【日商USA】webinar 2023.5.12 RSAカンファレンス2023 フィードバック
•
0 likes•269 views
米国時間 4月24日から27日にかけて、サンフランシスコでセキュリティ業界の最大級のイベント「RSAカンファレンス2023」が開催されました。RSAカンファレンスでは、「AIやChat-GPTなどの大きなトレンドをセキュリティにどう活用していくべきか？」や「量子コンピューティングの登場において想定される暗号化に関する専門家の見解」を聞くことができ、非常に興味深いイベントでした。今回、現地の模様や発表されたトレンドについて皆様と共有をさせていただきます！
Recommended
Recommended
More Related Content
Similar to 【日商USA】webinar 2023.5.12 RSAカンファレンス2023 フィードバック
Similar to 【日商USA】webinar 2023.5.12 RSAカンファレンス2023 フィードバック (20)
More from NISSHO USA
More from NISSHO USA (20)
【日商USA】webinar 2023.5.12 RSAカンファレンス2023 フィードバック
- 1. 本日のアジェンダ 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 1 03 01 イベント概要 02 Key Findings 03 注目セッション 04 展示会場の様子 05 イノベーションサンドボックス
- 2. • 期間 2023年4月24日～4月27日 • 会場 モスコーン コンベンション センター ＠サンフランシスコ • 展示数参加者 約573社 • 参加者 約42,000名 RSAカンファレンス 2023 概要 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 2
- 3. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 3 Key Findings
- 4. 長年抱えた人材不足を解決するAIへの期待 ・セキュリティAIの実装が進んでいる ・従来のシステムの刷新へのチャレンジが今後の課題 暗号の強化への取り組み ・量子コンピューティングがすべての暗号を無効化してしまう ・個人情報の取り扱いが多くの企業で課題になっている AIの悪用の懸念 ・AIを用いたマルウェアの開発 ・AI基盤を狙った攻撃 ・説明責任を持ったAIの必要性 Key Findings 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 4
- 5. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 5 注目セッション 写真： https://www.rsaconference.com/usa/keynote- speakers
- 6. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 6 暗号技術の今後 • 量子コンピューティングへの対応 NSAやNISTからの強い要望があり、2015年ごろから 研究を進めている。鍵のカプセル化技術である 「クリスタル・キラ」、「スフィンクス＋」などの デジタル署名技術の開発が進んでいる。 • データの利活用を安全に行うための セキュリティ技術 法律による保護も重要であるが、データの利活用が もたらす企業へのメリットをどう確保するかが重要。 企業側の対応の標準化が課題 Dr. Whitefield Diffle gonville and Caius College Adi Shamir Professor, The Weizmann Institute Anne Dames Distinguished Engineer, IBM Infrastructure Clifford Cocks Chief Mathemacian Independent Consultant Radia Perlman Fellow, Dell Technology
- 7. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 7 Bryan Palma CEO セキュリティオペレーション革命 • 94％のセキュリティ担当者が、現状の防御 システムが適切ではないと感じている 81％が最適なツールを用いることで、「残業時間の 最小化」、「作業時間の短縮」が実現できると 考えている。 • 340万人のセキュリティ人材の不足 全世界に30億人いるゲーマーとのエコシステムを 構築することで人材確保が可能！？ • 次世代のセキュリティオペレーションは AIがリードする 攻撃の検知、分析、対応方針に関するインサイト、 実際の対応はAIがやってくれる。人間は、フィード バックの受け皿となる。
- 8. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 8 レスポンシブルAIの重要性 • 誤報は永遠の課題 倫理的な問題とセキュリティ的な問題がある。現時点 での最善の手段は、出力をロックすること • AIに関して注意すること AIの情報を信じすぎない。ソースを把握する。発信に おいてはリスクがあることを理解する。一般的な内容。 • NVIDIA、DeepMindの取り組み 利用者からのフィードバック受け、改善に取り組む AIレッドチームを使い、安全性の確保 Ram Shankar Siva Kumar Data Cowboy, Microsoft Daniel Rohrer VP Software Product Security, NVIDIA Dr. Rumman Founder, Bias Buccaneers Vijay Bolina CISO, Deep Mind
- 9. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 9 Vasu Jakkal CVP テクノロジーの新境地 マシンスピードでのディフェンス • 攻撃者の市場は８兆ドル市場 2027年には24兆ドル市場に拡大。パスワード攻撃は減 少傾向にあるが、今日でも1287回/秒で発生している。 • 人材不足はAIが解決X ハイパースケールデータと脅威インテリジェンスの組 み合わせによる高度なセキュリティAIの構築 • 生成型AIはセキュリティ担当者の スキルを平準化していく 生成型AIが初心者の担当者に学びの機会を与える 熟練者にも見落としを防いであげる効果もある
- 10. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 10 Kevin Mandia CEO サイバーセキュリティの現状 • 問題に気づくまでの期間は16日から 19日と大幅に減少 10年前は、200日もかかっていた。 • 脆弱性をついた攻撃が32％を占める フィッシング、スピアフィッシングが2019年以前は 主流であった。FortigateのVPN装置を狙ったゼロデイ 攻撃が大きなインパクトを残した。 • 有効な対応策 技術的には、EDRや多要素認証の導入。「ハニー トークン」を組込んだ例もある。 本質的には、自社のビジネス、システムが正しく 機能しているかを監視することが最も有効な手段。
- 11. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 11 Katie Nickels Director of Intelligence Operations ５つの危険なあたらしい 攻撃テクニック • SEOテクニックの利用、マルバタイジング マルウェアを仕込んだサイトを検索上位に表示させる 広告を利用して誘導する • 開発者を狙った攻撃 ダウンロードした拡張機能や便利ツールにマルウェア が仕込まれる • Chat-GPTを使ったコーディング Chat-GPTをつかってランサムウェアのコードを書く 作成した設定ファイルの脆弱性を発見する • ソーシャルエンジニアリング Chat-GPTを駆使して作った架空の人物が SNSを通じて個人情報を聞き出す
- 12. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 12 展示会場の様子
- 13. North （大手ブース） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 13
- 14. South （スタートアップブース） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 14
- 15. その他 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 15
- 16. 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 16 イノベーションサンドボックス コンテスト
- 17. イノベーションサンドボックスコンテスト 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 17 オープンソース暗号化 テクノロジー SaaSアプリケーション の可視化、自動修復 セキュリティ監査用 ポータル プライバシーの保護と データの管理 開発者向けの包括的な セキュリティツール 機械学習モデルを 保護する ソフトウェアの依存関係 を可視化 本原因の追究により、 アラートを減らす 不正なサードパーティ アプリの検出 Web3に対応した詐称 防止プラットフォーム
- 18. Zama （オープンソース暗号化テクノロジー） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 18 社名 設立 2019年 本社 Paris, France 従業員 63名 資金調達累計 $51.6M 評価額 非公開 / Series A 投資家 Protocol Labs, vSquared Ventures 他 チーム Rand Hindi (CEO) • ユニバーシティ・カレッジ・ ロンドンでコンピュータ サイエンスの理学士号、生命情報 科学の博士号を21歳で取得。 • 音声アシスタント、Snipsを開発。 Sonosに買収された。 事業概要 • ホモモルフィック暗号化技術を用いた製品をオープンソース で提供。この技術は、データを復号化せずにサービス側で 処理することを可能とするもの。 • 病歴や健康データの秘匿化や、顔や声による認証の不正利用 の防止などに活用可能。さらにブロックチェーンと組み合わ せることでより安全にスマートコントラクトの処理を行うこ とができる。 • ホモモルフィック暗号化技術は、パフォーマンスの問題があ るが、同社は2年ごとに4倍の性能向上に成功している。 Source : https://zama.ai/
- 19. Valence （SaaSアプリケーションの可視化、自動修復） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 19 社名 設立 2021年 本社 Tel Aviv, Israel 従業員 25名 資金調達累計 $32.0M 評価額 非公開 / Series A 投資家 YL Ventures, Alumni Ventures 他 チーム Yoni Shohet (Co-Founder, CEO) • バルイラン大学に在籍。 • イスラエル軍にてサイバー セキュリティに任務に従事 • 産業用IoTセキュリティを提供 するSCADAfenceを設立 事業概要 • APIやコネクタを利用してSaaSサービスの利用を可視化。 各サービスへの意図していないログインや不正なアプリから の接続要求、ファイルのシェアを検知。 • 検知した結果をもとに、ノーコード組み上げたワークフロー に沿って、自動的にやり取りを遮断したり、サービス管理者 に承認/否認を求めることができる。 • ワークフロー作成のためのガイドラインも提供。 • Akamai、Zscaler、Bank of America など、複数の グローバル企業で使用されている。 Source : https://valencesecurity.com/
- 20. SafeBase （セキュリティ監査用ポータル） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 20 社名 設立 2020年 本社 San Francisco, CA 従業員 37名 資金調達累計 $18.2M 評価額 非公開 / Series A 投資家 New Enterprise Associates, Y Combinator 他 チーム Al Yang (Co-Founder, CEO) • アリゾナ州立大学を卒業後 ハーバード大学のMBAを取得。 • E‐Learningのスタートアップ Picmonic Incを立上げ。 TrueLearnが買収 事業概要 • ソフトウェア・ベンダーはセキュリティ・リスク評価を受け ることが義務付けられている。 • 取引先と情報連携ができるポータルを提供。ポータルには、 関連する情報やよくある質問を掲載。プロアクティブに 取引先への対応を行うことで工数を劇的に削減。 • 契約書の保管、追加合意事項が出たときのアップデートを 自動的に対象者に通知。契約書については、顧客側も いつでも閲覧可能。 • Instacart、Asana、LinkedInなど多数の企業が採用。 Source : https://safebase.io/
- 21. Relyance AI （プライバシーの保護とデータの管理） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 21 社名 設立 2020年 本社 Mountain View, CA 従業員 32名 資金調達累計 $30M 評価額 $189.0 / Series A 投資家 Menlo Ventures, Unusual Ventures 他 チーム Abhi Sharma (Co-Founder, Co-CEO) • カーネギーメロン大学にて コンピューターサイエンス、 ソフトウェアエンジニアリングの 修士号を取得 • インキュベーターであるFoghorn Systemのシステムの創業メンバー 事業概要 • 開発パイプラインにAPIで連携させることによって個人情報が 組織のどこに存在するのかをコードレベルまで調査し、正確 に可視化を行う。個人データの移動経路を追跡し、機械学習 を用いて通常のデータフローを解析、異常が発生した場合は リアルタイムで特定します。 • 自然言語処理を用いて契約書をスキャン・解析し、記載内容 に則ってデータの運用がされていない場合は管理者にアラー トを上げることができる。 Source : https://relyance.ai/
- 22. Pangea （開発者向けの包括的なセキュリティツール） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 22 社名 設立 2021年 本社 Palo Alto, CA 従業員 40名 資金調達累計 $51.0M 評価額 非公開 / Series B 投資家 Ballistic Ventures, Decibel Partners 他 チーム Oliver Friedrichs (Co-Founder, CEO) • 連続起業家 • Secure Network（McAfeeが 買収）、Security Focus （Symantecが買収）、Immunet Corporation(Sourcefireが買収） 事業概要 • SDKで提供される開発者向けのセキュリティツール。 攻撃者が攻撃を隠ぺいするためのログの改ざんが行われて いないことを担保したり、開発中のアプリがSSN、 運転免許証、クレジット カード番号などを外部に送付しよう としたときにデータそのものにマスク処理を施したり、ジオ ロケーションを特定してアクセス制限を行ったりすることが できる。 • 脅威の検出にはクラウドストライクなどの信頼度の高い脅威 インテリジェンスやIPレピュテーション、ドメインデータ ベース、URLリストを参照。 Source : https://pangea.cloud/
- 23. HiddenLayer （機械学習モデルを保護する） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 23 社名 設立 2022年 本社 Leander, TX 従業員 27名 資金調達累計 $6.0M 評価額 $14.6M / Seed 投資家 Ten Eleven Ventures, Secure octane 他 チーム Chris Sestito (Co-Founder, CEO) • テキサス州立大学にてデータ サイエンスを専攻 • AIを用いたエンドポイント製品を 提供するCylance社にて５年の 勤務経験を積む 事業概要 • 独自のアルゴリズムを用いて攻撃者が機械学習に対して仕掛 けてきた攻撃をリアルタイムに検知し、防御をすることがで きる。 • 機械学習そのものの整合性を担保するために、脆弱性の特定 や、悪意のあるコードの発見を行う。 • その他、データサイエンティストチームやセキュリティチー ムへのトレーニングや、現状どの程度の脅威があるのかを評 価するサービスも提供。 Source : https://hiddenlayer.com/
- 24. Endor Labs （ソフトウェアの依存関係を可視化） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 24 社名 設立 2021年 本社 Palo Alto, CA 従業員 46名 資金調達累計 $25.0M 評価額 非公開 / Seed 投資家 Lightspeed Venture Partners, Sierra Ventures 他 チーム Varun Badhwar (Co-Founder, CEO) • 南カリフォルニア大学で コンピュータサイエンスの 理学士号を取得。 • クラウドセキュリティを提供する RedLock社を立上げ。Paloaltが 買収。 事業概要 • 使用するソフトウェアのインベントリ管理を徹底するととも に、全体の依存関係を可視化。そのうえでより持続的なOSS の選択についてスコアリングをし、開発者およびセキュリ ティ担当者に提示。 • インベントリ管理の一環で、パッチがあたっていない脆弱な アプリについても表示することができる。 • 依存関係の膨張を削減にも有効。 Source : https://www.endorlabs.com/
- 25. Dazz （根本原因の追究により、アラートを減らす） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 25 社名 設立 2021年 本社 Palo Alto, CA 従業員 83名 資金調達累計 $60.0M 評価額 $192.6M / Series A 投資家 Insight Partners, Index Ventures 他 チーム Merav Bahat (Co-Founder, CEO) • ハーバード・ビジネス・スクール を卒業。 • Microsoftのクラウドセキュリティ の責任者を５年にわたり経験 事業概要 • ソフトウェア開発におけるパイプラインのマップを作成し、 AIを用いたツール間のリスクを分析を実施。優先順位の高い 脆弱性の動的なヒートマップを表示。 • これにより、アラートの重複を排除し、根本原因を特定する ことができる。さらに、コード所有者を特定し、コードの修 正内容を自動生成し、所有者がワンクリックで承認すること で迅速な修正を行う。 • 将来のインシデントを軽減する新しいコードを推奨している。 Source : https://dazz.io/
- 26. Astrix （不正なサードパーティアプリの検出） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 26 社名 設立 2021年 本社 Tel Aviv, Israel 従業員 33名 資金調達累計 $15.0M 評価額 非公開 / Seed 投資家 Venrock, Bessemer Venture Partners 他 チーム Alon Jackson (Co-Founder, CEO) • イスラエル軍にて脅威インテリ ジェンスなどの研究開発に従事 • ネットワークセキュリティを提供 するArgus Cyber Security社の 研究開発部門の責任者を務める 事業概要 • APIにて各種アプリケーションと接続をし、アクセス管理を 提供。全体を可視化し、異常な振る舞いを検知。 • 検知項目は、長期間使用されていないIDでのログインやジオ ロケーションの監視、IPレピュテーション、不適切な権限に よるアクセスなど多岐にわたる。 • ワークフローによる自動修復やサードパーティーアプリの常 時監視による自動的なセキュリティレベルの調整もサポート。 • Netflix、Broomreach、Guestlyなどで採用されている。 Source : https://astrix.security/
- 27. Anchain.AI （Web3に対応した詐称防止プラットフォーム） 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 27 社名 設立 2018年 本社 San Jose, CA 従業員 39名 資金調達累計 $18.0M 評価額 非公開 / シリーズ不明 投資家 Fin Capital, Hard Yaka, Berkeley Blockchain Xcelerator 他 チーム Victor Fang (Co-Founder, CEO) • コネチカット学にてコンピュー ターサイエンスの博士号を取得 • Amazon、Dellなどでデータ サイエンティストとして数社で 実績を積む • Maindiantにも在籍経験がある 事業概要 • 金融機関向けに、AIを活用したインテリジェンスによる不審 な取引について自動的にリスク評価を行う製品を提供。特に 偽名を用いたウォレットの作成に対しては、現実世界の情報 とマッピングをさせることで不正を予防。 • ブロックチェーンの監査サービス（Web3SOC）を提供し、 企業が利用するブロックチェーンの整合性の検証、リスク評 価、対応策の提示など行っている。 • 金融機関、米国証券取引委員会を含む政府など、10か国以上 の100を超える顧客に導入している。 Source : https://anchain.ai/
- 28. Winner 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 28
- 29. End of document 5/16/2023 All Copyrights reserved by Nissho Electronics USA Corp 29
Editor's Notes
- 本日はこのようなアジェンダで進めます。極力わかりやすくお伝えできればと思いますので、最後までお付き合いくださいますようお願いいたします。
- イベント概要は記載の通りです。RSAカンファレンスは31年前に始められました。もともとはセキュリティ企業であるRSAのユーザーカンファレンスとして行われたのがきっかけです。現在のようなオープンな形式になったのは1991年からでコロナ期間を除いて毎年50,000名程度が参加しています。RSAカンファレンスでは非常に幅広いトピックスが用意されており、CISOから現場の担当者まで多くの刺激が受けられる場となっています。参加費はプランによりますが、フルパスが3,000ドルくらいで、早めに申し込むと2,000ドル程度です。一部のキーノートを除いたプランの参加費は700ドル程度で、こちらも早期割引があります。展示会場のみであれば、50ドルで入れます。
- そんなRSAカンファレンス2023に参加して得られた気づきを先に共有させていただきたいと思います。
- 今回気づきとなったポイントは記載の３点です。 セキュリティ業界は、業務の性質上非常に非効率にならざるを得ない状況が続いており、セキュリティ担当者のスキルアップも課題となっていました。AIの登場により単純作業の自動化だけではなく、AIによるInsightの提供への高い期待がうかがえます。また、生成型AIを使った学習や抜け漏れのチェックなどの効果も期待されます。 一方、AIが提供するInsightの正当性については、まだまだバイアスの問題があります。また、Chat-GPTを用いたマルウェアの作成や新手の脅威についても懸念があります。 量子コンピューティングについては、まだまだ先の技術ですが、議論は始まっています。特にセキュリティ業界では現在主流のTLSの暗号をその高い計算能力によって容易に解読できてしまうことが想定されており、新しい暗号方式の採用に向けた準備が課題となります。
- 今回のイベントでは約500セッションが行われました。そのなかから、注目セッションを6つピックアップしてサマリを紹介させていただきます。
- １つ目のセッションは暗号技術に関するトピックスです。内容的には少々難しいものですが、取り上げた理由は量子コンピューティングへの対応が議論されたからです。詳しい方には釈迦に説法で恐縮です。 現在利用されているTLSの規格のなかで使われている公開鍵が、量子コンピューティングの計算能力をもってすれば簡単に見破ることが出来てしまいます。つまり、現在使用されている暗号化技術が無効化されてしますリスクがあります。量子コンピューティングの技術自体は、これからの技術であるためすぐに対策が必要というわけではありませんが、NSAやNISTといったセキュリティ機関からは量子に強いアルゴリズムの開発を要求しています。こうした取り組みは2015年から始まっており、現在、「クリスタルキラ」と呼ばれる鍵のカプセル化による暗号強化の技術と、3つのデジタル署名技術の研究「リチウム」「ファルコン」「スフィンクス＋」が進んでいます。セッションでは「「スフィンクス＋」が現時点では最も安全と考えていることも語られました。しかし、量子コンピューティング時代にどういったセキュリティユースケースがあるかが現時点では見えないため、引き続き研究は続いていきます。 また、このセッションでは、直近の問題であるプライバシーの問題にも触れられています。現在、あらゆる個人のデータが知らない間に企業に取られている事実があります。みなさんご存じの通り、個人情報はGDPRやCCPAをはじめとした法律で保護されており、法律を遵守するために、企業は、これらの情報を漏洩することは許されません。技術的な根拠に基づいて安全にデータを取り扱う必要があります。現在の課題は、それを達成するための企業側の理解が追い付いておらず、コミュニティとして明確な基準を設け、標準化していくことにあります。 Chat GPTについても触れられています。Chat-GPTの登場はセキュリティ業界に対しても大きなインパクトを与えています。登場以前は、機械よりも人間のほうが上手にコードを書いて攻撃を行うというのが一種の常識でしたがこれがひっくり返りました。実際に多くの銀行が、Chat-GPTが行う身代金の要求を脅威を感じています。これは私の意見ですが、実際に、これまでは攻撃者側もたどたどしい文章で脅しのメールを送ってくるので、異常だとすぐに気づけていたのですが、そうしたわかりやすいサインが失われる可能性があり、生成型AIが、攻撃者側がより攻撃を巧妙化させるのを手助けしているとも思います。
- Trellixという会社は、McAfee EnterpriseとFireEyeを買収したSTGグループが両社の統合ブランドとして作られた背景があります。講演者のブライアン氏はそれを主導した人物です。ブライアン氏は、AIの活用は、残念ながら攻撃者のほうがリードしているとし、企業は旧態依然のセキュリティスタックの運用・維持から抜け出せず、確実に効果のある新しいAIの活用に踏み込めていないと問題提起をしています。セキュリティ担当者ないしは企業は、旧態依然としたシステムを捨て、新しい技術を積極的に採用することで反撃に転じる必要があると力強く語りました。平均的なセキュリティ分析には25種類ものセキュリティツールを使っています。そしてこれらが必ずしも適切ではないことをセキュリティ担当者の94％の人が理解し、最適なツールを使えば、「残業時間の最小化」や「作業の時間短縮」を実現できると81％の人が考えています。 一方、セキュリティの専門家は現在350万人の人材不足が問題になっています。優秀な人材の育成にかける時間が乏しいこともあり、なかなかその数を減らすことが出来ません。ブライアン氏は、次世代のサイバー戦士を育成するには、ゲーマーを利用すればいいと語っています。つまり、全世界に存在する30億人のゲーマーが利用するゲームプラットフォームと、セキュリティオペレーション、クラウドソーシング、インセンティブを組み合わせたエコシステムを作ればいいという発想です。個人的には視点が斬新すぎて、ついていけないのですが、、、確かに面白いと思いました。理由は、エコシステムの構築は、攻撃者側がすでにやっているからです。ゲームプラットフォーム内のチャット機能で攻撃者たちがコミュニケーションをとっている事実もあります。 新時代のセキュリティオペレーションはAIが攻撃の検知業務、分析、複雑な背景を理解して対応に関するインサイトの提供、対応まで自動的に行ってくれます。これにより、正確に攻撃を先取りすることが出来るのです。人間は、機械からのフィードバックを受ける立場になります。
- 本セッションでは、バイアスを含めてAIの問題点について語られました。つまり、誤った情報がAIによって拡散されるリスクについてです。これは非常に困難な問題であり、永遠の課題です。現在、AIに関する安全装置がないため、とることができる最善の手段は、ケースバイケースで出力をロックすることであり、実際に行われています。つまり、医療情報について生成型AIに尋ねると「お医者さんに相談してください」という返答がくるイメージです。 一般論となりますが、情報の受け取り手に求められることは、情報を信じすぎないことです。その情報が幻覚である可能性があることを認識する必要があります。特に最近は、研究目的で不完全なまま世に送り出されるオープンソース製品がたくさん出回っており、それが許されている風潮があります。このことも認識しておくべきことです。企業側においては、消費者の情報を管理し利用をすることが一般的になっていますが、リスクをしっかりと考慮したうえで、その利用方法について、ビジネス上の判断をする必要があります。また、AIを用いた製品の利用にあたっては、そのソースが何なのかを把握することがとても重要です。特にセキュリティの担当者は、インシデントに関する情報が社内の信頼できるソースからきているのかを認識しておくことが重要です。個人的には、こんなの当たり前と思うのですが、AIに慣れてしまうとついつい忘れてしまいそうです。 一方、AIの専門家であるパネリストは、企業努力としてAIの精度を高める取り組みを行っています。例えば、NVIDIAでは、セキュリティポータルを立ち上げています。倫理や偏見に関する懸念がある場合にフィードバックを受け付け、改善を行うスキームを確立しています。DeepMindでは、Googleの機械学習開発者と連携し、アルゴリズムレベル、インフラレベルで敵対的な考え方をもつAIレッドチームを構成しており、安全性の確保に取り組んでいます。
- マイクロソフトセキュリティは、160以上の国家的な攻撃グループを含む300以上の攻撃者グループを追跡しています。また、ランサムウェアの専門集団は50以上を追跡対象としています。こうした集団は独自のブランディングを行いギグエコノミーを構築しています。Statistica社の調査によると、現在では8兆ドルの攻撃者の市場があり、2027年には24兆ドルまで拡大します。マイクロソフトセキュリティ社が2年前の2021年に観測したパスワード攻撃は1秒間に579回行われていましたが、今日では1287回も記録しています。 セキュリティ業界の人材不足については、Trellixのセッションで紹介しました。マイクロソフトセキュリティ社が強調をしていたのは、同様にAIがこれを解決するという内容ですが、もうすこし突っ込んだ説明として直近の変化が紹介されていました。具体的には、セキュリティ専門のAIへインプットする情報が、ハイパースケールデータとなったということが1つ目の変化です。高解像度なセンサーの登場により、これまで取得が困難であったより多くのデータが取得可能となりました。これまで不足気味であった内部データがこれで補完され、外部のデータである脅威インテリジェンス（自社外で起こっているセキュリティに関する情報を蓄積しているサービス）と組み合わせることでセキュリティAIが機能し始めます。 2つ目は、生成型AIの登場です。セキュリティ担当者は生成型AIとの自然な会話を通じて、状況を把握することが出来ます。素晴らしい点は、初心者のセキュリティ担当者にとっては学びの機会を得ることが出来ることや熟練の担当者には、見落としを防いであげることが出来ます。担当者に求められるのはプロンプトエンジニアリングのスキル向上です。 バイアスに関しては、先ほどのセッションと同様の見解です。多様性を重視することが必要であることを指摘しています。そのため、セキュリティ担当者全員が垣根を設けずに対応にあたっていくことが重要と述べています。
- Mandiantは、言わずと知れたGoogle傘下のセキュリティ機関です。マンディアントでは350名で構成されるの脅威分析チームが34ヵ国を対象に調査を継続しています。CEOの講演では、最初に過去からの脅威の変遷について説明がされました。まず、マルウェアが仕込まれてから、ランサムウェアが発動してセキュリティ担当者が問題に気づくまでの期間は、大幅に短縮されています。10年前は200日もかかっていたのですが、現在の中央値は16日となっています。防御側の対応が成熟してしてきたんですね。それを受けて、攻撃者が使用しなくなったのか、ランサムウェアの対応件数は、減少傾向にあるようです。 攻撃手法について、20年前以前はフィッシングが主流でしたが、2002年から2019年にかけてはスピアフィッシングが主流になっていました。現在では、スピアフィッシングはその数を減らしており、2019年からは、脆弱性を狙ったものが主流となり、32％を占めています。脆弱性をつく攻撃の流行をうけて、ユーザーサイドは、多くの企業がパッチ管理に取り組み、脆弱性が判明したらパッチを即座に適用する運用を行っていると思います。もちろんこの運用は完全ではありません。パッチを当てるまでの時間に攻撃を終える、いわゆるゼロデイ攻撃の対象になってしまいます。脆弱性については、ここ数年で大きな話題になったのはFortinetのVPN装置を狙ったものです。Fortnetの装置が突然再起動が出来なくなり、解析を進めると攻撃者による再起動をさせないためのコードと、バックドアが仕掛けられていることがわかりました。そのバックドアから企業に侵入していきます。この件については、即座にパッチが公開されましたが多くの企業が被害を受けています。 こうしたケースを想定する場合、マルウェアが仕込まれた後の検知・修復機能を提供するEDRを入れておくことも有効です。CEOはゼロデイ攻撃をしかける先としてEDRが導入されていない企業が狙われているということも言及しています。その他、有効な手段としては、多要素認証をあらゆる場所に仕掛けておくことです。また、同様に攻撃者がよく知らない企業のネットワークにおける最初の侵入先であるID基盤にダミーのID「ハニートークン」を仕掛けることもあるようです。このIDは普段誰も使わないようにしておいて、使われたことをきっかけに攻撃者の侵入を検知するそうです。 技術的には今申し上げたような手法が有効ではあるものの、本質的には攻撃者がわからないが防御側がよく知っている自社のビジネス、システム、トポロジー、インフラが正しい構造で正しく機能しているかを監視することが最も有効な異常検知の手段ということも語っています。そしてセキュリティ担当者は、積極的にセキュリティのコミュニティに参加し、他社と情報交換をすることや脅威が現実的に起こりえるかの検証を90日ごとに行うことを助言していました。
- 次のセッションでは5つの新しい攻撃テクニックが紹介されています。 1つ目は、悪意のある人が、キーワードやその他のSEOテクニックを使って、悪意のあるウェブサイトを検索エンジンの検索結果の上位に表示させているという事実です。誤ってアクセスてそれらしいファイルをダウンロードし、開くと悪意のあるプログラムが動き出します。2つ目は、同様の手口ですが、マルウェアとアドバタイジングを組み合わせたマルバタイジングという手法が確認され、マイクロソフトも危険性について警鐘をならしています。講演では実際のサイトを見せてもらいました。非常に巧妙で全く本物のサイトと区別がつかない完成度でした。講演したケイティさん曰く、できることは信頼できる情報筋から正規のサイトについて情報を得ること、悪意のあるサイトを見つけたら即座に検索エンジンに報告を行うこととしています。 3つ目は、開発者を狙った攻撃です。開発者は工期を短縮するためにさまざまな拡張機能を利用しています。その拡張機能にマルウェアが仕込まれています。組み込んだ拡張機能は、ID基盤に侵入し認証情報を盗み出します。そしてこれまたダウンロードする段階では全く正規なものと判別がつきません。対応策は、開発者がEDRをきちんと導入すること、そして警告を無視しないことです。忙しい開発者は、頻繁にアラートを送ってくるエンドポイントを無視してしまいがちです。セキュリティ担当者は、開発者が攻撃とされるケースが増えていることを認識し、開発者を教育していく必要があります。 4つ目はChat-GPTです。昨年の11月にリリースされた当初は、「ランサムウェアを作って」と言うとコードを書いてくれました。現在では、改良がなされ、コードは書けなくなりました。しかしながら、ランサムウェアを構成するコンポーネント（例えば、暗号化の機能だけとか）ごとにコード作成を依頼すると、ある程度まで作ってくれます。優れいている点は、ある程度まで作った段階で、「これはランサムウェアと類似しているので作成が出来ない」と返してくるようになります。講演者は、さすがというべきか、特定の条件を付けてプログラムを書いてくれとChat-GPTを説得して、結果的にランサムウェアを作ってしまいます。ここまで悪用されてしまうと、対処のしようがないため、結局のところ企業はランサムウェアの対策をするしかありません。Chat-GPT関連では、逆に脆弱性を見つけるのにも利用ができます。デモで示していたのはDNSの脆弱性についてです。Mem Copyというコマンドがあります。これは、メモリにサイズを指定したうえで必要な領域を確保するコマンドです。脆弱性の内容は不正な値を入力するとメモリに不具合を生じさせることが出来るというものです。DNSの設定の段階でChat-GPTに設定内容について助言を求めたところ、メモリサイズの指定に誤りがあることを指摘しています。 最後5つ目は、ソーシャルエンジニアリング関係です。Chat-GPTを用いて架空の人物を作り、SNSを通して、巧みな言葉をつかって個人情報を教えてくれるように頼みます。講演者は、息子さんから住所を聞き出そうとしたのですが、結果的には失敗しています。息子さんの最後の回答は「あなたはロボットと会話をしているので住所はありません」というもので、ちょっと笑ってしまいました。ただし、実際にはこのようなアプローチは現実的であり、息子さんのような攻撃を受けた側の対応が重要です。
- 続いて、展示会場の様子について少し触れさせていただきます。
- モスコーンのコンベンションセンターの北棟のブースは大手企業のブースが並べられていました。 右側のGoogleでは、セキュリティのエキスパート集団であるMandiantが提供するマネージドセキュリティサービスやGoogleCloud上で利用可能なセキュリティツールの紹介がありました。左上のMicrosoftではアンチウイルスソフトウェアであるDefender製品をはじめ、マルウェアが企業内を潜伏・徘徊するのを検知するXDRの製品や脅威インテリジェンスの製品を展示していました。左下のTrellixのブースでは、FW、IPS、XDRなどセキュリティに必要なソフトウェアを網羅的に提供。デモンストレーションでは、統合的なオペレーションがシンプルで直感的な操作で行える印象を受けました。 取り上げた3社の印象としてはどこも1社でより多くのことが出来ることをアピールしている印象でした。
- 一方、南棟では、スタートアップのブースがひしめいていました。業界的な要素もありますが、スタートアップのなかでもシリーズDE以降の企業は非常に大きなブースを出しており、その数はほかの展示会と比較して多かったです。こちらは、私の注目スタートアップ3社の写真です。右側のSafebreachは、BASの製品を提供します。BASとは、Breach and Attack Simulationの略で、簡単にいうと自社のサービスを意図的に攻撃をしてセキュリティホールを発見しプロアクティブに対策をする手法です。同社は、攻撃ツール、解析ツールを提供しています。左下のExpelは、クラウド上、オンプレミス上のセキュリティデバイスにAPIやコネクタで接続し、ログを含めたの設定情報や登録情報を入手します。システム全体を俯瞰しつつも問題が起こっている場所を素早く特定するために有用なツールです。左上のForward Networksは、企業内のルーターや、サーバー、アプリなどにアクセスしプロアクティブに設定情報を定期的にとってきて、変更管理を行います。ネットワークのデジタルツインを作ることで日々の運用におけるネットワーク構成の確認作業負荷を軽減することが出来ます。
- その他、左側上下２枚の写真では、現地で開催されていたSandboxというセキュリティエンジニア向けの育成トレーニングプログラムです。攻撃者のツール開発体験や、バグ発見プロセスの体験などができます。右側の写真は、CISCOが主導して行っている会場の無線通信を監視する企画です。
- イノベーションサンドボックスコンテストは今回で18回目を迎えます。今年も100社を超える申し込みがありました。昨年はセキュアなブラウザを提供するタロンが受賞しました。受賞後、タロンはこの1年間でマイクロソフトやクラウドストライクとの提携や140億円の資金調達に成功しています。また、導入ベースで7万人を超える超巨大企業への導入にも成功しています。非常に名誉あるピッチコンテストになっています。
- 参加者は記載の10社です。各社3分間のピッチを行い、3分間の審査員とのQ&Aを行いました。 紹介の終わりには、ポーリング機能にてみなさまが気になったスタートップ2社に投票をしていただきますので、そのおつもりで聞いていただければと思います。
- オンラインでのやり取りに際してユーザとサーバー間のやり取りは暗号化されますが、サーバー側で処理中のデータは暗号化されていません。そのため、攻撃者がサービス基盤を攻撃することで情報を抜き取ることが出来てしまいます。Zamaは、ホモモルフィック暗号化技術を用いた製品をオープンソースで提供しています。この技術は、データを復号化せずにサービス側で処理することを可能とするものです。ユースケースとしては、病歴や健康データの秘匿化や、顔や声による認証の不正利用の防止などがあります。さらにブロックチェーンにおけるスマートコントラクトの処理を安全に行うことにも活用出来ます。ホモモルフィック暗号化技術は、その処理の複雑さからパフォーマンスが出ない問題があります。ZAMAは、2年ごとに4倍の性能向上に成功しています。
- 企業のSaaSアプリケーションの利用が進んでいますが、その数が増えてくるとセキュリティを保つことが困難になります。外部への不正なデータ共有や、管理されていないIDの生成、構成ミスなどの原因となります。Valenceは、APIやコネクタを利用してSaaSサービスの利用を可視化し、各サービスへの意図していないログインや不正なアプリからの接続要求、ファイルのシェアを検知します。検知した結果をもとにノーコードくみ上げたワークフローに沿って、自動的にやり取りを遮断したり、サービス管理者に承認/否認を求めることが出来ます。ワークフロー作成のためのガイドラインも提供をしています。
- ソフトウェア・ベンダーはセキュリティ・リスク評価を受けることが義務付けられています。取引先によるセキュリティ監査プロセスには膨大な時間を要します。膨大な量のアンケートに対して、手作業でセキュリティ担当者が膨大な時間をかけて対応しているのが実態です。SafeBaseは取引先と情報連携ができるポータルを提供します。ポータルには、関連する情報やよくある質問を掲載することで、プロアクティブな対応と顧客とのやりとりを劇的に削減します。また、契約書の保管、追加合意事項が出たときのアップデートを自動的に対象者に通知することができます。契約書については、顧客側もいつでも閲覧することができ、許可された範囲で簡単に共有をすることができます。
- 契約書や規制、ポリシーに則ったデータの管理ができているかについて、企業の担当者は多大な時間をかけて可視化・分析・改善を行っています。特に時間がかかるのがデータマッピングの作成です。 リライアンスAIは開発パイプラインにAPIで連携させることによって、個人情報が組織のどこに存在するのかをコードレベルまで調査し、正確に可視化します。個人データの移動経路を追跡し、異常を見つけた際にはアルタイムで特定します。また、自然言語処理を用いて契約書をスキャン・解析し、記載内容に則ってデータの運用がされていない場合は、管理者にアラートを上げることが出来ます。そのため、担当者は問題の発見よりも解決に時間をかけられるようになります。導入は、数行のコードを書くだけ。短時間で実装が可能です。また、既存環境の分析は、平均4，5時間程度とスピーディーに解析ができます。
- Pangeaは、SDKで提供される開発者向けのセキュリティツールです。攻撃者が攻撃を隠ぺいするためのログの改ざんが行われていないことを担保したり、開発中のアプリがSSN、運転免許証、クレジット カード番号などを外部に送付しようとしたときにデータそのものにマスク処理を施したり、ジオロケーションを特定してアクセス制限を行ったりすることが出来ます。脅威の検出にはクラウドストライクなどの信頼度の高い脅威インテリジェンスやIPレピュテーション、ドメインデータベース、URLリストを参照します。企業にとっては、狙われやすい開発者の環境を安全にするだけでなく、GDPRをはじめとした規制に準拠することが容易になります。
- 機械学習を活用したシステムが一般的に使われるようになってきましたが、機械学習の利用にもセキュリティ上の問題点があります。機械学習のアウトプット情報からインプット情報を予測し、攻撃者が機密情報を得ることが出来ます。また、意図的に誤ったデータを学習させて出力結果を操作することもあります。HiddenLayer は、独自のアルゴリズムを用いて攻撃者が機械学習に対して仕掛けてきたこれらの攻撃をリアルタイムに検知し、防御をすることができます。また、機械学習そのものの整合性を担保するために、脆弱性の特定や、悪意のあるコードの発見を行います。その他、データサイエンティストチームやセキュリティチームへのトレーニングや、現状どの程度の脅威があるのかを評価するサービスも提供しています。
- 開発者およびセキュリティチームはOSSのバージョン、バグや脆弱性の影響を把握し、最適なOSSを選択する必要があります。セキュリティの視点では、サプライチェーンを狙った攻撃を仕掛けられるリスクがあり、最適なOSSの選択は重要な課題となっています。Endor Labsは使用するアプリのインベントリ管理を徹底するとともに、アプリ全体の依存関係を可視化します。そのうえで、最適なOSSの選択について担当者に助言を行います。また、インベントリ管理の一環で、パッチが当たっていない脆弱なアプリについてもリストアップすることができます。多くのOSSを利用することは管理面ではデメリットが多いにも関わらず、開発環境ではその場その場の判断でOSSを利用していることがしばしばです。依存関係の巨大化が多くの企業で問題になっており、それを軽減するうえでも本製品はメリットがあります。
- クラウドセキュリティツールは数多くあり、それぞれが優先順位をもってアラートを出しているが、実際は、それでも生成されるアラートが数多くあり、対策チームに過剰な負荷をかけているのが実態。例えば、1000個のアラートがあり、特定のコンテナに2個の修正点があった場合、1000個を直すことを検討せざるを得ないのが実態。DAZZのアプローチは、収集したデータから環境全体を俯瞰したうえで開発のパイプラインに沿ったヒートマップを作成する。根本的な問題を分析、特定し、責任者を特定したうえでコードの修正案を自動生成する。責任者の承認をもって修正が行われる仕組みを提供。これにより、作業者の工数を格段に下げることが出来る。
- サードパーティアプリの接続はリスクを伴うものの、その利便性から利用は拡大しています。不正なサードパーティーによるアクセスで管理が出来ていないものをシャドーサードパーティー接続と呼び、サプライチェーン攻撃の引き金になります。Astrixの製品は、APIにて各種アプリケーションと接続をし、アクセス管理を提供しています。まずは全体を可視化し、異常な振る舞いを検知します。検知項目は、長期間使用されていないIDでのログインやジオロケーションの監視、IPレピュテーション、不適切な権限によるアクセスなど多岐にわたります。ワークフローによる自動修復やサードパーティーアプリの常時監視による自動的なセキュリティレベルの調整もサポートしています。
- ブロックチェーンに関するセキュリティ事件と言えば、2016年に発生したThe DAO事件ですが、スマートコントラクトの脆弱性を狙った攻撃は依然として存在し、2022年にはその件数が過去最高に到達しました。また、金融機関が利用するブロックチェーンにおいては、暗号通貨を使ったマネーロンダリングやなりすましの検知・予防対策も急がれています。アンチェーンの製品は、金融機関向けに、AIを用いて不審な取引について自動的にリスク評価を行います。特に問題視されている偽名を用いたウォレットの作成に対しては、作成時に、現実世界の情報とマッピングをさせることで不正を予防することができます。同社は得られた知識を活用して、ブロックチェーンの監査サービス（Web3SOC）を提供し、企業が利用するブロックチェーンの整合性の検証、リスク評価、対応策の提示などをサービスとして提供しています。
- 写真の通り、優勝はHidden Layerでした。次点は、Pangeaでした。Hidden Layerの授賞理由は、取り組んでいる問題である機械学習を狙った攻撃は、今後数年間で直面する最大の問題のひとつであるためでした。また次点のパンゲアは、開発者を狙った攻撃に対して従来とは異なるアプローチをとっていること、攻撃のインターフェイスを減らし、開発者の生活を楽にするうえで大変価値のある取り組みと評価していました。
- 駆け足での説明ではございましたが、私からの説明は以上となります。ご清聴誠にありがとうございます。 続いてQ&Aのセッションに移っていきたいと思います。 ご質問のある方は、Q&Aボックスからご質問をお願いします。 【重要】ここでアンケート発出忘れずに アンケートへのご協力をお願いいたします。 https://forms.office.com/r/r5FjecCV4f ※6分程度で完了する簡単なアンケートです