サプライチェーンの重要性
昨年12月、私達は サプライチェーン攻撃がCEO詐欺を超えて サイバーセキュリティ上の一番の心配事になると予測しました。今年に入り、サプライチェーンの重要性は多くのトップニュースとなった一連の混乱により話題の中心となりました。
スエズ運河封鎖事故からマイクロチップ不足による自動車生産への影響、またトイレットペーパー買い占めからColonial Pipelineの停止によるオーストラリアのガソリン価格の急騰まで、2021年は主要なサプライチェーンが脆弱であるだけでなく私達の日々の生活に決定的に重要であることを認識させました。
グローバルシステムやサードパーティベンダーへ自らがどれほど依存しているか、多くの国や企業が気づかされ衝撃を受けたのです。食肉、石油、ソフトウェアなど何であれ、脅威アクターはますますセキュリティの脆弱性をついて製造ラインを停止させようとするようになりました。最近も、一連のサプライチェーン攻撃により世界は不意を突かれました。これには2020年12月に発覚したSolarWindsハッキング 、7月4日の米国独立記念日の週末に発生したKaseya 攻撃も含まれます。
アマチュアは戦略を語り、プロフェッショナルはロジスティクス（兵站）を語る
これは何も驚くべきことではないのです。補給システムは戦争が始まって以来標的とされてきました。ロジスティクス（兵站）、つまり必要な場所で必要な時に弾丸とパンを持っていることは、戦いの主柱の一つです。ナポレオンに使えた将軍であるアントワーヌ＝アンリ・ジョミニは「戦争概論」の中で、戦略と戦術は戦争の行為を構成するが、その手段はロジスティクスであると言っています。ロジスティクスが整っていなければ、敗北は避けられません。
ジョミニがこれを執筆していた時、ナポレオンの作戦規模は新しいアプローチを必要としていました。ナポレオンはヨーロッパ最大の軍隊を集め、効果的な兵站管理、たとえば ‘living off the land’ （自給自足） テクニックや、同盟関係、輜重連隊、そしてウルム戦役においては、1つの市全体を補給拠点にするなどにより、大陸全体で迅速な勝利を収めてきました。
それでも、最終的には兵站がナポレオンの凋落につながったのです。1812年、ロシア軍がすべてを焼き払いながら後退すると、ナポレオンの大陸軍（Grande Armée）は物資が尽き、軍馬を、そして最後にはお互いを食べることを強いられました。生き残ったのはわずか2%でした。
“将軍の成功における傑作とは、彼の敵を飢えさせることである。” – フリードリヒ二世
20世紀になると、補給システムを標的とすることは攻撃作戦の中心部分になりました。ドイツ封鎖において補給の遮断は連合国の勝利に決定的な役割を果たしました。以来、輸送力戦争（Tonnage Wars）からベルリン空輸（Berlin Airlift）に至るまで、兵站は紛争の結果を大きく左右しています。
古き勇敢な世界
今年発生したサプライチェーンの混乱は何ら新しいものではありません。それは何世紀も昔からの軍事戦略の延長線上にあるのです。第一次世界大戦では、船舶が破壊的戦力であり海上封鎖によって補給線を遮断するために使われました。第二次世界大戦では、航空機が敵陣後方を攻撃し補給車両や鉄道インフラを破壊することが可能になりました。現在もサイバーが同じ目的で使われています。すなわち、物理的境界を弱体化させサプライチェーンを崩壊させることです。
また、サプライチェーンを中断させるサイバー攻撃と、サプライチェーンを利用して拡散する攻撃が存在します。後者は特に危険です。信頼しやすい私達の人としての特性を悪用するものだからです。信頼できる送信元からEメールが届いたり、信頼できるサプライヤーがアプリケーションを管理しているとき、私達は油断しがちです。そのため、大企業を直接侵害しようとする代わりに、脅威アクターは裏口から侵入します。防御の手薄な1人の人間を通じて組織に侵入し、そしてシステム全体を侵害するのです。
さらにこれらの2つのタイプは互いに矛盾するものではありません。NotPetyaはウクライナの納税ソフトウェアから被害者に感染し、それが結果的に世界最大のコンテナ船会社Maerskに到達してオペレーションを2週間近く停止させました。
消費者の痛いところを突く
この戦術は SolarWinds やHafnium 攻撃で見られたように国家によるスパイ活動で使われ、また犯罪組織がこれを使って多数の企業に身代金を要求しました。二重恐喝ランサムウェアについては聞いたことがあるかと思いますが、三重恐喝（ランサムウェアアクターが標的企業だけではなく関連する第三者や顧客も恐喝し、データの保護と引き換えに身代金を要求する）の出現はサイバー犯罪者に新たな収益源を与えることになりました。
サプライチェーンがサイバー犯罪とサイバー戦争の最前線に同時に放り込まれたことは驚くべきことではありません。米国海軍少将のヘンリー・E・エクルズの言葉によれば、ロジスティクスは軍の経済的要素であるが、それと同じくロジスティクスは経済の軍事的要素です。ロジスティクスは経済と戦争の隙間をつなぐものであり、サプライチェーンはその両方の軸です。
したがって、サプライチェーンリスクを軽視することは、戦いと同じように、ビジネスにとっても深刻な結果をもたらす可能性があります。サプライヤーがどのように機能するか、彼らが配備している防御、そしてそれらが侵害されたらどうなるか、これらはすべて企業の成功を確実にする上で重要な質問です。そして、サードパーティの侵害や、Eメールの言語のトーンの変化、あるいは信頼できるソースからのバイナリの異常な動作などを検知できるサイバーセキュリティシステムは、あらゆる防御ソリューションにおいて不可欠なレイヤーとなります。
このブログ記事は以前Tecnogazzetta、packagingrevolution.netおよびLineaEDPに掲載されていました。
Darktraceによるサプライチェーン詐欺の検知について知る
