TABLEOFCONTE

NTS

ローラ・ベル インタビュー… ………………………………………………………………… 3… …………………………… 7
セキュリティ イベント アラウンド ザ ワールド（VXCON 5）
Threat Scope… ………………………………………………………………………………… 11●はじめに
本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2016. All rights reserved.

2

人間の脆弱性を自動的にスキャンする
ＡＶＡとは??

Laura
Laura BellBell

ローラ・ベルインタビュー

ここ数年話題になっている標的型攻撃にしても、最近になり猛威を振るうランサムウェアにしても、被害の起点となるのはメールの添付ファイルなどを不用意に開いてしまうことだ。古典的な手法であり、多くの専門家が警告しているにも関わらず、今でも一定数の人間が反応してしまう。
「最大のセキュリティホールは人間である」というのは業界内ではよく知られた言葉だが、人々セキュリティ意識を高めるにはどのようにしたらよいだろう。今回話を伺ったローラ・ベル氏は一風変わった取り組みをしている。日本でも標的型攻撃の模擬訓練などを行われているが、彼女の取り組みの根底にある考え方は脅威対策の参考になるだろう。
●インタビュー = 笠原利香（Rika Kasahara）●写真＋構成 = 斉藤健一（Ken-ichi Saito）
3

セキュリティ教育の問題を解決するために開発
笠 原 利 香（ 以 下）： は じ め ま し て。 今 回 のBlackHat では「AVA による人間の脆弱性の自動ス キ ャ ニ ン グ（Automated Human VulnerabilityScanning With AVA）」という刺激的なタイトルの講演をされました ※ 1 ※ 2。私自身、「AVA（エイヴァ）」とはどのようなツールなのか、とても気になりました。そこで、本日は AVA について話を伺いたいと思います。よろしくお願いします。
ローラ・ベル（以下）：こちらこそ。

●ローラ・ベル（Laura Bell）

早速ですが、AVA 開発の動機はどんなところにニュージーランドのセキュリティ企業、SafeStack 社のコンサルタント。ソフトウェア開発やペネトレーションテストなどに従事する。さまざまな業種や規模の企業にセキュリティを導入してしてきた。多くのセキュリティ企業が脅威をあおるような営業活動を行って中、彼女は平易な言葉で真摯に顧客と向き合っている。また、Kiwicon や Linux Conf AU などのカンファレンスでの講演経験を持つ。

あったのでしょうか。
私自身、セキュリティ業界で 10 年間ほどペネトレーションテストなどに携わってきました。テストを行った多くの組織では共通の課題を抱えていました。それはセキュリティリスクの要因の 1つである「人間」の教育の問題です。セキュリティてたツールにしたいと考えました。

リスクには「システム」「運用」「人間」の 3 つのところで、AVA とは何の略なのですか。

要素があると考えています。システムにはペネト
レーションテスト、運用には監査などリスクを低実は何の略でもありません。当初は単に「私の減させるための対策があり、コントロール可能でプロジェクト」と呼んでいたのですが、他の研究す。しかし、人の行動を管理することは非常に困者などと話を進めていく中で、プロジェクトには難です。私自身も従業員教育用テキストなどを作

名前が必要であるということに気づき、AVA と名成してみましたが、なかなか良い結果につながり付けました。Assessment Vulnerability Analysis なませんでした。そこで、この問題を解決するツー

ど、好きに解釈してもらって構いません。
良いネーミングだと思います。知的な雰囲気がルの開発に着手したのです。

ありますし、語感が女性的だと感じました。

最大のセキュリティホールは「人間」だと言いますからね。

個人のつながりを分析し市場を調査してみるとフィッシング攻撃を模擬リスクの高い行動をピックアップする的に行うツールがいくつかありました。しかし、フィッシングは人間の脆弱性を悪用した攻撃の 1つにすぎません。また、これらのツールは対象をAVA はどのようなツールなのでしょうか。

個人に限定しているケースが多かったのです。たAVA を簡単に説明すると、Exchange などのメーだ、人間は 1 人で仕事をしているわけではなく、ルサーバーや Active Directory といった組織内の常に他者とつながりグループで仕事をしていまリソース、Google ドキュメントなどのアプリ、す。ですから、AVA は個人のつながりに焦点を当さ ら に Twitter・Facebook・LinkedIn と い っ た※ 1 講演スライド		

https://www.blackhat.com/docs/us-15/materials/us-15-Bell-Automated-Human-Vulnerability-Scanning-With-AVA.pdf※ 2 講演動画

https://www.youtube.com/watch?v=QAjiivuRRus

4

も考えています。

SNS から個人の活動履歴などを収集し、個人間のつながりや行動を分析、リスクの高い行動をピッ

これまでの話を伺うと、AVA は被験者のプライクアップするとともに、最終的には将来起こりうバシー情報を収集することになると思います。こるインシデントの予測に役立てようとするツールの点を懸念する声はなかったのですか。

です。Python で書かれたオープンソースのプロもちろんあります。AVA をオープンソースで開グラムで、GitHub で公開しています※ 3。現在、コー発するのはこの点に配慮したからです。プロジェ

ディングやテストに参加してくれるメンバーを広クトの Web サイトでは倫理に関する掲示板も設く募集しています。

置しています。私たちは多くの人に参加してもらどのように動作するのですか。

い、議論しながらプロジェクトを進めていきたい

AVA には 3 つのフェーズがあります。最初は「知と考えています。話はすこしそれますが、現在、る（Know）」フェーズです。このフェーズでは、多くのセキュリティ企業が脅威対策としてブラッ先にお話ししたサービスなどから情報を収集し、クボックス化したデバイスを盛んに喧伝していま組織内の人間（被験者）がお互いどのようにつなす。AVA はこれに対するアンチテーゼでもあるのがっているのかをマッピングします。収集するもです。プライバシーなどで懸念する点はあるもののにはメタ情報も含まれていて、例えば Activeの、自分たちで対策を行えるメリットはつけ加え

Directory では、ログオンの履歴やパスワード変ておきたいと思います。更の時期や頻度なども含まれています。ただ、こ確かに自分たちで対策を行えるというのは良いの SNS に関してはいまだ発展途上で、Twitter や点ですね。次に実際の組織で行ったテストについFacebook などと協力し、より多くのデータが収て伺いたいと思います。対象となったのはどのよ集できるようにしたいと考えています。

うな組織だったのでしょうか。

なるほど。

テストにあたりさまざまな組織に声をかけまし次は「テスト（Test）」フェーズです。ここでた。しかし、多くの組織から「ハッカーの実験には模擬的な攻撃（Treat Injection）を行い、人々のは協力できない」と断られてしまいました。ただ反応を監視します。具体的にはフィッシングメー

幸運なことに、教員が 70 名ほどいる高校と 500ルだったり、SNS で攻撃サイトへ誘導するための名規模の企業が協力してくれました。AVA のテス

ニセリンクを貼った投稿だったり、経営者や上司

トでは収集したデータから個人のプライバシーにになりすましてサービスのパスワードを要求する

つながる一定の情報は削除しています。話は変わメールだったりします。大学や銀行などが「反応りますが、私はニュージーランド在住なのですが、しやすい」フィッシングメールなどを収集しておこの国は小さいのでテストに参加してくれる組織

り、AVA ではこの文面を利用しています。

を探すのにも限界があります。現在、協力組織をワールドワイドで募集しています。

わかりました。
3 つ目のフェーズが「Analyze（分析）」です。

AVA の「 知 る 」 フ ェ ー ズ で は、Twitter や先の 2 つのフェーズから得られた結果を分析し、Facebook といったサービスからデータを収集す被験者それぞれの行動を評価、今後の行動に活かるとのことでしたが、実際のテストでも収集をしてもらうようにします。このテストを行うのは行ったのですか。

1 度だけではなく継続的に何度も行うのが効果的

実際のテストでは SNS からの情報収集は行わだと考えています。そうすれば、組織の繁忙期や、ず、Active Directory・Google のビジネスアプリ、重要なプロジェクトに携わると、人はリスクが高Exchange などのメールサーバーに限定しました。

い行動を取りやすくなるといった傾向などが見え先ほどの説明で「発展途上」と言ったのがこの部てくると思います。さらに分析を進めていけば、分なのです。SNS から情報収集を行うプログラム

今後起こりうるリスクを予測できるようになるとは完成していますが、実行してしまうと SNS 各社※ 3 AVA

https://github.com/SafeStack/ava

5の「サービス利用規約」に抵触してしまうのです。

開催を控えています。今回の研究成果から何かア

この点は SNS 各社と交渉して調整したいと考えてドバイスはありますか。
組織のセキュリティを考える上で重要なのは、います。

従業員などがその組織の中で他の従業員とどのよ

2 つの組織のテストからどのようなことがわかうなつながりを持ち、どのような行動を取っていりましたか。
テストを行う前は、ネットワーク管理者や ITるのかを把握しておくことだと思います。また、部門の人たちがリスクの高い行動をするのではな

セキュリティ教育においては、セキュリティ意識いかと予想していましたが、これは的中しません

を啓発するようなポスターや e ラーニングにはでした。実際には多くの人たちとつながっていて、ほとんど効果がありません。効果的なのは人々に社内の情報や資産にアクセスできる人物、組織かテーマを与えて、自発的に考えてもらうことだとら見て信頼できる人が危険な行動をしています。

思います。
具体的な例があれば教えてください。

例えば、組織のファイルサーバーでは権限がある
人間しかアクセスできないファイルを Dropbox

共に仕事に携わっているグループのメンバーをのような外部ストレージサービスで手軽に共有し集めて討議するのが効果的です。この時、それぞてしまうような行為です。れの人に「もし自分が攻撃者でこのグループから確かにそれは危険ですね。

情報を盗むとしたら」という前提で考えてもらい、仮にこういった人物のアカウントを乗っ取るこ話し合うのです。

とができれば、さまざまな情報にアクセスできるセキュリティを教えるのではなく、それぞれのわけですから、攻撃者から見ても魅力的に映りま人に気づいてもらうようにするわけですね。良いす。

アイデアです。

AVA のテストフェーズでは、フィッシングなどそのとおりです。グループの人たちは仕事の進の攻撃を行うとありましたが、実際のテストで添め方や情報共有のやり方などを熟知しているわけ付ファイルを開いてしまったり、リンクをクリッですから、こういったバックグラウンドを活かしクしてしまったりする人の割合はどの程度だった

つつ彼ら独自のセキュリティを考えてもらうのでのでしょうか。

す。専門家は通り一遍のことを教えるのではなく、彼らに助言する立場になればいいと思います。

5 割ほどです。ただ、この数字は 600 名ほどのとても興味深いですね。

人を対象にしたテスト結果にすぎません。個人的にはより大規模なテストを行い、より多くのサンただ難点もあります。この方法は小さなグループルを入手して精度を高めて行きたいと考えていプでは有効ですが、例えば 5 万人規模の従業員がます。

いるような大企業などではうまく機能しないのです。
確かにおっしゃるとおりです。ただ、組織内のセキュリティ教育にとって重要なのは人間がそれぞれセキュリティについて考えようと自分たちで考える姿勢する姿勢は非常に重要だと感じました。本日はありがとうございました。

最後の質問です。日本では 2020 年の東京五輪

6セキュリティイベント
アラウンド ザ ワールド
VXCON5（香港）

取材・文 =tessy

VXCON とは

講演では自動車ハッキングの最新研究成果の発表も2016 年 4 月、香港で開催されたセキュリティカンファレンス、VXCON5 に参加しましたので、個人的に興味深かったものは、ベトナムのセその模様をお伝えしたいと思います。

キュリティコミュニティである VNSecurity のタ

VXCON がスタートしたのは 2010 年。今年でン・ グ エ ン（Thanh Nguyen/a.k.a Red Dragon）

5 回目を迎えます。スタートしてから数年は不定による自国のコミュニティ活動に関するもので期の開催でしたが、昨年から開催時期を 4 月に据す。彼らとは DEFCON や HITB などの CTF 大会でえるようになりました。主催は VXRL(Valkyrie-X

何度も顔を合わせており、CTF 談義を交わす仲なSecurity Research Group) という香港のハッカーのですが、こういった話を聞くことはなかったのグループ。アンソニー・ライ（Anthony Lai）氏がで、とても新鮮に感じました。

代表を務めています。ライ氏と言えば、BlackHat

彼 ら は 1998 年 か ら 活 動 を は じ め た そ う で、や DEFCON をはじめとする多くのセキュリティ

2007 年には CTF に特化した CLGT というチームをカンファレンスで講演を行っており、各国のハッ立ちあげた他、Honeynet、OWASP、HackerSpace

カーとも親交があります。日本の友人も多いので、などのローカルチャプターなどにも取り組んでいご存じの方もいることと思います。るとのこと。20 年近くにわたって活動を続ける中、今回の記事ではカンファレンスのレポートに加コアメンバーが 40 歳を過ぎても熱心に取り組む姿え、彼が VXCON を始めた意図などについても話勢は見習わなくてはならないと思いました。

を伺うことにしました。

もう 1 つ、非公開のセッションで、PPP のブラ

VXCON5 は 4 月 22 日（金）の夜から 24 日（日）イアン（Brian）氏とアンドリュー（Andrew）氏の約 2 日半の開催で、初日の夜はトークセッショによる自動車ハッキング（Automotive Security）ンが行われました。

を紹介します。最新の研究成果で、カンファレン

会場はワンチャイ（湾仔）にあるイベントスペー

スでの発表は VXCON が初だそうです。記事掲載

ス「THE HUB Hong Kong」で、参加者は講演者を含にあたっては彼らの承諾をいただきました。めて 30 ～ 40 名ほどです。地元である香港以外では、研究ではゼネラルモーターズ（GM）の車載テ

台湾・韓国・日本・ベトナム・マレーシア・アメリカ・レマティクスサービスである OnStar に焦点を当オランダなどからハッカーたちが集まりました。講てています。テレマティクスとは自動車に携帯電演者の国籍が多彩なのが VXCON の特徴の 1 つです。

話回線を利用した通信システムを搭載し、カーナ講演者やタイトルなどは公式サイト ※ 1 で確認ビのような運転支援や盗難・事故といった不測のすることができますが、これが全てではなく、非事態への対応支援などを行うサービスのことで、公開のセッションもいくつかありました。

実験では携帯電話網から攻撃を行い、自動車の制御を奪うことに成功したそうです。
彼 ら は 研 究 の 素 材 と し て 2009 年 製 Chevy※ 1 VXCON 5 公式サイト

https://sites.google.com/site/valkyriexsecurityresearch//vxcon

7

VXCON の会場。PPP のアンドリュー氏による演の様子

ワークショップ「Exploitation with PEDA」の会場

Impara の中古車を入手。まず、トランク内に設置

VNSecurity による「Exploitation with PEDA」が行わされた OnStar ユニットを取り外してプロセッサーれました。PEDA とは「Python Exploit Development

情報を収集します。次に JTAG やシリアルを経由

Assistance for GDB」の略で、デバッガである GDB（GNUしてファームウェアを取得、ファームウェアとプDeBugger）の補助ツール。VNSecurity のロン・レ（Longロトコルの解析から車載システムの OS には QNXLe）氏が開発しました※ 2。ワークショップは 2 つのソフトウェアシステムズのカーネルとファイルシコースがあり、2 日目が初心者向け、3 日目が上級ステムが使われていることを確認します。彼らに者向けというものでした。

よれば、デーモンは PowerPC をベースにしたももう一方のビレッジは参加者が各自で作業を行うので、IDA Pro を使った解析が容易だったとのこスタイルです。今回の VXCON では HITB スタッフのとでした。攻撃には携帯電話回線を利用するため

バリー・ヴァン・カンペン（Barry Van Kampen/a.k.a

ソフトウェアモデムを準備し、Caller ID（発信電Fish）氏と VXRL のケルビン・キャプテン（Kelvin話番号表示）を偽装して攻撃コードを送信します。

Captain）氏が担当し、ハードウェアを扱う 3 つのコー

講演ではこれまで説明した一連の手順を短時間ナーが設けられました。
残念ながら筆者はスケジューで解説し、デモ動画ではリモートから自動車のワルの都合で最終日の午後には会場を後にしましたが、イパーを動かしたりブレーキをかける様子などがここで簡単にその内容を紹介します。

紹介されました。解析に要した時間は 1 ～ 2 ヵ月ほど。彼らは今後の目標として、自動運転車や・HITB のバッジ（HITBadger）の制作：ハンダ付V2V（vehicle-to-vehicle：走行中の自動車同士がけの基礎を学ぶもので HITB のイベント会場で通信を行い衝突事故の防止や交通渋滞の緩和などページャーとして使用されているバッジの製作に役立てようとするシステム）などを含めた調査を行います※ 3。

範囲の拡大や衛星通信経由の攻撃手法の研究など

・RTL-SDR（software defined radio）：RTL2832U のを挙げました。聴衆からは「さまざまな障害を乗チップを搭載した USB 地デジチューナーを改造り越えていく様はまるで CTF だね（笑）」といっして航空機が使用する ADS-B の受信器を製作した声が上がっていました。

ます。
・携帯電話フォレンジック体験：携帯電話のチッ

ハンズオン形式のワークショップやプを剥がしてデータをダンプします。JTAG からビレッジも併設読み出すなどの演習です。

2 日目と 3 日目はワークショップとビレッジが会場では他に CTF ビレッジも併設されていたの開催されました。ワークショップは講義形式でですが参加者がほとんどおらず、最終日には PPP※ 2 longld/peda: PEDA - Python Exploit Development Assistance for GDB※ 3 HITBadger old http://www.randomdata.nl/wiki/index.php/HITBadger

8

https://github.com/longld/peda

ハードウェアビレッジとモバイルフォン・フォレンジック

世界各地から VXCON に集まった面々

メンバーがマンツーマンで CTF を教えてくれるとキュリティの研究はサイバーの世界においては欠いう贅沢な環境になったそうです。

くことができません。香港の人たちは医師・弁護士・会計士・建築家といった従来の専門家にばかり目を向けていますが、ハッカーはそれら社会を来年参加しようと考える人へ守り、平和を維持するのに重要な役割を果たしていることを多くの人たちに知ってほしいという思

カ ン フ ァ レ ン ス 主 催 者 の ラ イ 氏 に よ れ ば、いもありました。

VXCON は 小 さ い 規 模 の ま ま で、CFP（Call ForPaper：講演者の募集）も行わず、主に主催者が選んだ講演で続け、参加者同士が相互に情報交換- 今年のカンファレンスで何か工夫した点などはできる場にしていきたいとのこと。

ありますか ?

筆者は彼の話を聞いて Reunion（同窓会）といライ：今年は他のカンファレンスから良い部分をう言葉を思い浮かべました。ライ氏が VXCON を取り入れるようにしました。夜のトークセッショ立ちあげたのは、彼が世界各地のカンファレンスンの他、CTF やハードウェアのビレッジ、そしてで講演を始めてさまざまな人たちとつながりを持きちんとした講義形式でのワークショップを併設ち始めた時期と重なります。今回の VXCON ではした点です。これらの取り組みが参加者にとって日本人による講演はありませんでしたが、つなが新たな視点を提供できればよいと願っています。りという意味からすると次回は是非とも日本からスピーカーもトレーナーも才能と情熱を持った人も何かを提供したいと強く思いました。

たちばかりです。VXCON は彼らと接しさまざまなことを学ぶよい機会であり、私自身も彼らからライ氏は来年以降に機械学習のビレッジも開催多くを学んでいます。

したいと考えているようなので、このテーマに関心のある方や発表したい方がいらっしゃれば、ぜ- カンファレンスを継続して開催してくことは大ひライ氏に連絡してみてください。

変だと思いますが、そのモチベーションはどこにあるのでしょうか？

主催者アンソニー・ライ氏へのインタビュー

ライ：1 つは VXCON を継続して開催すること自- VXCON を始めたきっかけや目的は何でしょう

体が楽しいということです。もう 1 つは香港の技か?

術者のレベルを伸ばしたいからです。技術レベル

ライ : 香港は商業の中心地で、サイバー犯罪やハッを伸ばすということはセキュリティの資格を取得

キングの事件などが日々増加しています。われわすることだけではありません。VXCON のモットー

れがホワイトハットハッカーとして悪事と向き合は「ブラック・カンフー vs ホワイト・カンフー」

うには、最先端の研究や動向を知っておくべきだです。ブラックは攻撃を指し、ホワイトは防御をと感じたからです。それと同時にハッキングやセ指しています。われわれはこの両方を知る必要が9あり、その意味からこのカンファレンスを続けていきたいのです。
- 香港の人たちはサイバーセキュリティについて、どのように考えていますか。興味を持っているトピックなどあれば教えてください。
ライ：香港の人たちの関心事は主に個人のプライバシーとお金です。そして、それらが侵害されたり盗まれたりしたときにはじめて注意を払うようになるのです。
VXCON 主催者のアンソニー・ライ氏- 中国の言う「一国二制度」について、どのようサイトの脆弱性を報告しようとしてきました。しに思いますか ?

かし、中国のコミュニティはそれらの報告をテス

ライ：個人的な見解ですが、率直に言って香港政トや賞金稼ぎなのではないかと疑うのです。この府は中国の方針に傾いたことで失敗したと思って文化や習慣は長年海外で話題となってきました

います。とはいえ、英国によって設定されたルーが、いまだに残る障壁なのです。

ルを自ら維持できる自信もありません。ですが、香港はわれわれの故郷です。香港人は妥協せずに- 読者に対してメッセージをお願いします。

自らの声を主張し続けることが大切なのではない

ライ：われわれはさまざまなカンファレンスと協かと思います。

力し、共に前進しようと努めています。人生は限られています。われわれは情報を共有し、共に成- 現在の香港と中国の関係を踏まえて昨今のサイ長しなくてはなりません。VXCON のスピーカー

バーセキュリティについてどのように考えていまやトレーナーたちはみな世界トップレベルのセすか？

キュリティのギークです。私自身、彼らを香港に

ライ：よい質問です。私自身、これまで中国から招くことができ光栄に思っています。また、香港のサイバー攻撃を数多く見てきました。中国には理工大学のロッキーチャン（Rocky Chang）教授

Wooyun や Knownsec に代表される優れたセキュとダニエル・ルオ（Daniel Luo）博士には、セキュリティ企業が多数あり、この問題を解決・防御しリティ業界と学術界の橋渡し役として尽力していようと努力しています。一方、香港から見ると、ただきました。私自身も 40 歳になりましたが、中国本土に設置されたサーバーやシステムは他のCTF・リバースエンジニアリング・エクスプロイ攻撃者に対して脆弱であるように思えます。あるテーションなどの分野でトップのハッカー（セ意味中国もサイバー攻撃の被害者であるとも言えキュリティ研究者）になるという夢は諦めていまますが、われわれは中国の NGO や政治家に対しせん。心に留めているのは「趣味は選択可能だがて攻撃を行っている中国人も特定しています。皮モノにするためには相当の努力が必要」「ハード肉なことですが中国は自国のハッカーに秘密を盗に考え、ハードに働き、ハードに遊ぶ」というこまれているのです。香港では海外からのサイバーとです。香港にはセキュリティ業界で働き、情報攻撃に対し警察は充分な役割を果たせていないの共有に熱心で、自身の研究成果も発表する仲間がが現状です。数々のトレーニングを受講した警察増えてきています。これこそが活動を始める前の官であったとしてもコンピューターセキュリティ

2008 年と比較した最大の変化であり、コミュニに関する深い知識が足りないのです。一方、われティ全員の努力によって成し遂げられた結果なの

われは HKCERT を通じて中国のシステムや Webだと考えています。

10

ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#19 米国政府、新たな攻撃主体特定のプロジェクトを立ち上げへ
文 = エル・ケンタロウ
こから疑わしい行動をする主体者の行動や識別情

従来のアトリビューション（攻撃主体の特定）報を抽出するテクノロジーを求めていることがわ

手法は限界にかる。ここでいう識別情報とは現実世界の個人と結びつくものではなく、あくまでサイバー空間でTor のような匿名ネットワークや送信元 IP アドの仮想アイデンティティを指している。仮にこれレスの偽装テクニック、さらにはサイバー犯罪サーが特定できれば、攻撃主体がサイバー空間のどこビス（Cybercrime as a service）などの台頭により、で活動したとしても監視できるようになる。
こ の プ ロ ジ ェ ク ト は「Behavior and Activity

脅威対策における攻撃主体の特定はますます困難

Tracking and Summarization（ふるまいと活動の追なものとなっている。
こういった問題を解決するため、2016 年 4 月、跡および集計）」「Fusion and Predictive Analysis（融米 国 国 防 総 省 高 等 研 究 計 画 局（DARPA） で は 新合 と 予 測 分 析 ）」「Validation and Enrichment（ 精たな研究プロジェクトを立ちあげ、開発者の募査と発展）」という 3 つの技術分野に分かれており、集を開始した。このプロジェクトは、Enhancedそれぞれにさまざまなレベルの行動分析とデータAttribution（高度アトリビューション）と呼ばれ収集を可能にする技術の開発が求められている。

ている。アトリビューションとは「帰属」や「所属」といった意味の言葉だが、サイバーセキュリティ

弾丸だけではなく銃にもの世界では攻撃主体の特定という意味で使われて焦点を当てるようなものいる。
マルウェアの感染時やコンピューターが侵害

米国の国防関連ニュースサイトである Defense

を 受 け た 時 に 残 さ れ る 痕 跡（IOC：Indicators Of

One のインタビューに応えた DARPA のアンジェロ

Compromise）に基づいた従来のアトリビューショ

ス・ケロミティス（Angelos Keromytis）氏は、こンや防御手法には限界がある。例えばマルウェアのプロジェクトについてより平易な言葉で語ってや攻撃プログラムを例にしても、攻撃主体はプロいる。

グラムコードの一部を変更しただけで検知を回避

高度アトリビューションが目指すのは、攻撃主することが可能であり、現在の対策を能動的とは体者の特定だけでなく、攻撃の手口を共有し、将決して言えない。

来的に被害に遭う可能性がある組織などの予測であり、プロジェクトのポイントを例えるなら「弾攻撃主体者の仮想アイデンティティを丸だけを調べるのではなく弾丸を発射した銃その特定するものにも焦点を当てるようなもの」だと語っている。弾丸はマルウェアなどの比喩であり、銃は攻撃主体者の IT リソースを指している。

高度アトリビューションプロジェクトの目的の 1
つは現状の打開にあるという。DARPA が公開して興味深いのは、バンデージポイントとして想定いるプロジェクトの概要を見ると、上記問題の解しているものには PC やスマートフォン、さらに各決策として、さまざまな機器やバンテージポイン

種 IoT デバイスが含まれている点であろう。

ト（攻撃・防御に有効な観測点）を駆使して、そ11政府は訴追や経済制裁、公への情報開示などを行自らの手の内を明かさずにう。2014 年には中国軍関係者 5 名を、2016 年に対抗できるメリットもはイラン政府関係者 7 名をそれぞれ起訴している。
ただ、これらの措置には米国政府機関が秘密裏に前述のとおり、このプロジェクトの目標は、バ行った作戦やその手法といった自らの手の内を明ンデージポイントによる監視体制の確立と、監視かしてしまうというデメリットが伴っていた。

結果から得られた情報を元に攻撃主体者が狙う次

しかし、今回のプロジェクトが成功し、対象とのターゲットを予測する行動学的プロファイルをなる攻撃主体の活動の監視から攻撃などの予測が生成するアルゴリズム開発だ。

可能になれば、攻撃対象となりうる業界などに対DARPA では攻撃発生後にアトリビューションをしてより迅速に攻撃に関する周知や情報開示が可行うのではなく、能動的に攻撃主体者を監視して能になる。ケロミティス氏によれば、2020 年まで対策を進めることの方が重要だと考えている。

には最重要監視対象への攻撃主体を特定し監視で攻撃主体者の特定の結果、それが国家の支援をきることをプロジェクトの最終的なゴールに据え受けたハッカーグループだと判明した場合、米国ているという。

●参考 URL
Enhanced Attribution
https://www.fbo.gov/index?s=opportunity&mode=form&id=93c091efb6a2252556aa8530cdce71ed&tab=core&_cview=0The Pentagon Wants to ‘Fingerprint’ the World’s Hackers
http://www.defenseone.com/technology/2016/05/pentagon-wants-fingerprint-worlds-hackers/128024/12