Fenrir — 敵対的インテリジェンスと対サイバー作戦

反応するだけの防御は、敵手の時間の上に生きている。攻撃が起きたときに、その攻撃が生み出した情報をもって応答し、攻撃者が選んだ速度でしか学習しない。Fenrirは、この関係を逆転させるために存在する。すなわち、敵手と対峙する前に彼を理解することであり、その行動をシミュレーションし、あらゆる対サイバー行動の効果を検証可能な証拠をもって測定することである。

Fenrirは、Zendrixの敵対的インテリジェンス部門である。それは防御を代替するものではなく、防御を準備するものである。その任務は、通常は前提とされている事柄を明示することにある。敵手がどのような技術を用いるのか、どの経路が我々に対して有効なのか、どの変更が彼の有効性を真に低減させるのか。本稿では、その機能と、それを組織する原理——証明なき行動は成功と宣言されない——について述べる。

シミュレーションによる敵手の理解

敵対的インテリジェンスとは、意図についての推測ではなく、観測可能な行動のモデル化である。敵手は、その行うことによって定義される。すなわち、用いる技術、選ぶ対象面、受け入れる制約、そして許容するコストである。その行動を統制された環境でシミュレーションすることにより、防御は、都合のよい相手ではなく、現実的に振る舞う相手に対して仮説を検証できる。

このようなシミュレーションの価値は、その結果の誠実さにある。常に勝利するシミュレーションは何も教えず、常に敗北するシミュレーションもまた何も教えない。重要なのは結果の分布である。すなわち、防御がどこで持ちこたえ、どこで崩れ、どれだけの時間耐えるのか。この分布が投資を導き、修正の優先順位を定める。そしてそれは、組織の直感ではなく、測定された行動に基づいて行われる。

Fenrirは、防御が活動する動的な世界を再現するシナリオ——劣化した状況、時間的圧力、不完全な情報を含む——を用いて動作する。理想的な条件下で敵手をモデル化すれば、現実の作戦との接触に耐えない結論が生まれる。現実的な条件下で彼をモデル化すれば、耐える決定が生まれる。

効果の検証——証明なき行動は成功と宣言されない

Fenrirの中核原理は、述べるのは容易く、守るのは厳しい。すなわち、行動の効果は仮定されるのではなく、検証されねばならない。サイバーセキュリティにおいて、成功の仮定は危険な習慣である。適用された遮断が、機能する遮断であるとは限らない。実験室で無効化された技術が、現場では依然として機能しうる。検証がなければ、組織は誤った確信を蓄積する。

それゆえ、あらゆる重要な作戦は効果の証拠を伴う。その証拠は、第三者が検査でき、かつ後からの改変から保護された形式で記録される。その結果として、組織は証明された行動と仮定された行動とを区別できる記録を得る。そしてそれは、継続し、調整し、あるいは中止する決定を支える。

この規律は運用者をも保護する。効果が検証できないとき、基盤はその限界を宣言し、装飾的な自信で空白を埋めない。我々は、根拠なき確信よりも明示的な不確実性を選ぶ。とりわけ、誤りの帰結が物理的である場合には。

包絡の下の自律——実験室の内と外

敵対的シミュレーションは、本質的に影響の大きい活動である。その実行には明確な限界が求められる。Fenrirは、宣言された自律水準と正式な包絡の下で動作する。あらゆる行動類型には、範囲、発動条件、そして必要な権限が定められている。偵察およびモデル化の行動は機械の速度で流れるが、実システムに帰結を及ぼす行動は常に人間の権限を要する。

物理的セキュリティは不変条件として扱われる。物理的効果がモデル化されていない行動は、たとえ副作用が起こりそうに思えても、設計によって遮断される。重要インフラにおいて、この規則は民生運用を直接保護する。エネルギー、水、通信、金融サービスは、誰も予見しなかった帰結を持つ行動によって不意を突かれることがない。

限界を定める同じ包絡が、可能にもする。自らがどこまで進んでよいかを正確に知るシステムは、汎用的で保守的な手続きによって抑制される必要がない。それは、完全な追跡可能性をもって、認可された範囲の限界で動作し、重要な決定を人間の指揮に返す。

シミュレーションから決定へ

Fenrirの最終的な成果物は、脆弱性報告書ではない。より強固な防御態勢である。シミュレーションは情報を与え、検証は証明し、権限が決定する。この連鎖は三つの具体的な結果を生む。第一に、仮定された深刻度ではなく、測定された有効性に基づく修正の優先順位。第二に、効果が文書化されているがゆえに、防御が機能することを第三者に示す能力。第三に、抑止である。シミュレーションされ、測定され、検証されると知る敵手は、より少ない自由で行動する。

シミュレーションは調整を要求する。実システムに触れる敵対的モデル化環境には、宣言された交戦規則が求められる。すなわち、どの標的を、どの時間枠内で、誰の監督の下で行使してよいか、そして何かが計画から逸脱した場合に活動をいかに中断するか。これらの規則は有効性への障害ではない。それこそが、シミュレーションを安全に反復し、日常業務へと変えることを可能にする。例外的な条件下で一度しか使えない能力は、組織的な学習を支えない。限界に対する規律が、単発の作戦を、演習間で比較可能な結果を伴う継続的な即応プログラムへと転換する。

同じことは重要インフラにも当てはまる。エネルギー、水、通信の運用者は、資源を増大させる敵手に直面しており、公共に提供するサービスを危険にさらすことなく、自らの防御を試す必要がある。統制された環境で、効果の検証を伴い、本番環境に触れることなく敵手をモデル化することにより、それらの組織は、運用と両立する限界の内で即応性を高めることができる。それは防御を支えるのと同じ規律である。まず理解し、常に証明し、権限の下でのみ行動する。この意味で、能動的防御は、国家と、それが守る社会の双方に資する態勢である。

したがってFenrirは、攻撃的な好奇心を防御的な規律へと転換する基盤の一部である。能動的防御とは、先に打つことではない。先に理解することである。そしてここでの理解には、客観的な基準がある。すなわち、我々が敵手について——そして我々自身について——主張することが、世界が測定するものと一致するという証明である。