ASIS/(ISC)2 Congress 三日目

薄雲はかかっているものの、今朝もいいお天気のアナハイム。朝の月は少しずつ欠け始めている。

そういえば、もう９月も最終日。これを書いている時点では、こちらも既に１０月になっている。いよいよ今年も最終コーナーである。

コンベンションセンターに行く途中で、この観覧車が見えるのだが、実はなにげに、ぷち絶叫系だったりする。内側のレールにぶら下がっているキャビンは、傾きがある程度になると、一気に動くから乗っていたらちょっと怖いだろう。

さて、今日で３日目のコングレス。今朝のキーノートは、元米軍トップの「将軍」様。（笑）ASISは、警察とか軍の大物をよくキーノートに呼ぶ。時々来る政治家も、どちらかといえば共和党系が多いという、結構保守派色の強い団体である。昨日も、「スノーデンは裏切り者だ」という一言で会場は大拍手になった。

さておき、今朝の話は、こんな感じだ。今日は安全保障をとりまく世界情勢のお話。冷戦時代に米軍が意識してきた相手は、もちろん旧ソ連だが、一触即発の事態を何度か経験しながらも、この両勢力が安定化させてきた。しかし、ソ連が倒れ、今のロシアは、そういう意味での影響力はずいぶん弱まった。一方で、中国が台頭をはじめ、あちこちで、つばぜり合いが発生している。もちろん、古来からこうした新興勢力の台頭は一時的に世界を不安定にしたが、それでもいずれ新しい秩序が生まれてきた。それは国家という統制の枠組みがある中での変化だった。時折起きる「世界大戦」の後、新しい秩序ができるというのは、ちょっと物騒な話ではあるのだが・・・。しかし、近年、アルカイダやISといったテロリストや、北朝鮮のような特異な国家がもたらすのは、単に混沌である。しかも、正面から攻撃を仕掛けてはこない。こうしたパラダイムの変化が、最も危険だと彼は言う。同時に、高価な武器を必要としない、サイバー攻撃の脅威も、従来からの戦略、戦術を大きく変化させる引き金になっている。米軍が、サイバー空間を第５の戦場と位置づけたのも、そういう意味合いからだ。また、従来以上に情報収集、インテリジェンスの重要性が高まっている。また、軍だけでの対応も難しくなっているから、官民挙げた協力体制が必須になってくる。・・・とまぁ、そういう流れの話である。

しかし、昨日の晩の騒ぎがたたって、今日は足首が痛い。軽く捻挫したような雰囲気だ。昨夜は感じなかったのだけど、今朝気がついたらそんな感じになっていた。足腰の筋肉も疲れが抜けていない。歩き回るのは辛いので、時間つぶしの展示会もそこそこに、ソリューションシアターなどに座って休憩する。

さて、今日の最初は、このセッション。

シマンテックのスピーカーによる、彼らの脅威レポートの解説である。最近の標的型攻撃の傾向を、ヨーロッパのエネルギー企業を狙った Dragonflyの例をあげて解説していた。最初のマルウエア感染のきっかけとなる攻撃攻撃には、フィッシングをはじめ、業界関連サイト改ざんによるドライブ・バイ・ダウンロード（いわゆる「水飲み場」攻撃）、業界関連ソフトウエアベンダーへの侵入とソフトウエア更新パッケージ改ざんによるトロイ化など、様々な手口が複合して使われている。この攻撃には特定の国家の関与がとりざたされるが、そうした相手の手強さを物語る内容である。２０１３年を境に、発見されるフィッシングメールの総数は減少傾向になっているが、一方で、フィッシング攻撃の数は層化しているという。ここにも、より標的を絞った攻撃傾向が見て取れる。情報漏洩系では、全体の４３％の事案が、その企業の取扱に問題があった「事故」である一方、４９％が外部からのサイバー攻撃によるものだという。いわゆるインサイダーによる犯罪の比率は８％だったそうだ。これも意外な数字だが、それが現実だというのもありうる話だろう。興味深い数字だったのが、従業員２５００人以上の企業の６社に５社が標的型攻撃を受けているというものだ。米国の数字で、さらには、ベンダー側の数字だと割り切って見ても、かなりの多さである。はたして、我が国の状況はどうだろうかというのが気になる。気がついてすらいないケースが相当ありそうな気もするのだが。

ランチタイムは、例によって儀式のため小一時間お預けを食らう。こればかりはあきらめるしかなさそうだ。

さて、午後からは IoT関連のセッションを二つ聞いた。最初の話では、DNSクエリの状況から見たIoTの広がりの様子が興味深かった。複数のISPへのクエリログから調べたのだろうか、家電など、様々な機器メーカードメインへの、デバイスからと見られるクエリが激増しているという。日本のPC周辺機器メーカーの名前も出てきた。最近、ストレージ製品などでクラウドと連動するものも少なくないが、こうした製品の機能をよく知らずに使っているケースも多く、大事な情報が知らない間に外部に保存されてしまっているケースも少なくないということである。こうした、DNSクエリを時々調べてみるのは、企業のセキュリティ管理にとっては重要だろうと思った次第である。マルウエアもDNSクエリを発生させる。外部への直接クエリを禁止して、内部側のDNSのログからドメインを集計してみるのも面白いだろう。

最後のセッションは、いかに脆弱なIoTデバイスが氾濫しているかという話。クライスラーの例を見るまでもなく、車もかなり危険である。このプレゼンで紹介されていた乗らない方がいい車のベスト５には、とある日本の自動車メーカーの人気車種も含まれていた。日頃から、「うちは大丈夫」と公言してはばからないメーカーだが、足下をすくわれないことを祈りたい。一方で家電や家庭用の機器の脆弱性の多さにはあきれるばかりである。脆弱な認証方式によって、パスワードの盗み取り、認証バイパスが問題になるケースや、利用者がデフォルトパスワードを変えないことが原因で（当然デフォルトは単純なパスワードや場合によってはパスワードが設定されていないケースも少なくない）機器が乗っ取られるケースなど。SHODANを使って、IoT系のパスワードがかかっていない機器を調べると、Webカメラやホームコントローラなどが山ほどひっかかるという。怖いのは、工業用のシステムや、様々なインフラ系のシステムまでもが、それにひっかかってくることである。状況は思った以上に深刻かもしれない。きちんとした安全基準を決める前に、カオスが発生しそうな悪寒がしたセッションである。

終わって外に出たら、抜けるような南カリフォルニアの青空が広がっていた。しかし、眠さと筋肉疲労のため、さっさと帰って一眠りすることにした次第。

日が落ちてから、またCOCOSに行って晩飯。ここのサラダは、向かいのファミレスほど大きくないので、とりあえず、サミュエル・アダムス２本とスープ＆サラダで晩飯にした。

帰ってまたごろごろして、夜中に起き出してこれを書いている。明日は最終日。午前中、全体セッションが３本ほどあってから、クロージングランチである。いよいよ最終日。そのあとは、週末までこのあたりで遊んで帰る予定だ。