W3AAWG、そしてJPAAWGとは
アプリケーションサービス部 担当部長 櫻庭秀次氏（写真左）
株式会社TwoFive 開発マネージャー 加瀬正樹氏（写真右）
――まずは、M3AAWGとJPAAWGについて教えてください。
櫻庭氏：M3AAWGは「Messaging, Malware and Mobile Anti-Abuse Working Group」の略で、2004年にメッセージングにおける脅威に対し、対策技術の推進と情報共有を行う組織として設立されました。ISPや通信事業者、ベンダーなどが参加しており、IIJも設立時からのメンバーとなっています。当時はメッセージングスパムやウイルスの問題が深刻になってきた時期で、それに対してSPFが規格化されるなど、新しい技術も台頭してきたタイミングでした。そのため設立当初は「MAAWG」と、「M」がひとつでした。
その後、2010年頃には問題が多様化して、メッセージングだけではいけないということになりました。そこで、モバイルとマルウェアも議論の対象に広げました。これで3つの「M」になったので、「M3AAWG」となったわけです。現在では設立から15年を迎え、参加組織も約200社になっています。設立当初はメンバーを増やすために、誰でも登録すれば参加できるオープンな組織でしたが、2～3年目からはクローズドな活動になったので、知名度はあまり高くありません。
M3AAWGは、グローバルとはいえ活動は北米と欧州が中心になっていまして、ジェネラルミーティングも2月はサンフランシスコ、6月はヨーロッパ、10月は東海岸と、ほぼ定着しています。
日本でもやりましょうという働きかけはずいぶんしていたのですが、やはり北米や欧州の方が集まりやすい。それに、会場の予約を数年先まで押さえていることもあり、なかなか他の地域で開催するのは難しい状態でした。しかし、インターネットは全世界をつないでいますから、南米やアフリカ、アジアなどユーザーの増えている地域もフォローしていく必要が出てきました。
そこで、南米とカリビアン地域などのLACNOG、LACNICなどの人たちが集まって、「LAC-AAWG」を立ち上げました。これを受けて、日本でも立ち上げたらどうかという気運が高まり、M3AAWGからの後押しもあって、日本リージョンの「JPAAWG」が立ち上がりました。
加瀬氏：日本国内でも、もともと迷惑メール対策について議論するワーキンググループなどは存在していました。ただ、参加組織がやはり、ISPや通信事業者が多かったと思います。
一方でJPAAWGは、JPCERT/CCや一般企業、さらにはホスティング事業者やクラウドサービス提供会社なども参加して欲しいと思っています。そういった事業者もメールのセキュリティは注目しないといけません。より広い業界で議論や情報共有をすることで、日本国内で発生している問題を解決することが特徴のひとつとは言えると思います。
定員300名に対して、500名登録の大反響
櫻庭氏：日本では以前から、JEAG（Japan Email Anti‐abuse Group）や迷惑メール対策対応推進協議会、（一財）インターネット協会 迷惑メール対策委員会など、受け皿となる複数の組織がありました。このため2018年3月に、JPAAWG立ち上げのプレミーティングを開催した際にも非常に多くの参加者が集まってくださり、大きな手応えを感じました。
そこから準備を始めて11月に第1回のジェネラルミーティングを開催しました。これも予想以上に盛況でして、定員300名のところに500名の登録があり、実際の来場者は400名を超えていました。そこで今回は規模を拡大したわけです。
加瀬氏：JPAAWG自体は、国内特有の課題を解決する目的もあります。現在、それがうまく解決されていないのは、最新の技術やベストプラクティス、解決方法といった情報があまり浸透していないことが原因のひとつだと考えています。M3AAWGでは、それらの情報をドキュメント化してシェアするのですが、それを翻訳したり解説したりすることも、JPAAWGの役割のひとつになると思います。
櫻庭氏：JPAAWGもM3AAWGと同じように、メールだけでなくネットワークレイヤー、ちょっと上の部分ですね。DNSとか、ホスティングのところのウイルス、結構事案多いという風に聞いていますので、そういったところを取り上げて議論して。まあ、メールだけではないということですね、ターゲットは。
――現在、M3AAWGで特にトピックに上がっていることは何でしょう？
櫻庭氏：最近はメール以外のところが話題になっています。特に多いのはDDoS攻撃の自動対策、そしてDNSにおけるDoH（DNS over HTTPS）、DoT（DNS over TLS）といった新しい技術ですね。その技術に対しては誰も反対していないのですが、GoogleやCloudflareなどの特定の事業者にクエリの情報が集まるのはいいのかという議論はずっと続いています。
また、特に米国ではメールニュースやメールマガジンを自由に止めることができるのですが、それを認証した上で確実に届けるSenderというメール配信代行業者がいます。そこでの技術なども、送信イノベーション技術もからめて注目されています。あとは、企業がブランドをいかに守るかというところも議論の対象になっています。
加瀬氏：M3AAWGは年3回のジェネラルミーティングで、毎回メールのプロバイダーなどがその地域のセキュリティ対策、たとえばメールのなりすまし対策がどのようなチャレンジがあったのか、どう普及してどんな効果があったのかなどをパネルディスカッションで話します。
メールに直接的に関わらないところでは、IoTのセキュリティですね。M3AAWGには新しい課題を見つけるためのオープンラウンドテーブルというセッションがありますが、そこでもIoTのセキュリティが話題になり、次回は各国の有識者を集めてパネルディスカッションをしましょうという話になっています。
最新動向、事例、旬なネタ……豊富なプログラム構成
――日本で開催される第2回のジェネラルミーティングについて、見どころを教えてください。
櫻庭氏：プログラムについては、今後もアップデートが続きますが、イベントサイトで最新情報を確認していただけます。基本的にはモバイルとDDoS対策、アカウント管理やメールサーバの踏み台問題、ドメインハイジャックなど、今何が起きているか、その手口と対策といった内容が中心です。
また、今回もM3AAWGからスピーカーを招待しているほか、新しい試みとして、若手や専門外の方が参加できるトレーニングを提供します。これは裾野を広げたいという意味もあって、私たちがターゲットとしているメールやDNSに関して基礎からお話をしていきます。基礎を踏まえた上で、最新の送信ドメイン認証技術やDoH、DoTの話をセッションで展開します。
さらに、ホスティングも含めた不正対応ですね。悪い人は勝手に入ってきてオンラインでサインアップして使う。いろいろ対策はありますが防ぎようのない部分もあります。そこで、どう検知するか、起きた後に何をすべきかという議論は、共有化できる知見です。
もう一つの新しい試みとして、オープンラウンドテーブルがあります。これはM3AAWGでも行われているのですが、関心のあるテーマごとに自由に人が集まって、小グループを作って議論するという場です。解決しようとしているテーマが非常に多岐にわたるので、盛りだくさんです。
加瀬氏：マルチトラックのうち1トラックはトレーニングセッションにして、いろいろな講師の方を呼んで、なるべく初歩的なところから日本ではまだ知られていないことまで教えてもらいます。たとえば、メールのヘッダの勉強や、DNSを基礎から勉強する、あるいはCSIRTがどういったツールを使って調査をするのかといった専門的なところまでカバーしていきます。
それから、プログラムには3つのカテゴリをまんべんなく入れたいと思って作っています。その3つは、最新動向、事例の紹介、そして今起きている危機です。そのカテゴリに合わせてセッションを並べているイメージですね。いろいろな切り口のセッションがあるので、様々なものを持ち帰ってもらえると思います。
櫻庭氏：日本は特に、インフラを支えているエンジニアやオペレータが、あまり日の目を浴びていない、苦労されている割にはあまりリスペクトされていない印象があります。また、モバイルはモバイルで一般の事業者にはわからない固有の問題を抱えていたりします。
そういった方々にぜひ集まっていただいて、お互いをリスペクトしつつ、理解しつつ、共通の問題は一緒に解決していく。そういった場を作って舵を切っていくことで、インターネットの世界もうまく回る気がします。夢みたいな話ですが、そういう場にもしていきたいですね。
――来場者へのメッセージをお願いします。
櫻庭氏：日本のエンジニアがグローバルのエキスパートと話をする、あるいは議論するという機会は少ない気がします。実際にそういう機会があっても、そこで得た情報をきちんと自社などにフィードバックすることも難しいと思います。
ジェネラルミーティングでは、M3AAWGのグローバルの当事者が参加しますので、たとえばグローバルと日本の格差がもしあるとしたら、それを解消していく、自分たちも同じ悩みを抱えていたら共有して議論するのもいいでしょう。同時通訳も用意するので、英語が難しいという人も安心して来ていただけます。ぜひ気楽に来ていただいて、最先端の状況に触れて欲しいと思います。
加瀬氏：今回、併催する迷惑メール対策カンファレンスもそうなのですが、スポンサーがいてその製品を紹介するというカンファレンスも重要ですが、今回は迷惑メール対策カンファレンスと同じように、基本的にはジェネラルな話をメインにします。製品によらないニュートラルな知識を得るという意味では特徴があると思います。
一方で、スポンサーがランチセッションのような形で自社の製品を紹介する場も用意していますので、ビジネスでも活用できます。翌週の11月16～22日には、シンガポールでIETFという規格を考える会議がありますので、JPAAWGと合わせて出張する欧米企業も多いと思います。多くの人との出会いの場にもなるでしょう。海外の最新技術や最新動向だけでなく、トレーニングもあるので、いろいろなレベルの参加者にそれぞれ持ち帰られるものがあると思います。
セキュリティをグローバルスケールで議論を体現
――今後の取り組みについて教えてください。
櫻庭氏：まずはJPAAWGの認知を広げていくことが至上命題です。今回は2回目ですので、たくさんの方に集まっていただいて、次につながるような議論をして欲しいですね。まず問題を出して整理して、JPAAWGのメンバー中心に具体的な議論や検討が進めばいいと思っています。必要があればメンバーだけで集まる場も作っていきたい。
また、M3AAWGはアジアパシフィック地域での広がりを期待していると思います。そこの取り組みにもいずれ乗り出していきたいですね。これから人口や経済が一番伸びる地域なので、同じような問題が出てくる、あるいは既に起こっている。それをアジアの人たちと議論したり、対策できることがあれば広めていきたい。
その意味では、M3AAWGにとってJPAAWGがアジアで唯一の組織ですから、登録サイトの多言語化なども取り組まないといけません。日本に閉じた活動だけでなく、グローバルとつながった形のアクティビティを、私たちの成り立ちからM3AAWGの後押しができている背景もあるので、そういう特徴を出していきたいですね。今回のテーマも「セキュリティをグローバルスケールで議論する」というサブタイトルをつけたのも、そういう思いがあります。
加瀬氏：今回のセッションの中でも事例紹介は出てくると思うのですが、次回以降でそういった事例がどんどん増えていくように、私たちのいろいろな活動が、企業や組織、事業者のアクションにつながるようにしたいと思っています。今回も、ジェネラルミーティングを機に議論に入りたいという方が増えてくれるとうれしいですね。実際にディスカッションを経験する場にもなりますし、M3AAWGのように、いろいろな議論が今以上に活性化することを期待しています。
