2024年 - 年間レビュー：今日の知見、明日の展望

Miraiボットネットは、攻撃者がコードを進化させてバリエーションも増え続けているため、今後も重要な要素となり、さらに高度化していく可能性があります。サイバーセキュリティ専門家は、ネットワークとアプリケーション領域全体で複数のレイヤーに同時攻撃を仕掛けてくるキャンペーンに対処しなくてはなりません。

プロキシを介した国家ぐるみの活動がさらに拡大すると考えられます。このような攻撃は、金銭的利益ではなく、損害を与えたいという純粋な願望を動機としていることが多いでしょう。 

脆弱性を緩和するために、組織はAPIエンドポイントを継続的に管理する必要に迫られます。マイクロセグメンテーションだけでなく、APIの適切な識別、管理、セキュリティが、堅牢なサイバーセキュリティ戦略の要素としてますます重要になります。

来年は自社の環境の強化に専念することを、すべての人に強く推奨します。 組織は、ネットワークが活発な攻撃を受けていないときに防御ポスチャを強化する必要があります。攻撃前に環境改善に投資することで得られる利益は、依然として大きなものとなります。

さらに未来へ目を向けると、量子コンピューティングの影響に注目する必要があります。このテクノロジーは、業界がまだ対応していない劇的な方法で攻撃を加速させる可能性があります。組織は、サイバー攻撃者の能力の進化に対応するために、ハードウェア全体を更新する計画に着手しなければなりません。 この計画はすぐには十分な成果をもたらさないかもしれませんが、サイバーセキュリティにおいて量子コンピューティングが普及したときに円滑に移行するために、今すぐ議論と準備を開始することが重要です。

地政学的緊張の高まりを受け、国家の支援を受けたサイバー攻撃が大幅に増加しました。このような国家ぐるみの攻撃では重要なインフラがますます標的になりやすくなっているため、組織にとって、プロアクティブな脅威インテリジェンス戦略と監視戦略の導入が喫緊の課題であることが浮き彫りになっています。

2024年にはサプライチェーンの侵害が重大な問題として浮上しました。攻撃者はサードパーティプロバイダーを悪用して組織に侵入しました。この中には著名なターゲットも含まれます。このトレンドにより、セキュリティプラクティスのギャップが露呈し、サプライ・チェーン・パートナーの継続的な監視と審査の必要性が明らかになりました。 こうしたリスクを緩和するために、サプライチェーン全体の組織がセキュリティの文化を育む必要があることは明らかです。

おそらく最も憂慮すべき点は、サイバー犯罪者が現在、人工知能（AI）を使用してより高度な攻撃ベクトルを開発していることです。AIを活用したツールにより、極めて巧妙なフィッシングキャンペーン、ディープフェイク、その他の斬新な戦術を生み出せるようになりました。このようなAIの採用により、攻撃の成功率が大幅に向上しました。この脅威に対抗するために、組織はあらゆるレベルで懐疑と教育の文化を育み、機密性の高い要求に対する堅牢な検証プロセスと組み合わせる必要があります。

サイバー犯罪者が引き続きAIを使用してフィッシング攻撃の自動化とパーソナライズを行い、検知がますます困難になると予想されます。これに伴い、リアルタイムの脅威検知を目的としたAIベースのセキュリティソリューションへの投資が促進される可能性があります。

また、2024年に成功を収めたランサムウェア攻撃が続くと予測されます。戦術は、二重脅迫から三重脅迫（多くの場合、DDoS攻撃）、さらには四重脅迫（攻撃者が被害者の顧客、従業員、その他の関連エンティティに直接連絡して、機微な情報が侵害されたことを通知する）まで発展しました。身代金を支払う組織は、再び標的になる可能性があります。自社を保護するために、企業はバックアップソリューションを強化し、従業員トレーニングに注力してこうしたリスクを緩和する必要があります。

IoTデバイスは堅牢なセキュリティが欠如していることが多く、そのようなデバイスに対する攻撃が増加すると予想されます。攻撃者が悪用できるデバイスは多数存在し、この攻撃は脆弱性が特定されるとすぐに発生する傾向があります。つまり、消費者レベルと組織レベルの双方でセキュリティ対策の強化とプロトコルの標準化が必要であることは明らかです。常に最新版のパッチや保護を適用し、IoTのフットプリントを把握することが重要です。 

緩和の兆しが見えない地政学的緊張を考慮すると、特定の国に関係のある標的を戦略的に狙ったサイバー戦争が続くと予想されます。私は、重要なアラートシステムの妨害と軍事攻撃が同時に行われるなど、物理的な行動と戦略的に連携したサイバーイベントが増加すると予測しています。このトレンドは、特定の国の利益を目的としたサイバー戦争が引き続き焦点となることを示唆しています。こうした状況を踏まえると、多層的なセキュリティアプローチを採用し、行政機関との連携を促進して、進化する脅威に対するレジリエンスを強化することが不可欠です。

2024年の主なトレンドは、欧州・中東・アフリカ（EMEA）地域におけるハクティビズムとDDoS攻撃の増加でした。第3四半期には、欧州と中東を標的とした攻撃が激増しました。これが2つの地域戦争に関連しているのは明らかであり、その戦争によってアクティビティの多くは勢いを増し、攻撃が収束する兆候はありません。

もう1つの顕著な変化は、事業のレジリエンスに重点を置いたNIS2指令の施行でした。この指令は、欧州連合（EU）加盟諸国の法律に組み込まれるように設計されています。EU加盟国は、2024年10月17日までにNIS2を国内法に取り入れなければなりませんでした。欧州の組織は、攻撃時におけるリスクの緩和とレジリエンスの強化に重点を置いたこれらの新しい要件や更新された要件に、自社のセキュリティインフラを準拠させる必要があります。

特に興味深かったイベントは、広く使用されているオープン・ソース・ライブラリーの脆弱性を悪用したXZ Utilsバックドア（CVE-2024-3094）です。この攻撃者は約2年という長い時間をかけてXZプロジェクトに貢献し、信頼を築くことで、オープンソース環境へのマルウェアの埋め込みに成功しました。この長期的な企みは、Volt Typhoonキャンペーン（通信の妨害を目的として米国内のDSLルーターに侵入したキャンペーン）をまねたものです。

おそらく、DDoS攻撃に関する最も興味深い展開は、Akamai SIRTが発見したCommon UNIX Printing System（CUPS、オープンソースの印刷プラットフォーム）の脆弱性でしょう。この脆弱性も、攻撃者が欧州を攻撃するために武器として追加できる攻撃ベクトルでした。インターネット上にはCUPSを使用する脆弱なデバイスが何千台も存在することを考えると、一度攻撃した後にトラフィックの流れを無限に生み出すしくみは特に興味深いものでした。

2つの地域戦争がまだ続いているので、ハクティビズムの脅威はすぐには衰えないと思います。実際、Akamaiは継続的にウクライナ政府と協力して、主要なオンライン資産を保護しています。ハクティビストは紛争や彼らが「不正」と思うことを動機とするため、このような地政学的状況が解決されるまで、この脅威アクティビティは続くと考えられます。ハクティビストは、制度やシステムに対する信頼を損なわせて、政府に特定の政権の支持を止めるよう圧力をかけようとしています。

攻撃ベクトルはAPIに重点を置く方向にシフトしていくと思います。アプリケーション・プログラミング・インターフェース（API）の展開が増えると、組織はますます脅威にさらされるようになり、悪用のリスクは高まる一方です。脅威の状況がかつてないほど拡大していることを受け、Akamaiは長期にわたってAPIの脆弱性に焦点をあて、組織が強固なAPIセキュリティ戦略を実行することの必要性を強調してきました。

2025年は、クリプトアジリティ（暗号の俊敏性）の向上に重点が置かれると思います。組織は、「量子耐性（quantum safe）」を得るために何が必要であるかを理解し始めています。遅くとも数年後には、一部の証明書とアルゴリズムの更新が必要になるでしょう。これに伴い、どの暗号化規格を使用するのか、いつどのように耐量子暗号化に移行するのかについて、多くの疑問が生じています。明日すぐに起こるわけではありませんが、人々はリスクとその対処方法について考え始める必要があると思います。これは世代交代です。

また、DDoS攻撃の急増が重要な地政学的イベントのタイミングと一致しているという点にも注目すべきです。2024年には、APJ地域の3か国（インド、インドネシア、台湾）で主要な選挙が行われ、その時期にDDoS攻撃が増加しました。

このような攻撃の増加は、ハクティビスト自身のイデオロギーや信念と対立していると思われる国や産業セクターを狙ったハクティビズムの増加に起因すると考えられます。この観測結果は、利益を求めているサイバー犯罪者だけでなく、政治課題を動機とし、いつでも攻撃することができるハクティビストも、組織は阻止する必要があることを示しています。

 DDoS攻撃は明らかに大きな問題ですが、APJの多くの組織はまだDDoS攻撃に対する備えが不十分だと思います。DDoS攻撃は真剣に受け止めなければならない真の脅威です。営利企業だけでなく、銀行システムから交通機関、公共機関まで、重要なインフラが標的にされています。DDoS攻撃が成功すると、人々の日常生活にまで影響が及ぶ可能性があります。

2025年には、世界中の他の地域と同様に、APJのすべての業界の組織が事業上のメリットと収益性を追求するためにすさまじいスピードでAIを導入する見込みです。しかし、AIの導入を急ぎながらも、不可欠なセキュリティ対策を忘れてはなりません。10年以上前、クラウドコンピューティングとサイバーセキュリティの導入が慌ただしく進むなかで、同様の状況が見られました。導入を急ぐあまり、セキュリティが疎かになることがよくあり、必然的に注目すべきデータ侵害が何件か発生してしまいました。

現在、私たちはAIの可能性の一端に触れているにすぎないと思います。また、組織は根底にあるセキュリティへの潜在的な影響を十分に把握していない可能性があります。AIが事業運営に深く組み込まれるようになると、AIのセキュリティ確保のための取り組みを組織の戦略の最前線に置かなければならなくなります。残念ながら、過去のアクティビティから判断すると、そのように取り組まれる可能性は比較的低いです。本格化するのは、重大なデータ漏えいが発生して、組織や規制当局が突然、関連するセキュリティフレームワークや規制を重視するようになってからでしょう。

2025年から、AIシステムの保護とAI駆動型の攻撃からの防御という、AIセキュリティの2つの側面にますます重点が置かれるようになると思います。結局のところ、サイバー犯罪者はAIを活用して、より検知を回避でき、より効率的で、より効果的な攻撃を実現する方法を身に付けようとしています。AIは攻撃者の参入障壁を低くし、脆弱性を特定して悪用する能力を高めます。Akamaiは独自のAIモデルを構築して、そのAIモデルを攻撃する方法を検討し、セキュリティソリューションを強化するために必要な保護策を明らかにすることで、すでに数歩先を行っています。これには、さまざまなAI拡張機能の実装が含まれる場合があります。これは、2025年以降も引き続きAkamaiの能力向上が見込まれる領域です。

最後に、人々はAIという輝かしい最新テクノロジーに気を取られていますが、強固なセキュリティの土台を確保することを忘れてはなりません。2025年も、攻撃者は引き続きAPIエンドポイントを狙い、フィッシング攻撃を行うと考えられます。 パッチをタイムリーに展開し、安全対策を常に実施し、従業員が悪性のアクティビティを特定して緩和するためのトレーニングを継続的に推進する必要があります。なぜなら、AIの有無にかかわらず、そのような脅威はなくならないからです。

サイバーセキュリティの規制環境は、世界的に進化し続けています。2023年には、Anu Bradford氏が市場主導型、国家主導型、権利主導型の3つの異なる新たなアプローチについて概説しました。 このフレームワークは、2024年の新たな規制（米国証券取引委員会のサイバー重要性報告要件、EUのDORA、中国のデータセキュリティ法など）を理解するための有用な視点をもたらしました。こうした新たな規制が地域の垣根を越えて影響を及ぼしているため、グローバルな視点でコンプライアンスに取り組む必要が生じています。規制で重点が置かれている新たな領域として、API、生成AI、ランサムウェアの支払いポリシーがあり、注意深い監視が求められています。

生成AIはまだ初期段階ですが、Open Worldwide Application Security Project（OWASP）はすでに大規模言語モデル（LLM）のセキュリティリスク上位10件のリストを公開しました。こうしたリスクを防ぐためには、DDoS攻撃、機微な情報の漏えい、ランタイムのセキュリティ問題などの脅威に対する防御が求められます。さらに、サイバーセキュリティチームは、モデルの効果的な活用と保護のためのスキルを開発する必要があります。

APIリスクは引き続き、迅速なスケーラビリティに関する重要な懸念事項となります。OWASP Top 10 APIセキュリティリスクは、ビジネスロジック攻撃に対処するためのスキルとセキュリティ制御の必要性を示しています。APIはローカル・ファイル・インクルージョンなどの従来の脅威に対して脆弱なままですが、同時に、新たに広がりつつあるこうした攻撃ベクトルに対処するためには可視化と迅速な対応のための機能強化が必要です。2025年には、管理されず「ゾンビ」化している不正なシステムや忘れられたシステムの特定、一般的な脆弱性に関する開発者のトレーニング、セキュアなコードデプロイメントのランタイム検証が、さらに重要になります。パブリックAPIの悪用に端を発する深刻な侵害が増加していることは、重大な影響が生じる前にそのようなアクティビティを継続的に監視して緩和することの重要性を示しています。

私が今年注目したのは、アタックサーフェスがどれほど拡大したかです。その原因は、新しいテクノロジーが導入されたことだけでなく、テクノロジー自体が新たな攻撃者を生み出していることにあります。言いたいのは、ChatGPTがマルウェアを書いているということではありません。それは完全に別の問題です。攻撃者にとっての技術的な参入障壁が大幅に低くなり、結果的に防御者と攻撃者の間のギャップがさらに不均衡になっています。さらに、生成AIとLLMが標準になりつつあるため、このギャップは実質的に大きな穴になる可能性があります。

テクノロジーは、かつては考えられなかったスピードで進歩しています。私たちは、国家レベルの高度な攻撃と戦っているだけでなく、利己的な目的を持つスクリプトキディとも戦っています。攻撃者の市場投入までの時間は情報開示後わずか数時間に短縮されており、一部の攻撃者は複数の攻撃手段を利用します。防御者は攻めたてられており、状況は毎年悪化しているようです。  

また、新しいテクノロジーによって、古い脅威からの新たな攻撃経路が出現しています。過去に緩和された脅威に完全に新しいエントリーポイントが与えられる可能性や、あるベクトルが攻撃後にさらに多くの損害をもたらす可能性があります。 今年のマルウェアの多くは、Log4Shellのような古い脆弱性を利用していました。10年以上前の脆弱性もあれば、CVEが適切に割り当てられていない脆弱性もありました。  経験豊富なボットネット作成者は、難読化が困難になると、ツールキットを拡張してGo言語ベースのマルウェアを含めることができます。また、クレジットカードにアクセスできる人なら誰でも、オンラインで靴を購入するのと同じくらい簡単に本格的なランサムウェアやDDoS攻撃を実行できます。  

インターネットという絶え間なく変化するデジタル世界はますます相互に接続されるようになり、攻撃者が狙う場所がさらに増えています。組織は来年、基本に立ち返り、これまで目立たなかった脆弱性に対してもパッチ管理とインシデント対応戦略を見直して更新する必要があります。攻撃者は脆弱性を調べてマルウェアを急速に拡散することができ、配信された情報の不整合が世界中に影響を及ぼす可能性があることを考慮すると、2025年に侵害は起こるものだと想定しておいた方がよいでしょう。

Akamaiは、転ばぬ先の杖として、現在組織に影響を与えている脅威とすぐ近くに潜んでいる脅威について、クライアント、同僚、一般の人々に常に最新情報を提供することに取り組んでいます。

今日の脅威に対する実用的なソリューションに加え、AIが攻撃戦略と防御の両方にもたらす変革にも注力しています。また、Akamaiの研究者は量子コンピューティングなどの次世代テクノロジーにも関心を向けており、クライアントが将来に備えるための支援をしています。