News & Views Column：カナリアが鳴いたら、どうしますか？

今回のコラムは、サイバーセキュリティの分野でご活躍されている、独立行政法人情報処理推進機構(IPA)の岩田友臣さんにお書きいただきました。かつて炭鉱において作業員の命を守っていたカナリアを例に挙げて、攻撃の検知から対応に至るまでの準備の重要性を取り上げています。

カナリアを知っていますか？かつて炭鉱では、目に見えない有毒ガスの危険を察知するために、カナリアが使われていました。人間よりも有毒ガスに敏感なカナリアの異変から、坑夫たちは危険が迫っていることを知ることができました。カナリアは危険そのものを防いではくれません。しかし、危険をいち早く知らせることで、人命を守る役割を果たしてきました。

サイバーセキュリティの世界で起きていることも、直接目で見ることはできません。だからこそ、異常をいち早く知らせてくれる「カナリア」という考え方が有用です。通常のサーバーやファイル、アカウントへのアクセスは、個々のアクセスだけでは正常か異常かを判断することが難しい場合があります。一方、本来であればアクセスされることのないサーバーやファイル、アカウントを囮として用意しておけば、そこへのアクセス自体を異常の兆候として検知できます。

攻撃者から見れば、それが本物なのか、検知のための囮なのかを簡単には判断できません。しかし、触れればカナリアは鳴きます。これは、防御側にとって有利な検知方法ではないでしょうか。もちろん、攻撃者を侵入させないための対策は重要です。しかし、あらゆる侵入を完全に防ぐことは困難です。だからこそ、「防ぐ」と同時に「検知する」ことも重要になります。そして、検知は自分たちを守るためだけのものでもありません。インターネットに公開されたサーバーやIoT機器が侵害され、知らないうちに第三者への攻撃に利用されることもあります。侵害に気付くことは、こうした悪用を止めるための第一歩にもなります。

では、カナリアが鳴いたらどうするのでしょうか。サイバー攻撃の速度は増しており、侵入後わずかな時間で攻撃が進展することもあります。カナリアが異常を知らせても、そこから「サーバーを停止してよいのか」「ネットワークから隔離してよいのか」「誰が判断するのか」と考え始めていては、対応が攻撃の速度に追いつかないことがあります。カナリアは危険を知らせてくれますが、その後に行動するのは人間です。そこで、「何を検知したら、誰が判断し、何をするのか」を平時のうちに決めておく必要があります。

カナリアを置くこと。そして、鳴いたときに迷わず動けること。この両方が揃って初めて、カナリアは本当に役に立ちます。自分たちのシステムを守り、知らないうちに他者を攻撃する側にならないためにも、検知から対応までの準備が欠かせません。

■筆者略歴

岩田 友臣 (いわた ともおみ)

約30年間勤務した前職では、ハードウェア開発や生体認証関連の研究開発を経て、サイバーセキュリティ分野に従事。約10年にわたり、サイバー攻撃の調査・分析やインシデント対応などに携わる。現在は、サイバー演習の企画・実施や、サイバーセキュリティに関する調査・研究などに従事。2023年より独立行政法人情報処理推進機構(IPA) 産業サイバーセキュリティセンター サイバー技術研究室非常勤研究員。2025年よりInternet Weekプログラム委員。