NCSC、ネットワーク機器ベンダーに「フォレンジック可観測性」の実装を要請

英国を代表するサイバーセキュリティ機関が、侵害発生後にインシデント対応チームが証拠を収集しやすくすることで支援するよう、機器メーカーに対して呼びかけました。

国家サイバーセキュリティセンター(NCSC)でネットワーキング・インフラ担当テクニカルディレクターを務めるChris A氏は、7月29日付のブログ投稿の中で、ファイアウォールやVPNゲートウェイをはじめとするネットワーク機器が攻撃者の標的として狙われるケースが増えていると説明しています。 

「インシデントが発生した際、組織は何が起きたのかを把握し、当該デバイスが依然として信頼できるかどうかを評価するための信頼できる手段を必要としています。フォレンジック可観測性が重要になるのはそのためです」と同氏は述べています。

「これにより防御側は、リバースエンジニアリングや専門的な脆弱性リサーチに頼るのではなく――現状では依然としてそうしたケースが多いのですが――製品に組み込まれたサポート済みの機能を使って侵害を調査できるようになります」

関連記事: Google、高リスクユーザー向けにAndroidスパイウェア・フォレンジックツールを公開

NCSCの定義によると、フォレンジック可観測性とは、テレメトリ、ログ、構成状態を提供し、メモリおよび保存データからフォレンジックデータを収集できる能力を指します。さらに、バージョン情報あるいはソフトウェア部品表(SBOM)を通じて、デバイス上で稼働しているソフトウェアの透明性を確保することも求められます。

しかし、多くの機器メーカーはこの点で不十分だとChris A氏は指摘します。「ちょっとした設計上の判断が、インシデントのトリアージと調査に要する時間を大幅に短縮できる」にもかかわらず、それができていないというのです。

「侵害されたデバイスを調査するにあたって、製品自体の脆弱性を発見したり悪用したりする必要があってはなりません。メーカーは、インシデントの調査、影響の評価、そして影響を受けたシステムの信頼回復に必要な証拠を収集するための、サポートされた仕組みを提供すべきです」

可観測性に関する3つの誤解を解く

Chris A氏は、可観測性とはインシデント発生後に防御側が本来の役割を適切に果たせるようにすることだと説明しています。しかし、この分野については依然として誤解が存在しており、それがメーカーによる必要な設計改善の足かせになっている可能性があると同氏は付け加えています。

その誤解とは、以下の3点です。

• 可観測性は攻撃者を利する: 実際には、テレメトリを公開しても悪用の機会が増えるわけではありません。構造化ログ、認証済みの収集メカニズム、明確に定義されたフォレンジックインターフェースといった設計の行き届いた機能は、セキュリティを損なうどころかむしろ強化すると、NCSCは述べています
• 顧客が否定的に反応する: 明確なテレメトリとフォレンジック機能はむしろ可視性の向上を通じて信頼を築くことができると、同機関は主張しています
• 実現があまりに困難: 「入念な設計」が必要ではあるものの、フォレンジック可観測性は十分に実現可能であり、特に設計プロセスの早い段階で優先すべき事項として位置づければなおさらだと、NCSCは述べています

Chris A氏は、2025年2月に公開された、製品にフォレンジック可観測性を組み込むためのNCSCガイダンスに従うようベンダーに呼びかけています。また、ITバイヤーに対しても、こうした機能を提供するようベンダーに働きかけるよう促しています。

それと並行して、NCSCはネットワーク機器などの類似デバイスにおけるフォレンジック可観測性のためのリファレンスアーキテクチャを策定すべく、世界各国のパートナーと協力を進めています。

これが最終的に完成すれば、メーカーは製品のセキュリティを損なうことなく「安全で信頼できるフォレンジックアクセス」を提供できるようになるはずです。