ワシントン発 — 人工知能の進歩があっても、単純なサイバーセキュリティの不備が最も重大な結果を招くという事実は変わらない。政府・業界のリーダーたちが火曜日、そう警告しました。
「今後18カ月の攻撃を防ぐものは、昨日までの攻撃を防いできたものと同じです」。FBIサイバー部門の副部長補佐であるJason Bilnoski氏は、ここBillington Cybersecurity Summitでのパネルディスカッションでそう語りました。
ID管理、境界監視、サイバー衛生、そして強固な多要素認証といった基本的な取り組みは、依然として不可欠だとBilnoski氏は述べています。
「AIの活用によって速度と能力は確実に向上していますが、最終的な結果は変わりません」と同氏は語ります。「攻撃者がどのように侵害するかは、犯罪者集団であれ国家主体であれ、依然として同じです」
FBIは最近、「Operation Winter Shield」キャンペーンの一環として、組織に対して基本的なセキュリティ上の不備を修正するよう呼びかけました。「組織によっては、これらを実践するのが難しい場合もあります」とBilnoski氏は聴衆に語りましたが、「上位10個の対策を徹底できれば、犯罪者集団・国家主体いずれによる標的化のリスクも確実に減らせるでしょう」と付け加えました。
ファイブ・アイズ諜報同盟の他の加盟国の高官たちも、別のセッションでBilnoski氏の指摘に同調しました。
「自組織の資産を把握すること、レガシー技術を排除すること、パッチ適用サイクルを速めて脆弱性にできる限り迅速に対応すること——これらはすべて、相手が誰であろうと有効です」。ニュージーランド国家サイバーセキュリティセンターのトップ、Catriona Robinson氏はそう語りました。
英国国家サイバーセキュリティセンター(NCSC)の最高責任者Richard Horne氏は、「AIがしていることは、基本に取り組んでこなかった組織にスポットライトを当てることです」と付け加えました。
NSAサイバーセキュリティ局のディレクター、David Imbordino氏も同様の指摘をしました。
「基本はもはや退屈なものではありません」と同氏は述べ、「AIも基本を出し抜くことはできません」と語りました。
環境を理解すること
企業が攻撃者に先んじる最善の方法の一つは、自社ネットワーク上に何があるかを把握することだと、Billingtonでの議論では登壇者たちが語りました。
サイバーセキュリティベンダーArmis Federalで連邦民間部門担当の戦略ディレクターを務めるMatthew Shallbetter氏は、組織が問うべき質問として、「自社ネットワーク上のデバイスはどこにあるのか？どこから来たものか？サプライチェーンを把握しているか?」といった点を挙げました。
企業は、従業員が信頼できない技術を導入することで、深刻なサプライチェーンのセキュリティリスクにネットワークをさらしてしまわないよう注意すべきだと同氏は指摘します。「望ましくないベンダーのカメラが設置されてしまうこともあり得ます」と同氏は述べました。
「自社が何を保有しているかを把握しなければなりません」とShallbetter氏は付け加えます。「それらがどのように相互接続されているかも把握する必要があります」
これは自社ネットワークを守るためだけでなく、攻撃がベンダーやサプライヤーに波及するのを防ぐためにも重要だと同氏は述べます。「インターネットの自分の持ち場をきちんと管理できることが、インターネット全体の安全性を確保するうえで極めて重要です」
ネットワークマッピングは、「それらのシステムが侵害された場合に何がリスクにさらされるのか、そして攻撃者が環境内に侵入した際に何ができるのか」を企業が理解する助けになると、Bilnoski氏は語りました。
「もちろん、誰が自社を標的にし得るかに注目することも重要です」と同氏は付け加え、FBIが捜査において攻撃の帰属特定を優先していることを認めました。しかしそれ以上に重要なのは、「攻撃者が侵入した際の意図を理解すること」だと同氏は述べています。
AIの実際の影響
Billingtonでの議論は、各組織がAIをどれほど深刻に懸念すべきか、そして防御戦略としてどの程度までAIを採用すべきかを模索する中で行われました。
登壇者の多くは、現在のAIブームに気を取られて、サイバー衛生という基本をおろそかにしないよう企業に助言しました。
「迅速に、しかし性急にならないことです」とニュージーランドのRobinson氏は語ります。「魅力的な新しいツールに飛びつきたくなる衝動に流されないでください」
その一方で、ファイブ・アイズの複数の当局者は、AIがサイバー防御のあり方そのものを変えつつあると認めました。
「AIによって、膨大な量やノイズをかき分けて、シグナルにより速くたどり着けるようになります」とImbordino氏は語ります。「分析の未来とは、AIが多岐にわたる情報を照合し、人間がより迅速に行動に移せる知見を導き出すことです」
別のセッションでImbordino氏は、AIが「防御にとってのゲームチェンジャーになる」と予測しました。
カナダ・サイバーセキュリティセンターのトップ、Rajiv Gupta氏は、AIが人間のサイバーセキュリティ業務を強化し、「10倍、20倍、100倍という規模の改善」をもたらしていると述べました。
その一方で、高度な脅威アクターでさえ、この技術からはささやかな恩恵しか得られていません。
Cisco傘下Talos Labsで国家関与型脅威の追跡を統括するDavid Liebenberg氏は、国家の支援を受けた集団が、長年行ってきたソーシャルエンジニアリング攻撃をAIによって劇的に高度化させている事例を目にしてきたと語りました。
「ほんの数年前まで、国家支援を受けた集団がフォーチュン500企業や防衛関連企業の面接を取り付けるどころか、AI生成の動画を使ってその面接を見事に突破し、実際にポジションを獲得するなど考えられないことでした」とLiebenberg氏は語ります。「攻撃のライフサイクルのあらゆる段階でそうした動きが見られており、今後18カ月でさらに激化するとしか思えません」
翻訳元: https://www.cybersecuritydive.com/news/ai-cybersecurity-basics-billington/829777/
