前のエントリ(EUにおけるアクティブサイバー防御の概念と是非の質問の無意味さ)で欧州におけるアクティブサイバー防御(ACD) の概念を見て、それをもとにACDを認めるべきか、という議論が全く意味がないことをみてみました。
ところで、そのHerpig論文のところで、ACDに関する種々の論文が上げられています。時代ごとにみると
- Press and HM Government (2016), National Cyber Security Strategy 2016-2021, United Kingdom HM Government
- ジョージワシントン大学の論文Center for Cyber and Homeland Security (2016), Into the Gray Zone – The Private Sector and Active Defense Against Cyber Threats, The George Washington University
- Dorothy E. Denning and Bradley J. Strawser“Active Cyber Defense: Applying Air Defense to the Cyber Domain”(2017)
- Thomas Reinhold und Matthias Schulze (2017), Digitale Gegenangriffe, Stiftung Wissenschaft und Politik
- Sven Herpig (2018), Aktive Cyber-Abwehr / Hackback, Stiftung Neue Verantwortung
- Neil Jenkins and JD Work (2020), Defenders Disrupting Adversaries: Framework, Dataset, and Case Studies of Disruptive Counter-Cyber Operations, CyCon 2020)(破壊的カウンターサイバー作戦)
- The Cybersecurity Tech Accord (2020), No Hacking Back: Vigilante Justice vs. Good Security Online, The Cybersecurity Tech Accord
- Jack Goldsmith and Alex Loomis (2021),“Defend Forward” And Sovereignty, Hoover Institution
となります。
もっとも、一般的な定義としては2011年に米国国防総省がアクティブ防衛として
脅威および脆弱性についての発見、探知、分析、対応のための同調された、リアルタイムの作戦
という考え方をとったということが契機となります。その後、簡単に概念の議論の動向についてみていきます。
1 National Cyber Security Strategy 2016-2021,
これは、英国の国家サイバーセキュリティセンター（NCSC 以下、NCSCともいう）[1]は、2016年11月1日に「国家サイバーセキュリティ戦略（National Cyber Security Strategy）」を明らかにしたものです[2]。国家サイバーセキュリティ戦略は、2016年から2021年までのプログラムであって、2021年には、連合王国がサイバー脅威に対して安全でしなやかであること、そしてデジタルワールドにおいて繁栄し、自信があることを目標とするものである。序、巻頭、要約、導入、戦略的内容、国家的対応、防衛、抑止、発展、国際的行動、計測値（metrics）、結論（2021年以降のサイバーセキュリティ）からなりたっています。
国家サイバーセキュリティ戦略の概略については、要約において、14の項目について関係に述べられています。具体的には
- 英国の安全と繁栄は、デジタルの基礎の上に、脅威にたいして、しなやかに対応し得、機械を最大化する知識と能力が備わり、リスクを管理すること
- インターネットは、本来的に安全ではなく、常に攻撃にさらされるリスクがあるが、そのリスクを社会の繁栄とデジタル技術のもたらす偉大な利点を活用できるレベルに減少することは可能である。
- 2011年の国家サイバーセキュリティ戦略は、サイバーセキュリティに偉大な改善をもたらした。ただし、急速に変化しつつある脅威のスケールとベースに対応できておらず、さらなる進歩が必要である。
- 2021年にむけてのビジョンは、デジタル世界において、サイバー脅威に対して安全で、しなやかであり、繁栄し、自信をもつ英国の姿を目標とする（なお、原文がブロック体で記載されており、その部分は太字で記載する。以下同じ）。
- この姿を実現するために①防衛②抑止③発展の目標のために、はたらく。
- 上記の目標をすすめるために、国際的な活動を追求し、調査によって影響力を働かせる。そのために、すでにある関連性をさらに深め、あらたなバートナーと発展させ、英国の海外での利益を守る。
- 目標を実現するために、5年間にわたって、より積極的に（特に国家的利益、とりわけ、重要インフラのサイバーセキュリティに関する分野に）介入し、投資額を増加させる。
- 産業界がアクティブサイバー防衛手段を発展させ適用し、英国のネットワークにおけるサイバーセキュリティのレベルを拡張するために、英国政府は、能力向上に注力する。基本的なサイバーセキュリティの向上は、一般的なサイバー脅威に対しての英国の攻撃耐性を向上させる。
- 国家サイバーセキュリティセンター（NCSC）を構築し、知識の共有、システマティックな脆弱性の提供、国家的セキュリティ問題についてのリーダーシップの提供をおこなっている。
- 軍隊が耐性を有しており、サイバー防御力を有し、ネットワークとプラットフワ―ムを防御し、サイバー攻撃があっても、作戦を遂行し、世界的に戦術を自由に展開することを確かにする。軍のサイバーセキュリティオペレーションセンターは、NCSCと密接に共同し、重大な国家的サイバー攻撃にたいしては、軍が協力することを確かにする。
- 他の攻撃にたいして対するのと同様の手法で、攻撃的サイバー能力をも含むサイバー攻撃に対する手法を有する。
- イギリス政府は、学校から大学、職場まで、サイバーセキュリティのスキルの欠如に対処するプログラムに投資するように権限と影響力を行使する。
- 二つのサイバーイノベーションセンターを始めることで、先端のサイバー製品およびダイナミックなサイバーセキュリティ会社を促進する。また、防衛およびサイバーイノベーションファンドを設けて、イノベーティブな調達を支援する。
- £1.9 billionを、今後5年間、重要な英国のサイバーセキュリティに投資する。
ここで、実装計画のなかでの、防衛と抑止の具体的な表現は、興味深い。
「5 防衛（Defend）」においては、アクティブサイバー防衛、より安全なインターネット、政府の防衛、重要インフラおよび優先セクターの防衛、公的および企業の行動の変更、インシデントの管理および脅威の理解があり、それぞれについて、目標、アプローチ、成功の測定の項目が記載されています。
ここでは、アクティブサイバー防衛が論じられています。そこでは、
ACDプログラムは、比較的自動的な方法によって、英国を攻撃するサイバー 攻撃にたいして、格闘しようとする意図されたプログラムである。
と定義されています。ここで、自動的というのは、よりスケール大きくなれば、うまくいくという意味である。万能薬ではないが、私たちの経験する攻撃の相当程度のインパクトを緩和するのを助けてくれる。本来の標的型攻撃にたいしては、（少なくても最初は）、影響することはないが、防御側の仕事におけるノイズを軽減するのに役立つのを望んでいる。
具体的なものとしては、インフラのプロトコルの修正、電子メールの信頼回復、テイクダウンの実行、インパクト管理のためのＤＮＳフィルタリング、英国のソフトウェアのエコシステムの改善、政府の職員の支援、識別・認証のためのイノブーティブな選択肢の支援、重要インフラの所有者・運営者のために支援の増大などがあり、それらについて内容が紹介されている。
「6 抑止」の部門は、抑止におけるサイバーの役割、サイバー犯罪の減少、敵対海外行為者への対抗、テロリズムの防止、主権能力の充実拡充－攻撃的サイバー、主権能力の充実拡充－暗号があり、それぞれについて、目標、アプローチ、成功の測定の項目が記載されている。また、到達について具体的な計測値を用いての評価が提案されています。ここでな、興味深いのは、攻撃的サイバー(Offensive Cyber)というプログラムになります。
そこでは、
- サイバー攻撃ののちに報告する能力
- 標的の通信もしくは兵器システムを妨害し、破滅し、または、用なしにする能力（サイバー攻撃の源をシャットダウンしたり、より伝統的な軍事活動に備えたりすることを含む）
- 広範囲のシステムやインフラに対して攻撃する（現実世界へのダメージまで拡張される）能力
という能力をカバーする概念
と定義されています。体系的な解説はなされていませんが、国家サイバーセキュリティ戦略と議会の諜報および安全委員会の報告書などから、概要的なものが明らかになっています。
攻撃的サイバー能力は、相手のシステムもしくはネットワークにたいして、慎重に侵入する能力であって、ダメージを起こし、破滅もしくは破壊を引き起こす目的をもってなされる、とされています。そして、
攻撃的サイバーは、サイバースペースおよび現実世界において、敵を抑止し、彼らの攻撃の機会を妨げるために全体の局面での能力の一つを形作るものである。国家攻撃的サイバープログラムを通じて、私たちは、能力をささげて、サイバースベースで活動し、この能力を発展・向上させるのに、資源を割くことを約束する。
さらに、目標としては、自らの選択によって、抑止目的にも作戦目的にも、国内および国際法にしたがって、時と場所におうじて展開できる適切な攻撃的サイバーを有することを確かにすることとされています。このために①（国防省とGCHQによる）NOCPへの投資（ツール、技術、諜報技法（tradecraft））②攻撃的サイバーツールの開発③軍における攻撃的サイバー能力の展開能力を発展させることをなすとされています。
また、諜報安全委員会報告書によるとき、実際の活動は、具体的には、ハッキングツール（コンピュータネットワーク・エクスプロイット）の開発、傍受を通してなどによるインテリジェンスの開発、そして、配送（delivery）（ネットワークを通じて、USBなどの物理的なアクセスによる）をふくみ、広範なものである。配置（deploy）は、いろいろなレベルでなされており、具体的には、特定の機材（容疑者のコンピュータ、スマートフォン、IT機器（情報収集や×××のため）、敵側のコンピータネットワーク（×××のような敵対行為者×××）、×××を含んでいるとされています。
また、同報告書には、利用規定（Rules of Engagement[2]）という項目があり、攻撃的サイバーの法的位置づけについて議論がなされています。
同委員会は、GCHQにたいして、質問をなしたところGCHQは、書面により
サイバースペースにおける国家行為に対して、国際法が適用されるのは、他の領域と同様である。これは、国際連合を含めて、一般的に認められている。しかしながら、原則は、拘束力のある国際文書において、明らかにされているものではない。
現在存在する国定的な法的原則および概念のもとで、サイバー活動がどのように位置づけられるべきかという実務および先例は、発展途上である。結果として、サイバー活動の分析に対しての現在存在する規範を適用し、分析するかというのは、非常に変動しうる。
という回答をなしています（同報告書110）。
また、攻撃的サイバーの一つの問題は、サイバー攻撃の攻撃者の特定問題である。仮に技術的に特定が可能であったとしても、国際的な法的標準に応じて、機微な能力やアクセスを明らかにすること泣くに証明することは一般的に可能ではない（同111）。また、攻撃的サイバーは、必然的に、より広範にしようされるので、さらにより利用する場合の国際的なコンセンサスを得ることが、必要になる（同112）。
2 Into the Gray Zone(2016),
これは、ACDというアプローチを世界的に有名にした報告書といえます。具体的な内容は、「「アクティブサイバー防御をめぐる比較法的検討」InfoCom review」でも紹介しているところです。
アクティブ防衛は、プロアクティブな防衛手段であって伝統的な受動的な防衛から攻撃までの、変移を把握する用語である
と述べています。同書では、具体的な技術として、
- 情報共有
- タールピット・サンドボックス・ハニーポット
- 妨害および欺術
- ハンティング
- ビーコン
- ディープウエブ／ダークネットのインテリジェンス収集
- ボットネットテイクダウン
- 協調された制裁
- ホワイトハット・ランサムウエア
- 財産回復のためのレスキューミッション
が上げられています。
3 Dorothy E. Denning and Bradley J. Strawser“Active Cyber Defense: Applying Air Defense to the Cyber Domain”(2017)
1990年代から、非常に参考になる論考でおめかけしていますドロシー.デニング博士(現在 77歳です)です。193頁からです。
同書は、
これは、攻撃元が無実の人であり、そのコンピュータが攻撃者に侵入され、悪用されている可能性があるため、ハッキングをやり返すことは無謀で不当な行為であると考えられているためである。
しかし、アクティブ・サイバー・ディフェンスは、もっと豊かな概念である。しかし、アクティブなサイバーディフェンスとは、もっと豊かな概念であり、適切に理解されれば、攻撃的でもなく、必ずしも危険でもない。私たちのアプローチは、航空防衛の概念と例を用いて、サイバーディフェンスを定義し、分析することである。
としています。同論文は、
- 効果範囲
- 協力の度合い
- 効果の種類
- 自動化の度合い
という4つの次元に沿って、積極的なサイバー防衛の倫理を検証しています。また、航空防衛の例えを用いて、サイバー防衛の本質を明らかにし、アクティブなサイバー防衛が、確立された倫理原則に従って実行される正当な防衛形態として正しく理解されていることを示そうというものです。
ミサイル防御について
統合出版物3-01「 Countering Air and Missile Threats,defines active air and missile defense (空とミサイルの脅威への対処)」は、能動的な空とミサイルの防衛（AMD）を
友軍と資産に対する空とミサイルの脅威を破壊、無効化、またはその効果を低減するために取られる直接的な防衛行動
と定義しています。その定義によると、能動的なAMDは
航空機、AD（防空）兵器、ミサイル防衛兵器、電子戦（EW）、複数のセンサー、その他の利用可能な兵器／能力の使用を含む
とされています。これに対して、受動的な防空・ミサイル防衛は、
友軍や資産に対する敵対的な空とミサイルの脅威の効果を最小化するためにとられる、能動的なAMD以外のすべての手段
と定義されています。これらの手段には、探知、警告、カモフラージュ、隠蔽、欺瞞、分散、防護構造の使用などが含まれます。
能動的・受動的サイバー防衛
同論文は、 能動的・受動的防空防衛の定義を、”航空・ミサイル “を “サイバー “に置き換えることにより、サイバー領域にも適用できるようにしています。
能動的サイバー防衛とは、
友軍や資産に対するサイバー脅威を破壊、無効化、またはその効果を低減するためにとられる直接的な防衛行動
であり、受動的サイバー防衛とは、
友軍や資産に対するサイバー脅威の効果を最小限に抑えるためにとられる、能動的サイバー防衛以外のすべての措置
と定義されることになります。言い換えれば、
能動的な防衛は特定の脅威に対して直接的に行われるものであり、受動的な防衛はサイバー資産を様々な脅威から守ることに重点を置いている
とされます。
この定義に基づき、様々なサイバー防衛策について、能動的か受動的かを検証しています。
| 手法 | 能動/受動 | 説明 |
| 暗号化 | 受動的な防御 | 暗号化された通信を傍受したり、暗号化されたファイルをダウンロードしたりする敵対者に対して、情報が効果的にアクセスできないように設計 傍受やダウンロードを防ぐための行動はとっていない |
| ステガノグラフィ | 受動的な防御 | 写真のようなカバーで情報の存在そのものを隠すことで、サイバー領域におけるカモフラージュの一種として機能 |
| セキュリティエンジニアリング | 受動的な防御 | 敵対的な脅威に対する直接的な行動を伴わない。 |
| 設定の監視・管理 | 受動的な防御 | 同上 |
| 脆弱性の評価・緩和 | 受動的な防御 | 同上 |
| 管理者のアクセス制限 | 受動的な防御 | 同上 |
| アプリケーションのホワイトリスト化（不正プログラムの実行防止） | 受動的な防御 | 同上 |
| ログ取得・バックアップ・消失データの復元 | 受動的な防御 | 同上 |
| ユーザーの教育・訓練 | 受動的な防御 | 同上 |
| ユーザー認証メカニズム | アクティブなものとパッシブなものがある | アクセスを試みる敵対者に対して、それ以上のアクションが取られない場合、受動的/メカニズムが3回試行した後にアカウントをロックする場合、この特定の敵対者が少なくとも一時的にそのアカウントから侵入することができなくなるという点で、能動的要素/ マウスやタイピングのパターン、メッセージや文書の作成方法など、さまざまな身体的・行動的バイオメトリクスを使用して、継続的にユーザーを検証する場合、敵対者がシステム上の正規のアカウントに侵入し、それを悪用することを防ぐことができ、能動的なものとなる/ 侵入防御システムが敵対的なトラフィックを検出し、ACLを修正して問題のトラフィックをブロックする場合、ACLは能動的な防御の要素 |
| アンチマルウェア（またはアンチウィルス）ツール | 能動的防御 | ツールは定期的に更新され、インターネット上で検出されるマルウェアの新しい形式や亜種に対するシグネチャを含み、インターネット上でグローバルに適用されるアクティブ・ディフェンスとなる。 |
| 侵入防止システム | 能動的防御 | 大規模なサービス拒否攻撃の被害者は、上流のサービスプロバイダーに対して、発信元のIPアドレスから来るパケットをドロップするよう頻繁に要求 |
| ハニーポット | 能動的防御 | 攻撃者を監視可能な隔離されたシステムに誘い込む、あるいは排除する/ミサイルを標的から外す防空用の囮（おとり）と同じようなもの |
また、同論文は、COREFLOOD TAKEDOWN (2011) とジョージアによるロシアハッカーの暴露(2012)を具体例としてあげています。これらの事件の詳細は、省略します。
ACDの特徴と倫理的問題
| 特徴 | 定義 | 倫理的問題 |
| 効果範囲 | 防御の効果が組織内部のネットワークに限定される場合、内部的なものであると言われる。外部のネットワークに影響を与える場合は、外部防御と呼ばれる | 協調的な外部防衛と非協調的な外部防衛の問題がある。また、内部防御によって外部との通信が遮断された場合、内部ユーザは言論の自由を侵害されたと訴えるかもしれない などの問題がある。 |
| 協力の度合い | ネットワークに対するすべての効果が、ネットワーク所有者の認識と同意のもとに行われる場合、それらは協力的であると言われる。そうでない場合は、非協力的と分類される。非協力的なものには、アタックバック、ハックバック、カウンターストライクと呼ばれるものがある。 | 非協力的な防御、特にある種のハックバックを伴う防御は、協力的な防御よりも倫理的、法的な問題をより多く提起する。 |
| 効果の種類 | シェアリング、ブロッキング、先制的( preemptive ) | 個人情報、あるいは攻撃トラフィックの中に埋め込まれた情報など、脅威情報とともに機密情報が共有される場合、共有する行為にはプライバシーとセキュリティに関する問題が生じる。 センサーやその他のツールが、他の当事者が悪用できるバックドアや脆弱性を持っていたり、導入していたりすると、収集行為が害につながる可能性がある 。 また、これらのツールをインストールする際にも、その過程でネットワークの他の構成要素が破壊されれば、被害が発生する可能性がある 非協力的なサイバー防御を適用する際には、起こりうるあらゆる損害を考慮する必要がある。 |
| 自動化の度合い | アクティブ・ディフェンスは、人間の介入を必要としない場合は自動的であり、重要なステップで人間の積極的な行動が必要な場合は手動的であると言われています。 | サイバー領域では、瞬時にアクションを起こすことができるため、自動化された防御が重要になる。つまり、サイバー領域での行動のスピードは、サイバー防御が自動化されていなければ攻撃に対して効果を発揮できない。 ある防御を自動化した結果、許されない損害のリスクが大きすぎるのであれば、たとえその判断が本質的にその有効性を完全に無効化するとしても、自動化すべきではない。 |
結論
能動的サイバー防衛は、適切に理解され実行されれば、攻撃的でもなく、必ずしも有害で危険でもない、豊かな概念である。むしろ、あらゆる防衛形態に適用される確立された倫理原則、すなわち、損害、必要性、比例に関する原則に従って実行することが可能である。
とされています。
4 Thomas Reinhold/Matthias Schulze “Digitale Gegenangriffe Eine Analyse der technischen und politischen Implikationen von „hack backs“ ” デジタルの逆襲 「ハックバック」の意味するところの技術的・政治的な分析
ハンブルグ大学平和研究・安全保障政策研究所のReinhold / Schulze論文です。
4.1 導入
ドイツでは、トーマス・ド・メジエール内相が2017年4月に
- サイバー攻撃を受けた場合、「必要なら敵のサーバーを破壊する」能力も必要だと主張したこと
- 破壊的なサイバー反撃を、警察当局が緊急事態、すなわち生命や身体に危険が及ぶときに使うことを許された「デジタル最終救援弾」に例えたこと
また、ドイツ国防省（BMVg）は、2016年のサイバースペースにおける連邦軍の役割に関する国防委員会の公聴会で、スダー国務長官が
「（現時点では）計画はないが、（何が許されるか、何が技術的に可能かについての）考えは常にある」
と否定したことなどが紹介されています。
論点としては、技術的・政治的・運営的・法的観点があることに触れています。
4.2 受動的防衛と能動的防衛 (Passive vs. aktive Verteidigung )
受動的防衛と能動的防衛の種々の手法をならべて分析しています。
また、そこでは、CCDCoEの定義、SANSの定義などを紹介しています。これらの議論のなかで紹介されている技術的手法としては、
- 情報交換
- ビーコン
- 外国のシステムの操作
- ボットネットの停止
などがあげられています。
4.3 サイバー反撃の論拠
同論文によると「ハッキングバック」は、
- 高度持続的脅威（APT）は、境界防御の未知の脆弱性（「ゼロデイ」または「0デイ」）を悪用してシステムを不能にすることも多いため、通常は純粋な受動システムで阻止することはできない/「ハッキングバック」によってサイバー攻撃の問題を解消したいと考えるのは賢明
- 「攻撃者が盗んだデータを失うことに関心がある」と主張する。被害者を守るために、そのようなデータを破壊しなければならないかもしれない
- 「証拠保全のためのハックバック」主張がある
- サイバーハイジーンとしての意味
- 最後手段として-差し迫った危険がある場合、警察官も攻撃者を負傷させるために職務用武器を使用することが認められているとの類推
4.4 反論
反論的な根拠としては、以下の根拠があげてられている
- 帰属(アトリビューション)の問題
- 政治的エスカレーション
- 効果の問題
- サイバー兵器のコストの問題
- 怪しげなシグナル
4.5 反撃の主体
起こりうる反撃に誰が責任を持つべきかという問題として
- 法執行機関（FBI や連邦刑事警察庁など）
- 情報機関（NSA、Bundesnachrichtendienst、Verfassungsschutz など）
- 軍部（Cyber and Information Space Command の Cyber Operations Centre など）
- 民間サイバーセキュリティ企業
- 多国籍組織（NATO や EU）
- 独立し信頼できる第三者（ドイツの BSI など）
が文献で議論されています。
これについては、国際法の問題、国内法の問題があることが論じられています。
また、そのような法律上の問題に加えて、実際になしうる技術をもっているのは、誰なのか、という問題があることがふれられています。
4.6 結論
危機的状況におけるデジタルの反撃は、興味深いジレンマを抱えている。大規模で破壊的なサイバー攻撃を受けた場合の反撃は、より大きな被害を避けるために国際法の下で正当化されるかもしれないが、そのような緊急事態におけるハックバックは効果がなく、利益よりも高いコストを伴う可能性が高い。
としています。もっとも、この結論は、手法によるとしています。全体として、システムを破壊することを目的としたデジタル反撃の有用性はかなり疑わしいし、ハンターチーム、DDoSトラフィックのリダイレクト、「ハニーポット」など、より積極的な防御策はより賢明で、法的にも問題が少ないと思われます。ボットネットやサイバー犯罪の場合は、状況が異なるとしています。
5 Neil Jenkins and JD Work (2020), Defenders Disrupting Adversaries: Framework, Dataset, and Case Studies of Disruptive Counter-Cyber Operations, CyCon 2020)(破壊的カウンターサイバー作戦)
2020年のCyConの論文集で発表されたものです。コロナのために、現地の会議はなかったので、私としてもフォローを怠っていました。
この論文は、米国国防総省は最近、発表した悪質なサイバー犯罪者に「持続的な関与」(persistant engagement)を求める新戦略を分析するものです。
永続的な関与を通じて、国防総省は防衛的なサイバー作戦を採用し、敵の作戦を直接的に混乱させ、敵が攻撃ではなく、防衛に多くの資源を費やさざるを得ないような摩擦を課すことになる 。しかし、このような破壊的作戦の効果を測定できる公的な手法はない。測定手法がなければ、アナリストはこの政策の成功を確実に評価することも、さまざまな種類の破壊的作戦の有効性を比較することもできないのである。
として、本稿では、HealeyとJenkinsによる持続的関与の効果測定に関する先行研究を基に、このような作戦の現実世界への影響を理解するための研究を行っています。
5.1 序
上述の「持続的な関与」(persistant engagement)を求める新戦略の紹介がなされています。これは、「継続的従事戦略（persistent engagement）について」というタイトルでブログを書いています。同戦略は、
弾力性、前方防御、競合、反撃をサポートするオペレーションを通じて米国の脆弱性を悪用する能力を否定し、戦略的な優位性を達成一方で、脆弱性を継続的に予測して悪用することにより、敵のサイバースペースキャンペーンを阻止
するものです。
5.2 分析枠組
特定のサイバー敵対者を打ち負かすための積極的な措置で、通常は防衛側が特定の攻撃やキャンペーンに対応して行い、敵対者の技術を直接破壊することが多いのですが、これを破壊的な対サイバー作戦(Disruptive counter-cyber operations)と命じています。主な行動は、防衛側自身のネットワークの外で行われるか、その敵対者の作戦方法に関する特定のインテリジェンスに基づくことが一般的になります。これは一般的な説明に過ぎず、その各要素には重要な例外が含まれるため、各部を個別に検証していくことになります。
1. 特定のサイバー敵対者を打ち負かすための積極的な措置
通常はオンラインで実施されるが、常にそうとは限らない。その脆弱性を標的としていることが知られている、または疑われている特定の敵対者を打ち負かすことを特に意図していない限り、コンピュータにパッチを当てるなど、最善の防御的措置は含まれないであろう。破壊的作戦は、一般に、敵対者との積極的な競合によって特徴付けられる。
2. 通常、政府、サイバーセキュリティ、技術系企業などの防御側、または攻撃の被害者によって行われる
まれに、悪意を持って行動する2つの主体が、被害者の利益とは相反する独自の目的のためにインフラの支配権を争う、いわゆる赤対赤の作戦のような例外も存在します。
3. 敵の継続的な行動を妨害するために、特定のサイバー攻撃またはキャンペーンに対応して実施される。
このことは、攻撃的なサイバー効果作戦（作戦の前、最中、または後に行われ、異なる目的を果たすことがある）、純粋な報復（進行中の行動を混乱させるのではなく、過去の行動を罰することが目的）、または懲罰による抑止（主に敵対者を罰してその意思決定計算を変更することが目的）と区別される。この枠組みは、今のところ、サイバー活動（破壊的な攻撃や侵入など）の妨害にのみ関心があり、影響力や情報操作には関心がない。このフレームワークには、法執行機関の起訴など、キャンペーンのかなり後に行われる可能性のある行動も含まれます。しかし、このような行動は、他の破壊的作戦と十分な共通点があるため、有益に含めることができる。
4. 敵の技術を直接破壊することが多く、通常、主な行動は、防御側のネットワークの外で行われるか、敵の活動方法に関する特定のインテリジェンスに基づくものである。
ボットネットの破壊は、ほとんどの防御者のネットワーク外の技術を混乱させる。一方、サイバーセキュリティ企業やインフラ部門は、防御者の内部ネットワークにおける敵対者の活動を阻止するために、日常的かつ大規模に、敵対者のグループに関する洞察を共有している。
同書は、具体的な作戦を独立変数と従属変数にわけて論じています。それを表にすると以下のようになる。
| 従属変数 | 影響 | 微小(Minor) | |
| 重要(Significant) | |||
| 決定的(Decisive) | |||
| 期間(duration) | 日から週 | ||
| 週から月 | |||
| 月から年 | |||
| 不可(Never) | |||
| 独立変数 | 1 破壊のタイプ | 攻撃の対象 | ブルースペースにあるシステムおよびインフラ（つまり、防衛側が所有または運用するもの 守備側） |
| グレースペースにあるシステムとインフラ（防御側と敵対側のどちらも所有しない グレー空間のシステムおよびインフラ（防衛側も敵対側も所有しない）。 | |||
| 赤色空間のシステムとインフラ（敵対者が所有または運用）。 | |||
| 指揮統制(C2)能力 | |||
| 敵対者の人員 | |||
| 敵対者の組織 | |||
| 敵のリーダーシップ | |||
| 行動(action) | トラフィックのシンクホール化 | ||
| 脅威情報を閉じた信頼グループで共有（複数のセキュリティ関係者） | |||
| 侵害の指標の公開 | |||
| 敵のツールセットの公開 | |||
| 悪意のあるサイバー活動と緩和策に関する総合報告書の公開 | |||
| 観測した侵害の指標と行動に基づいてセキュリティ製品の保護を構築（単一の関係者） | |||
| 保護策の展開を同期化（複数の関係者） | |||
| 脆弱・犯罪者の流通または収益経路の妨害 性パッチまたはその他の保護策の調整 | |||
| マルウェアのアンインストール／削除／乗っ取り | |||
| 悪意のあるサイバーの活動に関する報告書の公表 | |||
| 犯罪者のツ ールセットの公開 – 脆弱性パッチやその他の保護策の調整 | |||
| マルウェアの強制アンインストール／削除／乗っ取り | |||
| 流通や収益化のための犯罪経路の破壊 | |||
| 敵のC2ノードやネットワークの制御権奪取 | |||
| 敵が使用するドメインの奪取 | |||
| 中間インフラを直接標的とする反攻作戦 | |||
| 攻撃者のホームネットワークを破壊する反攻作戦 | |||
| サーバやインフラの奪取や運動学的な破壊 | |||
| 意思決定に対する行動 | 敵対者の身元または組織の所属を公表すること | ||
| 責任国を公表すること | |||
| 外交上の駆け引き | |||
| 法執行機関による起訴および告発 | |||
| 個人、組織または指導者に対する影響力行使 | |||
| 欺瞞的作戦 | |||
| 経済制裁 | |||
| 軍事的オプション（運動またはサイバー）により敵対者に制止させること。 | |||
| 2 破壊的行為の頻度 | 一度 | ||
| 定期的 | |||
| 継続的(sustained) | |||
| 3 作戦復帰の遅延の起こりうる理由 | (注)攻撃側が、完全な作戦能力を取り戻さなかったとしても、破壊的行動との関連性が大まかな関連しかない場合もある | 例えば、攻撃インフラが焼失した場合など。 | |
| 行動面では、敵対者がより実りの少ない別のターゲットにシフトした場合など。 | |||
| 官僚面では、おそらく特定の敵対チームが公に呼び出された後の再組織化など。 | |||
| 政治面では、例えば敵の指導者が国内の他の利益団体に配慮して活動をシフトしたり、一見すると彼らの支配下から排除されるか汚職と関連する活動を縮小させたりした場合など | |||
| 4) 破壊の地政的文脈 | アナリストは、破壊的作戦の地政的文脈も区別して考えなければならない | 平和: 軍事的または外交的な重大な対立がないこと。 | |
| 緊張：軍事的または外交的対立が高まるが、重大な追加的劣化がなければ戦争に発展する可能性は低い | |||
| 危機。戦争：参加国による積極的かつ日常的な軍事作戦。 | |||
| 5) 敵対者の種類 | 最後に、この枠組みでは、どのような組織が破壊を行うのか、またどのような組織が破壊されるのかを区別する必要がある。 | 破壊される行為者（敵対者）：国家／非国家、犯罪または地政学的な目的、相対的なサイバー成熟度、他の敵対グループとの関係、など – | |
| 破壊行為者：国家、大手テクノロジー企業、地政学的、国家連合、テクノロジーグループ連合、官民連携（PPP）、など |
このような分析わくくみに従って、同論文では
- CodeRed Worm
- Conficker Disruption
- GameOverZeus Takedown
- China-Related Disclosures
- Joanap Takedown
を代表的な例としてあげるとともに、5.4においてデータセットとして103の案件について分析しています。
5.5 結論
同論文は、
現在進行中のサイバー脅威をより発生源に近いところで阻止し、その勢いを弱めることを目的とした行動の適切なアプローチ、タイミング、方法に関する議論は、今日まで主として理論上の問題であった。政策コミュニティと、日々サイバー攻撃と戦っているオペレータや研究者との間に断絶があるため、多くの場合、両側の善意の思想家たちは、作戦のコンセプト、望ましい最終状態、認識されている欠点について議論する際に、事実上お互いを取り違えてしまっているのです。
としている。
その上で、上記のフレームワークの開発とその基礎となるデータセットは、行動方針を決定し、対立する公平性を明らかにし、双方のために理性的な議論を進めるための、過去の事件に関する確固たる記録が実際に存在することを実証し、データセットと、これらのケーススタディに関連する分析的特徴を用いて現在進行中の話し合いを根拠づけることは、異なる政策や技術的提案に関する議論を改善する上で有用であるとしています。
6 法律家としての見方
6.1 基本的なスタンス
講演のための準備という観点から考えるときに、アクティブサイバー防衛という用語の定義をして、それから、それが認められするのか、というのを議論するのは、いままでの議論をみてきたところで無理があるというのが結論です。
むしろ、私個人としては、積極的サイバー防衛については
- 特定の進行中の悪意あるサイバー作戦やキャンペーンに対して
- 個々の国家によって、または集団で
- 政府機関によって
- 実施または義務付けられた一つまたは複数の技術的措置
- 技術的に無力化し、その影響を緩和し、かつ/または技術的に帰属させるためになされる
- 攻撃者側に直接、影響ある行為
という要素があり、それらの要素が、ことごとく、現在の国際法と国内法とで解釈上の不明確な点を惹起している、ということがいえるだろうと考えています。
6.2 「攻撃者に直接、影響あること」の要件
これを要件とするか、という問題は、具体的には、
直接的に行われる
というところを重視することになります。
しかしながらは、この要件を求めない場合も、同様に法的な問題が発生することになります。これが問題となるものとしては、
-
- トラフィックのシンクホール化
- 脅威情報を閉じた信頼グループで共有（複数のセキュリティ関係者）
- 侵害の指標の公開
- 敵のツールセットの公開
- 悪意のあるサイバー活動と緩和策に関する総合報告書の公開
- プロバイダーにおける攻撃通信のモニタリング
などが含まれることになります。
という感じでしょうか。
6.3 まとめてみると
これについては、さらに細かくみることはできるのてずが、とりあえず、全体像をまとめるとこのようになるのだろうと思います。
まずは、国際法と国内法との3D 的な分析が必要になること、そして、攻撃側への直接的な影響があるかどうか、でもって、広義と狭義にわけて論じることができることが前提となります。
これらの論点を詳しくみると、法的な論点は、
てんこ盛り
という状況であるといえます。
しかも、地政(Geopolitics)の論者が法をしらないのに分析するので、
混乱に拍車がかかっている状態
であるといえます。(ウィリアム王朝の跋扈です)
ある意味、法的には、具体的なオペレーションを特定してもらえれば、個々の解釈論は、それほど論点がないものといえるでしょう。通信の秘密部分を除きますが。
まあ、日本に限っていえば、アカデミズムの分野では、専門家がいない、というのが問題なのだろうと思います。国際法と国内法とのクロスオーバーするとろにグレイゾーンが存在しているので、まさにマルチバースの法律問題となるわけです。
#土屋先生は、法律の先生ではありませんよ。サイバーセキュリティの法制を聞かないでください>メディア様
さらに、通信の秘密についていえば、データ保護がなされれば、生命が滅びてもかまわないというとあるアドボケイトのスタンスもあるわけで、まあ、私としても、議論するのが疲れるなあというところです。
ということで、スライドをまとめて、2月12日の講演を迎えます。
