サイバーセキュリティがIT市場をどのように変革しているか（パート3）

予算の年々の増加とさまざまな情報セキュリティツールにもかかわらず、毎年、インシデントの数に関する統計の数倍の増加、リークやフィッシングメールの量の増加などしかありません。なぜこれが起こっているのですか？情報システムの複雑さとサイズの増加は、「オーバーレイされた」セキュリティ制御の有効性に悪影響を与える可能性があります。一連の記事の第3部では、ソフトウェアシステムとネットワーク自体のアーキテクチャの不可欠な部分としてのセキュリティと、将来的に「技術的」保護へのアプローチを変える可能性のある情報の非対称性について説明します。

前書き

インターネットの初期に開発された情報セキュリティへの古典的なアプローチは、境界ベースのモデルに反映されていました。このアプローチにより、会社には、信頼できるワークステーションが配置された内部の安全なセグメントと、アクセスが制御された信頼できないリソースを持つ外部のセグメントがありました。内部セグメントと外部セグメントの間にファイアウォールが配置され、外部と連携するためのルールが決定されました。このアプローチはすぐに効果がないことがわかりました。ローカルネットワーク内のワークステーションの数の増加は、各ホストを制御することがほとんど不可能になったという事実につながりました。境界だけでなく内部デバイスも監視しようとすると、接続ポイントに関係なく各エンティティを一意に識別しなければならない場合、ゼロトラストアプローチになります。ゼロトラストアプローチの広範な実装の難しさは、「デジタルトラスト」と呼ぶことができるこの概念のさらなる発展につながりました。 「デジタル信頼」の場合、システムのすべてのデバイスまたはすべてのユーザーには、「正常」と見なすことができる特定の動作パターンがあります。たとえば、特定のソフトウェアセットがスマートフォンまたはラップトップにインストールされており、ネットワーク上で特定のトラフィックを生成することで認識できます。ユーザーが開くプログラムとサイトも、特定の動作パターンを定義します。これらのパターンからの急激な逸脱は、ユーザー/デバイスのなりすましまたはマルウェアに起因するセキュリティインシデントと見なすことができます。これは「デジタルトラスト」と呼ぶことができます。 「デジタル信頼」の場合、システムのすべてのデバイスまたはすべてのユーザーには、「正常」と見なすことができる特定の動作パターンがあります。たとえば、特定のソフトウェアセットがスマートフォンまたはラップトップにインストールされており、ネットワーク上で特定のトラフィックを生成することで認識できます。ユーザーが開くプログラムとサイトも、特定の動作パターンを定義します。これらのパターンからの急激な逸脱は、ユーザー/デバイスのなりすましまたはマルウェアに起因するセキュリティインシデントと見なすことができます。これは「デジタルトラスト」と呼ぶことができます。 「デジタル信頼」の場合、システムのすべてのデバイスまたはすべてのユーザーには、「正常」と見なすことができる特定の動作パターンがあります。たとえば、特定のソフトウェアセットがスマートフォンまたはラップトップにインストールされており、ネットワーク上で特定のトラフィックを生成することで認識できます。ユーザーが開くプログラムとサイトも、特定の動作パターンを定義します。これらのパターンからの急激な逸脱は、ユーザー/デバイスのなりすましまたはマルウェアに起因するセキュリティインシデントと見なすことができます。これは、ネットワーク上の特定のトラフィックの生成によって認識できます。ユーザーが開くプログラムとサイトも、特定の動作パターンを定義します。これらのパターンからの急激な逸脱は、ユーザー/デバイスのなりすましまたはマルウェアに起因するセキュリティインシデントと見なすことができます。これは、ネットワーク上の特定のトラフィックの生成によって認識できます。ユーザーが開くプログラムとサイトも、特定の動作パターンを定義します。これらのパターンからの急激な逸脱は、ユーザー/デバイスのなりすましまたはマルウェアに起因するセキュリティインシデントと見なすことができます。



ネットワークセキュリティへのアプローチのこの進化は、情報システムの複雑さが必然的に増大するために保護方法を変更するという一般的な事実を反映しています。ただし、情報セキュリティの支出とインシデントの間のギャップが拡大し続けていることは、サイバーセキュリティのパラダイムを変更する必要があることを示唆しています。世界中の研究者は、そのようなパラダイムシフトが、情報システムの攻撃者と防御者の間に存在する情報の非対称性の領域で発生するという考えにますます傾いています。非対称性は、攻撃者が情報システムを研究する時間がそれを設計する時間を超えているという事実を反映しています。また、攻撃者は単一の脆弱性を見つけて実装する必要がありますが、設計時にはすべてを見つける必要があります。

情報の非対称性の排除に向けて

情報システムへの攻撃の前には常に偵察プロセスが行われるため、攻撃者にとってこのプロセスを可能な限り困難にするという考えは明白に思われます。もちろん、特定のプロセスやデバイスへのアクセスをブロックして、外部の調査からそれらを保護することはできますが、実際には、このアプローチが常に効果的であるとは限りません。情報システムのパラメーターを継続的に変更するというアイデアは、はるかに人気が高まっています。その結果、攻撃者が取得した情報は、次の時点では無関係になります。このアプローチは、移動ターゲット防御（MTD-移動ターゲットに基づく防御）と呼ばれていました。



このトピックへの関心の高まりは注目に値します。これは、MTDトピックに関する主要なデータベースの出版物の数にまでさかのぼることができます。主な突破口は2011年以降に発生し、米国ではMTDトピックが国家安全保障技術の開発の優先分野の数に含まれていました。その後、MTDをテーマにした多額の助成金が、米国（DARPA）やその他の国（欧州連合、インド、中国など）のさまざまな基金から割り当てられました。 2011年にMTDに50の出版物があった場合、2017年には500を超える出版物が年間に出版されました。しかし、彼らは初期には重要な技術的進歩を遂げませんでした。ASLRテクノロジーなどの事実上の業界標準となったMTDメソッドが登場しました、アプリケーションが使用するアドレスのセクションをRAM内でランダムに混在させることができます。 ASLRは現在すべてのオペレーティングシステムで使用されています。



市場に出て販売を開始することができた重ね合わせたセキュリティ製品はそれほど多くありません。ここでは、エンドポイントにインストールされ、使用されるメモリ領域のレイヤーとして機能できるMorphisecを選択できます。CryptoMoveアプリができますあなたが暗号化およびMTDを使用して複数のノードに配布することにより、秘密を変換します。



ローカルネットワークのパラメータとアドレスをわかりにくくするためのMTDのソリューションは、あまり人気がありません。これらの開発のほとんどは理論的研究に残っており、大規模な情報セキュリティベンダーの製品には反映されていません。 MTDテクノロジーがメモリを操作するための事実上の標準になっているという事実にもかかわらず、MTD方法論による情報システムの完全な保護は行われませんでした。客観的に証明された有効性を備えたこのような美しい理論の敗北の理由は、おそらくその非効率性ではなく、MTD手法を実際のシステムに適応させることの難しさに見出されます。システムを完全に一意にすることはできません。一部のアプリケーションコンポーネントは他のコンポーネントを理解する必要があり、通信プロトコルはユニバーサルである必要があり、ソフトウェア構造は消費者が認識できる必要があります。IT開発の歴史を通じて、彼らはプロセスの標準化と最大限の統合の道を歩み、まさにこの道が私たちが現在抱えているサイバーセキュリティの問題につながりました。情報の非対称性の問題からの重要な結論は、情報システムの機能構造の統一のパラダイムを変更し、それらのパラメーターの最大ランダム化の原則に移行する必要があるということです。その結果、システム自体は、その独自性により、攻撃に対する「耐性」を獲得し、情報の非対称性のギャップを埋めることができます。その結果、システム自体は、その独自性により、攻撃に対する「耐性」を獲得し、情報の非対称性のギャップを埋めることができます。その結果、システム自体は、その独自性により、攻撃に対する「耐性」を獲得し、情報の非対称性のギャップを埋めることができます。



ほとんどのMTDメソッドでは、特定の製品ソリューションとしてそれらを区別することが難しいことがわかっています。たとえば、多くの開発では、コードの挿入から保護するためにランダム化に焦点が当てられています。最も単純ですが、同時に効果的な方法は、解釈されたコードコマンドのランダム化です。たとえば、従来のSQLコマンドにランダムな番号が追加されます。これがないと、インタプリタはそれをコマンドとして理解できません。 INSERTコマンドが、インタプリタに認識されている一意のコードINSERT853491のみを含むINSERTコマンドとして解釈されるとします。この場合、パラメータ検証がないために実際の脆弱性があったとしても、SQLインジェクションを行うことは不可能です。この方法は効果的ですが、明らかに「オーバーレイ」セキュリティ機能を使用して実装することはできませんが、データベースサーバー自体のロジックの一部である必要があります。システムのランダム化に対するもう1つの重要なアプローチは、コードの多様化です。

プログラムコードの多様化

コードの多様化は、プログラムコードを変更しながら、プログラムを機能的に複製できることを意味します。このトピックに関する膨大な量の研究がありますが、この作業のほとんどは、商業的に興味深い解決策に変わることなく、R＆Dレベルにとどまっています。原則として、これらは、機能を有限でゼロに追加して論理回路の数を「増やす」こと、またはコードの特定のセクションのテンプレート置換を実行することを可能にするプログラムです。しかし、結局、多様化したプログラムには、元のプログラムと同じ脆弱性が含まれることがよくありました。



このアプローチの主な問題は、すでに記述されたコードがダイバーシファイアの入力に供給されることです。ダイバーシファイアは、特定のソフトウェア構造の重要性を「理解」できないため、それらを真に多様化することはできません。テンプレート内の1つのコードを別のコードに置き換えるか、追加の「役に立たない」コードを生成するだけです。



多様化の問題を根本的に解決するためには、アプリケーションコードの自動生成を実現する必要があります。特定のコマンドやアルゴリズム構造を書くというプログラマーの労力をなくすことができれば、多様化の問題を解決できます。コードの自動生成は、たとえば機能要件やグラフィカルな関係のリストを使用して、より高いレベルでプログラムを作成できることを前提としています。コードは、この構築用に自動的に生成されます。



過去数年間で人気を博しているコード生成へのアプローチは数多くあります。

• Generative program. (metaprogramming). , , , , . . (run-time) (compile-time) .
• Source code generation (SCG). SCG , UML-. — , . . SCG Scaffolding — -, .
• Low-code development platform (LCDP). ; «», . 4- (fourth-generation programming language, 4GL), — C++, Python, Ruby . ( , 4GL 3GL). AI- 自動コード生成についてですが、それらのほとんどは、バグトラッカーを使用してエラーを自動的に修正したり、コードの既知の脆弱性を見つけて排除したりするなど、高度に専門化されたタスクを解決することを目的としています。

論理的な疑問が生じる可能性があります。セキュリティはそれと何の関係があるのでしょうか。コード生成テクノロジーの革命は、最終的にサイバーセキュリティの革命につながります。CVEデータベースを開くと、脆弱性の90％以上がソフトウェア開発の論理エラーではなく、プログラムコードでの特定の実装であることがわかります（物議を醸す問題は、CVEのハードウェア脆弱性もここに含まれるかどうかです）。開発をより高い抽象的なレベルに移すと、これは2つの結果として表現できます。

1. , «». , .
2. . . , . . , , , , .

したがって、生成された「ソフトウェア」は、その一意性と攻撃者に知られていないため、以前の情報の非対称性を排除します。そして、この機能とソフトウェアパラメータの「ぼやけ」は、システムの脆弱性の存在を考慮に入れても、攻撃者にとって乗り越えられない障壁を生み出します。情報の非対称性の欠如による脆弱性は決して見つかりません。>情報セキュリティへの脅威としてのDeepfakeテクノロジー

情報システムの新しい現実

ご覧のとおり、攻撃者と情報システムの防御者の間の情報の非対称性を克服する傾向が見られます。これは、いくつかの機能で表現できます。

1. 外部プロトコルや相互作用インターフェースに関係なく、開発の疑似ランダム性（データモデル、マシン命令、関数など）の最大の蓄積。
2. 設計段階と情報システム機能の段階の両方で、主要なパラメータの動的構造に移行します。

これはすべてのサイバーセキュリティ問題の解決につながるわけではありませんが、情報セキュリティ市場に大きな変革をもたらすことは間違いありません。



ここでは、業界におけるいくつかの重要な変化に直面します。

1. ウイルスとアンチウイルスの時代の終わり。アンチウイルスがかつてサイバーセキュリティ製品とほぼ同義であった場合、今日、それらの市場シェアは大幅に減少しています。最終的に、すべてのソフトウェアの欠陥が論理レベルでのみ存在し、コードエラーを悪用する機能がない場合、マルウェアの概念は過去のものになります。これは、サイバーセキュリティの技術的時代全体の終わりであり、おそらく現在ビジネスを構築していない一部のベンダーです。
2. () . — , . , (AI) (ML) , , . NLP- (NLP — Natural Language Processing, ) , . . , — NLP (PhishNetd-NLP, ). , (Deepfake).
3. . , - «» .
4. , . ( , .), - (Web Application Firewalls), «» «» , ( , Darktrace).

-

IT市場と情報セキュリティ市場は連携して存在し、技術的に相互に影響を及ぼし合っています。セキュリティは情報システムの一般的な問題です。現在、ほとんどのサイバーセキュリティツールが課されているという理由だけで別のサイバーセキュリティ市場が存在しますが、この傾向は近い将来変わる可能性があります。企業内のユーザーの行動を制御するためのシステム（DLP、アクティビティモニタリング、UEBAなど）のみが最も自信を持って感じることができます。ネットワーク攻撃、侵入テスト、コード分析などを制御するためのシステムは、「別個の」市場を維持する可能性があります。情報システム設計の情報の非対称性を克服するとともに変革されます。



最も重要な変更は、コーディングの領域で発生します。今後数年間で開発において4GLに切り替えず、ここに革命がない場合でも、ASLRがそのようなルールであるため、多様化の原則が依然として一般的なルールになります。そしてここには、開発速度の向上（そしておそらく開発者の資格の低下）に関連する明らかなボーナスだけでなく、サイバーセキュリティの分野での利点もあります。プログラマーのエラーの結果として脆弱性が発生する可能性は低くなり、さらに疑似ランダム性の要素を追加することで、コードを低レベルで多様化することができます。もちろん、この移行はすぐには起こりません。イノベーションの主な障害は、そのような資金がICに「課されていない」ことである可能性があり、したがって、スタートアップとハイテク企業が進歩の原動力となるでしょう。



2番目の重要な要素は、情報システムの一般的な多様化と動的パラメーターへの移行です。たとえば、MTD手法を使用してIPv6で動的アドレス指定を行うローカルエリアネットワークを設計している場合、これにより、許可されていないホストをネットワークへの参加から除外できます。それらは単に体内の異物のように「拒絶」されます。同様に、他のプロセスでMTDを使用すると、通常の操作への不正な変更が困難になります。これにより、不正な変更やシステムへの侵入から何らかの免除を取得できます。



これがIT市場にどのように大きな影響を与える可能性があるか：

1. , - , .
2. (open-source) open-source . «algoend»- . open-source — . , :
   
   
   • open-source ( ),
   • open-source , «algoend».
   
   
   , open-source , .
3. AI / NLP . , — , ( ) , . NLP-, — NLP .
4. . , (deception) . deception-, «» , .

まとめると、情報の非対称性を排除することでこの問題がゼロになるまで、長期的にはプログラムコードのエラーに関連するサイバーセキュリティの問題からますます離れていくことが予測できます。しかし、これですべてのサイバーセキュリティの問題が解決されるわけではありません。セキュリティは、ISの機能プロセスと、これらのプロセスを制御する機能を理解する上での優れた要素の一種です。システムが複雑になるほど、機能に論理エラーが存在する可能性が高くなり、人的要因の影響を受けます。



将来のサイバーセキュリティ市場が人的要因管理ソリューション間で分割される一方で、低レベルのセキュリティが課せられた保護手段の形で存在しなくなり、プラットフォームITソリューションの不可欠な部分になるという非常に明確な軌道があります。



サイバーセキュリティがIT市場を変革するにつれて（パート2）

サイバーセキュリティIT市場を変革する方法（パート1）



ここに公開された元の記事