2025年2月19日
サイバーセキュリティ企業Recorded Futureでデータサイエンス部門を率いるマット・コダマ氏は、自身の仕事をレストランの厨房で働くことに例えている。彼のチームは、食料品の買い出し、レシピの考案、調理、盛り付けまで全てを担当している。
彼のチームが扱う構成要素は、ウェブ上のあらゆる場所から収集したデータであり、それらを分析して顧客が利用できる有用な情報を抽出します。その情報はその後、Recorded Futureのソフトウェアプラットフォームに取り込まれ、主要な金融機関、政府機関、その他多くの組織が、オンラインと現実世界の両方における潜在的な脅威をリアルタイムで追跡するために利用している。
マスターカードのニュースルームは先日、昨年12月に マスターカード傘下 となった レコーデッド・フューチャーの本社 を訪れ、児玉氏と対談し、彼の仕事について話を聞く機会を得た。
以下の質疑応答は、長さと分かりやすさを考慮して編集されています。
それは、一般に公開されている様々な種類のデータから始まり、あらゆる範囲を網羅している。その一方で、サイバー攻撃者がよく利用する、アクセスが困難な場所からデータにアクセスするための、巧妙で高度な方法もいくつか考案しました。
脅威アクターにとって、現在最も大きな標的の一つは、個人のコンピューターから情報を盗み出すことである。今や攻撃者は、あなたのログイン文字列、パスワード、クッキー、そしてあなたのコンピューターに関するあらゆる情報を入手しています。このデータがあれば、攻撃者はあなたのコンピューターそっくりの偽のマシンを作成し、その偽マシンからのブラウザトラフィックをあなたの町から発信されているように見せかけることができます。
もしあなたが企業向けランサムウェア攻撃を仕掛ける脅威アクターなら、これは標的とするネットワークに侵入するための素晴らしい情報となるでしょう。こういった感染したコンピューターから入手したファイルが販売されている数は異常なほど多い。それは一大ビジネスだ。
本当に狂った世界だ。まるでフリーマーケットみたいだ。
多くの顧客が気にしているのは、VPNへのログインなど、リスクの高いログイン情報が漏洩したことをできるだけ早く知ることができるかどうかだ。彼らは非常に具体的なセキュリティ対策を講じることができる。ログインセッションが存在する場合は、それを強制終了してください。現在そのログインに設定されているパスワードをリセットしてください。これは基本的に競争です。つまり、この情報が脅威アクターによってどれだけ早く悪用されるか、そして防御側がどれだけ早くそれを発見して対処できるか、という競争です。
インターネット経由でメッセージを送信しようとするすべてのコンピュータは、「このドメインとオンラインで通信しようとする場合は、このIPアドレスにメッセージを送信してください」というテーブルを備えている必要があります。それはインターネット版の電話帳のようなものだ。
非常に基本的ながらも効果的な分析方法の一つは、これらの情報をすべて集めて、「昨日はなかったものが今日は何か？」と問いかけることです。常に新しいビジネスが生まれているが、もちろんその多くは失敗に終わる。ですから、新しいドメインが突然現れて、誰にも害を与えずに消えていくのは、ごくごく普通のことです。だから、みんなに「これは新しいドメインだからブロックして」と言うわけにはいかないんです。代わりに、それらの新しいドメインを一つずつ調べて、接続を試みることもできます。そして、返送されてきたセキュリティ証明書が新しいもので、見た目がおかしい場合は、それは危険な証明書です。
この話の最後に、顧客が伝えようとしているのは、「私の[ドメインネームシステム]フィルターに追加すべきドメイン名のごく短いリストを教えていただけますか？そうすれば、私の従業員がそれらのドメインにアクセスできなくなるはずです。」ということです。それを阻止できれば、それが最高の基準だ。
理想的には、そうです。悪者たちは、それを利用する前にインフラを構築しなければならない。その狙いは、インフラが非常に速いスピードで構築されていることを検知し、その中でどの新しいインフラが脅威アクターによって運用されているのか、そしてどれが正常で無害なものなのかを正確に特定することにある。
世界の問題は、悪者の活動があまりにも多いことだ。もし私が魔法のように、ブロックすべき非常にリスクの高いドメイン名のリストを企業に提供できたとしても、企業にはその数のドメインに対応できるセキュリティ対策がないのです。あまりにも悪いことが多すぎる。顧客は、私たちが提供できるあらゆる情報を非常に強く求めています。単に「このドメイン名は危険だ」というだけでなく、彼らは誰を狙っているのか、そして私のような人間を狙っていることを示唆する兆候は何なのか、といったことです。なぜなら、そうすれば私は自分のセキュリティのためにその情報を優先的に利用するだろうし、率直に言って、見た目はほとんど同じでも、実際には別の誰かを標的にしている類似の脅威の90％は、おそらくそちらに利用しないだろうからだ。
顧客は、セキュリティ制御の容量制限など、非常に困難な最適化問題を抱えている。彼らは何に焦点を当てるつもりだろうか？多すぎる。だから彼らは、最適化問題の解決に役立つような洞察を私たちに求めているのです。
