この記事はサイバーセキュリティ専門家のYuriy Tsibereによって執筆されました。
かつてサイバーセキュリティといえば、Love Bugのような迷惑なウイルスを止めることが主な目的でした。しかし現在は、巨大で金銭目的のサイバー犯罪産業と戦う時代です。攻撃はより賢く、速く、そして破壊的になっており、それがプロダクトチームのすべてを変えています。
プロダクトマネージャー（PM）にとっては、攻撃者が常に同じ弱点を突いてくることを理解する必要があります。たとえば、盗まれた管理者認証情報、VPNでの多要素認証（MFA）の未設定、リモート暗号化、Officeを使ってPowerShellを起動するなどの巧妙な「LOTL（Living off the Land）」手法などです。
パッチが当たっていないファイアウォールや、不正なUSBドライブのような単純なものでも、侵害の入り口となることがあります。
新たな脆弱性やゼロデイが常に現れており、プロダクトチームは常に警戒を怠れません。いくつかの例を挙げます：
- WannaCry（2017年）: SMBv1のEternalBlue脆弱性を利用してランサムウェアを高速で拡散。多くの企業がSMBv1を完全に無効化することを余儀なくされました。
- 一部のExchange Serverのバグ: 攻撃者が悪意のあるスクリプトを実行でき、場合によってはランサムウェア被害に繋がりました。
- Log4jの脆弱性: 人気のJavaログフレームワークにおける任意コード実行の脆弱性。古いファイアウォールやVPNで今も見つかっています。
- Follina（MSDT）: Officeアプリがユーザー操作なしでPowerShellを起動できる脆弱性。
タイムリーなパッチ適用は役立ちますが、それだけでは不十分です。脆弱性が発見されてから修正されるまでには常にギャップがあります。そのため、チームには多層防御と、インシデント発生時に即応できるマインドセットが必要です。
侵害レポートがリアルタイムのプロダクト変更を促す仕組み
100日で環境を守るThreatLockerのウェビナーシリーズは、インシデント駆動開発の好例です。セキュリティリーダーが最初の数ヶ月で最も重要なことに集中できるよう支援します。
実際の侵害は、新しいプロダクト機能やポリシー変更に直結することがよくあります。具体的には：
- ロックされていない端末: 攻撃者が開いたままの病院のPCにアクセスし、PowerShellを実行した事例があります。現在ではパスワード保護付きスクリーンセーバーが必須となりました。
- USBによるデータ窃取: USBドライブは依然としてデータ窃取の定番手段です。現在の製品は、暗号化されていないドライブのブロック、ファイル種別の制限、コピーできるファイル数の上限設定など、きめ細かなUSB制御を提供しています。
- ラテラルムーブメント: ランサムウェアは古い管理者アカウントを利用して拡散することが多いです。ツールはこれらのアカウントを検出し、レビュー後に削除できるようになりました。
- LOTL攻撃: Follinaは正規ツールが悪用される例を示しました。Ringfencing™はアプリが不正な動作を起こすのを防ぎます。
- アウトバウンドトラフィックの悪用: SolarWindsのような攻撃ではアウトバウンド接続が使われました。現在ではサーバートラフィックのデフォルト拒否ポリシーが標準になりつつあります。
- 認証情報の窃取: クラウドアカウント、リモートアクセス、ドメインコントローラーにはMFAが必須です。
- 脆弱なVPN: パッチ未適用のVPNは大きなリスクです。現在はIPベースのアクセス制御や、未使用VPNの無効化機能が追加されています。
PMの対応：アドバイザリから実用的な機能へ
サイバーセキュリティPMにとって、脅威への対応は単なるアドバイザリの執筆にとどまりません。よりスマートで安全な製品を作ることが求められます。具体的には：
- 全体の可視化を得る
まず、自分たちの環境で何が動いているかを把握します。監視エージェントを使い、ファイル操作、権限変更、アプリ起動、ネットワークトラフィックを追跡します。 - リスクの優先順位付け
全体像が見えたら、PMはリスクの高いツールや行動に集中できます：- TeamViewerやAnyDeskなどのリモートアクセスツール
- 過剰な権限を持つソフトウェア（例：7-Zip、Nmap）
- リスクの高いブラウザ拡張機能
- ハイリスク地域発のソフトウェア
- 適応型ポリシーの策定推進
セキュリティポリシーは脅威の状況に応じて進化すべきです：- まずテスト：新しいルールを強制する前に、モニター専用モードやテストグループで検証します。
- 精密に：単なるオン/オフではなく、動的ACL、Ringfencing、アプリごとの管理者権限などを活用します。
- 混乱を最小限にして導入を促進
- 事前承認済みアプリのストアを用意
- 新しいソフトウェアの申請を簡単に
- 制限の理由を説明—信頼構築につながります
- 継続的な改善と監視：
- ヘルスレポートで設定ミスを発見
- 閾値超過時はUSBファイルコピーをブロック
- 古いポリシーや未使用アプリの定期的な整理
- パッチ管理の徹底
OSからPuTTYのようなポータブルアプリまで、すべて最新状態に保ちます。パッチ未適用箇所を検出し、パイロットユーザーでテストしてから本格展開します。 - バックアップの保護
バックアップは侵害から守らなければなりません。アクセスできるアプリの制限や、バックアップサービスへのMFA必須化などが含まれます。PMは定期的にバックアップのテストも行い、復旧準備ができているか確認しましょう。
サイバーセキュリティPMは、現実世界の脅威に対して現実的な防御策を最前線で活用しています。
常に情報を収集し、適切なデータを集め、ユーザーを意識して構築することで、チームの負担を増やすことなくリスクを低減できます。
ThreatLockerによるスポンサー記事・執筆。