セキュリティ
Franklinプロジェクト、新たなセキュリティプロバイダーを迎え入れ、デジタルツインとAIを活用
DEF CONのハッカーたちは、米国の農村部の水道システムに無償のサイバー防御を提供する取り組みを拡大し、マネージド検知・対応（MDR）プロバイダー、デジタルツイン、AIエージェントを新たに組み込みました。
金曜日、この年次ハッカーカンファレンスにおいて、DEF CON FranklinとNational Rural Water Association（NRWA）は「Water Watch Center」と呼ばれる新プログラムを発表しました。このプログラムはまず、Defendify、Legato Security、L1 Secure、Rapid7、Sentinel Technologiesの5つのプロバイダーに資金を提供し、人口1万人未満の地域に給水する小規模な水道事業者が侵害を検知・軽減できるよう支援します。
これらのセキュリティプロバイダーは脅威情報を互いに交換し、全50州で小規模な上下水道事業者に技術支援と運用サポートを提供しているNRWAともその情報を共有します。
「私たちはこの2年間、ボランティアの専門家をこうした水道事業者のもとへ送り込み、現場で共に汗を流してきました。そこで気づいたのは、15万もの水道事業者が存在し、そのうち98%が小規模事業者である以上、サイバーセキュリティを届けるスケーラブルな仕組みがそもそも存在しないということです」と、Jake Braun氏はDEF CON会場での取材に対しThe Registerに語りました。
Braun氏は2024年、DEF CONでFranklinプロジェクトを共同で立ち上げ、同年には350人が自身の時間と技術を提供し水道施設のセキュリティ強化に協力することを申し出ました。
私たちはこの2年間、ボランティアの専門家をこうした水道事業者のもとへ送り込み、現場で共に汗を流してきました。そこで気づいたのは、15万もの水道事業者が存在し、そのうち98%が小規模事業者である以上、サイバーセキュリティを届けるスケーラブルな仕組みがそもそも存在しないということです
「私たちは何をすべきか手探りの状態でしたが、やがて小規模事業者向けのセキュリティ対策はすでに確立されていることに気づきました。それがMSSP（マネージドセキュリティサービスプロバイダー）です」とBraun氏は述べています。「であれば、それをそのままやればいいだけの話です」
同氏は新たなWater Watch Centerの構造をピラミッドになぞらえて説明しました。頂点にNRWAが位置し、その下でマネージド検知・対応プロバイダーのセンサーが各水道事業者のネットワーク全体にわたってセキュリティ上の脆弱性を探し、さらにその下でFranklinのボランティアたちが問題の修正や指示への対応にあたるという構成です。
「まず5社のMSSPからスタートし、最終的にはCISAの10地域に対応する形で10社にまで拡大する予定です」とBraun氏は語ります。「その下には、水道事業者とMSSPをつなぐ支援を行うボランティアがいます。つまり、単にアラートを送るだけではないのです。CISAやISACが発するアラートを受け取り、それを実際のサイバーセキュリティ対策として届けることができます。これまで欠けていたのはまさにその部分でした。全国規模でスケール可能なサイバーセキュリティの提供手段が存在しなかった。それを実現するのがこの取り組みです」
ここ数週間、イランのハッカーとみられる集団が数多くの水道システムを攻撃しており、そのほとんどは小規模な地域システムで、プログラマブルロジックコントローラー（PLC）がデフォルトまたは脆弱なパスワードのままインターネットに直接晒されていました。今回の攻撃者たちがこうしたデジタル妨害の計画・実行にAIを利用した形跡はありません。しかし、サイバーセキュリティおよび国家安全保障の専門家たちがBlack HatとDEF CONの会場周辺でThe Registerに語ったように、それも時間の問題に過ぎないとみられています。
DEF CON Franklinは、そうした事態への備えも進めています。
Water Watch Centerはまた、Vanderbilt大学とも提携し、DARPAのCyber Agents for Security Testing and Learning Environment（CASTLE）プログラムの研究成果を応用しています。この提携により、いくつかのWWC参加水道・下水道システム環境のデジタルツインが構築され、研究者たちはそのデジタル複製上でレッドチームとブルーチーム双方のエージェントを展開する予定です。
レッドチームの攻撃エージェントは水道システムへのハッキングを試み、ブルーチームの防御側による自動検知・対応能力を試します。最終的な目標は、米国全土の上下水道施設にAIベースの防御を展開することです。
「両者を何百万回も競わせることで、どうすればブルーチームが勝てるのかを解明し、その知見をもとにエージェントを訓練して、いずれは15万もの水道事業者に投入できるようにするのです」とBraun氏は述べています。
「サイバー人材はすでに50万人規模で不足しています。150万人もの新たな人材を魔法のように見つけ出せるというのは幻想に過ぎません。これから押し寄せてくるであろうAIによる攻撃に本当に対抗する手段は、これ以外にないのです」 ®
