ロブ・アインスコフ (00:00:00,080 – 00:00:12,400)
マンディアントのプラクティスリーダーであるクリス・リンクレイターは、インフラストラクチャとサイバーセキュリティの分野で長年キャリアを積んできました。現在は、Googleに買収された大手サイバーセキュリティ企業であるマンディアントで、インシデント対応とセキュリティ変革の取り組みを主導しています。
クリス・リンクレイター (00:00:12,400 – 00:00:19,120)
組織を支援する際の復旧という側面は、実に興味深いものです。単に既存の技術を復旧させるだけにとどまりません。
ロブ・アインスコフ (00:00:19,200 – 00:00:24,320)
今回のエピソードでは、本人確認が失敗した場合に何が起こるのか、そしてほとんどの情報漏洩がどのように始まるのかについて詳しく見ていきます。
クリス・リンクレイター (00:00:24,520 – 00:00:29,960)
今年、史上初めて、ビッシング（音声フィッシング）が従来の電子メールベースのフィッシングを上回った。
ロイ・アッカーマン (00:00:30,040 – 00:00:39,920)
攻撃者はもはや私たちが考えるような方法で侵入してきません。クリスは、IDがいかにして静かに最も容易な侵入経路となり、そしていかにそれを完全に保護することが最も難しいものになっているかを解説します。
クリス・リンクレイター (00:00:40,160 – 00:00:51,120)
攻撃者が単にログインするのとほぼ同等の初期侵入経路はいくつか存在する。攻撃者は何らかの方法で認証情報を入手し、そのままログインしてしまうのだ。
ロイ・アッカーマン (00:00:51,760 – 00:00:55,520)
「アイデンティティこそが新たな境界線だ」という決まり文句は、誰もが耳にしたことがあるだろう。
ロブ・アインスコフ (00:00:55,760 – 00:00:57,440)
攻撃者は侵入するのではなく、ログインするのだ。
ロイ・アッカーマン (00:00:57,720 – 00:01:03,360)
ええ、でも、実際のところ、身元情報セキュリティの分野では何が起こっているのか、そしてなぜなのか？そこが曖昧になるところです。
ロブ・アインスコフ (00:01:03,920 – 00:01:14,480)
だからこそ、私たちはこの番組を制作しました。これが「アイデンティティ・デコード」です。アイデンティティセキュリティにおいて何がうまくいっていて、何がうまくいっていないのか、そしてどうすれば成功できるのかについて、率直な議論を交わしていきます。ロブでした。
ロイ・アッカーマン (00:01:14,960 – 00:01:16,640)
ロイです。早速始めましょう。
ロブ・アインスコフ (00:01:16,920 – 00:01:17,440)
やってみましょう。
ロイ・アッカーマン (00:01:23,760 – 00:01:24,560)
ようこそ、クリスさん。
クリス・リンクレイター (00:01:24,800 – 00:01:26,240)
こんにちは、私を持ってくれてありがとう。
ロイ・アッカーマン (00:01:26,640 – 00:01:41,920)
お時間を割いていただきありがとうございます。世界情勢、AI時代のインシデント対応など、多忙な日々を送っていらっしゃることは承知しております。ぜひあなたの経歴について少しお聞かせいただければ幸いです。もし、それに関連する情報があれば、なお良いでしょう。
クリス・リンクレイター (00:01:42,280 – 00:01:54,240)
まず最初に、出演させていただきありがとうございます。ちょっと羨ましいです。皆さんが座っているスタジオはとても居心地が良さそうですね。私は今、自分のオフィスにいます。次回はぜひ直接お会いしてやりましょう。
ロイ・アッカーマン (00:01:54,240 – 00:01:55,280)
あなたのオフィスで。
クリス・リンクレイター (00:01:55,280 – 00:02:21,200)
少し自己紹介をさせてください。私はMandiantに勤務しており、インシデント対応の修復とセキュリティアーキテクチャの実践を主導しています。具体的には、インシデントが発生すると、何が起こっているのかを解明しようとするフォレンジックチーム、法務チーム、危機管理広報チームなど、多くのチームが関わりますが、私たちのチームはインシデントの封じ込めを支援する役割を担っています。
ロブ・アインスコフ (00:02:21,440 – 00:02:21,560)
うわー。
クリス・リンクレイター (00:02:22,160 – 00:02:38,720)
そして、組織が実行できる具体的な対策を講じることで、将来同じことが再び起こる可能性を低くするのです。ご想像のとおり、私たちはこの時代、非常に忙しい日々を送っています。とても楽しい日々です。
ロブ・アインスコフ (00:02:39,040 – 00:02:50,160)
すごいですね。どうやってその仕事に就いたんですか？ 色々なクライアントとのトラブルで常に火の海に向かっているようなもので、すごくストレスが溜まるでしょうね。クリスさん、どうやってその仕事に就いたんですか？
クリス・リンクレイター (00:02:50,640 – 00:02:55,760)
ええ。つまり、インシデント対応って、ストレスのかかるプロジェクト管理みたいなものですよね？
ロイ・アッカーマン (00:02:57,360 – 00:02:59,280)
それは本当だ。誰もそれを認めようとしないが。
クリス・リンクレイター (00:02:59,280 – 00:03:17,040)
締め切りは迫っています。これはインシデント対応に限らず、サイバーセキュリティ関連のあらゆることに当てはまるかもしれません。でも、私の経歴はIT運用とエンジニアリングなんです。つまり、IT業界で長年働いてきた結果、どういうわけかマンディアントでこの役割を担うことになったわけです。そして、とても楽しいです。
ロイ・アッカーマン (00:03:17,360 – 00:03:43,120)
まず、議論の土台作りとして、興味深いと思った点をお伝えします。セキュリティ対策がすべて失敗し、組織がハッキングされて情報漏洩に見舞われた状況で、組織を救済するだけでなく、復旧作業やシステム再構築、再発防止策の策定にも携わっているのですね。つまり、信頼関係やシステム、プロセスの再構築を支援しているということでしょうか？
クリス・リンクレイター (00:03:43,280 – 00:04:53,560)
ええ、組織を支援する復旧という側面は、実に興味深いですよね。誰もが、ワークステーションやサーバーを再構築する必要があると考えますが、それも確かにその一部です。しかし、既存のテクノロジーを復旧するだけではなく、それ以上のものがあります。事業の再開を支援するプロセスがあります。そして、最も難しいのは最後の部分、つまり、この恐ろしい出来事を経験した組織と再び取引しても安全だと、他の組織に信頼してもらうことです。組織がインシデントに見舞われると、まず最初に、すべてのビジネスパートナーが身を守るためにその組織との接続を切断します。これはごく自然なことです。私たちが直面する課題は、いつ再接続すれば安全に取引できるかという、あらかじめ定義された基準がないことです。そして、どの組織も、再接続しても安全だと判断する独自の基準を持っています。ですから、私たちはその部分についても組織を支援しています。それは、一見すると最も簡単なことのように思えるかもしれません。「電源を戻してくれればいいんだ」と。しかし、この組織と取引するのは安全なのか？どのような保証を提供できるのか？といった多くの検討が必要です。しかし、彼らと再び取引するのは安全です。
ロイ・アッカーマン (00:04:54,000 – 00:05:26,080)
市場には、真実かもしれない決まり文句がいくつかあります。私にはわかりません。あなたの意見を聞けると嬉しいです。それが真実だと思うかどうか教えてください。Mandiant も、あなたが見ているものすべてに基づいてリスク レポートを持っていることは知っています。何千もの組織、何千ものインシデント。1 つ目は、ハッカーがログインを破っていないということです。おそらくあなたはこれを何千回も聞いたことがあるでしょう。そして 2 つ目は、インシデントの 80% は侵害された ID に基づいているか、少なくともどこかの時点で侵害された ID を経由しているということです。
クリス・リンクレイター (00:05:26,480 – 00:06:29,040)
ええ、確かに最初のことは間違いなく起こりますよね。Mandiant は毎年 M-Trends というレポートを発表していますが、これは基本的に前年を振り返り、すべてのトレンドと変化しているもの、場合によっては変わらないものすべてを分析したものです。そして、私たちが目にしていることの 1 つは、攻撃者が単にログインするだけの、いくつかの初期侵入ベクトルが存在するということです。これは、再利用された認証情報、盗まれた認証情報、フィッシングされた認証情報である可能性があり、また、今回初めて、ビッシングまたはボイス フィッシングが従来の電子メールベースのフィッシングを初めて上回りました。ですから、私はこれらのカテゴリすべてを、攻撃者が何らかの方法で認証情報を見つけて、単にログインするという考えに含めています。エクスプロイトは依然としてナンバーワンです。攻撃者が侵入する方法としては長い間ナンバーワンでしたが、単にログインするだけのものが年々それに追いついてきていると言えるでしょう。
ロイ・アッカーマン (00:06:29,560 – 00:07:05,680)
最初のゲートが突破されたんですよね？パスワードで人が侵入したり、悪者が戻ってきたりするのを防げると信じていました。インシデントはここから始まりますが、ネットワーク内で多くの横方向の移動や混乱が発生した後に呼ばれるわけではありませんよね？誰かが侵入した瞬間に招待されるわけではないでしょう？では、キルチェーンやインシデント対応チェーンにおける、あなたとあなたのチームが通常呼ばれる典型的な時間枠について説明していただけますか？おそらく時間範囲は広いと思いますが。
クリス・リンクレイター (00:07:05,760 – 00:07:44,800)
早ければ早いほど良いのですが、残念ながら、私たちが通常たどり着くのは早い段階ではありません。ですから、私たちが呼ばれるのは、脅威アクターがデータ流出、損害の引き起こし、あるいは単に裏で監視するスパイ活動など、何らかの目的を達成した後であることがほとんどです。つまり、私たちが現場に到着するのは、私たちが望んでいたよりも遅い段階であり、攻撃ライフサイクル、あるいはキルチェーン（どちらの用語を使うかは人それぞれですが）の終盤に差し掛かっていることが多いのです。
ロブ・アインスコフ (00:07:45,120 – 00:08:15,280)
おそらくあなたは「これを説明するのは難しい」と言うでしょうが、つまり、あなたは自分が望むよりも遅れてこれらの問題に関わることになると言っているのですね。それは、企業が自社のネットワークやシステムで何が起こっているのかをまだ検知して理解できていないからでしょうか？それとも、企業は何かを認識していても、迅速に対応できず、あなたの助けが必要になる状況に陥ってしまうからでしょうか？つまり、攻撃者が目的を達成しようとしている段階のかなり遅い段階になってから、つまり、攻撃が最終段階に入ってから、なぜあなたが呼ばれることになるのでしょうか？
クリス・リンクレイター (00:08:16,400 – 00:09:02,640)
つまり、多くの組織は、何か悪いことが起こるまで、侵害されていることに気づかないと思います。破壊的な攻撃は分かりやすい例です。なぜなら、何かがうまく機能していることは誰にでも分かるからです。これは非常に単純明快です。しかし、私たちがますます目にしているのは、破壊的な攻撃ではなく、データ流出に基づく攻撃です。そして、脅威アクターがDLS（ダウンロード恥辱サイト）と呼ばれるサイトにデータを投稿するまで、ネットワーク内部からデータが流出したことに気づかない組織も数多くあります。そして、その時点で初めて、「まず、実際にデータが流出したのかどうかを調べなければならない」と気づくのです。そして、その答えがイエスだと分かったら、「では、どうやって流出したのか？」と調べなければなりません。そして、まさにその時に、私たちの出動依頼が来ることが多いのです。
ロブ・アインスコフ (00:09:02,920 – 00:09:47,520)
そして、それはアイデンティティの観点からすると本当に恐ろしいことだと思います。なぜなら、アイデンティティ関連の仕事をしている人々と話すと、彼らは最も重要なこと、つまり最高レベルの権限、ドメイン管理者、バックアップ管理者、ハイパーバイザー管理者などに非常に注目しているからです。そして、それらは非常に重要ですよね。私はそれらが重要でないと言っているわけではありません。しかし、あなたが話していることで恐ろしいのは、データセットへの比較的無害なレベルのアクセス権限で、攻撃者が目的を達成し、金銭的な利益を得ることができる可能性があるということです。そして、それはアイデンティティの観点からするとかなり恐ろしいことです。なぜなら、先ほど特権アクセスとは何かについて話したからです。特権とは何でしょうか？企業に潜入してしまえば、そのような攻撃を行うのにそれほど多くの特権は必要ありません。そして、それは非常に恐ろしいことです。
ロイ・アッカーマン (00:09:47,840 – 00:10:16,640)
確かにそうですが、別の角度から考えてみたいと思います。例えば、この攻撃に対処するための戦術室や戦術テーブルにおいて、IAMはどのような役割を担うのでしょうか？単にセキュリティチームからの指示を受けているだけなのか、それとも被害を軽減、あるいは少なくともより迅速に限定するために、何か他に貢献できることがあるのでしょうか？皆さんはどうお考えですか？あるいは、実際にどのように対応されていますか？
クリス・リンクレイター (00:10:17,680 – 00:10:54,880)
ええ、つまり、破壊的な攻撃が減少し始めたのに、恐喝は同じペースで続いているのを見て、私が自問し始めたのは、「何がその原因なのか？」ということでした。そして、私が何度も立ち返る一つの点は、データを盗むための参入障壁が非常に低いということです。あなたの指摘の通り、仮に人事部の採用担当者のアカウントを持っていれば、おそらく相当量の人事データにアクセスできるでしょう。それは、従来のIT用語で言うところの特権アカウントではありません。
ロブ・アインスコフ (00:10:55,120 – 00:11:29,680)
そうですね。そして、そういった攻撃の中には、ほとんど技術的な知識を必要としないものもあると思います。例えば、多数のアプリケーションにリンクされているクラウドIDPに対して認証情報を入手したり推測したりして、いろいろとクリックしていくと、いずれ何らかの情報にアクセスできるでしょう。そして、おっしゃるように、コピーしたり、生成されたCSVファイルをエクスポートしたりできるような興味深い情報にたどり着くでしょう。ここまで、特に技術的なことは何もしていませんよね？その攻撃の参入障壁は、コンピュータとインターネット接続だけです。実に恐ろしいことです。
ロイ・アッカーマン (00:11:29,840 – 00:11:39,760)
だから攻撃者はアイデンティティを非常に好むのだと思うんです。つまり、爆発したり何かをしたりすることなく、想像もできないような力を実際に手に入れることができる、という考え方ですね。
ロブ・アインスコフ (00:11:40,000 – 00:12:39,280)
インシデント対応で私がいつも興味をそそられるのは、これまで取ってきた対策が、ほとんどアイデンティティの観点から取られていなかったように感じられることです。ホストを隔離したり、ネットワーク構成を変更したり、ロックダウンしたり、接続を遮断したり、過去にはアイデンティティ以外のあらゆる手段でビジネスに大きな変化をもたらすようなことをしてきたのです。アイデンティティツールでさえ、大量の無効化や権限の大量削除などに使われてきましたが、それはまるでハンマーのようなものです。インターネットとの繋がりを断ち切るようなもので、農業的という言葉を使おうかと思いましたが、それは少し不公平だと思います。つまり、それが使えるツールではありますが、アイデンティティが主な手段である場合、復旧に関してより外科的なアプローチを取るにはどうすればよいか、という点が興味深いところです。なぜなら、それがあなたにとって重要な点だと思うからです。ビジネスに必要以上に影響を与えたくはありませんが、同時にこの事態を封じ込めなければなりません。そこには興味深い緊張関係があります。
クリス・リンクレイター (00:12:39,680 – 00:13:45,280)
これは非常に緊張感のある状況です。特に、特定のアイデンティティがどのようなビジネス機能に役立つか、あるいは役立たないかという概念を必ずしも持っていない組織では、緊張感が高まります。通常、人間のアイデンティティは、1人の個人に割り当てられた1つのアイデンティティであるため、非常に便利です。アイデンティティを変更した場合、誰に影響を与えるかは明確です。しかし、サービスアカウントや非人間のアイデンティティの領域に入ると、アカウントを無効化したり、アカウントの権限を剥奪したりすると、何らかのビジネス機能が停止してしまうのではないかという大きな不安が生じます。一部のビジネスでは、それで問題ないかもしれません。しかし、産業制御システムや製造業、医療などの分野では、アイデンティティをオフにすると、生命に関わる重要なサービスが停止してしまう可能性があります。そして、このような状況では、環境に存在するアイデンティティについてより多くの情報を持っているほど、より的確に対応でき、より良い結果につながることは明らかです。
ロブ・アインスコフ (00:13:45,600 – 00:13:46,120)
同意する。
ロイ・アッカーマン (00:13:46,120 – 00:14:43,360)
ええ、つまり、封じ込めと、攻撃者が広範囲に移動したりエスカレートしたりする能力を阻止することの間に、ある種の分離を作り出しているわけです。もちろん、私の意見に異論がある方もいるでしょう。最初の段階では、侵害された、あるいは侵害されたIDを取り上げ、正当なマシンや人物が引き続きそれを使用できるような方法でそれを制限しようとしています。つまり、生命に関わる重要なミッションがそこで実行されている場合などは、それは継続されますが、攻撃者は侵入できないか、少なくとも非常に制限されます。つまり、封じ込めて拡散を防ごうとしているのです。そしてもう一方では、攻撃者の次のステップが本当に成功しないようにしようとしています。あるいは、これは単純化しすぎているかもしれません。IAM主導のミッションに絞って説明しようとしているだけです。
ロブ・アインスコフ (00:14:44,160 – 00:15:35,360)
今おっしゃったことで本当に興味深いのは、このアカウントで何ができるのか、ビジネスにとってどのような意味を持つのか、そして、それは許容できるのか、といった封じ込めと復旧における同じ緊張感です。それは、積極的にコントロールを導入しない理由と同じ緊張感です。サービスアカウントが何をするのか分からないので、触らない。ビジネスを守ろうとするあまり、ビジネスのために何かを壊してしまうことを恐れている。そして、まさにその緊張感は興味深いものです。しかし、アイデンティティの観点から、ビジネスを継続しながら、より外科手術のように封じ込めるために欲しいツールや手段はありますか？つまり、今日のほとんどの企業にはない、欲しいものは何ですか？
クリス・リンクレイター (00:15:35,440 – 00:16:27,040)
私の希望リストは恐らくいつも非常に長いです。そして、先ほども言ったように、セキュリティに関する悪いことはすべて、休暇中または休暇に出かける金曜日に起こります。もう一つの普遍的な真実は、IDを含む自社の資産を理解するための基本的な仕組みが整っている組織は、そうでない組織よりもインシデント発生時に常に有利であるということです。これは決して変わらない真実です。ですから、組織が緊急時に連絡してきたときに私が常に期待しているのは、すべての資産が何であるか、いくつあるか、それらのIDが何にリンクしているか、このサービスアカウントがオフになった場合にどのアプリケーションがダウンするかなどについて、非常によく理解していることです。私たちは、世の中に何が存在するのかさえ認識していません。
ロブ・アインスコフ (00:16:27,280 – 00:17:32,320)
ええ、私も全く同感です。予防的にも、事後的にも、基礎となるものです。私が話をする多くの企業にとっても、依然として課題となっています。しかし、私は、ある種の制御の観点から、そして横方向の移動やアイデンティティを通じた移動の可能性について考えると、それは多くの場合、権限によってのみ制限されていると思います。つまり、権限はどの程度広範囲で広範であり、それが環境内での横方向または縦方向の移動をどのように制限または促進するのかということです。そして、権限は最良の場合でも扱いが難しい厄介なものなので、これは難しい状況です。私はネットワークと、ネットワークを使用して移動と移動の可能性を制限する方法について考えます。そして、ネットワークが移動の手段であるという概念は、アイデンティティに本当に移行しており、このアイデンティティはこのようにしか移動または使用できないというレバーをどのように持つかということです。これは、アイデンティティを通じてこれらの問題から外科的に回復するための非常に重要なイネーブラーです。
ロイ・アッカーマン (00:17:33,280 – 00:18:02,400)
つまり、特定の状況下でのレバーについて話しているのですよね？システムが侵害されたのですが、おそらく攻撃者にとって有利なポイントがいくつかあったり、脆弱性があったり、設定ミスがあったりといった理由で構築されていたのでしょう。レスポンダーとして、各IDを完全に制御し、いわば中間的な立場になって、何かを実行できるかどうか、できるかどうかを判断したいのですよね？システムがどのように構築されているかは関係なく。
クリス・リンクレイター (00:18:03,600 – 00:18:39,240)
ええ、つまり、私たちはこの用語を常に使っていますが、アイデンティティのセグメンテーションがないネットワークセグメンテーションは根本的に無意味ですよね？境界を越えるかどうかは、アイデンティティによって決まることが多く、例えば「この特定のプロトコルを2つの異なるデータセンター間でブロックします」といった単純なものではありません。実際には、両方のデータセンターでどこでもログインできる必要があります。ですから、アイデンティティをセグメント化しない場合、これまで行ってきたネットワークセグメンテーションの作業が必ずしも無駄になるわけではありませんが、この2つの概念を一緒に実行した場合ほど効果的ではないことは確かです。
ロイ・アッカーマン (00:18:39,680 – 00:18:50,800)
組織間で共通する点、あるいは少なくとも共通する傾向についてお伺いしたいのですが、それらの組織、あるいは多くの組織が、攻撃者が悪用するアイデンティティ管理に関して、どのような点を見落としているのでしょうか？
クリス・リンクレイター (00:18:51,200 – 00:19:55,680)
ご存知のとおり、一番重要なこと、あるいは一番重要なことではないかもしれませんが、ますます増えている傾向として、グループを制御する能力が挙げられます。組織は常に、ID 用にグループの概念を作成しています。このグループの人々は、この 1 つのことを行うことができます。このグループの人々、またはこの ID のグループは、特定のことを行うことができます。しかし、彼らがあまり考慮していないのは、そしてこれは根本的に単純なことのように聞こえますが、私たちは常に目にしているのですが、グループ内のものを誰が制御できるかということです。私たちが常に目にするのは、通常のヘルプデスク管理者のような低い権限レベルのアカウントですが、そのヘルプデスク管理者がドメイン管理者にアカウントを追加する権限を持っている場合です。つまり、グループは完璧に設定され、権限も適切に委譲されています。しかし、グループメンバーシップを操作する権限を誰が持つかを決めていないため、困難な状況に陥ります。これは、従来の IDP グループだけでなく、特権アクセス管理システムでも常に発生しています。
ロブ・アインスコフ (00:19:55,840 – 00:20:51,600)
全く同感です。私も自分の職場で同じような経験をしました。本当に大変でした。まずActive Directoryの委任をすべて確認し、次にクラウドにアクセスして、誰が他の人に代わってパスワードをリセットする権限を持っているかを調べました。何人いるか。当時私たちが誇りに思っていたよりもはるかに多くのアカウントが対象となり、非常に多くの異なるアカウントが対象となりました。なぜなら、ヘルプデスクのアカウントが他の特権アカウントをリセットできる場合、それはデフォルトで他の特権アカウントであると想定しなければならないからです。特権グループをアカウントに追加する権限を持つのは誰か。その制限は何か。非常に詳細な作業になりますが、非常に重要なことです。しかし、多くの企業はこのことについて話したり考えたりしていません。なぜなら、これはあまりにも難解な問題で、じっくり考えるのが難しいからです。しかし、リスク管理においては非常に重要なことなのです。
ロイ・アッカーマン (00:20:51,600 – 00:21:08,400)
ベストプラクティスは何ですか? セキュリティの観点から言うと、記録を破った企業を見たことがあります。それは、またしても第4世代の企業で、仮にフォーチュン20にランクインする企業です。ええ、数えきれないほどの従業員を抱え、グループ数も同じくらいの企業です。クレイジーに聞こえますよね? だから、
ロブ・アインスコフ (00:21:08,400 – 00:21:56,320)
難しいのは、それが珍しいことではないということです。そして、人々は「ああ、ネストされた変更が行われ、突然、私たちが知らなかったすべての権限が発生し、それを見つけることができて幸運でした」と言うときに驚きます。そして、あなたはこう思います。「これは…これは私たちが制御する必要がある主要なものではありませんよね？複雑すぎます。25 年、30 年にわたってビジネスを運営してきた中で再び構築されました。ビジネスに何か壊してしまうかもしれないので、触るのが怖すぎます。しかし、次に何をすればいいのでしょうか？ご存知のように、それが効果的でない場合、ユーザー名とパスワード認証、静的権限が常に有効になっている特権アカウントがあります。私にとって、それは緩い権限制御と簡単に悪用できるアカウントという最悪の組み合わせのようなものです。それは危険に感じます。
クリス・リンクレイター (00:21:56,880 – 00:21:57,440)
絶対に。
ロブ・アインスコフ (00:21:57,440 – 00:22:00,000)
しかし、それが悪用される点なのでしょうか？攻撃者が狙っているのはまさにそれなのでしょうか？
クリス・リンクレイター (00:22:00,920 – 00:22:32,080)
いつもそうですよね？そして、その多くは、コンプライアンス重視の考え方を持つ組織が多いことに起因しています。コンプライアンスでは、アプリケーションにロールベースのアクセス制御が必要だと規定されている場合があり、ロールベースのアクセス制御を実現する最も簡単な方法は、ロールのグループを作成することです。しかし、ここでもまた、コンプライアンスチェックの次のステップとして、「誰も間違ったロールに入らないように、常に監査して確認するプロセスを確立しなければならない」というステップは存在しません。ただ、ロールベースのアクセスが必要だとされているだけです。
ロイ・アッカーマン (00:22:32,720 – 00:22:36,400)
ええ、あちらには複雑なネットワークが張り巡らされているんです。
ロブ・アインスコフ (00:22:36,720 – 00:22:52,720)
もしあなたが、アイデンティティについて、そしてこうした出来事の後でクライアントにどのようなアドバイスをするかについて考えてみたとしたら、クライアントが必ず理解し、最後に持ち帰るべきだと伝える、最も重要な3つのポイントは何でしょうか？
クリス・リンクレイター (00:22:53,600 – 00:22:58,720)
そこで、私たちが好んで使う用語は「アイデンティティの近代化」です。
ロブ・アインスコフ (00:22:59,080 – 00:22:59,200)
はい。
クリス・リンクレイター (00:22:59,880 – 00:23:10,160)
多くの組織は、これまでと同じ基本的なアイデンティティ構造を維持しています。冗談で言うと、アイデンティティプロバイダーの中には、ビールを買える年齢の人がたくさんいるんですよ。
ロイ・アッカーマン (00:23:11,920 – 00:23:12,920)
そして、これは本当です。
クリス・リンクレイター (00:23:14,080 – 00:24:03,440)
ですから、その点について改めて検討する必要がありますよね。IDPだけでなく、IDセグメンテーションの実施方法についても検討する必要があります。従来のIDプロバイダーから、クラウドベースのIDやハイブリッドベースのIDなど、より現代的なものに移行すべきでしょうか。そうすることで、ビジネスを前進させるための柔軟性が大幅に向上します。そして、これらすべてをモダナイゼーションという概念に結びつけようとしています。IDおよびアクセス管理は、どの組織にとってもなくなることはありませんが、20～25年間使ってきたものが機能していないとしたら、環境内で問題が発生する可能性を低減するために、どのようなものに移行すべきでしょうか。
ロブ・アインスコフ (00:24:03,520 – 00:24:50,800)
ええ、そして私が考えていることの一つは一貫性です。アイデンティティに関して、このような公平な競争環境を構築することです。というのも、私がよく目にするのは、組織がオンプレミスよりもクラウドの方がはるかに強固だったり、クラウド内の特定のプロバイダーの方が別のプロバイダーよりも強固だったりするケースです。そして、私の視点からすると、攻撃者が狙っているのはまさにそれです。彼らは一貫性のなさ、つまり最も保護されていない部分を探しているのです。ですから、モダナイゼーションを実現し、一貫性を獲得し、一貫性を構築すること、つまりアイデンティティの一貫性をどのように構築するか、ということについて私はよく話します。なぜなら、こうした攻撃から身を守る上で、おそらく最も重要なことだと思うからです。
クリス・リンクレイター (00:24:51,120 – 00:25:12,200)
ええ、私も100％同意します。そして、一貫性の面で何が問題なのかを見つける一番簡単な方法は、レッドチームを雇うことだと思います。彼らはやって来て、あなたの弱点を非常に迅速に指摘してくれるでしょう。しかも、サイバー保険の請求よりもはるかに費用がかかりません。ですから、私たちは組織にぜひそうすることを勧めています。
ロイ・アッカーマン (00:25:12,200 – 00:25:38,400)
学んだ教訓を解読する前に、少し話題を変えたいと思います。AIの進化について話すとき、誰もがAIモデルが自分のために役立つと言いますが、攻撃者や防御者として、チームが対処しなければならなかった攻撃の一部としてAIモデルに直面したことはありますか？つまり、モデルやモデルベースのアクションと戦った経験はありますか？
クリス・リンクレイター (00:25:38,760 – 00:26:05,960)
まだそこまでには至っていないと思いますが、近いうちに実現すると思います。AIが攻撃側と防御側の議論に加わることで、誰もが基本をしっかり押さえておく必要があることを認識せざるを得なくなっていると思います。なぜなら、反応する時間などないからです。つまり、AIはこれまで遅さを許容してきたことを、より迅速に行うことを私たちに強いているのだと思います。
ロブ・アインスコフ (00:26:06,000 – 00:26:42,640)
全く同感です。過去25年、30年の間に起こった、私たちがあまり誇りに思っていないことすべてを露呈させることになるでしょう。いわゆるレガシーと呼ばれるものも、忘れてはいけません。ビジネスで使われ、ビジネスのために機能しているものは、レガシーではありませんよね？それらは私たちのレガシーかもしれません。私たちはそれらを好まないかもしれませんが、ビジネスにとってのレガシーではありません。ビジネスにとって重要なものです。そして、近代化という観点から、そのギャップを埋める必要があると思います。それは簡単ではありません。しかし、どうすれば、 Active Directoryそうですよね？「クラウドに移行するつもりだけど、それには5年かかる」なんて言わずに、その過程でリスクを負うなんてことはしないでしょう。
ロイ・アッカーマン (00:26:42,640 – 00:27:27,360)
軍隊での指揮官はいつもこう言っていたと思います。「準備ができていない、時間がない、という人もいるだろう？」と。そして、時には、準備態勢を加速させるために、型破りな行動をとって、新たな発想で物事を再構築する必要があると思うのです。時には、組織を再構築して、整合性と一貫性を保つことができない場合もあります。時には、何かが起こることを想定して、迅速に行動する必要があるのです。そうすれば、少なくとも対応プロトコルははるかに強力になり、マンディアントが私たちの命を救ったり、私たちの仕事について学んだりできるようになります。少なくとも、私たちは適切に対応できるようになります。そして、今こそ矢継ぎ早に質問を浴びせる時だと思います。クリスはそういうことに慣れているでしょう？彼は切実な質問に答えなければなりません。
ロブ・アインスコフ (00:27:27,880 – 00:27:34,880)
彼はその場で、行き当たりばったりで行動する。では、まずはアイデンティティに関する神話の一つから始めましょう。
クリス・リンクレイター (00:27:36,200 – 00:28:15,880)
それは難しい問題ですね。組織ごとに万能なパスワードポリシーが存在するという考え方は、誤解を招く恐れがあります。「パスワードポリシーはどうすべきですか？」という質問をよく受けますが、これは良い質問です。しかし、すべての組織に共通する答えはありません。多くの人が、この質問に対して非常にシンプルな答えを求めていると思いますが、それは誤解です。実際には、すべての組織がそれぞれのニーズを検討し、脅威モデルや組織として達成しようとしていることに基づいて、組織のアイデンティティとポリシーをどのように設定すべきかを判断する必要があるのです。
ロブ・アインスコフ (00:28:16,240 – 00:28:22,000)
全く同感です。では2つ目の質問ですが、リーダーが犯しがちな間違いは何でしょうか？
クリス・リンクレイター (00:28:22,480 – 00:28:34,080)
私が最近気づき始めていることの一つは、組織が過去5年間、人間の身元情報の保護に力を注いできたということです。
ロブ・アインスコフ (00:28:34,160 – 00:28:34,440)
右。
クリス・リンクレイター (00:28:35,080 – 00:29:08,280)
そして実際、私たちはMFAをかなりうまく活用できるようになりました。MFAの最初の試みは、おそらく素晴らしいものではありませんでした。プッシュ型MFAを採用し、うまく機能しない点が2つありました。しかし、私たちはもう一度挑戦し、非常にうまく活用できるようになりました。ですから、人間のアイデンティティは、おそらく完璧な状態とは言えませんが、かなり良い状態になっています。しかし、人間のアイデンティティに注力してきたことで、非人間のアイデンティティへの注目度も同じように低下してしまったと思います。そして、組織内では、人間以外のアイデンティティと非人間のアイデンティティの両方を同じレベルの情報で扱う必要があると思います。
ロブ・アインスコフ (00:29:09,040 – 00:29:26,720)
ええ、同感です。様々な企業がどちらか一方に重点を置き、おそらくどちらか一方に過度に重点を置いているのを目にします。そして、そのバランスを正しく取ることは本当に重要だと思います。なぜなら、様々な方法が用いられるでしょうが、どちらも重要であり、どちらも可能性のある道だからです。では、次の質問ですが、厳しい真実を一つ挙げるとすれば何でしょうか？
クリス・リンクレイター (00:29:27,320 – 00:30:06,480)
今の時点で最も難しい真実は、攻撃側と防御側、そして人工知能（AI）が最終的にどうなるのか、私たちには全く見当がつかないということだと思います。それがどんな形になるのか、私たちには全く分からないのです。おそらくこれから厳しい日々が続くでしょう。大きな勝利もあるでしょう。おそらく一進一退を繰り返すでしょう。しかし、難しい真実は、2年から5年後に業界として私たちがどのような状況にあるのか、私たちには全く分からないということです。そして、2年から5年後にAIがどのような状況になるかを正確に予測できる人がいるとしたら、それはおそらく非常に自信満々な人でしょうが、私はその答えにあまり自信を持てません。
ロブ・アインスコフ (00:30:06,880 – 00:30:11,760)
ええ、確かに確実なのは不確実性だけだと思います。だから、あなたの言う通りだと思います。
ロイ・アッカーマン (00:30:11,840 – 00:30:13,840)
今この瞬間を楽しむべきですよね？
ロブ・アインスコフ (00:30:15,320 – 00:30:20,120)
今のうちに楽しんでおきましょう。そして最後は、ロイさん、最後の1発を撃ってもらえますか？
ロイ・アッカーマン (00:30:20,120 – 00:30:25,440)
私が一番気に入っているのは、「過大評価されていると思うトレンドを一つ教えてください」というものです。
クリス・リンクレイター (00:30:25,760 – 00:31:04,360)
世の中には過剰に宣伝されているものがたくさんありますが、業界全体として、私たちは物事を過剰に宣伝するのが得意です。ですから、今は標的が豊富な環境だと感じています。しかし、多くの組織が脅威モデルに当てはまらない話題として取り上げ始めているのが、ポスト量子暗号です。業界全体として、いずれはそこに到達するでしょう。ポスト量子暗号の世界は必ずやってきます。多くの組織は、セキュリティポリシーを改善するためにもっと容易に取り組める課題があるにもかかわらず、その問題の解決方法を考えることに時間を費やしているように思います。
ロイ・アッカーマン (00:31:05,000 – 00:31:05,600)
面白い。
ロブ・アインスコフ (00:31:05,920 – 00:31:06,080)
うん。
ロイ・アッカーマン (00:31:06,080 – 00:31:29,440)
素晴らしいですね。確かに問題ではありますが、もっと深刻な問題が山積しているのは間違いありません。クリスさん、本日はゲストとしてお越しいただき、本当にありがとうございました。大変有意義な会話をさせていただきましたし、多くの学びがありました。IAMとして、そしてセキュリティとして、手を取り合い、太陽の下を行進しながら、次の戦いに備えなければなりません。それでは、ありがとうございました。
クリス・リンクレイター (00:31:30,640 – 00:31:31,840)
さて、お招きいただきありがとうございます。
ロブ・アインスコフ (00:31:32,520 – 00:31:34,880)
今回の「アイデンティティ・デコード」は以上です。
ロイ・アッカーマン (00:31:35,120 – 00:31:41,280)
この会話を通して、個人情報保護に関する考え方が少しでも変わった場合は、同じような課題に取り組んでいる人にぜひ共有してください。
ロブ・アインスコフ (00:31:41,520 – 00:31:44,880)
そして、今後の展開を見逃さないように、番組をフォローするのをお忘れなく。