ジュラシック・パークが教えてくれたこと Application Security: 生命は道を見つける（そして攻撃者も道を見つける）

「あなたの国の科学者たちは、それができるかどうかということに気を取られすぎて、それがすべきかどうかを考えることを止めなかったのです。」

イアン・マルコム博士がジョン・ハモンド氏に警告したのは、恐竜のクローン作成だけに関するものではありません。すべてのCISOが組織に理解してほしいと願う、基本的なセキュリティ原則に関するものでした。

何かを構築できるからといって、それが安全に構築できるとは限りません。

ジュラシック・パークには、最先端の技術、巨額の投資、熟練したスタッフ、そして億万長者の起業家のビジョンなど、あらゆるものが揃っていました。園内には電気柵、モーションセンサー、自動化システム、そしてセキュリティプロトコルが整備されていました。

また、壊滅的な故障率も 100% でした。

最初のツアーから数時間後、園内のセキュリティは完全に崩壊しました。人々は亡くなり、恐竜は逃げ出しました。この一連の出来事は、セキュリティよりもイノベーションを優先し、アクセス管理を怠り、脅威の適応力を過小評価した場合に何が起こるかを示す教訓となりました。

ジュラシック・パークは、アプリケーション・セキュリティの失敗に関する完璧なケーススタディです。

イスラ・ヌブラル島で何が起こったのか、そしてハモンドの 80 万ドルの損失からすべての組織が安全なシステムの構築、内部脅威の管理について何を学べるのか、そして「生命は道を見つける」という言葉がなぜこれまでに発せられたセキュリティ原則の中で最も恐ろしいのかを検証してみましょう。

根本的な欠陥：セキュリティではなく機能を重視した構築

ジョン・ハモンドのビジョンは明確だった。絶滅した動物たちを本来の生息地で観察できる生物保護区を作ること。革命的で、利益を生み、誰も抵抗できない。

しかし、ハモンドが何を最適化したかに注目してください。

• 訪問者の体験（「費用を惜しみませんでした！」）
• 科学的成果（恐竜のクローン作成）
• 自動化の効率性（最小限の人員）
• コスト削減（初期投資後）

ハモンドが最適化しなかったもの: セキュリティ。

公園のセキュリティは後付けだった。動物を囲いの中に閉じ込めておくための電気柵。モーションセンサーがいくつか。管理室。それだけだ。

その Application Security 並列シミュレーションの設定

これは、迅速に行動して物事を破壊するすべてのスタートアップです。

製品を第一に、セキュリティは後回し:

• 「早くリリースして、ユーザーが集まってからセキュリティ機能を追加しましょう」
• 「競合他社に先んじて市場に参入する必要があるため、バージョン2.0でシステムを強化します。」
• 「セキュリティは重要だが、この期限より重要ではない」
• 「セキュリティレビューのために開発を遅らせる余裕はない」

結果は予測可能:

• 安全でない認証（「MFAは後で追加します」）
• 弱い認証（「今のところ全員が管理者権限を持っている」）
• 暗号化なし（「次のスプリントで実装します」）
• 最小限のログ記録（「規模が拡大したら監視を追加します」）
• テストされていない災害復旧（「いずれは DR 訓練を実施します」）

ハモンドの公園は数時間で機能不全に陥りました。セキュリティ第一の原則を守らずに構築されたアプリケーションは、しばしば同じように劇的に機能不全に陥ります。恐竜が逃げ出すのではなく、攻撃者が到着すると機能不全に陥るのです。

セキュリティの教訓その1：セキュリティは後付けではできません。機能を第一に考え、セキュリティを二の次にしているなら、それはすでに失敗です。

デニス・ネドリー：究極の内部脅威

この公園の壊滅的な失敗の原因となった人物、デニス・ネドリーについて話しましょう。

ネドリーは:

• 公園全体のセキュリティおよび自動化システムの主任プログラマー
• 低賃金で不満を抱いている
• 経済的に困窮している
• 重要なシステムを完全に理解した唯一の人物
• 最小限の監視で過剰なアクセスを与えられる

これはまさにセキュリティ上の悪夢と言えるでしょう。そして、実際に起こりました。ネドリーは競合他社から賄賂を受け取り、恐竜の胚を盗みました。彼はこれを実現するために、以下のことを実行しました。

1. 無効化されたセキュリティシステム – フェンス、監視、警報をオフにした
2. 足跡を隠した – 活動を隠すバックドアを作った
3. 罰を受けずに運営 – 他の誰もシステムを理解していなかったため、誰も彼の変更を無効にすることができなかった
4. 監視はなかった – 誰も彼の悪意ある行為に気付かなかったが、手遅れになった。
5. 単一障害点を作った – 彼が亡くなったとき、誰もシステムを復元できなかった

その Application Security 並列シミュレーションの設定

Nedry はあらゆる内部脅威のシナリオを表します。

不満を抱いた管理者:

• 実稼働システムへのルートアクセス権を持つ
• 誰よりもインフラを理解している
• 過小評価されている、または不当に扱われていると感じる
• 個人的な経済問題を抱えている
• 動機があれば甚大な被害をもたらす可能性がある

過剰にプロビジョニングされたアカウント:

• 過剰な権限を持つサービスアカウント
• 一度もレビューされなかった管理者アカウント
• 広範なアクセス権を持つAPIキー
• 必要以上に権限を付与する Cloud IAM ロール

文書化されていないシステム:

• 1人だけが理解できる重要なコード
• 元の開発者がいなくなって久しいレガシーシステム
• 部族の知識は決して捉えられなかった
• 専門知識の重複なし

現実世界のネドリーシナリオ

ケース1：退職する従業員

従業員は解雇される。退職前に以下の手続きを行う。

• 重要なデータベースを削除する
• コードにバックドアを挿入する
• 知的財産を盗む
• バックアップシステムを無効にする
• アクセス資格情報を変更する

ケース2：賄賂を受け取った管理者

外部の当事者が資金提供を申し出る:

• 顧客データ
• ソースコード
• Credentials
• システムアクセス
• 競争力のあるインテリジェンス

ケース3: 不注意なオペレーター

正当な従業員:

• 誤ってパブリックリポジトリに資格情報を公開する
• クラウド ストレージの設定ミス (S3 バケットを公開する)
• フィッシング攻撃に引っかかる
• 弱いパスワードを使用している
• セキュリティ手順に従わない

ネドリー問題を防ぐ方法

• 最小特権の原則 – 誰も必要以上のアクセス権を持つべきではありません。ネドリーでさえ、すべてのセキュリティシステムを無効化することはできなかったはずです。
• 職務の分離 – 重要な業務には複数の人員が必要です。公園全体のセキュリティを無効化するのは、一人で行うべきではありません。
• 監視とアラート ネドリーの行動は即座に警報を発令するはずだった。フェンス、カメラ、モーションセンサーを無効化すれば、誰かが目を覚ますはずだった。
• 変更管理 – 大規模なシステム変更には承認とレビューが必要です。Nedryは、ライブツアー中に監視なしでセキュリティを無効にすることはできませんでした。
• 知識の分配 – 一人が単一障害点となるべきではありません。複数の人が重要なシステムを理解する必要があります。
• 身元調査と財務監視 ネドリーの財政難は警戒すべき事態だった。高リスクのポジションは継続的な評価が必要だ。
• アクティビティログ – すべての特権アクションは変更不可能な形でログに記録される必要があります。誰が、何を、いつ、なぜ行ったかを記録する必要があります。

セキュリティ教訓その2：内部脅威は現実のものであり、壊滅的な被害をもたらします。最小限の権限付与、職務分離、包括的な監視を実施し、1人の人物が単独でシステム全体を侵害できないようにしましょう。

「生命は道を見つける」：脅威への適応力

イアン・マルコムのカオス理論の警告は、この映画全体の中で最も重要なセキュリティに関する洞察です。

「人生は道を見つける。」

ハモンドは自分がコントロールできると考えていた。繁殖を防ぐために、メスだけの恐竜を繁殖させたのだ。

問題は解決しましたよね？

違う。恐竜は方法を見つけた。クローン技術に使われたカエルのDNAは性転換を可能にした。恐竜は繁殖した。「不可能」は必然となった。

これは脅威の進化の現われです。

その Application Security 並列シミュレーションの設定

攻撃者は適応します。常に。彼らは：

• 古い脆弱性が修正されたときに新しい脆弱性を発見する
• 防御力が向上したら新しい技術を開発する
• 明らかな道が塞がれているときに予期せぬ道を活用する
• 複数の小さな弱点が組み合わさって大きな侵害につながる
• 正当な機能を悪意ある方法で使用する

セキュリティにおける「生命の道を見つける」事例

1. 認証の進化

• 単純なパスワード → 辞書攻撃
• 複雑な要件を追加する → クレデンシャルスタッフィング
• MFAを追加 → SIMスワッピング、ソーシャルエンジニアリング
• 生体認証を追加 → ディープフェイク、盗まれた生体認証データ
• 行動分析を追加する → 攻撃者は通常の行動を模倣する

2. ネットワークセキュリティの進化

• 境界セキュリティ → リモートアクセス用のVPN
• セグメントネットワーク → 最初の侵入後の横方向の移動
• Deploy ファイアウォール → アプリケーション層攻撃
• IDS/IPSを導入する → 暗号化されたトラフィックが攻撃を隠蔽する
• ゼロトラストアーキテクチャ → サプライチェーン攻撃

3. コードセキュリティの進化

• SQLインジェクションを見つける → パラメータ化されたクエリを使用する
• 攻撃者はNoSQLインジェクションを発見 → NoSQL入力をサニタイズ
• 攻撃者はXMLインジェクションを発見 → XMLを検証
• 攻撃者はデシリアライゼーションのバグを発見 → 攻撃者はオブジェクトインジェクションを悪用する
• 特定のバグを修正 → 攻撃者は新たなバリエーションを見つける

4. ヴェロキラプトル問題

『ジュラシック・パーク』における脅威への適応の最も恐ろしい実演は、ヴェロキラプトルがドアを開けることを学ぶ場面です。

狩猟管理官のマルドゥーンは知っている。「彼らは覚えている。」

猛禽類：

• 電気柵の弱点をテストした
• コミュニケーションと協調攻撃
• 失敗した試みから学んだ
• 戦術を適応させた
• これまで遭遇したことのない問題を解決した（扉を開いた）

まさにこれが、洗練された攻撃者のやり方です。

高度な持続的脅威 (APT):

• 防御を体系的に調査する
• ブロックされた試みから学ぶ
• 複数の攻撃ベクトルを調整する
• 防御策に適応する
• 新たなセキュリティ課題を解決する

現代のランサムウェアグループ:

• 研究対象環境
• 最初に無効にするバックアップシステムを特定する
• ネットワークトポロジを学ぶ
• 導入されているセキュリティツールに適応する
• 特定のターゲット向けにカスタムエクスプロイトを開発する

ヴェロキラプトルがドアを開ける = 攻撃者があなたのコントロールを回避

セキュリティ管理を実装すると、 safe. 攻撃者は次の行動をとります。

• ゼロデイ脆弱性を見つける
• 複数の小さな問題を連鎖させる
• ソーシャルエンジニアリングを利用して技術的な制御を回避する
• 正当な機能を創造的に活用する
• 新たな攻撃手法を開発する

セキュリティ教訓3：脅威は適応し進化します。セキュリティ対策も同様に進化する必要があります。静的な防御策は常に突破されます。攻撃者は必ず突破方法を見つけ、適応力のあるシステムを構築すると想定しましょう。

電気柵問題：単一障害点

公園の主な安全対策は電気柵だった。高電圧があらゆる囲いを囲み、恐竜を閉じ込めるのに効果的だった。

そうではなくなるまでは。

ネドリーがフェンスを無力化すると、あらゆる囲いが同時に無防備になった。ティラノサウルスの囲い。ラプトルの囲い。ディロフォサウルスの生息地。すべてが一度に危険にさらされた。

これは壊滅的な単一障害点です。

その Application Security 並列シミュレーションの設定

組織では、単一障害点が常に構築されます。

単一認証システム:

• すべてのサービスに1つのOAuthプロバイダー
• 侵害されれば、すべてにアクセス可能になる
• ダウンしたら何もアクセスできない

単一キー管理システム:

• すべての暗号化キーを1か所に
• それを侵害し、すべてを解読する
• 紛失すると、すべての暗号化されたデータにアクセスできなくなります

単一データベース:

• すべてのデータを1つの巨大なデータベースに
• SQLインジェクションはすべてを暴露する
• ランサムウェアは一度にすべてのデータを暗号化する

単一のクラウドプロバイダー:

• すべてのインフラストラクチャを1つのクラウドに
• プロバイダーの停止によりすべてが停止
• プロバイダーの侵害によりすべてのシステムが危険にさらされる

単一の管理者アカウント:

• 1つの「神モード」アカウント
• 妥協してすべてを支配する
• 責任の分離がない

ジュラシック・パークはどのように建設されるべきだったか

多層防御:

• 電気柵（一次障壁）
• 二次的な物理的障壁（壁、堀）
• 巡回ルートと人間による監視
• 独立して作用する鎮静システム
• 冗長制御システム
• フェンスの解除には複数の人員が必要

セキュリティの構築方法

複数のレイヤー：

• ネットワークセキュリティ（ファイアウォール、セグメンテーション）
• アプリケーションセキュリティ（入力検証、認証）
• データセキュリティ（暗号化、アクセス制御）
• 監視と検出（SIEM、IDS）
• 対応能力（インシデント対応、バックアップ）

単一障害点なし:

• 複数の認証オプション
• 冗長キー管理
• データベースの複製とセグメンテーション
• マルチクラウドまたはハイブリッドクラウド戦略
• 異なるアクセスレベルを持つ複数の管理者

サーキットブレーカー：

• 失敗するシステム safe侵害されたときに
• 侵害されたコンポーネントの自動分離
• カスケード障害を防ぐためのレート制限
• 完全な故障ではなく、段階的な劣化

セキュリティレッスン4：単一障害点を排除する。多層防御を構築する。1つのシステムが侵害されても、すべてが侵害されるわけではないことを確認する。

「ああ、ああ、ああ！魔法の言葉は言ってなかった」：アクセス制御の失敗

映画の中で最も印象的なシーンの 1 つは、Nedry のアクセス制御システムを示すものです。

「あ、あ、あ！魔法の言葉言ってないよ！」

公園が崩壊していく中、システムがふざけて入場を拒否する様子は笑いを誘うように描かれている。しかし、これはより深刻なセキュリティ問題を露呈させる。ネドリーは、自分だけが回避できるセキュリティシステムを構築していたのだ。

これは、アクセス制御の設計が壊滅的に間違っている例です。

ネドリーのシステムの問題点

• 権限のある人員による緊急オーバーライドは禁止
• プライマリ管理者が利用できない場合は冗長性がない
• 他の人が使えないわかりにくいインターフェース
• 通常の動作を復元する方法に関するドキュメントがない
• 安全ではなく不透明になるように設計されている

その Application Security 並列シミュレーションの設定

不適切なアクセス制御設計

安全性としての無名さ：

• 理解しにくい複雑なシステム
• 文書化されていない認証メカニズム
• レビューできない独自のセキュリティ
• 「混乱による安全」

単一ユーザー依存関係:

• 重要なシステムにアクセスする方法を知っているのは1人だけ
• ガラスを割る緊急手順がない
• セキュリティ関連の役割の後継者計画がない
• 人員とともに消える部族の知識

緊急アクセス不可:

• 緊急時に権限のある人がオーバーライドする方法はありません
• エスカレーション手順なし
• 「緊急時にガラスを割る」というプロセスがない
• 危機的状況を考慮しない硬直したシステム

優れたアクセス制御設計

明確かつ文書化されている:

• よく理解されている認証メカニズム
• 文書化された緊急手順
• 確認できる透明なセキュリティ
• 重要なシステムに関するトレーニングを受けた複数の人材

役割ベースのアクセス:

• アクセスレベルは人によって異なる
• 明確なエスカレーションパス
• 時間ベースの一時アクセス昇格
• 職務の分離

緊急オーバーライド:

• 安全でありながらアクセスしやすい緊急手順
• 複数の許可された担当者がアクティブ化できます
• 厳重に記録され、監査されている
• 定期的に訓練でテスト

人員損失に対する耐性:

• 誰一人としてかけがえのない人はいない
• 知識の伝達は継続的である
• ドキュメントは維持される
• クロストレーニングが標準

実際の例

緊急時のアクセス良好

本番データベースに障害が発生しています。それを最もよく理解しているDBAに連絡が取れません。適切な
アクセス制御:

• 事件指揮官は緊急手順を発動できる
• セカンダリDBAはブレークグラス手順を使用してアクセスできます
• すべてのアクションは自動的に記録されます
• アクセスは時間制限があり、正当な理由がなければなりません
• インシデントが解決された後にレビューが行われます

緊急時のアクセスが悪い（ネドリー問題）

• パスワードを知っているのは1人だけ
• 彼らは到達不可能だ（あるいはネドリーのように死んでいる）
• 誰も重要なシステムにアクセスできない
• 全体の操作が失敗する

セキュリティ教訓その5：安全でありながら使いやすく、明確な緊急時対応手順を備え、単一障害点がなく、人員損失にも耐えられるアクセス制御を設計しましょう。1人しか操作できないシステムを構築してはいけません。

「費用を惜しまない」：安全保障の偽りの経済性

映画全体を通してジョン・ハモンドのキャッチフレーズは「我々は費用を惜しみませんでした!」です。

ただし…彼はそれを繰り返した。

ハモンドがお金を使ったもの：

• 恐竜のクローン作成（最先端科学）
• 印象的なビジターセンター（美観）
• 自動運転ツアー車両（ゲスト体験）
• 豪華なアメニティ（快適さ）

ハモンドがケチったこと:

• 十分な人員（テストには最小限の人員で対応）
• 警備員（人員不足）
• システムの冗長性（重要なシステムを1人の担当者が理解）
• テストと検証（準備前に開封）
• 適切なITセキュリティ（低賃金のNedry）

ハモンドはショーに数百万ドルを費やし、警備には手抜きをした。結果は予想通りだった。

その Application Security 並列シミュレーションの設定

これはどの組織でも起こります。

資金が豊富:

• ユーザー向け機能
• マーケティングキャンペーン
• 営業チームの拡大
• オフィスアメニティ
• 役員報酬

資金不足:

• セキュリティチームの人員数
• セキュリティツールとソフトウェア
• セキュリティトレーニング
• 侵入テスト
• インシデント対応の準備

偽りの経済

組織は次のような方法でコストを削減できると考えています。

• セキュリティレビューを省略する（「時間がない」）
• 無料または安価なセキュリティツールを使用する（「今のところはこれで十分」）
• セキュリティチームの人員不足（「次回の採用ラウンドでさらに人員を増やす予定です」）
• セキュリティの改善を延期する（「技術的負債は後で対処します」）
• コンプライアンスを回避する（「必要になったときにコンプライアンスを遵守します」）

違反が発生した場合の実際のコストは次のとおりです。

• 直接コスト: インシデント対応、フォレンジック、修復、弁護士費用
• 規制違反罰金：GDPR、HIPAA、PCI-DSS違反
• ビジネスの混乱: ダウンタイム、収益の損失、運用への影響
• 評判の失墜：顧客の信頼、ブランド価値、市場での地位
• 長期コスト：保険料、担保負債、競争上の不利

ジュラシック・パークの本当のコスト：

• 複数の死者
• 施設の完全損失
• 完全な事業失敗
• 法的責任
• 失墜した評判

それはすべて、ハモンド氏が恐竜には「費用を惜しまない」一方で、セキュリティには手抜きをしたからだ。

ハモンド問題を回避する方法

1. セキュリティは費用ではなく投資

• 侵害のコストと防止のコストを計算する
• セキュリティのROIを適切に測定する
• プロジェクトの予算に最初からセキュリティを含める

2. 適切な資源配分

• セキュリティチームの規模は組織に合わせて拡大する必要がある
• セキュリティツールの予算は脅威の状況に合わせて調整する必要がある
• 研修予算は能力を保証する必要がある

3. 技術的負債の管理

• セキュリティ技術的負債は真の負債である
• 債務削減の計画と資金調達
• 重要なセキュリティ改善を先延ばしにしない

4. テストと検証

• 期限を守るためにセキュリティテストを省略しないでください
• 適切な品質保証とセキュリティレビューに投資する
• 災害復旧とインシデント対応をテストする

セキュリティ教訓 #6: セキュリティに費用を惜しんでいては、システムの安全性を期待することはできません。セキュリティには適切な資金を投入する必要があります。そうでなければ、最終的な侵害は、予防よりもはるかに大きなコストを伴います。

「彼らは群れをなして動いている」：カスケード障害問題

柵が崩れても、恐竜たちは一匹ずつ逃げるのではなく、集団で逃げるのです。

システムは個別に故障するのではなく、体系的に故障します。

これはカスケード障害です。

一度 1 つのものが壊れると (Nedry がフェンスを無効にすると)、他のすべてが壊れます。

• フェンスが倒壊→恐竜が逃げる
• 恐竜が逃げる → 人間が危険にさらされる
• 危険にさらされる人々 → パニックと混乱
• 混乱 → より多くのシステムが故障する
• システムの失敗 → さらなる脱出
• 失敗するたびに回復は困難になる

その Application Security 並列シミュレーションの設定

セキュリティにおける連鎖的な障害は次のようになります。

最初の妥協点:

• フィッシング攻撃が成功 → 認証情報が盗まれる

横方向の移動:

• 使用された認証情報 → アクセスされた内部システム
• 内部アクセス → さらなる認証情報の盗難
• 認証情報が増える → 侵害されるシステムが増える

権限昇格:

• 通常ユーザーアカウント → 管理者権限
• 管理者権限 → ドメイン管理者
• ドメイン管理者 → 完全なネットワーク制御

データの引き出し:

• ネットワーク制御 → データベースアクセス
• データベースアクセス → データのダウンロード
• ダウンロードされたデータ → ビジネスへの影響

ランサムウェア Deployment：

• フルアクセス → ランサムウェアが展開される
• ランサムウェア → バックアップが暗号化される
• バックアップが暗号化されている → 復元不可能
• 復旧不可能 → 身代金を支払うかデータを失うか

一歩ずつ進むことで、次のステップが容易になります。失敗は積み重なっていきます。

カスケード障害を防ぐ方法

1.ネットワークセグメンテーション

• 攻撃者がシステム間を自由に移動できないようにする
• 機能、リスク、信頼レベル別にセグメント化
• 可能な場合はマイクロセグメンテーションを実装する

2. 爆発半径の制限

• 1つの障害が連鎖的に発生しないようにシステムを設計する
• サーキットブレーカーを実装する
• 障害分離技術を使用する

3. 最小権限の原則

• 1つのアカウントを侵害しても、すべてにアクセスできるようになるわけではない
• 単一の侵害による損害を最小限に抑える
• ジャストインタイムアクセスを実装する

4. 多層防御

• 多層セキュリティ
• 各層は他の層から独立している
• 1つのレイヤーの障害が全てに影響するわけではない

5. 監視と検出

• 異常な行動を早期に検出
• 異常なアクセスパターンに関するアラート
• カスケードが完了する前に停止する

セキュリティ教訓 #7: 障害を封じ込め、連鎖的な影響を防ぐようにシステムを設計する。一度の侵害がシステム全体の障害につながることはあってはなりません。

「鏡に映る物体は実際よりも近い」：リスク評価の問題

ジュラシック・パーク全体を通して、登場人物たちは一貫してリスクを過小評価しています。

• ハモンド：「この公園は完全に safe！ "
• ジェンナーロ：「私たちは好きなだけ料金を請求できます！」
• 科学者：「私たちはあらゆることを考えました！」

彼らは悪意を持っていたわけではなく、楽観的だった。リスクを最小限に抑え、利益を最大化する自らの評価を信じていたのだ。

サイドミラーに映る T-Rex は、いつもあなたが思っているよりも近くにいます。

その Application Security 並列シミュレーションの設定

楽観的なリスク評価:

• 「その脆弱性は実際には悪用できない」
• 「私たちの小さな会社を狙う人はいない」
• 「私たちのデータは攻撃者にとって価値がありません」
• 「誰かに見つかる前に修正します」
• 「可能性は低いので、リスクを受け入れます」

リアリティチェック：

• 脆弱性が悪用される
• 中小企業は頻繁に侵害を受ける
• すべてのデータは誰かにとって価値がある
• 攻撃者はまず脆弱性を見つける
• 「可能性が低い」ということは、可能性がゼロという意味ではない

ハモンドのリスク評価の失敗

過小評価されている脅威:

• 恐竜の知能（特に猛禽類）
• 内部脅威の可能性（Nedry）
• システムの複雑さ（自動化が多すぎる）
• マーフィーの法則（起こりうるすべての間違いは起こる）

過大評価されたコントロール:

• 電気柵の信頼性
• 自動化の回復力
• スタッフの能力
• 回復能力

無視された警告サイン:

• マルコムの懸念は却下された
• マルドゥーンの猛禽類に関する警告は無視された
• Safety事件は軽視されている
• 見落とされたシステム不具合

リスク評価を正しく行う方法

違反を想定:

• 予防だけでなく、妥協案も検討する
• 「これは失敗するだろうか？」ではなく、「これが失敗したらどうなるだろうか？」と尋ねてください。
• 必要になる前にリカバリを設計する

レッドチームの考え:

• 攻撃者のように考える
• 自分の弱点を認識する
• 自分の仮説をテストする
• 楽観的な評価に挑戦する

継続的な再評価:

• リスクの状況は常に変化している
• 昨日の評価は時代遅れかもしれない
• 新たな脅威が定期的に出現
• 大きな変化があったら再評価する

多様な視点:

• 楽観主義者が評価を支配するのを許さない
• 安全保障悲観論者（マルコムやマルドゥーンなど）も含める
• 脅威を理解している人々の声に耳を傾ける
• イノベーションとセキュリティのバランス

可能な場合は定量化する:

• データを使用して評価をサポートする
• 潜在的な影響を現実的に計算する
• 可能性を正直に測定する
• 希望的観測で決断を下さないでください

セキュリティレッスン #8: 脅威は常に見た目よりも近くに存在します。現実的なリスク評価を実施し、侵入を想定し、攻撃者の立場で考え、楽観的な見方に囚われずセキュリティ判断を誤らないようにしましょう。

カオス理論 Application Security

イアン・マルコムのカオス理論は『ジュラシック・パーク』の哲学的中心です。

「ここであなたが使っている科学的力の問題点を一つ教えてあげましょう。それを得るための訓練が全く行われていないのです。あなたは他の人の成果を読んで、次のステップに進んだのです。自分で知識を獲得したわけではないので、それに対して何の責任も負わないのです。」

「科学力」を「技術力」に置き換えると、現代のテクノロジー産業が生まれます。

カオス理論をセキュリティに適用する

小さな変化が大きな効果をもたらす：

• 1つのS3バケットの設定ミスにより、数百万件のレコードが公開される
• 1つの弱いパスワードが完全な侵害につながる
• 1つの脆弱な依存関係がアプリケーション全体をダウンさせる
• ソーシャルエンジニアリングの成功が連鎖的に完全な侵害につながる

複雑なシステムは予測不可能である:

• コンポーネント間の相互作用により予期せぬ脆弱性が生じる
• 設計も予期もされなかった突発的な行動
• 単独では良さそうに見えるセキュリティ特性も、組み合わせると機能しなくなる
• テストでは現実世界のシナリオをすべてカバーできるわけではない

コントロールは幻想である：

• すべての攻撃を防ぐことはできない
• すべての脆弱性を修正することはできない
• すべての脅威ベクトルを予測することはできない
• 回復力を高め、可能性を減らすことしかできない

システムは独自の道を見つける：

• 攻撃者は予想外の方法を見つけるだろう
• 脆弱性は予期せぬ場所に現れる
• ユーザーは意図しない方法でシステムを使用する
• 「人生は道を見つける」

混沌としたシステムでセキュリティを構築する方法

1. 不確実性を受け入れる

• すべての攻撃を予測することはできない
• すべての違反を防ぐことはできない
• これを受け入れてそれに応じて構築する

2. 回復力を高める

• 優雅に劣化するシステム
• ストレス下でも機能する回復力
• 冗長性とフェイルオーバー
• 隔離と封じ込め

3. 継続的な適応

• 常に監視する
• 事件から学ぶ
• 防御を進化させる
• 脅威に先手を打つ（または少なくとも遅れを取らない）

4. 失敗を想定する

• 1つのコンポーネントが危険にさらされる
• 単一の障害が連鎖的に発生しないように構築する
• システムへの設計回復
• 失敗シナリオを定期的にテストする

5. 複雑さを尊重する

• 複雑系には創発的な特性がある
• 機能が増える = 攻撃対象領域が増える
• シンプルさはセキュリティ機能です
• 不要な複雑さを軽減

セキュリティ教訓 #9: セキュリティは、小さな変化が大きな影響を及ぼし、制御が限定され、脅威が予測不能に変化する混沌としたシステムの中に存在します。予防だけでなく、回復力も考慮して構築しましょう。

救出劇：生存から学べること

『ジュラシック・パーク』の最後で、生存者たちは脱出する。彼らは厳しい教訓を学ぶ。

効果があったもの:

• プレッシャーの下でのチームワーク
• 変化する状況に適応する
• 壊滅的な失敗にも関わらず諦めない
• リアルタイムで間違いから学ぶ

失敗した点:

• テクノロジーへの過信
• 不十分なセキュリティ対策
• 冗長性の欠如
• 脅威を過小評価する

その Application Security 並列シミュレーションの設定

「公園」が失敗したとき（そして、最終的には何らかの形で失敗します）：

生存に焦点を当てる:

• 被害を封じ込める
• 重要なものを守る
• 人々に safety（顧客データの保護）
• 応答しながら学ぶ

悪化させないでください:

• 物事を解決しようとして証拠を破壊しないでください
• 状況を理解する前にコミュニケーションを取らない
• すぐに全容を把握できると思わないでください
• 協力が必要なときに人々を責めないでください

抽出計画:

• インシデント対応手順を準備しておく
• 必要になる前に練習しましょう
• 失敗の仕方を知る safely
• 回復能力をテストし準備しておく

実践的な応用：恐竜時代を生き抜くためのセキュリティ構築

ジュラシックパークのセキュリティ監査チェックリスト:

アクセス制御：

✅ 一人で全てのセキュリティを無効にすることはできません
✅ 職務分離を実施
✅ 最小権限の原則が適用される
✅ 定期的なアクセスレビューを実施
✅ 緊急時のオーバーライド手順が文書化され、テストされている

内部脅威:

✅ 特権的な地位の経歴調査
✅ 高リスク職種向けの財務ストレスモニタリング
✅ アクティビティの記録と監視
✅ 知識の単一点障害なし
✅ 終了手続きにより、すべてのアクセスが直ちに無効になります

多層防御:

✅ 多層的なセキュリティ制御
✅ 単一障害点なし
✅ ネットワークセグメンテーションを実装
✅ カスケード障害防止設計
✅ すべてのシステムの爆発半径制限

脅威への適応:

✅ 攻撃者は適応し進化すると想定する
✅ 新しい脅威パターンの継続的な監視
✅ 定期的なセキュリティ評価と侵入テスト
✅ 脅威情報に基づいてセキュリティ制御が更新されました
✅ インシデント対応計画は新たな攻撃を考慮している

危機管理：

✅ 現実的な脅威評価を実施
✅ 悲観的なシナリオを考慮する
✅ 楽観的な見方によってセキュリティ上の懸念が払拭されるわけではない
✅ 警告サインを真剣に受け止める
✅ リスク状況の定期的な再評価

資源配分：

✅ セキュリティに適切な資金が投入されている
✅ 組織の規模に合わせたセキュリティチーム
✅ ツールとトレーニング予算が適切
✅ セキュリティ技術的負債を積極的に管理
✅ 期限までにテストと検証を省略しない

インシデント対応：

✅ IR計画が文書化され、テストされている
✅ 回復手順が検証済み
✅ バックアップシステムは定期的にテストされています
✅コミュニケーションプランの準備
✅ インシデント後のレビュープロセスを確立

最後の教訓：自分が築いているものを尊重する

ジョン・ハモンドの根本的な欠点は、恐竜のクローンを作ったことではない。自分が作ったものを尊重しなかったことだった。

彼は恐竜を頂点捕食者ではなく、アトラクションとして捉えていた。システムを潜在的な障害点ではなく、従者として捉えていた。セキュリティを継続的な実践ではなく、チェックボックスとして捉えていた。

私たちは皆、以下の点を尊重していない組織を思い浮かべることができます。

• 彼らが構築するシステムの力
• 彼らが保有するデータの価値
• 彼らが直面する脅威の巧妙さ
• 彼らが作り出す環境の複雑さ
• ユーザーや顧客に対する責任

アプリケーション セキュリティの尊重とは、次のことを意味します。

謙虚

• あなたは間違いを犯すでしょう
• 攻撃者は賢く、意欲的である
• あなたのシステムはあなたが思っている以上に脆弱です
• あなたはすべてを知っているわけではない

警戒

• 常時監視
• 継続的改善
• 定期的な評価
• 決してあなたが safe

責任

• ユーザーの皆様へ
• あなたの組織へ
• より広範なエコシステムへ
• 失敗から学び、知識を共有する

投資

• 時間、お金、そしてセキュリティへの注意
• 適切な人員とツール
• 継続的なトレーニングと開発
• 技術的負債の削減

恐竜時代を生き抜くセキュリティの構築： Digital.ai アプローチ

ハモンドの公園が失敗したのは、セキュリティが後付けで設置されたからだ。一人でも解除できる電気柵。多層防御も、適応型防御もなかった。逃げ出した脅威を封じ込める術もなかった。

あなたのアプリケーションはハモンドの間違いを繰り返す必要はありません。

脅威が、ドアを開けることを学ぶヴェロキラプトルのように適応するとき、Nedry のような内部脅威がシステム全体を無効にできるとき、単一障害点が壊滅的な侵害に連鎖するとき、アプリケーションを単に包み込むのではなく、最も深いレベルでアプリケーションに組み込まれたセキュリティが必要です。

Digital.aiさん Application Security プラットフォーム ジュラシック・パークから得られる核心的な教訓について述べています。

バイナリ強化：ドアを開けられないラプターの構築

ヴェロキラプトルはドアを開ける術を習得しました。なぜなら、ドアは人間のために設計されたものであり、知的な脅威に対抗するためのものではないからです。アプリケーションのバイナリも同様です。リバースエンジニアリングや改ざんに対する耐性が備わっていないと、攻撃者は「ドアを開ける」術を習得してしまいます。

Digital.aiのバイナリ強化 多層的な保護を提供します:

コードの難読化 – リバースエンジニアリングを試みる攻撃者がアプリケーションロジックを理解できないようにします。ラプターにはドアハンドルが見えないようにするのと同じです。ラプターは理解できないものを操作することはできません。

改ざん防止検出 – 攻撃者がアプリケーションを改ざんしようとした際にそれを検知します。猛禽類が電気柵をテストしているとき、即座にそれを察知し、自動的に対応する必要があります。

ASLR、スタックカナリア、制御フロー整合性 – バイナリに複数の防御層を構築することで、1つの層が侵害されてもすべてにアクセスできなくなるようにする。ハモンド氏が実装しなかった多層防御。

RASP（ランタイムアプリケーション自己保護） – アプリケーションは実行中に積極的に防御を行い、攻撃をリアルタイムで検知・ブロックします。受動的な電気柵と、脅威の行動に反応する適応型のインテリジェント防御の違いです。

ホワイトボックス暗号：ネドリー襲来時の胚保護

ネドリーが恐竜の胚を盗んだのは、ストレージが安全ではなかったためです。ストレージは単なる容器で、実質的な保護がありませんでした。現代の言葉で言えば、メモリや設定ファイルに保存された暗号鍵も、内部関係者や攻撃者が環境にアクセスした場合、同様に脆弱です。

Digital.aiホワイトボックス暗号 「ネドリー問題」を解決します。

保護された暗号化キー – 完全に侵害された環境でも、鍵は安全に保護されます。攻撃者がアプリケーションのメモリにフルアクセスできたとしても（Nedryがパークにフルアクセスできたように）、実際の暗号化鍵を抽出することはできません。

主要なストレージの脆弱性なし – 鍵は抽出可能な形では決して存在しません。ハモンドの胚保存とは異なり、盗むべきものは何もありません。暗号操作は
キー自体を公開することなく。

内部脅威の軽減 – 管理者権限を持つ悪意のある内部者であっても、暗号化を破ることはできません。これはNedryシナリオに直接対応しており、1人の人間がすべてを盗むことは不可能です。

メモリダンプとデバッグに対する防御 – メモリ解析やデバッグツールを使ってキーを抽出しようとする攻撃者は壁に突き当たる。キーは盗むために存在していないため、「胚キャニスター」は空である。

リアルタイム監視と適応型対応：脅威よりも早く学習する

ハモンドの致命的な欠陥は、受動的なセキュリティ対策、つまり、機能するかしないかのどちらかしかなく、インテリジェントな対応がなかった電気柵だった。柵が倒れても、適応的な防御は機能せず、公園は脅威にリアルタイムで対応できなかった。

ヴェロキラプトルは学習し、適応しました。あなたのセキュリティも、より速く、より速く、より速く、そして ...

Digital.aiリアルタイム保護とインテリジェンス 提供：

ランタイム脅威検出 – 数時間後や数日後ではなく、発生時に攻撃を特定します。猛禽類がフェンスを攻撃した瞬間に、あなたはすぐに気づき、本格的な攻撃が始まる前に対応することができます。

行動分析 – アプリケーションの正常な動作を理解し、異常を検知する。マルドゥーン氏がラプターが「フェンスの弱点を探っていた」ことを認識したように、実際の攻撃の前に脅威の偵察を行う必要があります。

自動応答機能 – 人間の介入を待たずに攻撃を自動的にブロックします。『バトルスター・ギャラクティカ』の33分間の応答時間？ 代わりに数秒、あるいは数ミリ秒で済みます。

継続的な適応 – 防御は観測された脅威に基づいて進化します。ハモンドの静電フェンスとは異なり、セキュリティは攻撃の試みを学習し、それに応じて強化されます。

攻撃情報フィード – アプリケーションポートフォリオ全体にわたる新たな脅威パターンを把握します。攻撃者が新しい手法を習得すると（猛禽類がドアを開ける方法を学ぶなど）、防御機能はそれに対抗するために適応します。

ジュラシック・パークの失敗から安全なアプリケーションまで:

ハモンドのミス → Digital.aiの解決策:

• 後付けのセキュリティ → アプリケーションバイナリに埋め込まれたセキュリティ
• 単一障害点（Nedry）→分散セキュリティ、単一の侵害ポイントなし
• 受動的な防御（電気柵）→ 能動的で適応的なランタイム保護
• 抽出可能な秘密（胚）→抽出不可能な鍵を持つホワイトボックス暗号
• 遅延検出 → リアルタイムの脅威検出と対応
• 静的セキュリティ → 継続的に適応する防御
• 簡単なリバースエンジニアリング → 包括的なバイナリ強化

統合防御：すべての層が連携して機能する

ジュラシック パークに複数のセキュリティ層 (電気柵だけでなく) が必要だったのと同様に、現代のアプリケーションには統合された保護が必要です。

ビルド時:

• 安全なコーディング手法を早期に特定
• 依存関係の脆弱性をスキャン
• 開発に組み込まれたセキュリティ要件

バイナリレベル:

• コードの難読化によりリバースエンジニアリングが飛躍的に困難になる
• 改ざん防止保護は変更の試みを検出します
• 制御フローの整合性により悪用を防止

実行時:

• RASPは実行中に攻撃を検出してブロックします
• 行動分析により異常な活動を特定
• 自動応答により脅威を即座に封じ込め

暗号化操作の場合:

• ホワイトボックス暗号は敵対的な環境でも鍵を保護する
• 鍵を露出させることなく鍵操作を安全に行う
• システム全体が侵害されても保護は継続されます

継続的なインテリジェンス:

• アプリケーションポートフォリオ全体で特定された脅威パターン
• 防御は新たな攻撃手法に適応する
• 実際の脅威に基づいてセキュリティ体制が継続的に改善されます

自分が築いているものを尊重する

ハモンドは自分が作ったものの力を尊重しなかった。彼が作ったのはアトラクションであって、頂点捕食者ではなかった。セキュリティではなくチェックボックスを実装したのだ。

Digital.ai 次のような方法でアプリケーションを尊重するのに役立ちます。

• 基盤にセキュリティを組み込む – 最初からバイナリ強化
• 最も大切なものを守る – 盗まれない暗号鍵
• 脅威への適応s – リアルタイムの検出と対応
• 学びと進化 – 攻撃情報に基づく継続的な改善
• 多層防御の提供 – 連携して動作する複数のレイヤー

アプリケーションセキュリティは、遺伝子工学と同様に、単純なものではなく、強力で複雑であり、適切に保護されていなければ潜在的に危険なものを構築することになります。

恐竜は適応しました。攻撃者も適応しました。セキュリティはより迅速に適応する必要があります。

結論：生命（そして攻撃者）は道を見つける

ジュラシック・パークが失敗したのは、ハモンドが素晴らしいものを作ったが、安全性に欠け、機能は最適化されていたが safety であり、混乱が避けられないところでは制御を引き受けました。

最近のアプリケーションも同じ理由で失敗します。

しかし、ハモンドと違って、あなたには他人の失敗から学ぶという利点があります。

ほら：

• 内部脅威は現実のものとなる（Nedry）
• 脅威は適応し進化する（ヴェロキラプトルの学習）
• 単一障害点は壊滅的である（電気柵）
• セキュリティは後付けではダメ（まずは機能を優先して構築する）
• 楽観主義は命取り（リスクを過小評価すること）
• 複雑さは脆弱性を生み出す（カオス理論）
• 制御には限界がある（人生は道を見つける）

あなたのアプリケーションがジュラシック パークになる必要はありません。

最初からセキュリティを念頭に構築しましょう。単一障害点を排除し、内部脅威の可能性を考慮し、脅威への適応計画を立てましょう。現実的なリスク評価を実施しましょう。セキュリティに適切な資金を投入しましょう。予防だけでなく、回復力も考慮して設計しましょう。

生命は道を見つける。攻撃者も道を見つける。セキュリティ対策は、攻撃者よりも先に、より良い方法を見つける必要がある。

「しっかりしろ」—レイ・アーノルド

そして、セキュリティの原則を守りましょう。それは必ず必要になります。