Meta-Analysis of Incident Response Failures Due to Telemetry Misconfigurations in SME Networks

インターネットを、データパケットが車のように駆け巡り、セキュリティガード（「SOC（セキュリティ・オペレーション・センター）」と呼ばれます）が悪い奴らを阻止するために常に交通量を見守っている、巨大で賑やかな都市だと想像してみてください。しかし、ここには落とし穴があります。ガードたちは、ツールが壊れていると仕事をすることができません。彼らが適切に機能するためには、3つの特定の要素が必要です。つまり、誰が運転しているかを知る方法（アイデンティティ）、物事がいつ起きたかを知るための完璧に同期された時計（時刻）、そしてあらゆる動きを書き留めるためのノート（ログ）です。もし時計が狂っていれば、ガードたちは何が先に起きたのか判断できません。もし誰が運転しているのか分からなければ、正しい人物を逮捕できません。そしてもしノートが空っぽであれば、事故さえ起きたことに気づけないのです。この論文は、これら3つのツールが狂ったときに中小企業で何が起こるのか、そして「練習用の都市」（コンピュータ・シミュレーション）がいかにして、本当の災厄が訪れる前に問題を解決する助けとなるかについて考察しています。

論文：セキュリティガードの道具が壊れたらどうなるか？

Dr. Kazi Abdul MannanとNusrat Jahan Mimによって書かれたこの研究論文は、恐ろしくも一般的な問題、つまりハッカーを捕まえるためのセキュリティチームが使う基本的なツールが狂ったときに何が起こるのか、という問題に深く切り込んでいます。著者らは既存の多くの研究を調査し、Cisco Packet Tracerという人気のコンピュータプログラムを使用して独自の実験を行いました。このプログラムは、本物のコンピュータやケーブルを一台も買わずに、4つのフロア、異なる部署、サーバーを備えた偽のオフィスネットワークを構築できる、超高度なビデオゲームのようなものだと考えてください。

研究者たちは、この偽のオフィスを2つのバージョンで設定しました。最初のバージョンは、すべてが完璧に動作している**「グッド・ステート（良好な状態）」です。時計は同期され、IDバッジはチェックされ、ノートは満たされています。2つ目のバージョンは、「カオス・ステート（混沌とした状態）」**です。ここでは、最も重要な3つのツールを一つずつ意図的に壊し、セキュリティチームがどのように失敗するかを確認しました。

ツールを壊したときに彼らが発見した内容は以下の通りです。

1. 壊れた時計（NTP障害）
ネットワークの時計が互いに一致しなくなったとき、セキュリティチームは時間を知る能力を失いました。現実の世界では、もしハッカーが午後2時に侵入し、ファイアウォールが午後2時5分に彼らをブロックした場合、その順番が重要になります。しかし、「カオス・ステート」では、時計はバラバラでした。その結果、セキュリティチームは攻撃の物語を再構成することができなくなりました。それはまるで、目撃者が「事件は昨日起きた」と言い、容疑者が「事件は来週起きた」と言うような、ミステリーを解こうとしているような状態です。論文ではこれを**「フォレンジックの失敗（Forensic Failure）」**と呼んでいます。つまり、タイムラインがめちゃくちゃであるために、チームが事件を分析したり、適切に復旧したりできなくなったことを意味します。

2. 無くなったIDバッジ（AAA障害）
2番目に壊したツールは、あなたが誰であるかを確認するシステム（認証、認可、およびアカウンティング、またはAAA）です。この偽のオフィスでは、IDバッジをチェックするシステムをオフにしました。すると突然、誰でもサーバー室に入ることができ、セキュリティガードは「誰が」それを行ったのか分からなくなりました。論文によると、これがないと、セキュリティチームは**「否認防止（Non-Repudiation）」**の能力を失うことが分かりました。これは、「自分がやったことは否定できない」ということを意味する専門用語です。もし悪意のある者が設定を変更し、かつシステムが「誰が」それを変更したのかを記録していなければ、その悪意のある者は「私ではありません」と言い逃れできてしまいます。セキュリティチームは、誰に責任を問うべきかを特定する方法を失い、脅威を封じ込めたり、誰が責任者であるかを突き止めたりすることが不可能になりました。

3. 空っぽのノート（Syslog障害）
3番目のツールは、あらゆるイベントを記録するセキュリティチームのノートであるロギングシステム（Syslog）です。「カオス・ステート」では、ノートが記入されないようにしました。その結果、**「完全な可視性の喪失（Total Visibility Blindness）」**が起こりました。たとえ時計が完璧で、IDバッジが機能していたとしても、セキュリティチームは完全に盲目でした。彼らはハッカーが来ることも、去ることも、そして設定を変更することも見ることができませんでした。それは、セキュリティガードが暗闇の中で立っているようなものです。どんなに優れた訓練を受けていても、何も見ることができなければ、何かを止めることはできません。

大きな教訓：信じるな、検証せよ！

この論文の最も重要な教訓は、セキュリティツールが機能していると単に想定してはいけないということです。著者らは、多くの小規模企業がこれら3つのツール（時間、ID、ログ）を、常に機能する「魔法」のようなものとして扱っていると主張しています。しかし、この論文は、もしこれらをチェックしなければ、最も必要とされる瞬間にセキュリティシステム全体が崩壊してしまう可能性があることを示しています。

これを解決するために、論文は**「バーチャル・サンドボックス」**の使用を提案しています。これは、安全な偽の環境（彼らが使用したCisco Packet Tracerのようなもの）を指す専門用語です。そこでは、あえて物事を壊して何が起こるかを見ることができます。シミュレーション内で時計をオフにしたり、IDシステムを削除したりして、セキュリティチームが失敗する様子を観察し、本物の、稼働中のオフィスでそれが起こる前に問題を修正することができるのです。

著者らは、基礎（時計、ID、ログ）が壊れているのであれば、高価でハイテクなセキュリティソフトウェアに投資することは金の無駄であると結論づけています。これらの安全な仮想の「練習用の都市」を使用することで、企業は基礎を固めることができ、本当のハッカーが現れたときに、セキュリティチームが実際に彼らを捕まえるために必要なツールを確実に持っている状態にできるのです。