言葉のはなし

最近あった、「バカな奴」発言にしても、おそらく本質はメディアや発言者の反対勢力が騒ぎ立てるのとは違ったところに存在しているのだろう。だが、それが文字になってしまった段階で、そんな経緯は消え去ってしまい、「バカ」という言葉に人々が持つ一般的なイメージだけが残ってしまうわけだ。

ITや情報セキュリティの世界でも、それは頻繁に起きる。特にここ10年くらいの米国発の「言葉」は必ず、日本で混乱を引き起こす。たとえばクラウドが直近では最大のものだろう。最近ようやく落ち着きつつはあるが、でも日本ではいまだに、欧米に比べると、クラウド＝IaaS的な感覚を持っている人が多い。だが、実はもともとSaaSのレイヤから始まった言葉なのではないかと私は考えている。

スマートホンにしてもそうだ。一見、解釈は揃っているように見えるが、そもそも、スマートホンとは何なのか・・・、では、いわゆるガラケーは「スマート」ではなかったのか。いまや、タッチパネルを持ち、四角くて手のひらサイズのスクリーンを持って、（某林檎系を除けば）Androidを載せたものでなければ、巷ではスマートホンとは言わないらしい。でも、機能的にはどうだろう。さらに、先日書いたようにその使われ方はどうだろうか。そういう意味では、クラウドにしても、スマホにしても、それが生まれてきた背景にはあまり関係なく、「流行り言葉」として使われていることは間違いないだろう。流行り言葉、とくにマーケティングタームとしての言葉には、それを使う人たちの思惑が見え隠れする。いわば呉越同舟で同じ言葉に相乗りしているのだから、その解釈がぶれまくるのは当然だ。

でも、それはそれでいいのかもしれない。ただ、言葉にこだわって本質を見落とすと大損をすることになる。以前、「雲をつかむ話」でも書いたのだが、その言葉が出てきた背景がかならずあるわけで、最初にその言葉を言い始めた人たちは、その先を見据えてそれを使っているはずだ。たとえ、それがマーケティングタームだったとしても、そこには彼らの戦略という本質がある。たとえば、クラウドの巨人と言われているいくつかの企業は、どこへ向かおうとしているのだろう。もちろん、それは世界を見据えての話であって、いまやグローバルにはあまり魅力的とは言えなくなってしまった日本市場を見たものではないかもしれない。グローバルな流れを追っているつもりが、結局はガラパゴスだった、なんてことにならなければいいのだが・・・、ついつい、そんな心配をしてしまう。でもまぁ、それはそれでいいのかもしれないが・・・。

しかし、ことが情報セキュリティとなると、少し話は変わる。ネット、すなわちサイバースペースには国境はない。つまり、ガラパゴスはありえないということだ。独自の生態系もあっという間に外来種に席巻されてしまう。いや、ネット全体が大きな、ひとつの生態系なのだから、否応なしにそれに組み込まれるしかないのである。ここでも外来語の混乱はある。最近流行りの「標的型攻撃」「APT」というような言葉だ。「標的型攻撃」は当初、「スピア型攻撃」とも言われていた。Spear つまり銛で魚を一匹ずつ狙ってしとめるように、標的を定めた（Targeted）攻撃のことである。その道具には、マルウエアが使われることが多い。それもそのためだけに作られたマルウエアである。もちろん、アンチウイルスソフトには、まずひっかからない。Spear = (Highly) targeted な attack ということで、「標的型」攻撃(Targeted Attack)という言葉が生まれてきたのだろう。つまり、一般的な言い方をすれば、従来のようなとりあえず手当たり次第に攻撃をするような、いわば興味本位の攻撃から、しっかり目的を持って標的を定めた攻撃に、「サイバー攻撃」の傾向が変化しているということだ。もちろん、その手段はマルウエアだけではない。これまでに、いわば実験され、実証されてきた、あらゆる攻撃手段が必要に応じて使われる。技術的な手段だけではない。たとえば、数年前に起きたGoogle中国撤退のきっかけとなった事件では、従業員がなんらかの手段で特定され、その従業員を狙って攻撃が仕掛けられたと言われている。つまり、サイバー攻撃の前段階ではきわめて古典的な形でのソーシャルエンジニアリング的手法も組み合わせて使われることが多い。今年あった、ロッキードへの侵入事件でも、某社のワンタイムパスワードトークンの問題が強調されがちだが、おそらくは特定個人のアカウントとワンタイムパスワードトークンを破るために、前もって個人が特定され、関連する情報が取得されていなければ出来なかったことではないだろうか。

ここまで書くと、おそらく、「それってAPTじゃん？」というつっこみが必ずはいるだろう。私の答えはYesだ、でもおそらく突っ込んだ人とは違う視点で言っている。正確に書けば、「その攻撃を行ったものをAPTと呼ぶ」となる。つまり、APT（Advanced Persistent Threatの頭文字）とは、攻撃方法について高度な知識を持ち、執拗に攻撃をしかけてくる「脅威」つまり、その攻撃を行っている者たちを呼ぶ言葉なのである。こうした事件でAPTと呼ばれているものの多くはどこかの国家（機関）を指す。要するに、そのレベルの（スパイ活動とか・・・）話なのである。もちろん、APTとなりうるのは国家だけではない。悪意のあるハッカー集団や犯罪組織などもその候補だろう。こうしたヒト・モノ・カネを揃えられる相手は、非常に大きな脅威だ。だからこそ、APTなる言葉を使って警戒を促すわけだ。

以上が私の、「標的型攻撃」「APT]に関する理解だ。読んだ皆さんの理解とは違うかもしれないが、私はこれが本質ではないだろうかと思っている。

しかし、言葉は難しい。「標的型」にしても「APT」にしてもその定義を議論する暇があったら対策を考えたいところだ。でも、言葉の定義がぶれていたら、対策なんて考えられ無いじゃなイカ！、というやはり鶏卵問題。クラウドとかスマホだって同じ。要は、世界はどっちに向かって動いているのか、そして我々はそれに対してどう動くのかが見えてさえいればどうだっていいのだが・・・・。

さて、もう寝よう・・・。