連邦政府機関は、サイバーセキュリティデータの洪水に溺れかけています。セキュリティオペレーションセンターには毎日、数百万件ものログ、スキャナーのアラート、資産インベントリのフィードが流れ込んできます。しかし、生の静的なデータは、それだけでは実行可能な脅威インテリジェンスにはなりません。連邦政府のCISOたちを集めて「攻撃者が今日にでも悪用してミッションを危険にさらしかねない、最も重大な3つの弱点」を挙げてもらおうとしても、返ってくるのはコンプライアンス報告書の山でしかないでしょう。
このずれは、政府のリスク管理が抱える深刻な「速度の問題」を浮き彫りにしています。従来の脆弱性管理では、実際に悪用可能かどうかにかかわらず、共通脆弱性識別子(CVE)や高いCVSS(Common Vulnerability Scoring System)スコアを一律に緊急事態として扱ってきました。セキュリティチームが理論上の懸念事項の対処に何週間も費やす一方で、攻撃者は見過ごされた攻撃経路をわずか数時間で悪用してしまいます。CVSSスコアはあくまで静的な抽象値であり、その脆弱性が現時点で到達可能なのか、他の弱点と連鎖させられるのか、即座にミッションへ損害を与え得るのかを示すものではありません。
AIによって脆弱性の公開から実際の攻撃実行までの時間が急速に縮まる中、CISAによるBOD 26-04の発行は、長らく待たれていた方針転換だと言えます。この指令は、最前線の防御担当者がすでに肌で感じていたことを明文化したものです。すなわち、機関はもはや機械的な速度で動く攻撃者を相手に「90日パッチレース」で勝つことはできないという現実です。連邦政府のサイバー防衛は、受け身のスプレッドシート型パッチ管理から、悪用可能性・実際の脅威・ミッションリスクに基づくリアルタイムの優先順位付けへと移行する必要があります。
「脆弱」であることは「悪用可能」であることを意味しない
IT運用と軍事サイバー環境での30年のキャリアの中で、私は監査担当者に「その深刻度の高いCVEは誤検知です。脆弱なモジュールは稼働していませんし、すでに6通りの方法で緩和策を講じています」と説明した回数を数えきれません。
「脆弱である」ことと「悪用可能である」ことの間にあるこのギャップこそ、連邦政府のセキュリティチームが時間を浪費している元凶です。脆弱性スキャナーは、何千ページにも及ぶリストを吐き出します。チームは深刻度の高いものから順に取り組み、限られたエンジニアリング時間を「紫」の重大項目のパッチ適用に費やします。そして多くの場合、中・低深刻度の項目にたどり着く前に、時間も予算も尽きてしまうのです。
攻撃者は90日パッチサイクルになど従いません。設定ミスや脆弱な信頼関係、盗まれた認証情報が目的達成への近道になるのであれば、攻撃者は貴重なゼロデイエクスプロイトをわざわざ使うことはめったにありません。Freeport LNGの同僚であるTodd Beebe氏が指摘しているように、「認証情報は日常に潜むゼロデイ」なのです。攻撃者は、単にログインできるのであれば、わざわざハッキングしようとはしません。
防御側は静的な「王冠の宝石」システムの周りに何カ月もかけて要塞を築きますが、攻撃者は侵害した認証情報と深刻度の低い弱点を連鎖させることで、そうした対策を迂回してしまいます。CVEはあくまで話の一部にすぎません。設定ミスや、CVEとCVEの隙間に存在する戦術・技術・手順(TTP)も同じくらい重要です。私たちはこれまで、数千件の組織にまたがる数千通りの攻撃経路を検証してきましたが、その中には単一のCVEを一切利用せずに重大な被害へとつながったケースも多数含まれています。こうした攻撃経路を理解する唯一の方法は、攻撃者視点に立った防御です。予定通りに脆弱性チケットをクローズしたからといって、攻撃者を止められたことにはなりません。検証されていない前提こそが、組織をニュースの見出しに載せる原因となるのです。
サイバー版「マクナマラの誤謬」
連邦政府のリーダーたちは、現代版サイバー「マクナマラの誤謬」に陥る危険にさらされています。この言葉は、ベトナム戦争中に定量化可能な指標に頼りすぎたロバート・マクナマラ国防長官にちなんで名付けられたもので、適用済みパッチ数、クローズされたチケット数、平均CVSSスコアといった「数えやすいもの」だけを見て管理し、現場の実態を見落とすことを指します。
私自身、この教訓を専門部隊のIT・サイバーセキュリティ運用を率いていた際に身をもって学びました。私たちのチームはコンプライアンス上、完全に適合していました。DISA STIGのチェック項目はすべてクリアし、あらゆる監査に合格し、文書管理も申し分ありませんでした。ところが、レッドチームが私たちの環境を評価したところ、人・プロセス・技術のいずれの面でも組織は良好なパフォーマンスを示していたにもかかわらず、脅威アクターが即座に悪用できる問題が見つかったのです。
3カ月後に再訪して修正内容を検証してもらえないかと尋ねたところ、彼らは笑ってこう答えました。「無理ですね。そちらに予算はありませんし、私たちにもリソースがありません」。
この経験は、私の考え方を根本から変えました。コンプライアンスに適合する方が、実際にセキュアであることよりもはるかに容易なのです。
人間主導のペネトレーションテストには依然として価値がありますが、限定された範囲・一時点のみの評価では、今日の脅威の速度にはもはや太刀打ちできません。年に一度の手動テストが与えてくれるのは、わずか24時間分の安心感と、残り364日分の当て推量にすぎません。AIによって加速する環境では、報告書のインクが乾く前にすでに内容が陳腐化している可能性すらあります。
防御策が機能していることをリアルタイムで証明する
NIST SP 800-53 Rev. 5やNIST CSF 2.0から、連邦政府のゼロトラスト義務化、FedRAMP、継続的脅威エクスポージャー管理(CTEM)に至るまで、現代のフレームワーク開発全体を通じて、市場は静的な自己申告から検証・実証へと軸足を移しつつあります。
- コンプライアンス:管理策が存在し、文書化されているかを問う
- バリデーション(妥当性確認):その管理策が現実的な攻撃者の挙動を、今この瞬間に止められるかを問う
- ベリフィケーション(検証):是正措置によって、実際の運用環境で攻撃経路が排除されたかを問う
攻撃者を上回るスピードで動くためには、各機関は人間の専門知識を、自律型ペネトレーションテスト機能で補強する必要があります。これが高い保証水準を求められる公共部門の環境でも機能することは、すでに実証済みです。NSAの継続的自律型ペネトレーションテスト(CAPT)プログラムのもとでは、自律型テストがこれまでに223,833時間分の運用を記録し、822の防衛産業基盤(DIB)組織にまたがる370万台以上のエンドポイントを対象に、28,282件のペネトレーションテストを完了させています。
さらに重要な点として、このプログラムは是正対応を加速させ、34万労働時間以上を削減するとともに、少人数のセキュリティチームでも重大な検出項目の71%を30日以内に検証・クローズできるようにしました。これこそが、年次監査型の発想とリアルタイムの実運用防御との決定的な違いです。
連邦政府リーダーが取るべき3つの行動
連邦政府のリーダーは、脅威と同じ速度で動くために、次の3つのステップを踏むべきです。
- 悪用可能性と影響度からリスクを定義する。リスクとは、発生可能性と影響度の積です。しかし従来型の脆弱性管理は、発生可能性を理論上の推測で済ませ、悪用された場合の実際の影響を考慮に入れていません。是正対応は、ミッションに即座にリスクをもたらすことが検証済みの攻撃経路を優先すべきです。
- 継続的な検証へと移行する。軍隊では「信頼せよ、しかし検証せよ」と言われてきました。現代のサイバー防御においては、単に「検証せよ」です。各機関は、外部からの視点、侵害を前提とした視点、ID起点の視点、クラウドネイティブの視点など、複数の観点から、管理策・アーキテクチャ・ID権限を実運用環境で安全かつ継続的にテストしなければなりません。
- 「対応した」ことではなく「修正できた」ことを検証する。誰かがパッチを展開した、あるいは設定を変更したというだけでチケットをクローズすべきではありません。的を絞った再テストによって、悪用可能な攻撃経路が実際に消えたことを確認できて初めて、クローズすべきです。
Horizon3のFederal Operations担当ディレクターであるCorey Brunkow氏はこう述べています。「コンプライアンスは出発点であって、ゴールではありません。AIを活用した攻撃が当たり前になった新時代において、政府機関やサプライチェーンのパートナー企業は、文書化されたセキュリティ管理策を『効果のある』管理策と取り違える余裕はもうないのです」。防御策が攻撃者に耐えられるかどうかを知る唯一の方法は、実際に攻撃者役を送り込んでみることです。連邦政府のリーダーは地図を反転させ、自らのネットワークを敵の目線で見つめ直し、対戦相手に先んじて自らのセキュリティ態勢を継続的に検証していかなければなりません。
Horizon3が組織を支援できる方法について詳しくはこちら ——一時点のみのコンプライアンス確認から、継続的かつ自律的なペネトレーションテストへの移行を実現します。
翻訳元: https://cyberscoop.com/offense-driven-federal-cyber-defense/
