テクノロジーが進歩すれば、そのテクノロジーを悪質な目的で利用する可能性を早い段階から探っている犯罪集団がいると見て間違いありません。新しいテクノロジーは、ランサムウェア攻撃や金融情報の窃取をもくろむサイバー犯罪者や、敵対する国の重要インフラの破壊 (もしくは、それ以上) を狙う国家組織の戦闘力を増強させる可能性があります。

合法的な企業と同じくらい豊富な資金を持つこれらの組織は、国内法や国際法による規制、モラル、倫理規範などに一切捉われることなく、人工知能 (AI)、機械学習 (ML)、深層学習 (DL) など、新しいテクノロジーの革新的な利用法を開発することができます。こうした組織が着目するのは、犯罪的な目標を達成する上で、こうしたテクノロジーによってもたらされる機会だけです。

しかし、新しいテクノロジーが犯罪者や不正行為者の手に渡る一方で、狙われる側も、これらのテクノロジーを利用して、自己防衛を図ることができます。

 

平凡な外見に隠れた正体

不正行為者が攻撃を高度化させる目的で、人工知能 (AI)、機械学習 (ML)、深層学習 (DL) を利用していることを示す証拠は、驚くほど大量に存在します。有名なウェブサイトやオンラインサービスを機能停止に陥れる、大規模なDDoS (分散型サービス妨害) 攻撃が大きく報道されるケースがよくありますが、ほとんどのサイバー犯罪者にとって、第一の目標は、できるだけ長い時間にわたり、検出を免れることです。家屋に侵入した強盗が、部屋から部屋へと貴重品を探し回る行動にできるだけ長い時間を費やし、可能であれば侵入時と同様に誰にも見つからずに逃げることを目標にするのと同様に、サイバー犯罪者の狙いも、検出されずにネットワークに侵入し、動き回り、ひそかに立ち去ることです。

そのため、サイバー犯罪者は、可能な限りネットワークの正当なユーザー (人間やデバイス) のような外見を装います。AI機械学習が計り知れないほど貴重な新兵器になるのは、この部分です。サイバー犯罪者は、ネットワークにおける人間やデバイスの振る舞いを学習し、瞬く間に新しいマルウェアやフィッシング戦略を開発し、大規模に展開することができます。どのネットワークでも、依然として最も簡単な侵入方法は、正当なユーザーがリンクをクリックするよう、何らかの手段を使って働きかけ、ドアを開かせることです。たとえば、上司からのメールを装う偽のメールが、文体や言葉使いも含めて本物とまったく見分けがつかず、鍵を開ける最も有効な手段になる場合が少なくありません。

Darktraceは、サイバーセキュリティにおけるAIを専門とする、世界的に知られる企業の1つです。ご想像の通り、同社は、活発化する犯罪集団によるAI利用の現状についても、エキスパートとして把握しています。この優れたブログ記事では、ソーシャルメディアの偽のプロフィールを使用するチャットボットによる従業員への接触から、ニューラルネットワークを利用し、抽出する価値のあるデータを発見する手口まで、サイバー犯罪者が攻撃のライフサイクル全体に渡ってAIを利用して享受する様々なメリットについて、詳しく解説しています。

 

ITとOTの結び付きの増加と危険性

Darktraceのブログ記事では、アクセスの成功後にネットワークで行われる横方向への移動の意図についても述べられています。これは、サイバー犯罪者が目標を達成する上で必要不可欠な行動です。遠隔地の保護されていないデバイスなど、ネットワークへの入り口が最終目的地であることはほとんどなく、不正行為者は、最終的にネットワークのはるかに機密性の高いエリアを目指します。その過程で、とくにネットワーク管理者など、特権ユーザーの認証情報を盗み取り、ネットワークアクセスの重要な鍵を入手します。

コネクテッドデバイスや、いわゆるモノのインターネット (IoT) の時代を迎え、情報技術 (IT) ネットワークと運用技術 (OT) 環境がより緊密に統合されていくにつれ、リスクは爆発的に増加しています。ITネットワークはデジタル情報の流れを管理するのに対して、OTは、企業や特定の拠点における物理的な工程、機械設備、物理資産を管理します。窃盗よりも混乱や破壊を狙う不正行為者にとって、OTへのアクセスは必要不可欠です。発電所、石油精製所、病院などで機械設備にアクセスされた場合に起こり得る損害については、想像するまでもなく、容易に理解できます。

 

攻撃用であり、防御用のツールでもあるAI

不正行為者やサイバー犯罪者によるAIとMLの潜在的な利用について詳しく見てきましたが、かなり恐ろしい状況であることがお分かりいただけたでしょう。しかし、ネットワークを侵入から保護したい立場でも、同じテクノロジーを利用できます。そして、多くの点で、攻撃者よりも防御者の方が有利です。

私は、Darktraceの取締役副社長であるJeff Corneliusと情報交換を行い、常に犯罪者の一歩先を行くために、同社がAIとMLをどのように活用しているかについて、詳しく話を聞きました。ここで、Jeffにマイクを渡しましょう…

「重要なことを先に言います。メディアの報道から受ける印象とは異なり、人工知能や機械学習の開発は決して簡単ではありません。サイバー攻撃を仕掛ける犯罪集団や国家組織は強力な敵対者ですが、私たちの方が優位に立っている側面は数多くあります。」

「最大の優位性は、お客様にアクセスを許可いただいた場合に、ネットワークアクティビティを完全な状態で見ることができる点です。これを利用して、各デバイス、ユーザーの振る舞いをすべて理解できます。対照的に、不正行為者は何かを行うにしても、アクティビティ全体の限られた視野に頼るしかありません。私たちは、不正行為者が最初の足場から実行するアクションをすべて理解していますが、不正行為者は、理解できない環境に手探りで踏み込もうとしています。不正行為者の最終目標は、通常は企業が実行しないアクティビティです。私たちの主な目標は、ネットワークアクティビティの異常を発見し、対処することです。これは、必然的に広範囲に渡ります。敵対者がいつ、どこに現れるか分かりませんし、彼らの新しい手法や、新しい目標が何なのかも分からないからです。」

「たとえば、誰かが私の自宅外での動きを日常的に探っているとすれば、私が自宅を出る時間帯、通勤ルート、昼食をとる場所など、私の習慣についてかなり詳細な情報を取得しているはずです。私の生活のその部分を模倣しようとすれば、それなりにうまく立ち回れるでしょう。しかし、自宅内部の情報がないため、私の朝食の好みを模倣しようとすれば、家族が見て簡単に異常と分かるミスをするのはほぼ確実です。よくできたスピアフィッシング・メールで特定の個人をターゲットにするような情報は、インターネットでかなり多く入手できますが、こちらの陣地内であれば、勝負はこちらのものです。」

 

教師あり機械学習と教師なし機械学習

「機械学習 (ML) には、教師あり学習、教師なし学習という重要な区別があります。前者では、既知のデータを基にコンピューターを訓練し、データを絶えず見直して、結果が期待通りかをチェックします。サイバーセキュリティの観点では、学習用のモデルは、既知のマルウェアに基づいています。犯罪者とサイバーセキュリティが熾烈な競争を繰り広げているのは、実はこの部分です。不正行為者はMLを利用してマルウェアの新しいバージョンを作成しているため、マルウェアは急激に増加しています。これに対して、サイバーセキュリティ企業は、教師ありMLディフェンスの新しいモデルを作成して、後れを取ることなく対応しています。この状況は、毎日のように新しい単語や言い回しが生まれる世界で、遅れることなく、スペルチェックを行うのに似ています。同じペースを保つのは不可能ではないにしても、難しくなる一方です。」

「対照的に、教師なし機械学習のアルゴリズムでは、脅威に関する過去の知識に頼るのではなく、独自にデータを分類して、説得力のあるパターンを検出します。この場合、アルゴリズムは、ネットワークデータを大規模に分析し、自分が見た証拠だけに基づいて、何十億回もの確率計算を実行します。これを基に、デバイス、ユーザー、あるいは、それらのグループに関連して、特定のネットワークに見られる「正常」な振る舞いについての理解を形成します。その結果、絶えず進化する「生活パターン」からの逸脱、すなわち、発達しつつある脅威を示すと思われる動きを検出することができます。この早期警告システムによって、常にサイバー犯罪者や不正行為者の先回りをすることができます。」

サイバーセキュリティにおけるAIと機械学習は非常に興味深いテーマであり、この長いブログ記事でも十分に面白さを伝えることはできません。また、関連する分野は、セキュリティや監視にとどまらず、非常に幅広いと思われます。とはいえ、ネットワークに接続するデバイスの例に漏れず、ネットワークビデオやオーディオが攻撃のターゲットになる可能性があることは言うまでもないため、Axisはこのテーマに強い関心を抱いています。

Axisとサイバーセキュリティの詳細については、こちらをご覧ください。

サイバーセキュリティ