TABLEOFCONTE

NTS

日本の先駆者にセキュリティ業界の動向を訊く

鵜飼 裕司 インタビュー… ……………………………………………………………………… 3
Mizuho Cyber Challenge Cup（MC3）レポート… ………………………………………… 8●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2019. All rights reserved.

2

日本の先駆者にセキュリティ業界の動向を訊く

鵜飼 裕司 インタビュー（前編）
AI、5G、IoT など新たな技術の登場によってわれわれの社会が大きく変わろうとしている。一方ではサイバー空間の覇権を巡り大国間の衝突も起こっている。今回、話を伺う鵜飼裕司氏は、エンジニア、経営者、政府のサイバーセキュリティ研究開発会議の委員などの顔を持つ。そこで今号と次号の 2 回にわたり、今後の動向について語ってもらうこととした。
取材・文・撮影 = 斉藤健一

3

さまざまな要素が絡み合う
サイバーセキュリティ斉藤（以下脅威の予測は困難 !?

）：鵜飼さんは現在、セキュリティ企業、ＦＦＲＩの経営者としてご活躍ですが、エンジニア出身で米国スタートアップ企業に在籍された経験もお持ちです。また、BlackHat や CODE
BLUE といったカンファレンスのレビューボードであるとともに、政府や官公庁のセキュリティ関連委員会のメンバーも務められるなど、さまざまな顔をお持ちです。今回はサイバーセキュリティを取り巻く状況について、多様な視点からお話しを伺いたいと思います。よろしくお願いします。
鵜飼（以下●鵜飼 裕司（うかい・ゆうじ））：こちらこそ、よろしくお願いし1973 年 徳 島 県 生 ま れ。 博 士 ( 工 学 )。Kodak 研 究 開 発 セ ンます。

ターにてデジタルイメージングデバイスの研究開発に従事し2019 年も約半分が過ぎようとしていますが、た後、2003 年に渡米。カリフォルニア州 eEye Digital Security社に入社。 セキュリティ脆弱性分析や脆弱性診断技術、組み今後のセキュリティ業界について考えてみたいと込みシステムのセキュリティ脅威分析等に関する研究開発に思います。まずは、発生が予想される新たな脅威従事。

についてです。セキュリティカンファレンスでの2007 年 7 月、セキュリティコア技術に関する研究、コンサルティングサービス、セキュリティ関連プロダクトの開発・販発表テーマの動向などとあわせてお聞かせいただ

売を主事業とする株式会社ＦＦＲＩを設立。

けると幸いです。

また、独立行政法人情報処理推進機構の研究員を兼務 ( 非常勤 )7 ～ 8 年前であれば、マルウェアや脆弱性、最し、コンピュータセキュリティを とりまく脅威の分析・対策立案のための活動に取り組む。新の攻撃手法など、カンファレンスで話された脅

内閣官房「内閣サイバーセキュリティセンター本部研究開発

威がその後のセキュリティに直接的に影響を与え戦略専門調査会」、経済産業省「産業サイバーセキュリティ研る事例も多かったと思います。5 年ほど前でも、究会 WG3」、総務省「サイバーセキュリティタスクフォース」、総務省「サイバーセキュリティタスクフォース 情報開示分科

IoT の脅威が取り沙汰されていて、それほど深刻会」、一般財団法人日本情報経済社会推進協会（JIPDEC）「IoTではないにせよ、一定の議論が行われてきました。

セキュリティ WG」、JNSA「サイバーセキュリティ事業におしかし、ここ 2 ～ 3 年は、その傾向が変化してきける適正な事業遂行の在り方に関する検討委員会」など、多たように思います。数の政府関連プロジェクトの委員、オブザーバーを歴任。
第 13 回情報セキュリティ文化賞受賞。

それはどのような変化でしょうか。

米国 BlackHat Conference および CODE BLUE のレビューボー

1 つはサイバーセキュリティを取り巻く状況のドメンバー変化です。現在、サイバー空間で起きている問題は貿易や外交といった要因とも密接に関係していイトルが付いてはいるものの、それが本当に深刻ます。また、サイバーセキュリティがカバーするな影響を与えるか否かについては疑問なものが増範囲も以前とは比較にならないほど広がっていまえてきているように思います。

す。ですから、技術的な視点からだけで今後の脅確かに。理論上は攻撃可能だけれども実際の悪威を予測することは難しいのです。

用は困難という脆弱性が大々的に報じられることも多いと聞きます。

近年では、国家の関与が指摘されるサイバー攻撃が報道されるなど、技術的な側面だけでは語れとはいえ、注目すべきトピックもあります。まないケースも数多くありますね。

ずは AI や機械学習の分野です。セキュリティ業界でも防御の仕組みとして AI や機械学習が使わ

もう 1 つは、カンファレンスなどで話題になるれています。

トピックの変化です。人目を引くキャッチーなタ4でしょう。DEFCON 24（2016 年）で DARPA（米具体的にはどのような形で使われているので

国 防 高 等 研 究 計 画 局 ） が 開 催 し た CGC（Cyberしょうか。
例えば、マルウェアを検知する目的で多数のGrand Challenge）では AI がプログラムの脆弱性サンプルをコンピューターに読み込ませて、マルを探っていきました※ 1。こういった動向に変化はウェアに特有な部分を導き出せるように学習させありますか。

ます。また、マルウェア以外にも応用して、攻撃現実的にはどうでしょう。現時点ではサンプルパケットの特長を学習させたり、大量のパケットも少ないですし、AI でハッキングの攻撃技術がどから攻撃に用いられるものを抽出したりといったこまでできるのか、正直まだわかりません。さまことが考えられます。人間の長年の経験や勘を必ざまなことが実験的に行われていますので、それ要とする領域には向いていると思います。しかし、らの研究成果を待たないと具体的な言及はできなAI や機械学習に大きく依存した対策にはリスクがいと思います。

あります。

I oT の分野はどうでしょう ?

AI や機械学習も万能ではないということですか。

すでにさまざまな機器がネットワークに繋がっそのとおりです。以前、マルウェア対策としてていますが、これらの中にはセキュリティ対策をサンドボックスがもてはやされた時代もありまし意識していない製品も含まれており、攻撃者によたが、現在ではマルウェア側がサンドボックスをる悪用の危険性も指摘されています。今のうちに検知して動作を停止するものもあります。過信は根本的な対策を講じておくことが重要です。さも禁物です。現在の AI では大量の学習データセッ

ないと、2000 年代初頭の Windows のように「攻トが必要となりますが、いちばんの落とし穴は、撃され放題」の状況になってしまうと思います。

サンプルとなるデータセットはどこから得られる

総務省や NICT（国立研究開発法人情報通信研かというと、それは攻撃者からだということです。

究機構）が IoT 機器を調査し利用者への注意喚起

その気になれば攻撃者はデータセットをコントを 行 う NOTICE（National Operation Towards IoTロールできるのです。

Clean Environment）が、まさしくこの根本的な取り組みの 1 つと言えますね※ 2 ※ 3。

それは構造上大きな問題ですね。
防御側が学習のデータセットとして集めていそのとおりです。

るものに対して攻撃者が何か手を加えた汚染され他の分野でいえば、サプライチェーンのセキュたデータを流してしまうということが考えられまリティ問題があります。製品やサービスの製造・す。いわゆるポイズニングや敵対的学習と呼ばれ流通の過程において不正なプログラムやファームる手法です。

ウェアの改ざんなどが行われるリスクですが、こちらはいかがですか。

興味深い話題です。これらのテーマはどんな場所で議論されているのでしょうか。

一部中国メーカー製品へのスパイウェア混入疑BlackHat などでは、機械学習による検出をどう惑に端を発した問題もここに含まれます。いまで回避するかといった研究がトレンドの 1 つになっは米中の貿易・外交問題へと発展し、当該メーカーています。“AI vs Virus” といったタイトルが付いに対する制裁措置も実施されています※ 4。この問ていることもあります。われわれのようなセキュ題は混沌としており、全体を俯瞰できる人は技術リティベンダーも、このあたりのジャンルには敏者の中にはいないと思います。米国の主張どおり感になっています。

製品に情報漏えいのリスクがあるとすれば大きな問題ですが、現時点において米国政府はエビデン

では、攻撃者による AI の利用についてはどう※ 1 DARPA Cyber Grand Challenge※ 2 NOTICE

https://archive.darpa.mil/CyberGrandChallenge/

https://notice.go.jp/※ 3 マルウェアに感染している IoT 機器の利用者に対する注意喚起の実施（総務省）
http://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00025.html※ 4 編注：本年 6 月 29 日、米国トランプ大統領は G20 大阪サミット閉幕後の記者会見において、米国メーカーが当該中国メーカーとの取引を容認する発言を行っている。

5

な対策を講じてきたと思いますが、攻撃者も次々スを明らかにしていません。
おそらく今後もエビデンスが公表される可能性と新たな手法を繰り出しています。ランサムウェ

は低いでしょうね。さて、2018 年には Spectre やアの被害は落ち着いてきたように感じますが、昨Meltdown といった CPU の脆弱性が立て続けに発年は暗号通貨の取引所を狙った事件も発生してお見・公表されました。サプライチェーンのセキュり、被害額としては大幅に増えていると思います。

リティ問題を考えれば、より精査されなくてはなそのとおりですね。

らない重要な分野であるはずです。ところが、こう被害を防ぐためには結局のところ、資産を持つした脆弱性を探すことができる研究者は非常に限ら側のリテラシー向上を目指した啓発活動しかありれると思います。この点はどのようにお考えですか。

ません。逆を考えれば、啓発活動を怠ったところこの分野はもはや個人でできる研究の範疇をが被害に遭ったという見方ができるかもしれませ超えており、国家として脆弱性探しに取り組んでん。さらに、この啓発活動は一度で済むというわいるところもあります。日本でも産官学が一体とけに行きません。常に注意を払っておく必要があなりサプライチェーンリスクに対応するための技ると考えています。また、この啓発は民間に限ら術検証体制の整備をはじめようとしています。こず、政府もきちんと行う必要があるだろうとも考れは NISC（内閣サイバーセキュリティセンター）えています。

のサイバー戦略本部が掲げる「サイバーセキュリ先の APT10 の警告は、国による啓発活動の一ティ 2019」の中でも取り組み強化の方針が打ち環だとも言えそうですね。

出されています※ 5。

そうかもしれませんね。ともかくリテラシーの昨年 12 月、外務省や NISC が中国を拠点とする向上には時間も費用もかかりますから、日本全体

サイバー攻撃者グループ「APT10」に対して警戒をで考えていかなくてはならない問題だと思います。

表明しました※ 6 ※ 7。特定グループを名指ししたの政府のセキュリティへの取り組みは異例のことと言えます。コメントするのも難しいとは思いますが、何かご意見はありますか。
先ほど申し上げたとおり、サイバーセキュリティ

日本の目下の課題は、2020 年に行われる東京には国家間の外交・貿易・安全保障など多くの要五輪大会の成功だと思います。こちらについては素が含まれるようになりました。各国がサイバーいかがですか。

セキュリティに関して具体的な対処を始めたと言課題としてはそのとおりだと思います。ただ残えます。これは同時に、サイバーの分野が重要で念ながら私自身は東京 2020 には携わっていませあるとの各国の意思表明でもあると思います。

んのでお話しできることがありません。この話題は競技大会組織委員会などに聞かれるのがよいとリテラシー向上こそが思います。

最上のセキュリティ対策わかりました。別の機会に関係者の方に話を伺ってみたいと思います。現在、政府のサイバー話題を転じます。サイバー攻撃には経済犯にセキュリティは NISC が各省庁を横断的に取りまよる犯行も含まれています。防御側としてはどうとめて行うようになりました。とはいえ、国民がいった手立てを講じればよいと思いますか。

持つ行政のイメージは縦割りですから、ここにたサイバー攻撃の規模としては経済犯が圧倒的どり着くまでには長い道のりがあったのだろうとな多数だと思います。もちろん防御側もさまざま推測しています。鵜飼さんは長年、各省庁のセキュ※ 5 サイバーセキュリティ 2019https://www.nisc.go.jp/active/kihon/pdf/cs2019.pdf※ 6 中国を拠点とする APT10 といわれるグループによるサイバー攻撃について（外務報道官談話）https://www.mofa.go.jp/mofaj/press/danwa/page4_004594.html※ 7 APT10 といわれるグループによるサイバー攻撃について（注意喚起）
https://www.nisc.go.jp/active/kokusai/pdf/press-1221.pdf

6

有もされていると思います。

リティ関連の研究会・タスクフォース・ワーキン
ググループなどのメンバーとして活躍されてきま会議の雰囲気などはどうでしょう。

した。そこで現在と過去を比較して話を伺いたい

当時も当時なりの切迫感はあったと思います。

と思います。鵜飼さんが委員として参加されたのただ、現在から振り返って考えると、当時の感覚はいつ頃からですか。

は薄かったといえるかもしれません。というのも現在の方が真剣に議論しなくてはならないトピッ

はっきりと覚えてるわけではありませんが、ＦＦクが増えているからです。

ＲＩ設立後のことですから 2007 年以降だと思います。

変化のタイミングはどこにあったのでしょうか。

その頃のサイバーセキュリティのトピックにはどのようなものがありましたか。
こちらも記憶があいまいですが…

日本で標的型攻撃が話題になってきた 2011 年あたりだと思います。

Winny などファイル共有ソフトが話題になっていたかもしれ日本の防衛産業を担う大手機械メーカーへの標ません。

的型攻撃が報道された時期ですね。

各省庁のセキュリティへの取り組みはいかがではい。このあたりからじわりじわりと、国とししたか。

てサイバーセキュリティの施策を打たなくてはならないという空気が醸成されるようになってきま

おっしゃるとおり、各省庁がバラバラにセキュした。

リティ対策を進めようとしていた縦割りの時代もありました。現在では NISC がとりまとめの軸とそこから 2014 年のサイバーセキュリティ基本なっています。さまざまな会議に出席すると、関法の施行、そして東京 2020 大会の取り組みへと係省庁の方々が垣根を越えてオブザーバーなどの繋がっていくのですね。（次回へ続く）形で出席するようになってきていますし、情報共7Mizuho Cyber Challenge Cup（MC3）
レポート
取材・文 = 斉藤健一／写真提供 = みずほ FG
また、今回は競技参加枠を拡大し、みずほフィ
ナンシャルグループ、銀行、信託銀行、証券、情みずほ FG のセキュリティ・コンテスト

報総研に加え、グループ会社および海外拠点からも参加者を募り、総勢 7 チーム（約 50 名）がし2019 年 3 月 18 日、 東 京 都 千 代 田 区 内 の みのぎを削ることとなった。

ず ほ フ ィ ナ ン シ ャ ル グ ル ー プ（FG） 本 社 に て、
MIZUHO Cyber Challenge Cup（MC3） が 開 催 された。MC3 とは、みずほ FG のセキュリティ・コ

フィンテック関連のスタートアップ企業がンテストでレッドチーム演習などと呼ばれる形式競技の舞台で行われる。グループ各社がブルーチーム（防御）として参加し、主催者側のレッドチーム（攻撃）競技内容は全チーム同じ条件の下、いくつかのによるサイバー攻撃に対処する。セキュリティの課題（サイバー攻撃の状況）が与えられる。技術実践的なスキルを競うというものだ。

的な調査結果の正確性・即時性、また経営層に対する報告の適切性を多面的に評価され、もっともMC3 の開催は今年で 2 回目。開催日は内閣サイ優れたチームが表彰される。

バーセキュリティセンター（NISC）が定めるサイビジネスシナリオによれば、舞台は大手金融企

バーセキュリティ強化月間の最終日で、数字の語業が立ちあげたスタートアップの M 社。意思決呂合わせで「サイバーの日」となっている。

定は早いが、事務・管理といったバックオフィスの業務が追いついておらず、承認のプロセスも定MC3 の新たなる挑戦まっていない。こういった状態がしばらく続き、イベントの開始は午前 9 時。開会式が行われガバナンスの目が行き届かなくなっているというたセミナー会場には競技参加者をはじめ、IT ベ設定だ。そして、競技で参加者が対峙することとンダーや他の金融機関の社員といった外部の見学なる今日的なリスクが「シャドー IT」だ。これは者など大勢が集まっている。開会式ではコンテス組織の管理が行き届かない IT 環境を指す。言葉とトの目的や新たな取り組みなどについて触れられしては昔からあるそうだが、現在ではシャドー ITた。MC3 の目的はサイバーセキュリティの人材発がネットの向こう側（クラウド）にも存在するやっ掘および育成で、座学だけでなく手を動かすことかいな状況となっている。
競技会場はチームごとにパーティションで区切で、より実践的なスキルを身につけることができられており、競技用 PC が置かれたテーブルやホるという。
今回は 2 回目の開催ということで「ビヨンド・ワイトボードなどが用意されている。見学者は講ボーダーズ」というスローガンを掲げ、新たな技演の合間などに会場を移動して競技の模様を見る術要素・ビジネスシナリオの導入や競技参加枠のことができる。

競技の前提とな競技中の様子はチームによってさまざまだ。ホるビジネスシナリオでは、フィンテックをはじめワイトボードを使いメンバー間でディスカッショとする動きの早い金融業界の動向が反映されたもンするチームがある一方で、それぞれのメンバーのとなっている。

が PC に向かい黙々と作業を続けているチームも拡大などに取り組んだという。

8

競技の様子セミナー会場の様子ある。また、会場にはスコアボードも設置されて表彰式では、レッドチームによる競技参加者向おり、各チームの順位を把握することもできる。けの技術的解説も行われた。レッドチームも準備一方、競技会場に隣接するセミナー会場では、期間に約 1 年を費やしたという。ただ、今回のシ競技中継をはじめ、見学者に向けた競技の解説やナリオは攻撃情報の詳細を含んでいることや、今社内外の識者によるサイバーセキュリティをテー後のワークショップなどで同じシナリオを使う可マにした講演なども行われた。

能性があることから、技術的な情報を誌面に掲載することは残念ながらできない。読者の皆さまにはあしからずご了承いただきたい。

勝敗の行方

MC3 を通じてコミュニティの輪を広げる

競技は 15 時 30 分に終了し、みずほ FG チームが優勝を飾った。16 時から行われた表彰式では参加した各チームから感想が述べられた。具体的には、サMC3 を主催するメンバーの 1 人に話を伺った。

イバー・インシデントを実践的に学ぶことができた、昨年に第 1 回目を主催して社内・グループ内で攻撃のシナリオを予想して競技に臨んだがシャドーセキュリティに対する認知が広まったことと、そIT は全くの予想外だった、攻撃者の視点で考えてみれによって社内でセキュリティコミュニティを作ることも大事といった声が挙がっていた。

り、定期的に活動するようになったことが大きな成果だという。

一方、主催者は参加者に対して、競技を通じてサイバー攻撃が起きたときに要求される思考やプまた、MC3 の今後については検討中としながらも、ロセス、そしてあるべき行動の姿を意識してほし他の金融機関やITベンダーなどと連携しつつ、コミュいと考えていたようだ。特に重要となるのは、攻ニティの輪を広げていきたいと語ってくれた。撃の全体像を把握することであり、これはレスポンスのトリアージ（対処の優先性）を判断する上MC3 を取材した筆者の感想は、良くオーガナイズ

でも、インシデントの根本原因や再発防止策を考されたイベントだったということ。それは、競技のえる上でも必須となると強調していた。

全体像を見学者にわかりやすく説明していたり、技また、各チームの感想を聞くと、多くが競技開術に詳しくない人にもわかるよう講演内容に配慮が催の半年ほど前からチームを結成し、自主的に勉あったり、レッドチーム・ブルーチームの双方が準強会を開くなどして研さんを重ねてきたというこ備に長い時間を掛けていたりすることから感じることがわかった。実は、競技前に行われたチームのとができる。そして何よりも参加している人たちが紹介では、それぞれが意気込みを熱く語っていた

楽しんでいることが伝わってくるのが印象的だった。

のだが、これが準備期間の長さや熱意に比例してMC3 の今後の展開に期待したい。

いるのだと、この時はじめて納得した。
9