なお、前編となる『さらば愛しきわが家よ』ではインシデントの防止から侵入後の対応を中心としたサイバーセキュリティの考え方を、こちらもG(害虫)対策に見立てて紹介しています。こちらもぜひご一読ください。
◆
今夜の死闘が、ようやく終わった。
スプレーをはじめとした装備は、たしかに使いこなせるようになった。それでも、奴は来る。
戦い終えるたびに、同じ感触が残る。何かが足りない。足りないのは道具ではない、考え方だ。
私はずっと、「家かそれ以外か」で考えてきた。外で止める、入られたら仕留める。そのやり方に、どこかで安心していた。甘かった。
部屋の中に、すでに奴はいる。家のどこにでも、いつでも。そう想定しなければ、この戦いはもう保たない。
◆
汗が引かないうちに、ノートを広げて、次にやるべきことを書き出した。
まず、部屋を分ける。リビング、寝室、キッチン、風呂場。すべて独立した「戦場」として扱う。廊下もドア下の隙間も、奴の通り道になりうる。明日から、隙間テープを端から端まで貼る。
キッチンだけは聖域だ。食料が集中している。仮にリビングに入られても、キッチンには絶対に辿り着かせない。横に這わせない。これは、鉄則にする。
◆
目も増やす。
UVライトを手に、深夜の巡回を始める。部屋の隅、家具の裏、冷蔵庫の下。フン、体液、通り道の痕跡。正直、見たくない。本当に、見たくない。だが、見なければ気付けない。
一点を凝視するのではなく、家中に目を行き渡らせる。
◆
本当は、自動化したい。奴を検知した瞬間、私が動く前に、すべてが終わっている。そんな仕組みが欲しい。
だが今夜も、私はスプレー片手に廊下を走った。悲鳴とともに。
私の精神は、とうに限界だ。
◆
奴の「好物」も、片端から奪う。
段ボール、生ゴミ、水回りの湿気。奴が使えるものは、残さない。段ボールは届いたその日に畳んで捨てる。箱の隙間には孵化する前の奴の卵が潜んでいる。見えないまま、すでにそこにいる。シンクの水滴は、使うたびに拭く。生ゴミは密閉容器へ。必要なものだけ、必要な時間だけ。それ以外はゼロ。
それでも、奴はくぐり抜けてくる。だから、家じゅうに粘着の罠を分散配置する。通り道になりそうな場所に、余さず。踏み込まれても、そこで止める。
◆
そして、すべての出入口に、もっと厳しい門番を置きたい。人間は通す。奴は通さない。体格も、動き方も、すべてを照合して判別する、絶対に間違えない門番。
だが、そんな門番はまだ、どこを探しても見つからない。ここがいちばんの要だというのに、最後のピースが、どうしても埋まらない。
◆
そして、大群が来たら。
ノートの最後のページには、先日と同じ一行だけを残した。
家を捨てる。
すべてを守ろうとすれば、すべてを失う。切れるものを切って、価値あるものを残す。それだけのことだ。
◆
ノートを書き終えて、リビングを見回した。最後まで隣で見守っていた次男が、私の手元を覗き込んで言った。
「おかあさん、今度は家じゅう、テープと罠だらけになるの？」
私は何も答えなかった。
ただ、口角が少し上がった。
先のストーリーは、サイバーセキュリティにおける「ゼロトラスト」の考え方を、G(害虫)対策に見立てて描いたものです。対応関係は以下の通りです。
※本記事におけるG対策とサイバーセキュリティの対応関係は、セキュリティ対策の基本的な考え方をわかりやすくお伝えするための例えです。実際の技術や対策と厳密に一対一で対応するものではない点をあらかじめご了承ください。
ネットワークの内側だから安全、という前提を捨て、すべてのアクセスを検証対象とする考え方です。境界型防御(前回の「外壁」)が突破された経験をふまえ、「あらゆる場所にすでに脅威が存在する」と想定して設計・運用します。NISTのゼロトラスト・アーキテクチャ(SP 800-207)は、暗黙の信頼を排除することを基本原則として示しています。
システムを細かい区画に分け、区画間の通信にポリシーを適用する考え方です。一区画が侵害されても、別区画への横移動(ラテラルムーブメント)を防ぎます。キッチン(＝重要資産)をより厳密に分離するように、資産の重要度に応じて粒度を調整することもポイントです。
各端末(エンドポイント)の挙動や環境全体を常時監視し、侵害の痕跡(IoC：Indicator of Compromise)を検出する仕組みです。
EDR(Endpoint Detection and Response)は、PC・サーバーなど端末の挙動を常時記録し、不審な振る舞いを検知・隔離・追跡する仕組みです。従来のアンチウイルスが既知の脅威の検出を主とするのに対し、EDRは挙動ベースで未知の脅威にも対応しやすい点が特徴です。
SIEM(Security Information and Event Management)は、ファイアウォール、認証基盤、各種サーバーなど広範な機器からログを集約し、相関分析によって単体のログでは見えない攻撃の兆候を可視化する仕組みです。
一点集中ではなく、分散配置と継続的な観察によって「すでに侵入されている前提」を運用に落とし込みます。
SOAR(Security Orchestration, Automation and Response)は、検知から初動対応までを、あらかじめ定めた手順書(プレイブック)にもとづき自動化する仕組みです。SIEMなどが検知したアラートを起点に、関連情報の収集、関係者への通知、端末の隔離といった一連の処置を自動実行します。手動対応は確実に運用者を疲弊させます。現実には、定型的な対応から段階的に自動化していくのが落としどころとなります。
脅威が利用できるリソースや権限を、必要最小限に絞り込みます。外部に露出する攻撃可能な場所そのものを減らす(アタックサーフェスの縮小)のが前者、アクセスできる範囲と時間を必要最小限に絞るのが後者です。「必要なものだけ、必要な時間だけ」は、最小権限の原則(Principle of Least Privilege)やジャストインタイムアクセス(必要なときに一時的だけ権限を付与する方式)の考え方に重なります。
侵入を完全に防ぎきれない前提に立ち、内部での拡散を止めるための仕掛けです。マイクロセグメンテーションが区画間に築く「壁」だとすれば、こちらは区画内に配置する「足止め」や「仕掛け線」にあたります。具体的には、EDRによる不審挙動の自動遮断などが該当します。区画を跨がない侵害にも気づき、止める層として機能します。
IDaaS(Identity as a Service)は、ユーザーのID管理、多要素認証(MFA)、シングルサインオン(SSO)、アクセス制御などの機能をクラウドで一元的に提供するサービスです。「人間は通す、Gは通さない」を、認証基盤として実現する役割を担います。ゼロトラストでは、ネットワーク上の位置ではなくID(誰が・どの端末から・どのような状態で)を検証の起点とし、アクセス許可/禁止を都度動的に判断します。ゼロトラストの要です。
セキュリティを強化するほど、現場の使い勝手は損なわれがちです。どれほど整った仕組みも、利用者が継続的に受け入れられなければ定着しません。家族の素朴な一言は、セキュリティ設計における貴重なフィードバックにもなりえます。
前回と同様、分散型サービス妨害攻撃への最終対応です。ゼロトラストを徹底しても、想定以上の攻撃には対処が困難です。事業継続計画と組み合わせて考える領域です。
完璧な対策は存在しません。前提を疑い、区画を分け、観察を続け、権限を絞る。ゼロトラストは「都度、信じられるかをチェックする」を設計に組み込む思想です。
NIST SP 800-207「Zero Trust Architecture」(米国国立標準技術研究所)
ゼロトラストの原則と構成要素を定義した原典。
CISA「Zero Trust Maturity Model Version 2.0」(米国CISA、2023年)
5つの柱(Identity／Devices／Networks／Applications and Workloads／Data)と4段階の成熟度で整理した実装ロードマップ。
IPA「ゼロトラスト移行のすゝめ」(産業サイバーセキュリティセンター中核人材育成プログラム5期生、2022年)
国内組織の実態を踏まえた移行の進め方とソリューション導入順序の解説。
情報系・制御系システムへの導入検証を含む構成要素の解説。
経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」
経営者に向けた指針。Ver 3.0でゼロトラストに初めて言及。
セキュリティの知識は、難解な技術書の中だけにあるわけではありません。日常生活や日々の業務のなかで「この考え方や対策で、本当によいのか」を問い直していく姿勢こそが重要です。
現実のセキュリティ対策では、刻々と変化する状況に対して「どこまで信頼するか」「何を都度確認するか」といった判断を都度下していく力が必要とされます。こうした判断力は、個別の知識を断片的に拾い集めるだけではなかなか養えません。セキュリティの考え方と知識を幅広く体系的に学ぶことで、はじめて確かな判断軸として身についていきます。
トレノケートでは、そうした学びを支える研修コースの提供や情報発信を行っています。
関連コース：
情報セキュリティ対策 技術概要編 〜セキュリティを支える基礎技術〜
関連記事：
情報処理安全確保支援士（登録セキスペ）の次の一手：CCTで“現場感覚”を身につける