サイバー攻撃の「攻撃者が誰なのか」「どこの国による関与があるか」は大事なのか？

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 追訴といった外交手段により攻撃そのものが減った。という説が正しいのであればいいことだとは思います。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda しかし、そのためには元々カウントしていた攻撃がその国が関与するものであったということと、減った理由が追訴あるいはその追訴を含むアクションが起因していることが明確でなければ説が正しいと言いがたいように思うんです。こればかりは攻撃者が正直に話してくれないことには分からないですね。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda ただ、こういったことに考えを巡らすことが大事な立場の方もいらっしゃるかと思っています。それに対して、そこではなく対応を行うために手法や攻撃基盤などの情報を共有し、全体の底上げを行うことが大事な立場の方も多くいらっしゃるのかと思います。

keijitakeda @keijitakeda

@ntsuji 「対応を行うために手法や攻撃基盤などの情報を共有し、全体の底上げを行う」上で対象脅威の分析を行うのは私としては事態対応のごく一般的なことだと考えていますし大学でもそのように教えています。そういったことをされてなかったり（相対的に）重要でないという方がいるというのは正直驚きました。

keijitakeda @keijitakeda

@ntsuji それこそ説が正しいことの証明にこだわるよりも、効率的に攻撃被害を減らすために何ができるかということが重要と考えています。

keijitakeda @keijitakeda

サイバー攻撃の対処において、誰が何の目的で攻撃しているかとか考えるのは自分としてはごく当たり前のことだけど、そんな風に考えない人、結構いるのだろうか、、、。

keijitakeda @keijitakeda

サイバー攻撃の大半は国家の関与とは関係なく行われるわけで、その脅威分析の過程で国家関与の可能性が疑われるケースがでて来るわけで、どうして最初から民間では何もできないから攻撃者の分析をしないという話になるのかわからん。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 誰かと証明することにこだわるのもそれと同意かと思っております。それよりも前にまずは手法や攻撃基盤情報を共有することが効果的かと思っています。そちらであればある程度相手が変わっても共通部分もあると思うんですよね。こちらは減らすというよりも防ぐという観点ではあります。

keijitakeda @keijitakeda

@ntsuji 「攻撃基盤情報」というのはどういったものでしょうか？

keijitakeda @keijitakeda

@ntsuji 先のツイートの「攻撃被害を減らす」を「攻撃被害を防ぐ・減らす」に訂正します。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 誰がということと攻撃手法や基盤は切り離せないとお考えでしょうか。誰かが分かると類似性が見えてくることもあるかと思うのですが、それが分からない段階でも手法、基盤は分かるかと思いますゆえ、そこに注目し共有することで同じ被害に遭う方を減らせるのではないかと思うんですよね。

keijitakeda @keijitakeda

@ntsuji 誰がということと攻撃手法や基盤は切り離せないとお考えでしょうか。→関連はありますが切り離して考えることは可能だと思います。 それが分からない段階でも手法、基盤は分かるかと思いますゆえ、そこに注目し共有することで同じ被害に遭う方を減らせるのではないかと思うんですよね。→その通りです

keijitakeda @keijitakeda

@ntsuji 私は「攻撃者の分析（と情報共有）」と「攻撃手法や基盤の分析（と情報共有）」どちらか一方だけ行えば良いということはなくどちらも並行して行えば良いと考えています。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 立場や興味に応じて片方のみでもいいですし、両方でもよいですし、平行でもパラでもよいかと思っています。ボクの中での優先順位もありますし、他の方のそれもあると思います。

OTSO @OTSO_ILVESNIEMI

@ntsuji なんらかの（政治的）意図を持った国からの攻撃があったとして、民の立場ではできない事は多々あるのだから、そこに拘泥するのではなく、出来ること粛々と進めて被害少なくしましょってことですよね〜 餅は餅屋、良いと思います！

辻 伸弘 (nobuhiro tsuji) @ntsuji

@OTSO_ILVESNIEMI そうです。そこに気を取られてもどうにもできない状況もありますので、自分たちのできること、基本的なところに目を向けてやるべきことを粛々とやるとしたほうが多くの場合いいのかと思っています。もちろん、そういったことを気にしないといけない立場の方もいることも理解はしているんですけどね。

OTSO @OTSO_ILVESNIEMI

@ntsuji セキュリティエンジニアとしては、相手が誰であれ冷静に論理で対抗する姿勢を守って行きたいですね。 ありがとうございました！！

辻 伸弘 (nobuhiro tsuji) @ntsuji

@OTSO_ILVESNIEMI そうですね。相手がどうかによって攻撃手法の特徴があることも事実ではありますがそれも変更される場合があることを考えるとその手法やそれに関するインディケータが共有され底上げのできる世界にしていきたいなと思うんですよね。こちらこそかまっていただいてありがとうございます。

OTSO @OTSO_ILVESNIEMI

@ntsuji その手の偽装、それこそ情報戦のプロなら息するようにやってきますもんね。疑心暗鬼で手が止まるよりは、目前の事象に対抗できる体制を広く共有できるように心がけて行きます！

TK @tk_secu

@ntsuji 民間であれば、どこの国か…は、あくまで趣味の範囲ですね。仕事でなら、どこの国かはさておき、攻撃してくるIPなりを特定して手を打つのが最優先ですかね 国家なら、機密を盗もうとした相手国に警告するために国の特定が必要？けど、BOTの可能性もありますので、あまり意味がない気がしますが

kazukey @kazukey

@ookura1978 @ntsuji サイバー保険の適用を考えると、戦争/テロ行為との区別は重要なファクターです。 誰にとってどんな情報が有益なのか、立場が異なると違ってくるものです。 対象国単位での通信抑制もアプライアンス製品でていますし、わたしは趣味の範囲とは考えないですね。

kazukey @kazukey

攻撃の多様性に充分に対応できるだけの防御の多様性が欠けている。 インシデントレスポンスもその後のフォレンジックでも、見たものだけを盲目的に信じて対処するのは攻撃者の思うツボ…。

TK @tk_secu

@kazukey @ntsuji 対象の国ごとに通信の抑制をかけるアプライアンス製品もあるんですね、すみません。勉強不足でした。