「AI攻撃は人の100倍速」、日本ハッカー協会 代表に聞くパッチ当てを自動化すべき理由(3/3)

パッチ当ては自動化、鍵はテストにある

　杉浦氏が防御の鍵に挙げるのは「自動アップデート」だ。人間が確認してから当てる従来のやり方では、もう間に合わないと見る。

　杉浦氏は、7月のWordPress（Webサイト作成ソフト）の事例を紹介する。同氏によると、公式発表の約15分後に対応が始まり、自動アップデートは設定されていれば1時間20分後に実行された。そして3時間20分後には、攻撃コードが公開されたという。

　脆弱性の情報公開から、実際の攻撃開始まではおよそ1日。1週間放置すれば、被害は確実に増えると、杉浦氏は見る。

「この10月に月出たWindowsの脆弱性は、1400というレベルです。これを1個1個評価するのはもう意味がない。パッチが来たらとりあえず当てる。動かなくなったら戻す、という運用に変えなければいけません」（杉浦氏）

　杉浦氏が目安として示すのは、インターネットに面したシステムを1時間で更新できる態勢だ。そうでないシステムは、1週間程度の猶予があることもあるという。

　実は、パッチを自動で当てること自体は、それほど難しくない。問題はテストにある。テストが自動化されていないと、人手で確認してからでないとリリースできない。

「DevOps（開発と運用を一体で回す手法）をまったくやっていないところは、かなり地獄な感じだと思います」（杉浦氏）

　理想は、テストが自動化され、CI/CD（変更を自動で検証し反映する仕組み）がつながり、そこにセキュリティも組み込まれている状態だ。AIによる診断が加われば、完璧とは言えないまでも、かなり有利になる。

　ただし、人の判断が残る領域もある。たとえばLinuxで深刻な弱点が出ているのに、パッチがまだない場合だ。システムを止めるのか、動かし続けるのか。利益に直結する判断であり、現場だけでは決めにくい。

　PHPをめぐる対応では、通りにくかった提案が、高市総理のXの影響もあり、通ったという。

　「経営層の方が『止めてもいいよ』と言ってくれると、現場は非常にありがたかった」（杉浦氏）

　 　金融機関についても、杉浦氏は運用の工夫を挙げる。全系統を一気に更新するのは避け、一部の系統を止めても別系統に切り替えられる形を作っておくことが大切だという。

最初の1週間は「攻撃できる場所」を洗い出す

　限られた予算で何から手を付けるか。仮に自社のセキュリティ担当になったらどうするか。杉浦氏の答えは明快だ。

「攻撃できる場所を全部探して、パッチできるところを全部埋めてもらう。できるまで帰さないぞ、くらいのことをやるしかないですね。責任者レベルじゃないとできませんが」（杉浦氏）

　次に手を付けるのが、ベンダー（外部の委託先）に握られている権限だ。それを自社でも把握し、操作できる体制に切り替え、責任も共有する形にする。ベンダーに全責任を預け、自社は「メールしか書きません」という担当者は少なくないという。

　その上で、システムを扱う人が最低限の操作をできるよう、訓練をやり直す必要がある。

「責任を遂行できる体制がなく、連絡がつきませんでした、となれば、システムは侵入されます」（杉浦氏）

　止める、メンテナンスに入る、といった判断を自社でできない企業は、しばらく厳しい状況が続く。発注者として最低限のことができなければ、セキュリティは担保できないというのが杉浦氏の見方だ。

　一方で、希望もある。AIが自分自身を守り始める日は、数年以内に来そうだという。

「セキュリティオペレーション（監視から対処までの運用）が全部できるAIが必要かなと思っています」（杉浦氏）

　攻撃側が使っているAIの力を、守る側も使える時代が来る。そのとき差がつくのは、今のうちに更新の自動化と体制づくりを進めた企業だろう。自社の入り口はどこにあり、何時間で塞げるのか。まずはそこから確認したい。