明るい面としては、SolarWindsのサンバースト攻撃はサイバーセキュリティ分野を再び進化させるきっかけとなるだろう。

コラム私たちの文明にとって最大の脅威の一つは宇宙天気です。具体的には、太陽が地球に向けて膨大な量の宇宙放射線を放出し、世界中の衛星、電力網、そしてネットワークを機能停止させる能力が証明されています。

こうした状況において、SolarWindsの社名の選択は、恐ろしくも適切なものに思えます。Orionネットワーク監視プラットフォームを狙った、極めて悪質なハッキングであるSunburstによる被害の全容はまだ明らかになっていませんが、その規模は世界規模で、深く浸透し、最も価値の高い資産のみを標的としていました。数ヶ月にわたり、政府、軍、そして政府機関の内部ネットワークが侵害を受けました。

脅威の設計の質、使用された手法の範囲、そして被害者の性質から判断すると、これは国家による活動であり、その手口と能力はおそらくロシアによるものでしょう。現代のITインフラの構造だけでなく、それを開発・維持する人々の心理についても深い知識が明らかになりました。巧妙に難読化され、ステガノグラフィと幾重にも重なる迂回策が巧みに利用されています。サンバーストは、ハッカーとOPSEC研究者の間の軍拡競争に新たな火種をもたらすでしょう。

この攻撃で最も恐ろしい点は、SolarWindsの標準配布・更新システムの一部としてインストールされることで、いかにして自己増殖したかという点でしょう。これは非常に古い手口で、逸話的に言えば、1960年代のメインフレームは、企業に郵送された巧妙に偽造されたシステムパッチテープによって侵害されたという逸話があります。しかしもちろん、今日のITにおける自動化と迅速なパッチ適用の文化によって、この手口ははるかに強力になっています。

本稿執筆時点では、ハッキングの核心部分である侵害された.dllファイルが、SolarWindsのサーバー上で同社独自のソースコードを使って作成されたのか、それともトロイの木馬化されたバージョンが何らかの方法で署名されアップロードされたのかは不明です。多くの複雑なインフラ侵害と同様に、どちらが重要かはさほど重要ではなく、その答えが分かったところで攻撃の範囲や被害の程度を理解する上で大きな助けにはなりません。しかしながら、信頼という根本的な問題を浮き彫りにすることは確かです。

正規のコードやサービスに見えるものを提供している、侵害を受けたベンダーやサプライチェーンに対して、顧客が講じられる防御策はありません。チェックサムやハッシュは、参照が改ざんされていない場合にのみ機能します。署名付きコードは、信頼チェーンという概念の特殊なケースに過ぎません。オープンソースは、コミュニティの規模と関心の高さに応じて耐性が高まりますが、決して無敵ではありません。

サプライチェーン攻撃は、宿主の免疫系の一部を不活性化することで生き延びる内部寄生虫であるサナダムシのように、悪意のある攻撃者にとって非常に魅力的です。サナダムシの欠点は、適切な薬を一回投与するだけで防御機構の一部が破壊され、それ以上の防御機構が失われてしまうことです。サプライチェーン攻撃に一回で効果のある薬はあるのでしょうか？

顧客に提供するものが想定通りのものであることを確認するための、任意の複雑な内部チェックを作成することは可能です。DevOperaticテストスイートを備えたCI/CDパイプラインは、一般的に、ビルド、認証、デプロイされたコードを再テストしません。また、自動化と大量の更新がライブプッシュされるため、顧客ベースへの高帯域幅のチャネルが作成され、バージョン管理が困難になります。効率性は敵の手に渡れば武器になります。

しかし、すべてを継続的に再構築し、ライブファイルと照合する並列パイプラインを構築し、本番ネットワークから十分に分離し、ファイルのチェックインに第三者による監視ポリシーを適用すれば、外部からの攻撃に対して非常に耐性を高めることができます。完全に防御できるわけではありませんが、強力なチェック機能だけでなく、それ自体が強固に防御されたチェック機能を構築するという考え方です。並列処理なのでCI/CDの効率性に影響を与えず、自動化されているので構成でライブシステムを容易に追跡でき、全体としてリソースを過度に消費することはありません。

このアプローチは適切でしょうか？攻撃に対して堅牢でしょうか？SolarWindsビルドシステムのFTP認証情報がリポジトリに公開されるといった、Sunburstが便乗して作成されるきっかけとなったようなミスを検知できるでしょうか？そのようなミスが起きる企業は、より大きな問題を抱えているのでしょうか？ご自身の回答をお願いします。

しかし、自動化、継続的、配布、パッチ適用といったシステムの拡大が、今日の非常に動的で敵対的な情報セキュリティ環境において、新たなセキュリティ問題を引き起こすことはほぼ間違いありません。過去の戦争にどう立ち向かうかだけでなく、最初からレジリエンス（回復力）を考慮した設計が不可欠です。ベンダー内部と顧客コミュニティ全体における信頼と検証のチェーンをどのようにモデル化するか。摩擦のない継続的なデプロイメントへの移行と、継続的で摩擦のないセキュリティのバランスをどのように取るか。階層化と深化だけでなく、冗長性と自己チェック機能を備えたセキュリティをどのように構築するか。

データドリブンな文化として進化する中で、私たちは常に新たなセキュリティの考え方を進化させてきました。そして、それは大抵、私たちの文化がそうであるように、何らかの災害の後に起こります。サンバーストの最も素晴らしい点は、時が経てば明らかになるでしょうが、それが高度に進化した、甚大な影響をもたらす現実の災害であるという点です。私たち天使の側に立つ者は、この機会を捉えて自らを進化させなければなりません。®