TA

BLEOFCONTE

NT

S

ジェフ・モス インタビュー… ………………………………………………………………… 3
Threat Scope… ………………………………………………………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2

マ シ ン に よ る 防 御 の 自 動 化、 国 家 に よ る ネ ッ ト 監 視 とプライバシー、アップル対ＦＢＩなど

イベント主催者が語る米国セキュリティ業界のトピック

Jeff
Jeff Moss
Moss a.k.aa.k.a Dark
Dark Tangent
Tangent

ジェフ・モス

インタビュー

米国ラスベガスで毎年夏に行われる BlckHat や DEFCON は、セキュリティ業界の動向を知る上で欠くことができないイベントだ。今年の DEFCON ではマシン同士が競い合う CTF である
DARPA Cyber Grand Challege が盛大に開催され、業界に防御の自動化という新たな潮流をもたらすこととなった。今回は DEFCON の主催者であり BlackHat の創設者でもあるダーク・タンジェントことジェフ・モス氏に、米国セキュリティ業界のトピックなどについて話を伺った。
●インタビュー = 笠原利香（Rika Kasahara）●写真＋構成 = 斉藤健一（Ken-ichi Saito）

3

セキュリティ自動化時代の幕開けを告げる CGC
笠原利香（以下）：今回の DEFCON で開催された CGC（Cyber Grand Challenge）※ 1 には、スケールの大きさやショーアップなどいろいろな面で驚きました。
ジェフ・モス（以下）：3 年間で 5500 万ドル（約55 億円）の予算が投じられていますからね。
競 技 中 に み ご と な 解 説 を し て い た の は、kenshoto（見性戸）の…
VISI ですね。元々別の人が解説を担当する予定だったのですが、トラブルがあって、VISI が急きょピンチヒッターで解説を担当することになったのです。
CGC はどのようなコンセプトで始まったので●ジェフ・モス（Jeff Moss）

しょうか。

DEFCON 主催者であり BlackHat の創設者。ダーク・タンジェント（Dark Tangent）のハンドルとしても知られている。長年にわたりハッカーコミュニティと政府機関との橋渡し役を務めており、DHS（米国国土安全保障省）諮問委員会のアドバイザー、CFR（米国外交問題評議会）のメンバーなどの任にも就いている。

DARPA のディレクターであるマイク・ウォーカー（Mike Walker）氏のプロジェクトです。彼は DARPA に在籍する前から DEFCON CTF の運営にも携わっていて、次世代の CTF についても考えていました。そして、DARPA のプロジェクトマネー

半分本気のネーミングなのです。

ジャー就任を期に、防御の自動化を目指した CGCなるほど。

に着手しました。DARPA のプロジェクトマネー
ジャーの任期は 3 年で、この間に自分のビジョンつけ加えると、CGC で優勝した Mayhem は、を実現するのです。前任のピーター・ザッコ（Peiter

従来の DEFCON CTF 決勝戦にマシン単体で出場しZatko）氏も同様ですね。彼はサイバー・セキュています。また、3 位の Shellphish は、マシン＋リティの分野の優れた研究に対して、少額ではあ人間というチーム構成で出場しています。マシンるけれど、スピーディに予算を交付するプロジェだけでどこまで戦えるか、マシン＋人間ではどうクトを立ちあげました。なのか、今回の DEFCON CTF はいろいろな意味でDEFCON 24 のテーマは “Rise of The Machines

興味深いと思います（編注：2016 年 9 月 1 日時（マシンの台頭）” です。これは映画「ターミネー

点で全チームの順位は公表されていませんが、競ター 3」のサブタイトルでもあるのですが、どう

技 2 日目を終えた時点で Meyhem が 15 チーム中いう意味が込めらているのですか。

15 位、Shellphish が 12 位）。

背景には CGC の開催がありますが、セキュリ

確かにおっしゃるとおりですね。IT 業界のキー

ティ業界において、マシンによる自動化という新ワードの 1 つに “AI（人工知能）” があります。したな時代の幕開けになるのではないかと考えたか

かし、AI の飛躍的な進歩は人類にとって危険ではらです。攻撃者がマシンを使えば敵になりますし、ないかという批判の声もあります。この点に関し防御に使えば味方にもなってくれます。もちろん、て何か意見はありますか。
CGC では AI ではなく “CRS（Cyber Reasoning System：

ターミネーターも意識はしていて、半分ジョーク・※ 1 競技の模様は YouTube で視聴可能

https://www.youtube.com/watch?v=n0kn4mDXY6I

4

CGC 会場には各チームごとにカラーリングされたマシンがずらりと並ぶCGC 閉会式での一幕。上位 3 チームのメンバーが壇上に立つ。後ろのスクリーンにはコメントする DARPA プロジェクトマネージャーであるマイク・ウォーカー氏の姿が映し出されるサイバー推測システム）” という言葉を使っています。

ハッカーがクリントン候補を支援 !?

攻撃の検知、脆弱性の発見からパッチ作成や適用といった一連の流れには 16 ～ 18 のステップがあると言われています。CGC 以前にも CRS は存在していま11 月の大統領選を前に、民主党のヒラリー・した。ただし、これらのステップを部分的に自動化クリントン候補を支援する “Hackers for Hillary” とするに留まっていたのです。CGC の画期的なところいう基金にあなたが協力したという記事を目にしは、すべてのステップを自動化した CRS を作り出しました※ 2。これについて話を聞かせていただけまたところにあると思います。

すか。

※ 2 Hackers for Hillary: event attendance 'through the roof' after Trump remarks
https://www.theguardian.com/technology/2016/aug/04/hackers-for-hillary-attendance-black-hat-conference-trump

5

“Hackers for Hillary” という名前については誰がているのです。

付けたのかはわかりません。友人の中にクリント確かに。

ン候補を支援する基金を作りたいという人物がい国家などによる監視とはすこし話はずれますて、協力したといっても、会合での講演を依頼さが、こういった企業のマーケティング戦略により、れたというものです。私としては、基金の会員だ

ユーザーがネットから受け取っている情報は操作けでなく誰もが聴講できることを条件に承諾しまされたものであると言えます。

した。2 時間の講演のうち最初の 1 時間は会員限なるほど。ユーザー自身は自分の好みで選んだ定で、後半の 1 時間は聴講自由という形で行われ情報だと思っていても、実は企業の影響を受けてたのです。

いる可能性があるということですね。
そのとおりです。現在のサイバー空間では、一セキュリティ業界の人たちが政治に関心を持つ

人ひとりのユーザーが読んでいるニュース、見てことはこれまであったのですか。
ネット上でのプライバシーを守ろうとする人たいる広告、さらには聴いている音楽でさえ、企業ちの間では政治の話題が取り上げられることはあによってカスタマイズされたものとなり、経験すりましたが、セキュリティ業界では初のことだとる現実もユーザーによって異なっているのです。

思います。

例えるなら各ユーザーはシステムによって作り出結果はどうだったのですか。

された透明な球体（バブル：泡）の中にいて、他主催者は当初、20 名～ 30 名が参加し 1 万ドルのユーザーとは仕切られた世界の中で暮らしているような状況なのです。

（約 100 万円）が集まればよいと考えていたようバブルとは言い得て妙ですね。

ですが、結果は 60 名ほどが参加し、約 3 万ドル（約今後、AI を活用したビッグデータ解析などが進300 万円）の支援金が集まったと聞いています。

めば、今よりはるかに効果的な広告戦略が登場す
ネット監視とプライバシーの未来るかもしれません。企業によるユーザー情報の収集は今後さらに加速していくに違いありません。

話は変わりますが、米国の PLAYBOY 誌（2016

そして、このとき政府が企業に対してユーザーの年 7/8 月号）に「デジタル世代の監視とプライバ個人情報の提供を求めたらどうなるでしょう。政シー」※ 3 という記事を寄稿されたと聞きました。

府は自ら国民の情報を集めなくても、企業が集め残念ながらその記事をオンラインで読むことがでたものを提供してもらえればよいのです。現在、きないので、記事の概要を簡単に教えていただけさまざまな企業がユーザーに対してフリーで使えませんか。

るサービスを提供していますが、将来的にこのよはい。オンラインの監視というと多くの人がうな状況になることを想定すると、本当のフリーNSA（米国家安全保障局）に目を向けますが、私とは何なのか、いま改めて考える必要があると思は少し別の見方をしています。現在、ユーザーのいます。

情報を最も集めているのは企業なのです。例えば、かなり現実味を帯びていますね。話を聞くと、スマートフォン・アプリでは、アプリがアドレス企業が収集した個人情報を政府が使うことに対し帳や GPS 情報などを取得することに OK しないとて規制を設けるべきだという意見も出てきそうでインストールできないものもあります。一方、現すが、これに対して何か意見はありますか。

実世界では、ショップ内の Wi-Fi に接続すれば、個人的には使い方によるのではないかと思いまユーザーの滞在時間、場合によっては売り場のどす。例としてユーザーの位置情報を記録するスマーの場所にいたかという情報までわかります。企業

トフォン・アプリで考えてみます。仮にどこかではあの手この手を使ってネットワークをマーケひき逃げ事件などが発生したとします。警察が広ティングや広告の場に有効活用できないかと考え域のスマートフォン・ユーザーの位置情報履歴に※ 3 Playboy Magazine Releases "The Freedom Issue"		

http://www.prnewswire.com/news-releases/playboy-magazine-releases-the-freedom-issue-300289874.html

6アクセスできるとしたら、事件発生の前後に現場Apple 対 FBI の争点とは ?

付近を通った目撃者を探すことに役立ち、事件解決につながるかもしれません。ただし、警察といえども行きすぎた情報利用には規制を課すべきで最後の質問です。今年米国では iPhone のロッしょう。また、悪意を持つ人間による利用も危険

ク解除をめぐり、Apple 社と FBI が対立し、一時です。例えば、水面下で提携を進める企業同士のは裁判所までを巻き込む闘争にまで発展しましトップ会談や潜入捜査を行う警察官などの場合、た。これについて何か意見はありますか。

位置情報の特定は死活問題だと言えます。ですか

難しい質問ですね。この対立を突き詰めて考えら、今後 4 ～ 5 年の間に政府は規制に関して何らると、2 つの争点があると思います。1 つは米国かの方向性を打ち出すべきだと考えています。

国内においてセキュアな製品を作る権利があるかなるほど。

どうかという点です。FBI は Apple 社に対して犯

スマートフォンのアプリでは他の問題も抱えて罪者が使用した iPhone のロック解除とバックドいます。米国にはコンピューター犯罪を取り締まアの設置を求めましたが、仮にこれが認められたる法律として CFAA（Computer Fraud and Abuseとしたら、セキュアな製品を作る権利がないといAct）があります。この法律が制定されたのはアうことになってしまいます。

ナログモデムを使ったダイヤルアップ接続が主流非常に興味深い視点ですね。

の 1980 年代です。この法律における不正アクセ

もう 1 つは、米国の憲法ではソフトウェアのスの判断基準は「同意」であり、ユーザーやネッコードは言論の自由として認められているというトワーク管理者の同意を得ない接続は「不正」と点です。FBI が Apple 社のソフトウェアに介入すされていたわけです。るということは、言論の自由の侵害とも言えるわ

懐かしい時代でした。

けです。ただ、実際のところ、FBI は第三者の協スマートフォンの SNS 連携アプリなどでは、力を得て iPhone のロック解除に成功し、訴えをユーザーの同意なしにさまざまなサービスに接続取り下げましたから、この 2 つの争点に関する裁していて、法律の基準にそぐわなくなっているの判所の判断は下されていません。

です。他にも一部の企業が CFAA を盾にセキュリソフトウェアのコードが言論の自由として認めティ研究者の調査を拒むケースが出てきているそられているというのは先進的であり、米国らしいうです。

と思います。

そうなると研究者は慎重にならざるを得ないで余談ですが、FBI と Apple 社の対立を別の視点すね。

からお話します。数学者や製品開発者からすると、そのとおりです。調査が困難になると、セキュ暗号はセキュアであるか否かという二者択一的なリティ業界の発展にも影響を与えかねません。カ

考えしかありません。しかし、FBI 関係者が求めナダにも同様の法律がありますが、調査などの結ている暗号は「セキュア」と「インセキュア」の果が公共の利益になると判断されれば例外として中間なのです（笑）。

認められます。米国もカナダを見習ってほしいと確かに。それでは議論がかみ合わないは当然で思います。

すね（笑）
。本日はさまざまな視点から興味深い話を伺うことができました。ありがとうございまおっしゃるとおりですね。

した。

7

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#22 米国大統領選を標的としたサイバー攻撃の可能性
文 = エル・ケンタロウ
グ手法を取り入れ、民意の変化や状況などを的確

セキュリティ専門家の多くがに把握したり、注力すべき地域の特定などを行っ米国大統領選へのサイバー脅威を懸念たりしたとされる。
また、ソーシャルメディア黎明期の 2008 年に米国大統領選挙は 11 月の本選を目前に控え選挙

大統領選に挑んだ当時のオバマ候補はソーシャル戦も本格化、共和・民主両党の競争も激化している。

メディアを巧みに使った草の根運動を展開。資金

そんな最中、本年 7 月後半から 8 月にかけて、民主調達力ではるかに勝るヒラリー・クリントン候補党に関連する情報漏えい事件が立て続けに起こってを破り、民主党の代表候補となった。本選でも同おり、政府機関・メディア・セキュリティ業界関係様にソーシャルメディアを駆使して国民の支持を者などから選挙そのものがハッキングされる可能性集め、大統領の座を射止めた。
同選挙では、米国統計学者のネイト・シルバーを危惧する声も聞こえ始めている。世界に大きな影氏にも注目が集まった。シルバー氏は、響力を持つといわれる米国大統領を決める選挙は、 （Nate Silver）
過去のデータや世論調査の分析から投票結果を予はたしてハッキング可能なのだろうか。
セキュリティ企業の Tripwire 社は、8 月初旬に測し、全米 50 州のうち 49 州でみごとに的中させた。

ラスベガスで開催された BlackHat USA 2016 におこの時から選挙戦におけるデータ分析がより重要いて「ハッカーが米国大統領選に影響を与える可視されるようになったことは言うまでもない。

能性」についてアンケート調査を行った。対象はこのように、米国大統領選はその時代ごとの最カンファレンス会場を訪れた 220 名のセキュリ先端の情報処理分析がさまざまな角度から使用さティ業界関係者。その結果、回答者の 63% が「可れてきた。

能性あり」と答えている。

大統領選を取り巻くサイバー脅威調査自体がセキュリティカンファレンスの会場で行われたという特殊性を差し引いても、大統領今回の大統領選では、本年 3 月に Anonymous選へのサイバー脅威の影響は無視できない状況でが共和党のトランプ候補を引き下ろすとしてあることは明らかと言えるだろう。
余談だが、BlackHat USA の直後に開催されたOpTrump を決行し、トランプ候補個人の電話番

DEFCON 24 では、サイバー攻撃による政府転覆の号をネット上で公開したがトランプ候補の選挙戦可能性を研究した講演も行われていた。への影響はほぼなかった。一方、本年 4 月ごろからはクリントン候補の民主党を標的とする情報

情報戦を制する者が大統領選を制する漏えい事件が連続して発生している。この漏えい事件の犯人像や背景に関してはさまざまな憶測がこれまでに行われた大統領選を振り返ってみる流れているが、この事態を重く見た民主党はサイと、現代的なマーケティング手法が選挙戦で有効

バーセキュリティに関する顧問会議を設立した。

に活用されたのは、民主党のクリントン氏が勝利

また、共和党は本選挙のマニフェストにおいて、した 1992 年の大統領選だと言われている。このサイバー空間がもたらす米国への危険性について時のクリントン陣営は当時最先端のマーケティン多岐にわたって触れており、米国政府として早急8にサイバー空間における姿勢を明確にする必要が情報機関もさまざまな攻撃主体が共和・民主党両あると主張している。

党を標的とした攻撃を展開していることを把握し今回の一連の事件を受けて、大統領本選自体へている。今後このような行為は激化する可能性がのサイバー攻撃の可能性についてセキュリティ業ある」との見解を示した。また、公聴会において界・メディア・政界などさまざまな方面から危惧同氏は、国家的な背景を持つ攻撃主体のみならず、する声が上がっている。

ハクティビスト（政治活動のためにハッキングを昨年、政治的サイバー攻撃の増加を予測したセ行うグループ）に加え、金銭目的の犯罪攻撃主体

キュリティ企業、Forcepoint 社のボブ・ハンスマンによる攻撃キャンペーンが展開されていることを（Bob Hansmann）氏は、さまざまな攻撃主体が米国把握しており、両陣営に対して公平に情報開示をの選挙キャンペーンを標的にする危険性を示唆して行っていることも明らかにした。

いる。政治的背景のみならず、多くの個人情報が集

このようにさまざまな脅威が大統領選を取り巻まる選挙関連組織は攻撃者にとって格好のターゲッいているが、サイバー攻撃によって選挙結果そのトである、と同氏は警鐘を鳴らしている。

ものがひっくり返される事態にはならないだろう

また、著名なセキュリティ研究家のブルース・と予測する向きもある。というのも、米国におけシュナイアー（Bruce Schneier）氏は、ハッカーる選挙は各地域で行われることから、システム全による大統領選関連の攻撃は民主主義そのものへ体を攻撃することは非現実的であり、一地域にの攻撃であり、米国政府は迅速な対応を求められ絞ったところで選挙結果全体への影響は低いと考る時期に来ていると指摘。シュナイアー氏を含めえられるからだ。

セキュリティ関係者の中には 11 月の投票時に電マギル（McGill）大学研究員のガブリエラ・コー

子投票システムそのものが標的となる可能性を示

ルマン（Gabriella Coleman）氏は、むしろ攻撃主唆している。

体は選挙プロセスそのものに疑問をもたらすことが目的であり、結果的に社会不安を煽ることが目

電子投票システムに関しては過去数年来、脆弱当ての可能性があると指摘している。

性が指摘されており、実際州によっては電子投票から従来の紙での投票に切り替えているところもいずれにしろ、世界が注目する米国大統領選が現れている。米国政府としても今回の大統領選を日々変わり続けるサイバー脅威によってどのよう取り巻くサイバー脅威に関する危険性を認識してに影響を受けるか、セキュリティ関係者のみならおり、連邦捜査局（FBI）と国土安全保障省（DHS）ず世界中が注目している状況下にあることは間違もいく度にわたり警告を発している。

いない。結果が出た後でもさまざまな脅威による選挙戦への影響が分析されることになるのは否め

米国国家情報長官（Director of National Intelligence）ないだろう。

のジェームス・クラッパー（James Clapper）氏は、超党派センターの公聴会において「われわれ政府●参考文献

Bruce I. Newman（1993）The Marketing of the President: Political Marketing as Campaign Strategy SAGE Publications●参考 URL
Timeline of Guccifer 2.0’s Democratic National Committee Hack.
https://m.reddit.com/r/dataisbeautiful/comments/4qmem6/timeline_of_guccifer_20s_democratic_national/
Hacking of DNC raises fears of cyber attack on US election
http://phys.org/news/2016-08-hacking-dnc-cyber-election.html
By November, Russian hackers could target voting machines
https://www.washingtonpost.com/posteverything/wp/2016/07/27/by-november-russian-hackers-could-target-voting-machines/
States ditch electronic voting machines
http://thehill.com/policy/cybersecurity/222470-states-ditch-electronic-voting-machines
Hackers target the campaigns of presidential contenders
http://securityaffairs.co/wordpress/47455/hacking/hackers-target-presidential-contenders.html

9

6 Modern Marketing Strategies From Barack Obama
http://time.com/20141/obama-on-between-two-ferns-zach-galifianakis/
Republican Platform 2016
https://prod-static-ngop-pbl.s3.amazonaws.com/media/documents/DRAFT_12_FINAL[1]-ben_1468872234.pdf
Could the U.S. election be hacked? It's not so unlikely
http://www.cbc.ca/news/world/pringle-election-hacking-1.3713911
Experts say cybercriminals are trying to manipulate the US election
http://www.cnbc.com/2016/08/11/most-cybersecurity-experts-say-criminals-are-trying-to-manipulate-the-election.html
5 Reasons Why Hackers Can’t Rig the U.S. Election
http://fortune.com/2016/08/09/voting-machines-hackers/

10