日本のホワイトハッカー第一人者に聞く、ハードウェアのセキュリティ対策が重要な理由

ロシアによるウクライナ侵攻などを受けて、世界的にサイバー攻撃が活発化しつつある。サイバー戦や情報戦を軍事戦略に組み込んだ「ハイブリッド戦争」の脅威が増しており、サイバーセキュリティの重要性も一層高まっている。そうした状況を踏まえ、昨今の標的型攻撃やサプライチェーン攻撃、ランサムウェアによる身代金要求も一部の企業だけに被害が留まることなく、今や多くの中小企業も含めた社会問題と言っても過言ではない。そうした中でも、特に注意が叫ばれているのが、サーバーをはじめとしたハードウェアに関するセキュリティだ。セキュリティ対策というとソフトウェアが中心であり、ハードウェアは見落とされがちであるが、今まさに攻撃者はそこに目をつけているのである。そこで、なぜ今ハードウェアセキュリティ対策が重要なのか、セキュリティ対策を考える上で重要な視点、具体的に何をすべきかなどを、ホワイトハッカーの第一人者として知られる日本ハッカー協会 代表理事の杉浦隆幸氏に、HPEのサーバー担当者を交えて話を聞いた。

• 左から一般社団法人日本ハッカー協会 代表理事 杉浦隆幸氏、日本ヒューレット・パッカード合同会社　コアプラットフォーム事業統括 サーバー製品本部 ビジネス開発部 部長 阿部敬則氏、日本ヒューレット・パッカード合同会社　プリセールスエンジニアリング統括本部 カスタマーイノベーション本部本部長 及川信一郎氏

ウクライナ侵攻の裏で暗躍するロシアの“ベンチャー企業”によるサイバー攻撃

──ロシアによるウクライナへの軍事侵攻が世界中を騒がせている中、物理的な攻撃のみならず、ロシアのハッカー集団によるサイバー攻撃も活発に行われていると耳にしますが、その実態はどのようなものなのでしょうか。ウクライナ情勢などを踏まえたサイバー攻撃のトレンドを教えてください。

杉浦氏：ロシア人の攻撃者によるサイバー攻撃に関しては、特にランサムウェアを用いたグループによる攻撃が増えています。もともと西側と比べて平均給与が低い東ヨーロッパ諸国では、サイバー攻撃が盛んに行われていたのですが、最近ではランサムウェアが“稼ぎやすい”としてそれによる攻撃が増えているのです。現在では、攻撃の仕組みやマニュアルをつくるグループと、実際に攻撃をしかけるグループとの分業化が進んでいて、ランサムウェアビジネスとして成熟しつつあるようです。ここで興味深いのが、そうした犯罪者グループは、表向きは普通の企業としてエンジニアを求人して採用しており、しかも一般のエンジニアよりも給料が良いというのが現状だという点です。このようにロシア系のサイバー攻撃者は極めて特徴的な側面を有しており、敵対国の企業などを中心的に攻撃しているのですが、軍ではなくあくまで民間であり、“ベンチャー企業 ”といった表現が相応しいでしょう。

また一方で、ウクライナへの応援的なサイバー攻撃も世界中で多発しています。ご存知のようにロシアに侵攻されたウクライナは、軍事力や国の規模的ではロシアよりも小規模です。ただITによる攻撃というのは誰でも参加可能ですし、DDoS攻撃のようにより簡単に攻撃できる手法も多々存在します。そうした攻撃マニュアルも出回っているほか、最近ではDockerに攻撃環境が構築されており、賛同すれば誰でも攻撃に参加できるような環境が用意されていたりするのです。このように、ウクライナ情勢をめぐっては、サイバー攻撃のスタイル、やり方もかなり洗練されていて、しかも誰もが真似できるようになっていると言えるでしょう。

阿部氏：メディアでも「ハイブリッド戦争」のような言い方をしていますよね。

いまなぜファームウェアセキュリティが重要なのか

──最近ですと、著名なアニメ制作会社がランサムウェアによるサイバー攻撃を受けた事例が記憶に新しいですが、日本におけるサイバー攻撃の実例、セキュリティの課題を教えてください。

杉浦氏：国内においてもやはりランサムウェアを用いたサイバー攻撃グループの活動が目立つようになっていますね。それと合わせて最近の動向から特に注意したいのが、サーバーやPCのファームウェアを改ざんする攻撃でしょう。ファームウェアとは、サーバーやPCをはじめ電子機器などにも内蔵されるソフトウェアの一種であり、内部のハードウェアと密接に結びついているのが特徴です。そのため、基本的に通常の使用や操作では内容の変更を行わないことから、サイバー攻撃からの防御が難しいといった課題があります。この辺りについては、HPEのサーバーであればファームウェア改ざん対策機能が備わっているので安心できると言えるでしょう。

阿部氏：HPEのシリコン・ルートオブ・トラストのことですね。2017年リリースのサーバー製品から標準搭載されるようになった「HPE integrated Lights-Out 5（iLO 5）」というHPE自社開発のサーバー管理ASICによって実現されました。

杉浦氏：そうです。正直、iLO 5が登場した時にはその仕組みにとても感心しました。ファームウェアというのは一度改ざんされてしまうとまず直せないですし、バックドアも仕掛けることができてしまうのでとても危険だと常々懸念していましたから。

及川氏：はい、この5年ほどでかなり世間の認識が変わってきて、ファームウェアのセキュリティの重要性が問われるようになりましたね。

杉浦氏：商品開発というのは、出てきた当初はなかなか理解されない世界ですよね。でも、先見の明があって新しいことをやるからこそ、後に評価されるのだと思います。特にセキュリティというのは2年3年先を読まないといけませんから、HPEはよくやったなと思いますよ。

及川氏、阿部氏：ありがとうございます。

サーバーOSの延長サポート終了に備えて何をすべきか

──Windows Server 2012の延長サポートが2023年10月10日に終了することで、どのような影響があるのでしょうか。セキュリティ面のリスクや対策が必要になるのかなども含めて教えてください。

杉浦氏：ちょっとしたところはマイクロソフト側でもなかなか修正対応してくれませんから、まずOSのリプレースは必須であると言えます。そもそもだいたい10年ほどでドライバーのサポートも終了するのでハードウェアを交換するようになるわけですが、とはいえそのための予算を確保していない企業も多いのが現実です。そのため、サポート期限やファームウェアの管理を考慮してサーバーを購入するようにするべきだと言えるでしょう。

阿部氏：一般的にはクライアントOSのほうが騒がれがちですが、実はサーバーの方がシステム全般に深く関わり影響範囲も大きいため、早めに計画をたててリプレースをする必要があるんですよね。計画から切り替え・稼働まで1～2年はかかるケースが多いですから、HPEとしてもいままさにお客様に向けてアナウンスしているところです。

──中国製バックドアの実態についても教えてください。

杉浦氏：マニュアルを読むと、ここがバックドアなのではと気付いたりするケースも多々ありますね。ひどいものになると、端末を識別してバックドアを送り込めるような機能を備えていたりします。私自身でも検証するのですが、悪意があるかどうかというのはなかなかわからないもので、そう使えばもしも悪意があれば攻撃できてしまうのだなと。昨今世界中で騒がれた中国製品のバックドアなどがまさに象徴的ではないでしょうか。

HPEが実践するハードウェアセキュリティのための数々の工夫や取り組み

──これまでの杉浦様のお話などを踏まえて、HPEの考えるハードウェアセキュリティについて教えてください。

阿部氏：そもそもソフトウェアセキュリティというのは氷山の一角であって、実は見えない部分のハードウェアセキュリティも重視すべきだと言えるのです。先述したように、2017年に業界に先駆けてiLO 5によるサーバーのファームウェアセキュリティ対策機能を実装し標準提供をしているように、HPEは設計・開発段階からセキュリティを重視して製品に組み込んで提供するという“セキュリティ・バイ・デザイン”の実装を貫いてきております。

2021年6月には、サプライチェーンのレイヤーからハードウェア・OS・アプリケーションのレイヤーまでを自動的かつ一貫して保護するための「組み込み型のセキュリティプラットフォーム」を目指す「Project Aurora」も発表し、開発を進めています。その中でも、ハードウェアの強度を高めることが全体のレイヤーの強度を高めるために重要なのです。

杉浦氏：ハードウェアのサプライチェーンまで保護することはとても重要ですよね。やはりHPEはハードウェアセキュリティに関してもかなり先進的であると改めて実感しました。正直、そこまでやっているハードウェアベンダーというのはなかなかないでしょうね。とりわけ昨今のように半導体不足になると、B級品やC級品が混じってしまいかねず、それ事態もセキュリティリスクであるとも言えますから。

──そのように、HPEが信頼できるサプライチェーンを実現できる理由はどのようなところにあるのでしょうか。

阿部氏：HPEとしては、自社製品のライフサイクルセキュリティに対するお客様からの信頼を高めるため、セキュアなサプライチェーンの提供に取り組んでいます。例えば米国においては既に2020年からHPE Trusted Supply Chainモデルを提供し、安全性の高い同国内の指定工場で、審査を受けたHPEの従業員によるサーバーの製造およびサプライチェーンプロセス全体での保護を提供しています。また国内でも、プラットフォーム証明書を使用したデバイス証明によりサーバーが製造時から改ざんされていないことを検証する仕組みや、全国の拠点に設置するサーバーをIDevIDにより安全に認証するセキュア ゼロタッチオンボーディングなどの更なる安心機能の提供を開始しました。

及川氏：また、システムのセキュアな運用を支え続ける縁の下の力持ち的な存在として、iLO 5の「シリコン・ルートオブ・トラスト(SRoT)」があります。HPEの実装では、ASIC上に組み込まれた、解析や改ざんが困難なセキュリティ検証の仕組みであり、ハードウェアからのゼロトラストインフラの構築を支援するもので、これからのセキュリティの標準となる実装でもあります。

阿部氏：この2年ぐらいの間に他社でも同様の取り組みを行ってくると思っていましたが、管理チップまで自社開発するというのはハードルが高いこともあり、意外にもそこまで本気で取り組まれているところは未だ聞こえてきません。HPE iLO 5であれば、チップの中にセキュリティのアルゴリズムを内包しており、起動時だけでなく、稼働中も毎日自動的にチェックをして万一の改ざんの際にはサーバーを稼働させたまま自動で復旧までしてくれるので、国内でもHPEのサーバーを購入する理由として挙げてくださるお客様がどんどん増えております。

杉浦氏：そういった取り組みをきちんと地道に行っているのは素晴らしいことですね。監査の仕組みがしっかりと整っている企業でなければできないことですし、サーバーをはじめ信頼性が必要な製品というのはそういう仕組みがあることはとても大切だと思います。

一口に「ハードウェアセキュリティ」と言っても、当然ながらしっかりしたものもあればそうでないものもあります。そこをしっかりとできるベンダーというのは、総じてきちんとやっているものなので、やはりHPEは大したものだと感心しました。日本のベンダーにもぜひここまでやっていただきたいと思います。

[PR]提供：日本ヒューレット・パッカード合同会社