進撃の巨人に学ぶITセキュリティ

皆さんこんにちは。長谷川まりです。

「進撃の巨人」TVシリーズの続編が、まもなく始まるそうです。この作品の世界には、人と、人を食べる巨人との間に巨大な壁があります。危険から壁を作って防御する世界観は、これまでのITセキュリティに通じます。今回は、「進撃の巨人」の世界に置き換えながら、ITセキュリティの在り方を考えてみたいと思います。

「進撃の巨人」は人を食べる謎の巨人のいる世界において、人類を守る壁の内側で生きる少年少女を題材にした作品です。巨人の絵の圧倒的に不気味な描写、戦闘シーンの迫力のほか、巨人が何者なのか、なぜ人を食べるのか、壁の外に人は存在しないのか、などの様々な謎が少しずつ明らかになる、そのミステリー要素も魅力的な作品です。

この物語における、巨人がいて危険な壁の外側、安全な壁の内側という構図は、私達の今のITセキュリティを支える境界防御モデルとよく似ています。巨人との戦いと、現代のサイバー脅威からITを守る境界防御モデルベースのITセキュリティ。それらを比較してみると、見直すべきポイントが見えてくるかもしれません。

まず、巨人と人類の間に作られたウォール・マリアという壁があります。これは危険ゾーンと安全ゾーンを分ける「境界」として機能していました。しかし人間は好奇心のある生き物で、壁の外の世界がどうなっているのかが気になります。完全に壁の外との接触を断つことをせず、巨人と遭遇するリスクを負いながら、壁外調査にあたる特殊部隊「調査兵団」を組織して壁に作られた門から何度も外に出ていくのです。門から出て行った調査兵団は、多くの犠牲者を出しながら何の収穫もなく帰還する、切ないシーンも描かれています。

さてITの世界では、この壁がファイアウォールで、調査兵団が出ていく門がファイアウォールで許可されている通信を通すゲートウェイです。門から出ていった調査兵団だけが門から帰ってくることが許され、外部の脅威である巨人はブロックできるというように、ファイアウォールは原則全ての通信をブロックし、外に出ていく通信とその応答通信だけが内側に戻れるという対策があります。ただしこれは万能ではありません。ルールやロジックに基づくチェックで「問題ない」とされた通信の中にも脅威が潜んでおり、取り除けない場合があるからです。この場合、いくら壁が強靭でも無力です。鎖の強さは一番弱いところで決まると言われているように、セキュリティ対策でもある程度高い壁を作ったら、他の弱点に目を向けなければなりません。

進撃の巨人の世界では、国を守る壁は1枚でなく、3枚あります。国の中心から外側に向かって、それぞれウォール・シーナ、ウォール・ローゼ、ウォール・マリアと呼ばれています。3枚の最も内側の壁、ウォール・シーナで守られているのが王都で、外側に近くなるほど、貧しい民が住む区域になります。最も外側の壁、ウォール・マリアには巨人がいる危険区域に出入りする、調査兵団のための門があります。つまり三層に区画を区切り、それぞれのフィルターにより危険が脅威の中心部へ到達するのを防ぐ設計です。また、壁に加えて駐屯兵団や憲兵団が安全確保や治安の維持を行います。

ITの世界、ネットワークセキュリティにおいても、データやシステムの重要度に合わせてゾーン（区画）を区切ります。絶対に外に出せない機密情報や、重要インフラのシステムを擁する「超重要資産ゾーン」、バックオフィス処理を行う「重要情報ゾーン」、インターネットにつながり組織外とコミュニケーションを取る「生産性優先ゾーン」、といった区分けです。そして、異なるゾーン間の通信はルーターやファイアウォールで制御しながら、各ゾーン内でもアクセス制御や監視を行います。それぞれのゾーンでの対策は、安全性、生産性、コストのバランスが適正であることが求められます。セキュリティ対策が事業の継続と成長を支えるものという原則のもと、一律的な厳しい対策による生産性の阻害や、過剰コストを避けるよう設計しなければなりません。

この物語では最初に「超大型巨人」が出現し、人類を守り続けてきた壁、ウォール・マリアが突き破られます。脆弱性の認知と対処ができていない状況での急襲という意味で、いわばゼロデイ攻撃とも言えます。超大型巨人は、50メートルある壁から頭が出るほどの大きさでした。壁の厚さが10メートルと強固だったため、壁自体が突き破られることは無かったものの、この超大型巨人が門をキックし弱くなったところを、硬い外装に覆われ運動能力が優れた「鎧の巨人」が体当りで突き破るという寸法です。その攻撃を受けるまで、人類が知っていた巨人はせいぜい3～10数メートルで、大きさやスピードの違いはあっても総じて知能が低く、門が脆弱点となることや道具（鎧の巨人）を使うことなど想定外でした。門が破られると次々に巨人が壁内に侵入し、住民や調査兵団に甚大な被害を与えます。ただ幸いなことにゾーニングが幸を奏し、2枚目の壁への侵入は食い止められました。破られた門も主人公たちの活躍により修復され、壁内の残りの巨人も掃討されました。多層的に防御策を施していたことが、最悪の事態に陥ることを防いだのです。

ITの世界でも同じように、サイバー攻撃者の攻撃手法は日々、進化しています。それに合わせて現状のサイバーセキュリティ対策も外部の脅威の変化に応じて有効性を定期的に再評価し、見直していかなければなりません。

また、サイバーキルチェーンという、サイバー攻撃者視点で見た目的達成までのプロセスがあります。ゼロデイ攻撃でネットワーク内への侵入や感染を許したとしても、その先の検知や封じ込めができれば被害を食い止めることができます。ゼロデイ攻撃が確認されると、脆弱性の修正パッチが大急ぎで作成されるため、できるだけ早くセキュリティパッチを当てる必要があります。

進撃の巨人の世界では、巨人になれる人間というのが存在します。普段は人間で味方のふりをし、必要なときに巨人に変身できるのです。彼らは壁の内側にいる人間のふりをし、さらに調査兵団という信頼のおけるグループに属していました。信頼された存在であることを利用して機密情報を入手し、国家存亡の鍵を握る主人公を連れ去ろうとします。

ITの世界でもまた、境界壁の内側の存在であることや所属グループによる「信頼」を攻撃者に利用されてしまうことが境界防御モデルの弱点として指摘されています。そこで注目されているのがゼロトラストの考え方です（参考：ゼロトラストとは？ゼロトラストの意味と実現イメージ ）。ゼロトラストでは、情報資産に接続許可をする前に端末の完全性（インテグリティ）を検証します。例えば、端末にTPM（Trusted Platform Module）という暗号鍵の保存と暗号計算ができるチップがついていれば、端末のストレージを暗号化した鍵を安全に保管しつつ、OSのブートレコード部分が改ざんされていないか、この端末は本当に会社で支給した端末か、といった要素を検証することができます。また、ユーザーの認証にも多要素認証を求めます。これだけにとどまらず、端末が接続しているネットワークのリスクや、セキュリティの実施状況などを隅々まで検査した上で信用度を評価し、情報資産へのアクセスの認可を行います。つまり、端末やユーザーのIDの検証を内部ネットワークからのアクセスからでも実施することで、情報資産を守ることができるのです。

このゼロトラストのアプローチを調査兵団に応用するなら、調査兵団に採用する際に身辺調査をより確実に行うことでしょう。本人が書いた履歴書ではなく、信頼できる第三者が発行した証明書を持っていること、改ざんできない仕組み（この物語の時代にはブロックチェーン技術は登場していませんが）が施された住民情報を参照すること、といったところでしょうか。個人情報監視の実態を描いたスノーデンの映画でも、アメリカ国家安全保障局による職員の身辺調査や、施設への入館時の持ち物チェックを行う様子が描かれていましたので、おそらく現実世界でも、同様のアプローチは取られているのかもしれません。

三層の壁でゾーンを作り、適切なセキュリティ対策を実装し、外壁をファイアウォールとして運用する教科書のような境界防御モデルを導入している進撃の巨人の世界。そして派手なゼロデイ攻撃や、スパイにより気づかれずに最重要資産を奪おうとする攻撃者、まさに私達のITセキュリティの現状のあり方と課題が投影されているようでした。今度のTVシリーズは守りというよりも、壁の外に出て反転攻勢を仕掛ける展開となるようで、もしかすると守り一辺倒ではなく、サイバー攻撃者に打ち勝つヒントがあるかもしれません。

出典：進撃の巨人(作者：諫山創、出版社：講談社)