挑 戦 す る
研 究 開 発 者 た ち

西野卓也
NTT コミュニケーションズ
イノベーションセンター テクノロジー部門
Metemcyber PJ

イノベーションは社会を面白くすることでなくてはならない

社会や産業の DX（デジタルトランスフォーメーション）が加速する現代，サプライチェーンを介して不正なソフトウェアが混入する，サプライチェーンセキュリティリスクが顕在化しています．NTT
コミュニケーションズ イノベーションセンター テクノロジー部門の西野卓也氏に研究開発の概要と開発の背景，そして，研究開発者としての姿勢を伺いました．

脅威インテリジェンス流通基盤「Metemcyber」プロジェクトを担う
現在，手掛けている研究開発の概要をお聞かせいただけますか．

基盤です（図 ₁ ）．ブロックチェーン上で CTI を流通させることで，可観測性が高い CTI の流通をめざすとともに，これまで暗黙知であったインテリジェンス活用状況の可視化を行います．

「Metemcyber」プロジェクトで，サイバー攻撃をはじまた，「Metemcyber」では，CTI の共有（売買）をブめとするサイバーセキュリティ上の脅威に関する情報を取ロックチェーン上でまとめて管理することで，①インテリり扱っています．それらを集約して使いやすく加工した，ジェンスに基づく活動の横断的な参照，②セキュリティ対脅威インテリジェンスの運用や活用に関する研究開発が私

応に関する気付きの共有，③より金銭的な価値の高いたちのミッションです．「Metemcyber」は，良質な CTIActionable な脅威インテリジェンスの生産，といった特（Cyber Threat Intelligence：脅威情報）をブロック徴を実現しています．

チェーン上で流通させるための脅威インテリジェンス流通

さて，私たちはサイバー攻撃を観測する業務に従事して2023.6

2₅

挑 戦 す る 研 究 開 発 者 た ち「誰でも自由に参加できる」について，限られた人間だ
けが参加できるプラットフォームは，特定の参加メンバーを攻撃することで活動の妨害が可能です．誰もが自由に参加できるオープンなコミュニティであることは，妨害のコいたのですが，サイバー攻撃の分析には，観測できる範囲ストを上げるシンプルな方法であり，攻撃行為への抑止力にとどまらない情報が必要になります．サイバー攻撃の発にもつながります．また，匿名性も重要です．サイバー攻見，事例等をはじめとするサイバーセキュリティ情報の収撃の情報を提供する行為は，それに対する報復と背中合わ集を行い，第三者から提供された情報を分析に活用していせであり，情報の提供者や受領者に対するプライバシ保護ました．このサイバーセキュリティ情報の提供はボランティが必要になる場合もあります．ユーザが安心してサービスアベース，無償で展開されていることも少なくありません．

を利用するためには，これらの仕組みを提供する必要があ

攻撃者が利益を得ている一方で，その攻撃から守ろうと情ります．

報提供している人たちが無償で働いていることに，私たち「不健全にみえる通貨に依存しないこと」について，米は疑問を感じていました．そこで，有益な情報に対して金国や中国のようにサイバー攻撃の発信源として知られてい銭的なフィードバックをすることで，情報の流通をより活る国の通貨を利用すると，サイバー防御への投資が国家間性化させるとともに情報の質を高めることができるのではの経済活動として不健全にみえてしまう場合があります．

ないかと考え，そのためのプラットフォーム「Metemcyber」

私たちは，国家の関係に依存しない決済手段を模索した結のプロジェクトを立ち上げました．

果，仮想通貨による支払い方法に気付きました．これは一「Metemcyber」は社会課題に呼応し，かかわる人たちにとって「三方良し」の環境をつくり出したのですね．

長一短ある決断だと思いますが，情報提供のコントロールを特定の国に依存させないことで，地政学的なリスクを取り除くことができます．

私たちは「Metemcyber」を構築するにあたり， 3 つ最後の「トレーサビリティの確保」については，情報提の条件を設けました．まず，誰でも自由に参加できること．

供者を安心させるために重要な仕組みだと考えています．

次に不健全にみえる通貨に依存しないこと．最後にトレー

例えば，情報提供者が脆弱性を企業に報告しても，企業のサビリティの確保です．

担当者が最優先で対処できないことがあります．最悪の場

図1

Metemcyberアーキテクチャ

グループ会社への脅威情報共有 など

MISPによるIOC管理

プロダクトA

CTIマーケットプレイス(Web3)

脅威識別のUUIDを統一することで情報連携を実施

プロダクトB

脅威影響を横断で分析

脅威のサービス影響を抑制
脅威を制御するアクションの配布

SBOM単位で脅威の分析と対処を実施

社内チャットログから脅威影響を分析
プロダクトC

1© NTT Communications Corporation All Rights Reserved.

図₁2₆2023.6

Metemcyber アーキテクチャ

図2

SBOMを利用したインテリジェンス活用サービス
脅威の発見＆対処状況の管理

サービスの脆弱性検知@mui/material
npm packages...

フロントエンド

redux

脆弱性あり

react

fastapi
Webサービスのイメージ図

pipy packagesc
バックエンド...
SQLAlchemy
uvicorn

SBOM分析
結果を登録

アタックサーフェスマネジメントツール
Threatconnectome© NTT Communications Corporation All Rights Reserved.

図2

SBOM を利用したインテリジェンス活用サービス

2合は放置され，情報提供者との関係性が悪化した結果，大く活用できていない」という現実でした．このように，イきなインシデントが発生した事例もあります．この問題をンテリジェンスを共有するプラットフォームを提供しても，回避するため，情報提供者や受領者だけでなく，脆弱性対活用できていないのであれば，それをサポートする必要が応をサポートするコーディネータの活動も含めた可視化があります．ユーザインタビューを分析した結果，企業は自必要になります．これはあくまで脆弱性対応の例ですが，分たちが扱うソフトウェアの問題個所を，正確に把握でき脅威インテリジェンスの運用も同様の配慮が必要になりまていないことに気付きました．そこで私たちは，SBOMす．関係者が誠実に対応している状況を，プライバシ保護（Software Bill Of Materials）を利用したインテリジェの仕組みと矛盾せずに確認できることが必要でした．

ンス活用サービスの開発をスタートしました（図 ₂ ）．

これらを実現する技術がブロックチェーン技術です．私SBOM は「ソフトウェア部品表」と呼ばれるもので，一は過去にブロックチェーン技術を手掛けていたこともあり，般的には特定のソフトウェアに含まれるコンポーネントの2020年にブロックチェーン技術を利用した脅威インテリジェ依存関係を記述するために利用されます．

ンス流通基盤である「Metemcyber」を開発し，プロジェさて，SolarWinds 製品への攻撃，Codecov のセキュクトのリーダーとして活動を開始しました．同じ年にはリティインシデントといった事例を皮切りに，2021年ごろ

Ethereum in the Enterprise‐Asia Pacific 2020におからサプライチェーンを狙ったサイバー攻撃の危険性が本いて事例を発表し，実証実験を開始しました．

格 的 に 認 識 さ れ る よ う に な っ て き ま し た． さ ら に，Typosquatting はもちろん，Dependency Confusion「明らかになったインテリジェンスをうまく活用できていない」という現実実証実験は順調に運びましたか．その成果を教えていただけますでしょうか．と呼ばれる新たなサプライチェーン侵害のテクニックも報告されています．このようにソフトウェアサプライチェーンのセキュリティに注目が集まる中，SBOM の重要性は上がり続けており，2022年 ₉ 月には米国政府機関のソフトウェア調達に SBOM の内容が盛り込まれる事態に至りま

実証実験においてアンケート調査やハンズオンを実施すした．世界が SBOM の重要性を受け入れていく一方で，る中で明らかになったのは，企業の多くがインテリジェン

これまで技術者や企業は SBOM を開発のライフサイクルスを必要だと実感していながら「インテリジェンスをうまに取り入れてきませんでした．それは，ソフトウェアは複2023.62₇

挑 戦 す る 研 究 開 発 者 た ちる意味があるのか」という 2 点は，これまで議論されておらず，その意味で既存の脆弱性管理システムに対するSBOM のメリットやデメリットを確認する素晴らしい試金石になりました．
雑に組み上げられており，分解しても車の部品のように規

また，SBOM を利用する立場についても考える必要が格化されたモジュールとして取り出すことはできず，サーあります．私たちの議論では対象となる利用者の人物像をドパーティのパッケージがどのように使用されているかも

プロダクト担当者，脅威アナリスト，ガバナンスマネージャ

不明な状況で，プログラムコード断片に一意の識別子やバーの 3 つに絞りました．正直なところ，すべてのロールで実ジョンを付与しても意味のある管理にはならないからです．

際の検証ができたわけではないのですが，誰がどう使うのさらに，コンポーネントの利用方法を知らなければ実際かを意識しながら検証を進められた点は非常に良かったとのリスクを評価することもできません．例えば，タイヤが思います．

パンクする欠陥を見つけたとしても，そのタイヤが使われ

ただ，すべてのプロダクトにいきなり SBOM 管理は適ているのは走行中の車なのか，木にぶら下げたブランコの用できません．「アトミック性（これ以上細分化できないような遊具なのかで対処の優先度は大きく変わります．こ最小単位）を意識したソフトウェア開発」と「パッケージ

れは SBOM に限った話ではなく，現場が求めているのはマネージャ」の存在が不可欠だからです．これらを考慮せ実際のサービスへの影響を考慮した脆弱性評価です．こうずにつくられたプロダクトに対して，大規模な SBOM 管した現状を踏まえつつ，私たちは前人未踏ともいえる理はうまくいきません．SBOM 管理が可能なプロダクト

SBOM の商用化に挑むことにしました．

に対し，アラート通知の効率化やオートクローズ対応を行ニーズにこたえるサービスの商用化を見込んで社内トライアルを開始されたそうですね．

うことで，開発者や運用者にセキュリティ対応時の余裕をつくることが最初のポイントであると実感しました．
このように，SBOM による脅威インテリジェンス利用脅威インテリジェンスと SBOM を用いた迅速かつ効果の効率化に取り組んできたことが注目を浴びて驚いていま的なサイバー脅威対策手法を発明して，2022年から社内トす．2023年 3 月には，幅広い分野の会員と連携しサイバーライアルを展開しています．

セキュリティの観点から安全な ICT 社会の形成に寄与する

実験的に始めたユースケースは，SBOM を利用したア活動を推進する団体「ICT‐ISAC」に講師としてお招きタックサーフェスマネジメントの取り組みでした．私たちいただき，私たちの SBOM を活用した脆弱性管理の取りが考慮したことは「SBOM の生成や収集が目的になるよ組みについて報告させていただきました．

うな運用をしない」ことでした．SBOM のユースケースは，脆弱性の識別，ライセンス管理，ポリシーやコンプライアンスの検証と多岐にわたります．実際の使い道を決めてから T 字型に運用の幅を広げていくアプローチを取り，脆弱性管理の観点から最初の取り組みを始めました．その理由は大きく分けて 2 つで，社内に脆弱性管理をするシステム「面白がる」「流行に踊らされない」
姿勢で挑む
ところで，これまで手掛ける研究開発者がいないという現状において，なぜ西野さんとそのチームが SBOMを実現できたのか，客観的に分析していただけますでしょうか．

がすでに存在すること，そして，パッケージの脆弱性を検知し，それを解決するための対策を提案してくれるサービ

先述のとおり，技術的な面でいえば，ソフトウェアは複スである GitHub の Dependabot と機能や性能を比較検雑に組み上げられていたのですが，プログラミングの方向証できるためです．

性としてコンテナ化が進んできたこと，各プログラミング

これだけ聞くと，すでに脆弱性管理ができているので取り組む意味がないと感じるかもしれません．しかし，「既28

言語でパッケージ管理やライブラリを配布する仕組みが整ってきたことが要因の 1 つに挙げられます．

存の脆弱性管理システムを SBOM でどう改善できるのか」

さらに，米国でソフトウェアのサプライチェーンにかか「業界標準のサービスと比較して，新たに SBOM を利用すわる大きなインシデントが発生し，それが SBOM という2023.6

言葉が世界に大きく広がる契機となりました．国内外を問また，研究開発者として，最先端技術の可能性を解きほわず，SBOM に取り組むようになったわけですが，私たぐし，社会的インパクトを評価することで，企業の新しいちのプロジェクトの大きな強みは NTT コミュニケーショ

道を切り拓く人になりたいという思いを持って仕事をしてンズ（NTT Com）という通信インフラを手掛ける企業でいます．今回の SBOM についても同様に，周囲からは時あるため，サイバー攻撃を観測するための大規模な監視設期尚早ではないかと言われていましたが，私たちのチーム備が整っているということです．また，セキュリティ情報が持っているセキュリティの知見を活かせば，実運用に落を理解し，それを監視，検証する人材もいるという有益なとし込めると自負して，日本における SBOM の道を切り環境を整えることができていることです．その中で，自分拓くことができました．

で言うのは少し恥ずかしいところもありますが，私自身もこうした姿勢を保つために大切にしてきたことは「面白さまざまな経験や知見を蓄えてこのプロジェクトに携わっがる」ことと，「流行に踊らされない」姿勢です．面白いていることもユニークなオリジナリティととらえられるかことというのは，自分たちが関心を寄せていることにとてもしれません．私は，2015年に NTT Com に入社しましも集中できている良い状態です．だからこそ，面白いことたが，学生時代はバイオインフォマティクスを専攻し，機を追究していくと自然と最先端をキャッチアップできるよ械学習や統計の知識を活かしてセキュリティの研究を行っうになるし，組織の良い循環を生み出すと思います．ていました．そして，サイバーセキュリティのエンジニア

また，私たちはエンジニアとして，技術の中身を理解しとして NTT Com に入社し，悪性サイトクローラによるたうえで流行に乗るから良いプロダクト，良いサービスを脅威インテリジェンス収集システムの開発に携わりました．

提供できると考えています．舗装された道路を，ただ漫然マルウェアの自動分析と脅威インテリジェンス管理基盤のと歩いても面白い花は見つかりません．だからこそ，私は開発や運用，マルウェアサンドボックスのマルチベンダ性エンジニアとして手を動かすことを大切にしています．陳能比較プラットフォームの開発を手掛け，ブロックチェー

腐な言葉かもしれませんが，技術を知っていても，それをン関連にも従事した経験と知見を携えて今を迎えていま使えなければエンジニアとしては生き残れません．エンジ

す．一般的なセキュリティ関連の研究者，技術者と比較しニアは舗装された道ばかりを進める職業ではないからです．て，ブロックチェーンの経済面に関する勉強がサービス開イノベーションは社会を面白くすること．困難への挑戦が発にとても役立っています．経済的なインセンティブをどイノベーションにつながっていること．技術的な困難に立う扱うか，商品としてどう売り出そうか等について考え，ち向うためのエンジニアがいること．どれか 1 つが欠けてそのうえでユーザに喜ばれることまで意識して，サービスも，社会を面白がらせるイノベーションは成立しません．

開発をカバーしていることは強みであると考えています．

流行に踊らされて，つまらないことに取り組む状態を避け研究開発者として大切にしていることを教えてください．
私は，イノベーションは社会を面白くすることでなければならないと強く思っています．これを世の中に出したらるためには，確かな技術力が必要です．
若い研究開発者の皆さん，論理的な追究をするだけではなく，もっと自分自身が面白いと思う感情や感性も大切にし，チームでその感覚を共有してみてください．

「皆が楽しめる」と思える技術をめざして頑張ってきまし

最後に，NTT グループはサプライチェーンセキュリティ

た．画家のゴッホの残した言葉があります．“Normality

リスクに取り組むオープンコンソーシアム「セキュリティ・is a paved road: it’s comfortable to walk but no

トランスペアレンシー・コンソーシアム」の設立に向けて

flowers grow.”（普通であるということは舗装された道準備しており，私もその一員として活動しています．そし路みたいなもので歩きやすいが，花は咲かない）．この言て，2023 年 7 月 に は「Threatconnectome」 と い う

葉は，誰かの心に刺さるものは挑戦することでしか創れなSBOM を用いた Attack Surface Management（攻撃い，ということを意味しています．当たり前ではつまらな対象領域管理）ツールをOSS（Open Source Software）

い，普通じゃないから面白い．この言葉にならって，技術化する予定ですので，ぜひ皆さんにお使いいただければと的な困難に挑戦することで，社会を面白くできると私は確思います．

信しています．

2023.629