『The Sliding Scale of Cyber Security』とは、Robert M. Leeにより提唱された概念で、サイバーセキュリティ態勢の成熟度を表すモデルです。このモデルによると、サイバーセキュリティの成熟度を脅威対応の観点からみて、５段階（Architecture・Passive Defense・Active Defense・Intelligence・Offense）に分類を行っています。
以前、「脅威の検知レイヤーモデル」という概念を考えましたが、基本的な考え方は同じだと思うので、その考え方も踏まえていきたいと思います。
その内容を具体的に見ていきましょう。
Architecture
Architectureとは、「セキュリティを念頭において、システムの計画・構築・維持を行うこと」と定義されています。例を挙げれば、適切にネットワークをセグメンテーション（分割）する、各サーバの設定にハードニングの考え方を導入する、などが挙げられます。筆者の考えでは、セキュリティのガイドラインに従って計画・実装を行うという議論に近いと思います。実際、このホワイトペーパーでは、参考になるモデルとして、NIST SP-800シリーズやPCI-DSSを参照すべきと書かれています。
Passive Defense
アメリカ統合参謀本部の資料『DOD Dictionary of Military and Associated Terms』（2019年02月版）では、Passive Defenseは以下のように定義されています。
passive defense - Measures taken to reduce the probability of and to minimize the effects of damage caused by hostile action without the intention of taking the initiative.
（筆者簡易訳）
受動的防御 - 主導権を取る意図はなく、敵対的行動によって引き起こされる被害の可能性を低減し、影響を最小限にするための対策
攻撃者は脅威の条件がそろえば、上記のArchitectureをすり抜けようと攻撃を仕掛けてきます。そのため、被害の発生確率を低減し、影響を最小限に押させる対策が必要となります。
サイバーセキュリティの文脈に置き換えれば、セキュリティ製品、例えばウイルス対策ソフト、ファイアウォール、IDSなどの伝統的なツールを導入して被害を防ぐことを意味します。この文脈から、本モデルの提案者は、「人間の継続的な関与なく、攻撃者に対して一貫性のある防御を提供するため、Architectureに追加されたシステム」と定義しています。言い換えれば、シグニチャベースの検知が基本となり、基本的には伝統的かつ汎用的な攻撃への対処を行うレベルです。その代わり、非常に早く対応できるレベルでもあります。
このホワイトペーパーでは、参考になるモデルとして、Defense-In-Depth（多層防御）、NIST SP-800シリーズ、NIST Cybersecurity Frameworkなどを挙げています。
Active Defense
Passive Defenseでは、多くの資金・リソース・能力を持つ高度な攻撃者には対抗できなくなります。そこででてきるのが、Active Defenseです。以前Active Defenseに関する定義に関する記事を書きましたが、ここでは、以下の定義を使っていきます。
アメリカ統合参謀本部の資料『DOD Dictionary of Military and Associated Terms』（2019年02月版）では、Passive Defenseは以下のように定義されています。
active defense — The employment of limited offensive action and counterattacks to deny a contested area or position to the enemy.
（筆者簡易訳）
能動的防御 - 限定的な攻撃的活動と反撃の一部を行い、攻撃者に略奪された地域・位置を否定すること
本ホワイトペーパーでは、「アナリストがネットワーク内部に潜む脅威を監視し、対応し、学び、自分の知識を応用するプロセス」と定義されています。そのため、検知をツール任せにするのではなく、ログを分析したり、ツールで検知された内容を分析していくレベルです。
ここからはホワイトペーパーからは異なりますが、このActive Defenseにはレベルが３種類あると考えています。ここでは、以前提唱した「脅威の検知レイヤーモデル」をもとに考えてみましょう。
- レイヤー１：振る舞い検知型
- レイヤー２：サイバー脅威インテリジェンス型
- レイヤー３：脅威ハンティング型
- レイヤー４：Offensive Countermeasure（上記に記載なし）
このモデルは、レイヤーが大きくなればなるほど高度な脅威に対応できる一方、時間やリソースが必要になります。
第一のレイヤーは、振る舞い検知型です。これは、アノマリー型検知ツールから出てきた結果をログなどを分析して検知する方法です。この方法は、半分ツールベース、半分人間ベースの方法です。
第二のレイヤーは、サイバー脅威インテリジェンス型です。これは、外部から取得した脅威インテリジェンス（IoC）をもとに分析する方法です。脅威インテリジェンスは、基本的にはツールのシグニチャにはなっていない最先端のIoCが共有されるものになりますので、ツールでは検知できない内容ばかりです。
第三のレイヤーは、脅威ハンティング型です。これは、サイバー脅威インテリジェンスの情報や自分の経験から、Aという攻撃手法が脅威インテリジェンスで共有されているのであれば、Bという攻撃手法があるのではないか？などを考えて新しい脅威を見つける方法です。より詳細な考え方については、こちらの記事をご覧ください。
第四のレイヤーは、Offensive Countermeasureと呼ばれる手法です。この手法は、日本では推奨されていませんが、考え方としては知っておく必要があります。
Intelligence
Active DefenseとIntelligenceの違いは分かりづらいと思います。
Active Defenseができたとしても場当たり的であったり、一過性の対応では意味がありません。Intelligenceとは、Active Defenseで作成された結果をもとに、脅威インテリジェンスを作成し、共有したり、次の脅威ハンティングに活用できるレベル、つまり再現性をもって取り組める状態を意味します。
このActive Defense、Intelligenceの状態をうまく表現したモデルとして、Active Cyber Defense CycleとF3EADモデルが挙げられます。
Active Cyber Defense Cycle
Active Cyber Defense Cycleは、４つのフェーズで構成されているモデルです。
Phase 1 : Threat Intelligence Consumption
このフェーズでは、組織の目的を正確に理解し、それに関連する脅威インテリジェンスを収集します。その後、Blue Teamがすぐに活用できるように、脅威インテリジェンスを取捨選別し、IoCのような形に情報を翻訳して挙げる必要があります。
Phase 2 : Network Security Monitoring（= Threat Hunting）
Phase 1の情報をもとに、脅威ハンティングを行うフェーズです。具体的には、収集、検知、分析の３フェーズによって構成されており、データを分析しながら攻撃の兆候を見つける脅威インテリジェンスを行うフェーズです。
Phase 3 : Incident Response
脅威インテリジェンスで見つけられた脅威について、封じ込め、脅威の排除などを行うインシデント対応プロセスです。
Phase 4 : Threat and Environment Manipulation
インシデント対応プロセスで収集できた脅威情報をもとに、改善を行うパートです。脅威情報をより深く知るため、フォレンジック、ログ分析、マルウェア解析などいろいろな手法で分析し、よりよいIoCを作成する、あるいは環境を変更してより安全なシステム構成を作成するプロセスです。
F3EAD
F3EADモデルは、以下の６つのフェーズが挙げられます。
- Find：調査フェーズ
- Fix：決定フェーズ
- Finish：完了フェーズ
- Exploit：活用フェーズ
- Analyze：分析フェーズ
- Disseminate：配布フェーズ
詳しい内容はこちらの本をご参照ください。
インテリジェンス駆動型インシデントレスポンス ―攻撃者を出し抜くサイバー脅威インテリジェンスの実践的活用法
- 作者: Scott J. Roberts,Rebekah Brown,石川朝久
- 出版社/メーカー: オライリージャパン
- 発売日: 2018/12/26
- メディア: 単行本（ソフトカバー）
- この商品を含むブログを見る
Offense
Offenseとは、Legal CountermeasureやHack-Backを行うという方法です。残念ながら基本的にはこれは推奨できず、基本的には法的に許可された国家レベルの対応になるので、ここまで考える必要はありません。
まとめ
この記事では、Sliding Scale of Cyber Securityについて解説をしました。こうしたフレームワークを知っておくことで、自分の組織がどこにあるのか、何を目指せばよいのか知ることができます。もちろん、ベンダーの態勢評価でも組織の状態は把握できますが、大局的な観点で理解しておくことも重要でしょう。
