AI時代に変わるPC調達の常識　価格・性能だけでなく「侵害後」をどう設計するか

AIの台頭　「検知」だけでは守れない時代に

　AIの普及により、脆弱性の調査やコード解析、標的にあわせたフィッシングメールの作成などを短時間で行えるようになった。サイバー攻撃は、人間には対応できない“マシンスピード”に変化していき、攻撃に必要な調査やコード作成のハードルが下がり、防御側の対応が追いつかない状況だ。

　特に課題となるのが未知の脆弱性を狙う「ゼロデイ攻撃」、修正パッチの適用が広がるまでの隙を突いた「ワンデイ攻撃」だ。攻撃者は、市販のソフトウェアやオープンソースソフトウェアのコードを分析し、脆弱性を探る。あるいは、修正前後のプログラムを比較し、どの欠陥が修正されたのかを推定して、攻撃コードの開発に結びつける場合もあるだろう。

　一方、企業では脆弱性の影響を受けるIT資産を特定し、業務への影響を確認した上で、パッチ適用の承認・配布を進める必要がある。その間に攻撃者は公開パッチの差分を解析し、修正内容を手掛かりに攻撃を試みる。つまり、パッチを全社展開するまでのタイムラグが攻撃者に悪用の機会を与えてしまう。

　近年のインシデントに共通する傾向として、木下和紀エドワルド氏は、正規の認証情報の悪用、管理ツールなど正規ソフトウェアの悪用、デジタル署名済みの要素を利用した防御回避を挙げた。これらは通常の業務操作と見分けにくく、挙動の検知を中心とする対策だけでは見落とすおそれがある。

　もし、侵入を見逃したまま攻撃が進行し、システムの暗号化・破壊に至ってしまえば、端末やサーバーを復旧させるだけでは事業を再開できない。安全性の確認や取引先との接続再開、監査、顧客・関係者への説明など、業務を通常の状態に戻すためには時間が必要だ。

　「本当に問うべきは、検知できなかった場合に何が起きるか、ということです」と木下氏。システムを復旧できるかだけではなく、検知をすり抜けた攻撃をどこまで封じ込め、事業への影響をどこまで抑えられるかを確認すべきだという。

　そこで、端末防御を「Detect（検知）」「Contain（封じ込め）」「Trust（信頼性の検証）」という、3つの観点でとらえることが大切だとする。建物の火災対策にたとえるならば、Detectは火災の発生を知らせる火災報知器、Containは火や煙の拡大を抑える防火扉、Trustは建物の基礎構造の健全性をたしかめる構造検査に相当するという。いずれも1つだけで十分なものではなく、うまく組み合わせることが重要だ。つまり、検知精度を高めるだけでなく、侵入後の被害を封じ込め、端末が信頼できる状態にあるかをOSよりも低いレイヤーで検証しなければならない。

OSよりも下層から「端末の信頼性」を担保する

　攻撃者が検知から逃れる手法を高度化させる中、標的はOSやアプリケーションだけでなく、BIOSやファームウェアにも及んでいる。そのリスクは端末の利用中に限らない。ハードウェアやファームウェアの開発・製造から物流まで、サプライチェーンの各段階でハードウェアやファームウェアが改ざんされる可能性がある。

　もし、利用者の手に渡る前にBIOSやファームウェアが改ざんされていれば、OS上で動くセキュリティ製品は、その改ざんされた状態を前提として動作することになる。OSよりも下層で起きた不正は、OS上の対策だけで十分に検証することが難しい。

　「OSやセキュリティ製品は、BIOSやファームウェア、ハードウェアが正しく動作していることを前提にしている。そこが改ざんされていれば、OS上で取得する情報や検知結果も信頼できなくなる。OSより下層の安全性を検証するためには、その仕組みが検証対象から独立している必要がある」（木下氏）

　そこで重要になるのが、OS上のソフトウェアとは独立したハードウェアに信頼の起点を置く「Root of Trust」の考え方だ。日本HPの実装例では、「HP Endpoint Security Controller（ESC）」が起動時にBIOSや重要なファームウェアの完全性を確認し、正当性を確認できないコードが実行されることを防ぐ。また、「HP Sure Start」という機能は、この仕組みを用いてBIOSや重要なファームウェアの改ざんを検知・復元するものだ。

　OS起動後に動作する対策だけでは、起動前のBIOSやファームウェアの改ざんを検証しにくい場合がある。HP Sure Startは、ESCを信頼の起点としてBIOSの完全性を検証し、改ざんや破損を検知した場合には、隔離された正常なコピーを使って自動的に復旧する。こうした仕組みが、端末を起点としたサイバーレジリエンスを支えるという。

　端末を調達する企業にとっても価格や性能だけでなく、製品の真正性や導入前後の完全性をどう確認するかが重要な検討項目になっている。