はじめに
先日、サイバーセキュリティに関して３つの投稿を行なった。その時は主にネットで調べた内容だったけど、キーワードで文献調査もしたら、5冊ほど興味深い図書が東大の図書館で見つかった。取り寄せも完了したということで本日閲覧した。どれも興味深かった。特に、使えそうなコンテンツをページごとに記載しておいた。これ以外にも総合図書館には多くの図書があるので、もう少し閲覧しておきたい。
著書：サイバーセキュリティ
著者：谷脇康彦
出版：岩波新書
p3) 狩猟社会、農耕社会、工業社会、情報社会に続く第５の社会がSociety5.0
p9) 2015年4月にフランス国営テレビ局TV5がイスラム国を主張するグループのサイバー攻撃によってテレビや関連サイトが乗っ取られた。2015年12月にウクライナ電力供給会社において発生したサイバー攻撃では約６時間にわたって電力供給が停止した。
p11) ウクライナ保安庁はこの攻撃がロシア政府が関与したものであるとしたが、ロシア政府はこれに対して反論している。
p12) 2013年2月にマンディアント社が発表した「APT1レポート」は、攻撃者を具体的に特定するもの。
攻撃者の特定に用いられたのがデジタルフォレンジックという技術である。
p14) 攻撃者は匿名性を維持するためにTor(トーア)という技術を使うのが一般的だ。
p16) マルウェアの中にはワーム(虫)と呼ばれる伝播性のあるものもある。
p20) 2017年5月、世界的に猛威を奮ったのがマルウェア「ワナクライ」だ。被害の大きかったのは、ロシア、ウクライナ、インド、台湾など。
p23) 2018年7月に米FBIが公表した報告によると、2013年10月から2018年5月までの4年半の累計でビジネスメール詐欺に関する被害は件数ベースで78,618件、損失額ベースで約125億ドル（約1.4兆円）。
p27) IHSテクノロジー社の調査によると2017年時点の世界中のIoT機器は約275億個。2020年には約400億個まで増加する。
P28) 米国時間の2016年10月21日に東海岸を中心に大規模なDDoS攻撃が発生した。DYN社のDNSサーバーに対して膨大なアクセスが集中し、機能が停止状態に陥った。
p29) Dyn社のサービスを利用しているTwitter、Amazon、NetFlix、NewYorkTimesなどがサービスが軒並み閲覧できなくなった。その矢先、第二波のDDos攻撃ではMiraiと呼ばれるマルウェアが使われていた。
p30) Miraiではパスワード設定が簡単な場合にこれを割り出して機器の中に侵入する。約60種のIDとパスワードで10万台以上の機器が乗っ取られた。
p31) パスワードの設定状況は、米国スプラッシュデータが毎年発表。2017年に外部に流出した約500万件のパスワードを分析すると、12345やpasswordなどの推測可能なものが上位にランキングされている。
p31) NISCは英大文字と英小文字と数字と記号を組み合わせた10桁以上のパスワードを推奨している。
p45) 2016年3月に設立した一般社団法人ICT-ISACの前身であるテレコムISACの下部組織であるサイバークリーンセンターは感染pcからの攻撃をハニーポットで捕捉し、ウイルス駆除のツールを開発し、2006年から2011年までの5年間で延べ54万台のpcにウイルス駆除対策を大ない、ポット感染率を約2%から約0.6%まで減少させた。
p46) ICT-ISACはウイルス感染予防対策プロジェクトACTIVEを立ち上げた。これはマルウェアのURLをリスト化して、悪性サイトの可能性がある旨のメッセージを表示して注意喚起するもの。2017年の1年間で約５万件の注意喚起がなされた。また、攻撃者のマルウェアに感染しているパソコンからC&Cサーバーにアクセスしようとする際にアクセスを遮断する。2017年で約3.6億件の遮断実績がある。
p85) NICTでは企業の情報システム担当者を対象とした実践的なサイバー防御演習CYDERを実施。2015年度は受講生が208名だったが、2017年度には3000名を超えている。
p92) 文部科学省が進めるenPiTでは、課題解決型学習(PBL)を実践。2016年度には130名が受講。2013年度からの累計では約400名が実践的なセキュリティ人材と認定されている。
p94) スキルの見える化の一環として、2016年10月に情報処理安全確保支援士(登録セキスペ)の制度ができた。
p102) サイバーセキュリティ基本法は2014年秋の臨時国会で成立。
p123) 2013年12月に政府は、国会安全保証戦略を閣議決定した。
p124) 国連の第一委員会の下の政府専門家会合GGEにおいてサイバー空間にも国際法が適用されるなど４つの原則が議論され、集約された。
p124) 伝統的な安全保障の議論は陸海空の領域に加え、宇宙を第４、サイバー空間を第５の作戦領域であると認識された。
p134) 米国のサイバー抑止戦略は、サイバー攻撃に防御策を講じる否定による抑止と、攻撃者に対して経済的な制裁を加えるコスト賦課による抑止が盛り込まれている。
p134) 2017年5月に猛威を振るったワナクライを使ったサイバー攻撃は、北朝鮮によるものと米国政府は2017年12月に発表した。
（出典：アマゾン）
著書：サイバー術-プロに学ぶサイバーセキュリティ-
著者：Ben McCarty
訳者：Smoky
出版：マイナビ
p15) 忍者が自分たちの技術を学ぶための巻物であり、その一つが1676年に藤林保武によって完成された23巻からなる万川集海(ばんせんしゅうかい)だ。
p16) この万川集海を翻訳した1000ページ以上の資料は、秘密戦争におけるTTP(Tactics, Techniques, and Procedures)を明示するフィールドガイドである。
p19) 忍者は、忍、夜盗、忍兵、素破、間者、乱破、伺見と呼ばれる。
p19) 万川集海では、忍術の奥義は、敵が注意を払っている場所を避け、敵が警戒を怠っている場所を攻撃することであると述べている。
p20) 万川集海に加えて、1655年に記され、服部半蔵怪我受け継いだとされる忍秘伝、1612年に小笠原昨雲によって書かれた軍法侍用集、1681年に名取三十郎正武が開発した訓練マニュアルである正忍記などがあげられる。
p22) 侵入方法には、暗闇に紛れた隠忍と、僧侶などに変装して堂々と侵入する陽忍の２つがある。
p26) 指揮官は忍者に地図の作成を任せた。入り口と門、道、部屋の配置、住民の名前、スキル、保管庫、堀の幅と深さ、壁の高さなど。
p48) 攻撃者が侵害する方法に由来するSTRIDEモデル。Spoofing, Tampering, Rpudiation, Information Disclosure, Denial of Service, Elevaton of Privilegeの略だ。
p115) 開けられない南京錠は存在しない。ただし、全ては己の練度にかかっている。常に実践練習を行う必要がある（万川集海）
p207) 秘密は保持されている限り機能する。言葉が漏洩してしまえばその機能は失われる。
p219) 忍に必要なのは巧みな話術、大胆さ、そして智略である。
p220) 忍は実力主義であり、その資質は個人の性格や価値観、資格、能力にかかる。特定のスキルや経験、学歴、系統、地位、肩書きには言及されていない。
（出典：アマゾン）
著書：ソーシャルネットワーク時代の情報モラルとセキュリティ
著者：山住富也
出版：近代科学社Digital
・特に得るものなし
著書：サイバーセキュリティ法務
著者：サイバーセキュリティ法務研究会
出版：商事法務
・よくまとまっているけど、特になし。
著書：サイバーセキュリティと刑法
著者：西貝吉晃
出版：有斐閣
p20) 情報セキュリティとはCIA(機密性、完全性、可用性)の維持そのものである。
p20) 機密性(Cofidentiality)とは、アクセスの制御か使用の制御か、開示の制御か、その定義はさまざまだ。刑法の観点からは取得と使用は分けて考えるべき。OECDの定義は開示に着目している。
p22) 完全性(Integrity)は不可変更と真正性の２つの要素からなる。刑法では不可変更性の侵害は損壊罪に当たる。情報の真正性の毀損は偽造罪に当たる。
p23) 可用性(Availability)とは利用可能性のことと言える。
（出典：アマゾン）
まとめ
５つの冊子のうち特に興味深いと感じたのは、２冊目のサイバー術だった。これは、古代日本の忍術の教科書である万川集海を中心に、義盛百首や、正忍記を分析し、忍の技術、戦術、手順から今日のセキュリティ課題を考察するサイバーセキュリティの実践フィールドガイドだった。忍者の概念や敵の攻撃から組織を守る技の多くがサイバーセキュリティを高めることと直結していた。忍者の秘伝の巻物を見たことも読んだこともなかったけど、それを紹介したのがアメリカのサイバーセキュリティの研究者であることも驚きであったし、同時に日本人として反省すべきことだと感じた。かつての日本人の武士やこれを支える忍者たちが磨き上げた技を伝承するのは我々日本人でありたいと思った。
以上
最後まで読んでいただきありがとうございます。
拝