期が続くでしょうが、やがて落ち着くべきところに落ち着くと思います。そして、こうした対話こそが重要だと思うのです。過去を振り返れば、そこにはパターンが見えてきます。私たちは今、まさにこうした同じパターンの多くを目にしていると思います。こうした話を重ねれば重ねるほど、人々が実際に対策を講じる可能性は高まるはずです。
BeyondTrustについて:
BeyondTrustは、特権を起点としたアイデンティティセキュリティのグローバルリーダーであり、「Paths to Privilege™」の保護を専門としています。リスクを生むのはアイデンティティそのものではなく、特権です。人間、マシン、AIエージェントといったアイデンティティがあらゆる環境で爆発的に増加する中、BeyondTrustは単一のプラットフォームからそのすべての特権を発見・制御・保護できるよう構築された唯一の企業です。Fortune 100のうち75社を含む20,000社以上の顧客から信頼を寄せられ、主要業界アナリストから複数分野のリーダーとして評価されているBeyondTrustは、アイデンティティセキュリティを単なる管理上の課題から戦略的な強みへと再定義します。詳細はwww.beyondtrust.comをご覧ください。
著者について
CTO, BeyondTrust
最高技術責任者(CTO)として、Marc Maiffret氏はBeyondTrustの製品戦略と世界規模のエンジニアリング組織を率い、インテリジェントなアイデンティティおよびアクセスセキュリティにおける市場ニーズへの対応を担っています。Maiffret氏はよく知られた起業家であり経営幹部で、eEye Digital Security、FireEye、SpaceX、BeyondTrustといった組織で20年以上にわたりセキュリティ分野のリーダーシップを発揮してきました。Maiffret氏は17歳のときにFBIの強制捜査を受けた直後、最初の会社を設立しました。セキュリティ研究者としては、Microsoftの脆弱性研究における初期の先駆者の一人であり、Microsoft初のコンピューターワームとなったCode Redの共同発見者・命名者でもあります。Maiffret氏は数多くのセキュリティカンファレンスで登壇し、国家安全保障に関する事項について米議会で証言した経験もあります。起業家としては、脆弱性管理、Webアプリケーションファイアウォール、エンドポイントセキュリティ、ネットワークベースのマルウェア検知の分野における最初期の製品の設計・開発に携わりました。Maiffret氏は数多くの媒体に寄稿しており、複雑なセキュリティ関連のトピックを分かりやすく解説する識者として、メディアから頻繁に取材を受けています。
Field CTO, BeyondTrust
James Maude氏は、BeyondTrustのField Chief Technology Officer(FCTO)です。学術・産業の両分野にわたるセキュリティ研究での幅広い経験を持ち、この10年間、進化するセキュリティ環境における攻撃ベクトルや傾向を特定するため、サイバー脅威の分析に取り組んできました。セキュリティコミュニティの活動的な一員でもあり、セキュリティの分野で変化をもたらす人々に光を当てるポッドキャスト「Adventures of Alice and Bob」の司会を務めています。サイバーセキュリティに関する識者として、国際的なイベントで定期的に講演を行い、脅威や防御戦略について議論するウェビナーも主催しています。
Director, Cybersecurity Thought Leadership Program, BeyondTrust
Dennis Fisher氏は、BeyondTrustのサイバーセキュリティ・ソートリーダーシッププログラムのディレクターであり、アイデンティティセキュリティの脅威と防御についてユーザーを教育・啓発する同社の取り組みを主導しています。25年以上にわたりサイバーセキュリティを取材してきた受賞歴のあるジャーナリストで、eWeek、その後TechTargetでの活動を経て、先駆的なブランドジャーナリズムサイトThreatpostを共同設立しました。また、独立系サイバーセキュリティニュース・ポッドキャストプラットフォームであるDecipherの共同設立者兼編集者でもあります。
