サイバー戦、自己防衛、防衛者のジレンマ

熟考し、調査し、ワインを数杯飲んだ後、サイバー戦争について分析することにしました…

私は現在カナダに住んでいるので、カナダの視点からこのトピックについて書きます。カナダのほとんどのものと同様に、私たちは米国から指針を取り入れており、サイバーセキュリティへのアプローチも例外ではありません.米国には、全国のコンピュータの合法的および違法な使用に関する多数の法律および規制があります。これらのいくつかは、 The Age of Cyber Warfareというタイトルの前回のブログ投稿にリストしたので、ここでは繰り返しません。

ただし、システムの誤用は、想像以上に大きな影響を与える可能性があることを繰り返し述べたいと思います。サイバー セキュリティ分野に初めて参入したとき、チームが脆弱性管理プログラムを開発して実装するのを支援する任務を負っていました。情報技術のほとんどのことと同様に、人はすぐに学び、次のタスクがどうなるかわからないことに慣れる必要があります。このような状況では、 GoogleとYoutube が親友になります。

開始するために必要なすべての情報を収集したので、プログラムを取り巻くさまざまな法律や規制が殺到するのは時間の問題でした。たとえば、システム所有者から許可を得ていない場合にシステムを調査することは違法であることをご存知ですか?

私の親友が私の最後のサイバー戦争の投稿を読んでいるときに、娘の修士論文を送ってくれました。 Canadian Hack-Back?: A Consideration of the Canadian Legal Framework for Private-Sector Active Cyber Defense というタイトルの論文はよく読まれており、このテーマに関して私が出会った唯一の学術論文の 1 つです。調査中に、著者はアクティブ サイバー ディフェンス (「ACD」) という用語に出くわしました。この用語には、思いつく限り多くの定義があるようです。ただし、彼女は ACD を「技術的手段を使用したサイバー脅威または侵入に対する非政府の対応であり、その対応が防御者自身のネットワークの外に影響を与える場合」と定義しています。この定義では、侵入システムの調査を含め、防御側が行うすべてのアクションが ACD として分類されます。私が彼女の論文をこの投稿に持ち込んだのは、批判や評価としてではなく、単にこのトピックがいかに複雑になり得るかを強調するためであることに注意してください.

私はどう考えても弁護士ではないので、残りの法的議論は専門家に任せます。しかし、サイバーセキュリティが私たちの生活のあらゆる部分に影響を与えるようになったため、サイバーセキュリティの専門家は、これらすべての法律を順守し、クライアントに適切なサービスを提供するためのトレーニングを受ける必要があります.これは徐々に成長し、サイバーセキュリティ分野の重大な欠陥になります。経験豊富で有能で資格のあるサイバーセキュリティの専門家が不足しています.チップを搭載し、本質的に機密性が高く、私と同じように欠陥のある人々が関与するあらゆるものを保護しなければならないことを想像してみてください...

サイバー セキュリティの専門家なら誰でも知っているように、サイバー セキュリティは大まかに 8 つのドメインに分類されます。

1. セキュリティとリスク管理

2. 資産のセキュリティ

3. セキュリティ アーキテクチャとエンジニアリング

4. 通信とネットワーク セキュリティ

5. ID およびアクセス管理

6. セキュリティの評価とテスト

7. セキュリティ オペレーション

8. ソフトウェア開発セキュリティ

   
   

各ドメインには、組織の人、プロセス、およびテクノロジをカバーするサブセクションが含まれています。これらのセクションの一部には、サイバーに関連しているとは考えられない領域が含まれています。たとえば、消火、氾濫原の緩和、屋外照明はサイバー セキュリティに分類できることをご存知ですか?私もそうではありませんでしたが、火がついたり、浸水したり、夜中に盗まれたりした場合、システムを保護できないことに気付くまでは。サイバーセキュリティには、経験豊富な専門家がそれぞれを保護する必要がある多くの領域が含まれていると言えば十分です。

サイバーセキュリティ防御

サイバー セキュリティが実際にどの程度広範であるかを理解し始めると、そもそもシステムへの攻撃を回避することがいかに重要であるかを理解し始めることができます。しかし、私たちは困難な戦いに直面しているようで、前進するたびに抵抗があります。

すぐにサイバーセキュリティ体制を弱体化させるアイテムがいくつかあります。 1 つには、評判の良い店から購入した新しいコンピューターは、思ったほど安全ではありません。たとえば、ウイルス対策プログラムやゲーム スイートの試用版など、コンピューターにインストールされたくないプログラムがインストールされていることに気付いたことがありますか?これはブロートウェアと呼ばれ、コンピューターを攻撃にさらします。 Windows の「位置情報サービス」と AI 音声アシスタント「Cortana」はどうですか?これらのサービスは、あなたの物理的な場所を公開するだけでなく、 Microsoft にあなたの声のパターンをフィンガープリントさせる可能性があります。これらのサービスを無効にして、攻撃対象領域を減らします。

もう 1 つの問題は、スマートウォッチやスマート TV などのスマート デバイスの大部分が、基本的なサイバー攻撃に対して脆弱であることです。これらのデバイスは通常、ラップトップやデスクトップほど安全ではありません。これらのデバイスを作成する際にセキュリティが最初に考慮されるわけではないからです。極端ですが良い例が、カジノの水槽センサーを介したサイバー攻撃です。

考慮すべきもう 1 つのポイントは、コンピューター ユーザーは通常、サイバーを認識していないということです。たとえば、無意識のうちに何千ものサイバー攻撃を経験できることをご存知ですか?これは、フィッシング メール、サービス拒否攻撃、およびデータ侵害(例: 2017 年の Equifax データ侵害) によって行われる可能性があります。言うまでもなく、ほとんどの人がほとんどのアカウントで脆弱なパスワードを再利用しています。あなたは有罪であり、何年も前の私もそうでした。私と社会の残りの人たちにお願いです。「 123456」を唯一無二のパスワードとして使うのはやめてください。

オッズは私たちに不利だと言って差し支えないと思います。ただし、サイバー攻撃のコストが増加しているため、過去数年間でサイバーセキュアな世界に向けてある程度の進歩がありました.希望はありますが、この点に関してはまだやるべきことがたくさんあります。したがって、サイバーセキュリティの世界に切り替えることに興味があるなら、今が良い時期です。

サイバーセキュリティ攻撃

攻撃的な戦術の話題に入ると、攻撃は被害者からの反応を招くことに注意することが重要です。誰かへの物理的な攻撃は、単純な打撃から致命的な打撃まで、自己防衛の形で報復を招きます。

これを念頭に置いて、私が議論したい2つの質問があります。

1. システムにサイバー攻撃が発生した場合、自衛のために対応する権利はありますか?

2. 正当防衛で対応する権利があるとすれば、どの程度まで対応できるでしょうか。

   
   

物理的な世界では、他人に挑発されたり、危害を加えられたりした場合、社会として、自衛による容認できる対応を決定しています。誰かが私を傷つけようとした場合、私には身を守る権利があります。そして、私には自分自身を弁護する権利がありますが、私がこの権利に従って行動するかどうかを決めるのは、その時の私次第です。現在武道を学んでいる者として、私が言わなければならないのは、私が攻撃にある程度の能力で反応するということだけです.あなたは警告されました。

しかし、デジタルの世界では、自衛の問題は非常に複雑になります。まず第一に、誰があなたに危害を加えたのか (またはシステムにサイバー攻撃を仕掛けたのか) を 100% 確信することはできません。ほとんどのサイバー攻撃は、実際の攻撃者のマシンではなく、無実の第三者の侵害されたシステムから行われます。これは、誰が、何を、いつ、どこで、なぜ、どのように攻撃したかを把握することが不可能ではないにしても困難になるため、設計によるものです。そのため、加害者のシステムに対して本格的なサイバー攻撃を開始する能力があったとしても、無実の傍観者を攻撃して、システムに対して行動を起こさせる可能性があります... 自己実現的予言.

もう 1 つの問題は、サイバー攻撃がシステムに重大な損害を与える可能性があることです。攻撃されたシステムは、テクノロジと地政学的な世界の両方で、数百または数千の他のシステムに接続されている可能性があるため、予期しない結果を引き起こす可能性があります。たとえば、サイバー攻撃が石油パイプラインの閉鎖に成功した場合、影響を受けたシステムが安全にオンラインに戻るまで、国は石油がない可能性があります。コロニアル パイプライン ランサムウェア インシデントはその一例で、攻撃により米国南東部で石油不足が発生しました。

報復に関する 3 つ目の問題は、責任とエスカレーションの可能性です。報復によって生じた損害について誰が責任を負いますか?たとえサイバー攻撃が攻撃者のシステムに損害を与えたとしても、彼らが同じように対応しないと誰が言えるでしょうか?報復が専門家によって行われない場合、攻撃者があなたが誰で、どのシステムを攻撃するかを突き止める可能性はほぼ確実です.システムだけでなく、身元、家族、友人に対する本格的なサイバー攻撃に対処する準備はできていますか?攻撃がどこまで及ぶかは誰にもわかりません。

ほとんどの人は、この量の放射性降下物に対する準備ができていないと言っても過言ではありません。

議論のために、提起された最初の質問に対する答えが「はい」であるとしましょう。次の質問は、サイバー攻撃にどこまで対応できるかです。システムがオンかオフかを調べるという最も基本的な応答を行うことができます。また、加害者のシステムに対して全面的なサービス拒否、ランサムウェア、またはブルート フォース攻撃を実行することもできます。どこに線を引きますか？または、より良い質問は、私たちが経験する各攻撃に対する適切な対応は何ですか?

システムの脆弱性をスキャンする攻撃者を検出した場合、同じことを行うのは適切でしょうか?攻撃者が私たちのメール アドレスにフィッシング メールを送信した場合、何らかの方法で詐欺を試みることはできますか?ランサムウェア攻撃を受けた場合、フィッシング攻撃を実行できますか?これで私がどこに向かっているのかわかると思いますが、この質問に対する良い答えはありません。真実は、犯罪者のシステムにサイバー攻撃を「安全に」実行するために必要なすべての情報を手に入れることは決してできないということです。質問は尽きることがなく、道徳や倫理についても話したことはありません。その話題は別の日に譲ります。

最後に

私はサイバー自己防衛の概念が好きであることを認めなければなりませんが、私の意見では、それは実現可能ではありません.専門家が少なすぎ、安全でないデバイスが多すぎ、個人や企業が「ハッキング」を開始した場合に危険にさらされる人が多すぎます。これにより、防御側のジレンマが常に存在します。攻撃者は常に防御側の一歩先を行くことになります。オプションとして「ハッキングバック」と見なすことができる唯一のケースは、世界の人口が世界大戦のような出来事によって危険にさらされた場合です.この場合、すべての人の通常の生活が混乱し、サイバー攻撃が発生していても、核の放射性降下物、飢餓、殺人、病気など、より差し迫った問題に対処する必要があるため、実際には問題になりません.そうならないことを祈りましょう…

とにかく、これが私のブログを読んでいるあなたに役立つことを願っています.私はいつも、私がこのキャリアを選んだのではなく、このキャリアが私を選んだと言っています。私は、私にとって重要であり、社会に価値を提供すると信じているトピックについて書き続けます.

いつものように、私が書いたものについて質問、コメント、または懸念がある場合は、いつでも対応できます。

平和、愛、そして幸せのすべて！

こちらにも掲載。