第4回川口 洋と語る！ セキュリティ時事放談

川口氏

安田さんとは、Hardening Projectで共に実行委員を務めていますが、日頃の活動について話をする機会がなかったので、今日の対談を楽しみにしていました。2号前に登場していただいたアスースン・オンラインさんも受講したSecHack365では、講師を担われていますね。

安田氏

はい。私は別のコースを担当していましたので、アスースンさんを直接指導したわけではありませんが、セキュリティコントをやった人という強烈な印象が残っています。まさか社会人になってもやり続けるとは思っていませんでした（笑）

川口氏

安田さんの業務はかなり多岐にわたっていますよね。名刺に書かれているだけでも2つ。

安田氏

説明だけで30分くらいかかってしまうくらい、さまざまな事業に携わっていますが、主務はCYNEX（サイネックス）研究開発運用室での活動です。

川口氏

CYNEXは、サイバーセキュリティネクサスの略称ですか？正式名称と略称が並んでいる部署名。珍しいですね。

安田氏

NICTでは、大事なことは2回言うのが慣例のようになっています（笑）サイバーセキュリティ研究所の「サイバーセキュリティネクサス（Cybersecurity Nexus : CYNEX）」は、日本のサイバーセキュリティの産学官連携をつなぐ「結節点（ネクサス）」となることを目指して、2021年に設立されました。そして、2024年にはサイバーセキュリティネクサス内に私が所属するCYNEX研究開発運用室が発足。この大事なメッセージ「結節点」を2回繰り返す慣例にならい、略称を用いた名称です。サイバーセキュリティは3回目ですね（笑）

川口氏

CYNEXは造語ですよね？

安田氏

そうですね。サイバーセキュリティ研究所 【図1】 は、CYNEXのほか2つの研究室と、人材育成やIoT機器のセキュリティ対策向上等を推進する4つのセンター、それら全体を支援する総合企画室を擁する組織です。多種多様なサイバー攻撃からわが国を守るため、NICTの中立性を活かし、産学との緊密な連携によりサイバーセキュリティ研究開発の世界的中核拠点を目指しています。

4つのセンターの一つとして、2021年4月に発足したCYNEXでは、サイバーセキュリティ研究所の研究開発から生まれた成果を社会実装していくため、2023年10月から国内の産学官の組織（2025年10月時点で106組織）が参画するCYNEXアライアンス 【図2】 という枠組みを発足。CYNEXの本格的な活動を開始しています。

川口氏

安田さんはCYNEXアライアンスも管轄しているんですか？

安田氏

はい。全体のマネジメントを担っています。CYNEXアライアンスは、Co-Nexus（コネクサス）という4つのサブプロジェクトで構成されるアライアンスです。対応範囲が広く、それぞれにチェアがいます。Co-Nexus Aの主な活動は、STARDUST、WarpDriveという2つのデータ収集基盤を軸に国内の解析者コミュニティを形成することです。このチェアは私も担当しています。他のCo-Nexusもそうですが、各Co-Nexusが自立的に活動してもらうために、それぞれNICTの職員と外部の有識者の方の複数人がチェアを務める体制としています。

研究室は、研究者や技術者の集まりです。研究や技術の運用には長けていますが、その技術を社会で実際に使ってもらうための活動にリソースを割く余力がありません。また、どうしたら広く社会の役に立つのかをスケールするためには、使用の促進と使用後のフィードバックの取りまとめが重要です。しかし、それを研究室でやろうとすると、どうしても企業等の組織と共同研究する形式にせざるを得ません。共同研究の場合、研究の成果は共同財産です。次にどのような実験をするのか、何を目的に解析するのかなど、基本的に相対で交渉しながら進めていく必要があります。そのため、研究環境を利用したくても、例えばNICTに見せたくない検体は解析できなくなってしまいます。一方、CYNEXでは基盤の貸し出しを受けるだけの活用が可能なので、借りる側の組織にとって利用範囲の自由度が上がります。

川口氏

ナショナルサイバートレーニングセンターが提供している実践的サイバー防御演習CYDERとCo-Nexus Cの違いを教えてください。

安田氏

CYDERは、サイバー攻撃を受けた際の一連のインシデント対応をロールプレイ形式で体験できる演習です。コースごとに、ある程度ターゲットや内容が決まったパッケージとして提供しているので、コンテンツの種類は限られています。そこで、われわれがCYDERのコンテンツやノウハウを受け継ぎ、既存のパッケージには含まれていないトレーニングコンテンツを作成して、そられを含めて社会実装する活動を行っています。これまでに作成したコンテンツは、CYDERの転用を含めて約90種類。セキュリティの基礎やトレーニング、ペネトレーションテスト、マルウェア解析など多岐にわたります。セキュリティ講習を提供されている企業や社内研修用など、講師向けのトレーニングも提供しています。CYDERは講師やチューターもセットでNICT主催の演習として提供していますが、Co-Nexus Cで提供するのは原則基盤とコンテンツのみです。

川口氏

そこがCYDERとのすみ分けですね。CYNEXアライアンスに参画するための費用負担は公開されていますか？

安田氏

はい。民間企業の場合は規模別で金額が異なります。大企業は1つのCo-Nexusにつき100万円、中小企業が50万円。すべて年額契約です。大学はアカデミックプライスの5万円に設定しています。例えば大学の講義で実技を伴う実戦的な演習を実施しようとした場合、年に一度の授業でしか使わない環境をその1回のために維持するのは、大学の先生にとってかなり大変な作業です。CYNEXアライアンスに参画して利用予約をしていただければ、授業で必要になったとき円滑に進みます。このような環境をわれわれがキープすることで実機演習などの負担を軽減し、人材育成の裾野を広げています。

川口氏

Co-Nexus Eの主な活動を教えてください。

安田氏

Co-Nexus Eに持ち込まれたネットワークやセキュリティのアプライアンスを、われわれが長期間にわたって海外製品との比較や実データを用いた機能、非機能両面での検証を実施します。参画企業は、フィードバックした結果を研究開発や製品開発に役立てることが可能です。

川口氏

現在、どれくらいの製品がCo-Nexus Eを利用して検証中ですか？

安田氏

9製品です。持ち込まれているのは、国産のセキュリティ製品WAF（Web Application Firewall）や、ソフトウェアのバグ、脆弱性を検出するファジングツールなどです。海外製品と国産製品を並べて同じ攻撃を仕掛け、検知数や過検知の違いを集計。利用企業には、分析した結果をお渡ししています。われわれには、日々実施している脆弱性調査のために購入した大量のIoT機器があります。これをファジングができるテストベッドを作って実施したテストで使用。その結果、未知の脆弱性が見つかってツールの有効性が示された事例もあります。

川口氏

企業にとっては、検証環境を自社で準備せず使えるだけでも、メリットがありますね。

安田氏

検証環境を作ること、さらに維持するのは大変ですからね。以前、マルウェアをブロックするツールに対し、亜種が出てきた場合そのツールがどこまで検出できるかを検証したこともあります。毎日われわれが集めているマルウェアを検証環境へ投入し続けた結果、当然亜種が増えていき、徐々に検知率は下がっていきました。しかし、調査データには、ブロックする技術がどこまで追従できていたかが記録されています。依頼元の企業には、その情報を性能の向上に役立ててもらえました。

川口氏

企業にとっては、情報通信分野を専門とするわが国唯一の国立研究開発法人NICTに製品の性能を見てもらい、一緒に研究していることがモチベーションにもつながりますね。

安田氏

セキュリティベンダーは、各社さまざまな軸で自社製品がナンバーワンだと宣伝されていますよね。しかし、以前から統一的な指標が必要という声がありました。そこで今、標準的なテスト項目を作成して、純粋に比較できる基準を作る活動にも取り組んでいます。セキュリティベンダーにとって、とがったアピールをしたい場面もあるはずです。最低ラインの比較バリエーションが統一的な指標と評価結果として公開されていれば、一定水準をクリアしていると公に認められた上で、とがった要素もアピールできます。ユーザーにとっても評価基準が明確になれば、製品選定時の手助けになると思います。

川口氏

Co-Nexus Eでは、海外の製品との比較も含めた検証が可能ですか？

安田氏

サイバーセキュリティ研究所には、約20種類の海外製セキュリティアプライアンスがそろっています。それらに対し、NICTに届くライブトラフィックをすべて流して製品ごとの検知状況やアラートの出し方をチェック。「NIRVANA改」というトラフィックのリアルタイム可視化ツールによりトリアージを行っていますが、それらの製品と、持ち込んでいただく評価製品との性能比較を行えます。

川口氏

セキュリティ製品の脆弱性に関する支援も行っていますか？

安田氏

脆弱性の検査については、すでにビジネスとして参入されている企業が数多くあります。そのため、われわれが国産のセキュリティ製品に対して行っているのは、セキュリティアプライアンスとしての検知率や性能の高さを示してシェアを取ってもらうための支援です。

セキュリティ製品は海外製品がシェアを占めていますが、利用状況や検知結果、サポートのログなどすべてのデータが海外のベンダーに蓄積され、国内にはノウハウがたまりません。そのため、現状は研究するためのデータが手元にない、データ負けのスパイラルに陥っています。CYNEX立ち上げの目的は、製品の精度や性能の向上が難しくなるこの状況を打開するため、NICTが集めているデータを活用してもらい、国産のセキュリティ技術を生み出して社会に展開していくことです。CYNEXを活用して開発した製品を国内の企業に購入していただき、そこから得られるデータを開発につなげていくサイクルを生み出すために活動しています。

川口氏

CYNEXは、ほかの省庁や政府機関とは連携しないんですか？

安田氏

CYNEXは元々総務省補助事業ですので、当然連携はしていますし参画組織には官公庁も入っています。一方で、一般向けのCYNEXアライアンスとは別に、サイバーセキュリティ情報の収集・分析に係る実証事業CYXROSS（サイクロス）も実施しています。NICTが開発した安全性や透明性の検証が可能なセンサーを政府端末に導入し、CYNEXが組織横断的に端末情報を集約・分析。得られた結果はデジタル庁や国家サイバー統括室（NCO）等と共有し、政府関係機関情報セキュリティ横断監視・即応調整チーム（GSOC：Government Security Operation Coordination team）とも連携する予定です。国の機関にどのような攻撃が仕掛けられたのか、分析のノウハウも含めて提供します。これは、民間への技術・情報の転用も視野に入れた活動です。

川口氏

CYXROSSも、サイバーセキュリティの自給率を上げるための取り組みの一つなんですね。

安田氏

国産のセキュリティ技術については、最新の「新たなサイバーセキュリティ戦略の方向性」にも記載があります。大事なことなのでもう一度言いますが、今、日本のサイバーセキュリティ対策に必要なのは、データを大規模に収集・蓄積し、それを定常的・組織的に分析して、国産のセキュリティ技術を生み出すこと。さらにその技術を社会に展開することです。ぜひとも国産ベンダーの皆さんには頑張っていただきたいですし、われわれもCYNEXでその支援を続けていきます。

川口氏

今、AIの技術が急速に進化していますが、AIでフィッシングやサポート詐欺のWebサイトを見つけるのは、難しいと聞きました。

安田氏

確証が持てないんです。AIはリストアップまではできますが、正解を知らない状況で何を持って黒と判定したらいいのかはわかりません。AIによる自動分類には限界があり、最後は人間が見て白黒判定する必要があります。新たなフィッシングサイトは日々発生するので、巨大IT企業のセキュリティ機能も苦戦を強いられているのが現状です。また、われわれが集めているデータと比較してみると、あまり情報がかぶっていないことがわかっています。どこからデータを集めているかによって、見えている情報が異なっているのが現状です。もっと広い範囲にリーチしなければ、今見ている外側にある多くの悪性Webサイトを見つけることはできません。また、存在が判明しても、アクセスしているユーザー数などは未知数です。

川口氏

その問題、大手のIT企業や研究機関が力を合わせたら解決できませんか？

安田氏

それでも追いつかないでしょうね。無限に現れますから。新たに発生したフィッシングサイトは、1か月もしないうちに消えてしまいますし。発見した際に撮ったスクリーンショットデータから、以前見つけたフィッシングサイトと同じツールで作成されているなどの共通する特徴をまとめることはAIがやってくれます。しかし、別の会社の住所を記載している場合、本当に別の会社の住所を悪用しているのか、一件一件検索して人間の目で判断する作業が必要です。

川口氏

大量のデータを入手できても、AIで自動化するのは難しいんですね。

川口氏

安田さんの次の目標を教えてください。

安田氏

当初、CYNEXアライアンスへの参画は40組織を目標としていましたが、すでに100組織を超え活動の幅が広がっています。CYXROSSの立ち上げも終わり、実際に各省庁へ導入するところまできました。次にできる限り早く実現したいのは、先ほどお話ししたセキュリティ製品の評価基準の統一です。同じカテゴリの製品であれば、統一的な評価基準で評価されるべきだと思いますので、最低ラインをクリアできているかを評価できる仕組み作りをCo-Nexus Eで取り組んでいきます。もう少しお待ちください。

安田氏

サイバーセキュリティ対策にとって、パッチを当てたり、現状の正確な把握や設定変更など、資産情報の管理はとても大事です。ソフトウェアやハードウェアに脆弱性が発生すると、世界共通のID番号が採番・公開されますが、自組織への影響がどの程度なのかは自分たちで把握する必要があります。OSのバージョン、どんなソフトウェアが導入されているのか、自組織を守るためには現状の把握が欠かせません。そして、実効性を持った対策には、情報機器・情報資産の把握が必須です。もし、すべてを把握できていないなら、それはセキュリティ対策ができていないといわれても仕方ありません。しかし、現状把握は労力のいる作業です。省力化のためには資産管理ツールの活用が必要になります。また、脆弱性を解消するためのパッチ適用をスケジュールするパッチコントロールが機能していることも重要です。資産状況の把握は、サイバーセキュリティ対策の最初の一歩だと考えて取り組んでください。