クラウドストライク事件、米国の脆弱性を敵にさらすロードマップを提供

デジタル回復力に何が起きたのか？

• デジタル災害の原因

  • 金曜日に空港、病院、テレビ局に影響を与えたデジタル障害は、ソフトウェア更新のバグによって発生した
  • これは敵対勢力によるものではなく、米国の脆弱性を露呈した出来事である

• なぜ復旧が難しいのか

  • バイデン政権は、ロシアや中国のハッカーによる攻撃シナリオをシミュレーションしてきた
  • しかし今回の事件は、単純な人的ミスによって引き起こされたものだ
  • 複雑なネットワークシステムでは、小さなミスが大きな問題を引き起こしうる

• サイバー戦士たちの反応

  • 今回の事件が国家レベルの攻撃ではない点に安堵した
  • 中国の Volt Typhoon のようなマルウェアは見つけにくく、除去はさらに難しい
  • 今回の事件は、サイバー回復力の限界をあらためて浮き彫りにした

• 政府と民間の協力

  • ここ数年、米国はサイバーセキュリティ問題を深刻に扱い始めている
  • FBI、NSA、CISA などの政府機関が民間企業と協力し、脆弱性を共有してハッカーへの警戒を促している
  • バイデン大統領は、重大事件を検証するサイバー安全審査委員会を設立した

GN⁺のまとめ

• 今回の事件は、単純なソフトウェア更新エラーによって発生したデジタル障害である
• 複雑なネットワークシステムの脆弱性を露呈し、サイバー回復力の限界を示した
• 政府と民間の協力が重要であり、重大事件を検証する仕組みが必要である
• 類似機能を持つ製品やプロジェクトとしては、CrowdStrike のようなサイバーセキュリティソフトウェアがある

[GN⁺]

Hacker Newsの意見

• OSが頻繁にセキュリティパッチを必要とするなら、インフラに使うべきではないという意見がある

  • 例えば、空港のモニターにBSODが表示されている写真を見たことがある
  • セキュリティは後から追加できる機能ではなく、最初から組み込まれているべきものだ
  • Windowsにセキュリティを追加しようとする業界が存在するが、それでもなお効果的ではない

• デジタルレジリエンスに対する疑問が提起されている

  • 米国の脆弱性に関するロードマップが作られつつあるという確信がある
  • コストと利便性のために脆弱性を強化しないことが問題だ
  • MicrosoftがWindows 95を発売した際、セキュリティへの配慮なしに使いやすさを強調していた
  • その後、セキュリティ問題のためにユーザーの自由が制限され、これはユーザーの反発を招いた

• CrowdStrikeが西洋文明に災害復旧とレジリエンステストを強制的に提供したという意見がある

  • たった一人の悪意ある従業員がすべてのコンピューターを破壊できる
  • 技術システムは、単一ベンダーのミスやハッキングに対してより高いレジリエンスを持つべきだという主張
  • 自動復旧メカニズムを実装できる可能性がある

• 何十年も知られてきた秘密がある

  • 主要なOSとブラウザのベンダーは継続的にパッチを提供している
  • ソフトウェアサプライチェーンがあまりにも巨大で、監査が不可能だ
  • 「セキュリティ」ソフトウェアが攻撃面を拡大している

• 非米国企業であれば、CrowdStrikeのサービスを利用するのは危険だという意見がある

  • FBIが秘密令状を使ってCrowdStrikeにDLLを注入させるよう強制できる

• 戦争が起きれば、8時間以内にすべてが動作停止するだろうという意見がある

  • 現金と書類作業に戻らざるを得ないが、苦痛で遅いだろう

• CrowdStrikeがインストールされたWindowsマシンを使う企業で、世界的に大規模なコンピューター停止が発生している

  • この事件が教訓を与えるのか疑問だ

• コンピューティングインフラの多様性が必要だという意見がある

  • より多くの重要なマシンが別のOSを使っていれば、被害は限定されたはずだ

• AIが脆弱性の特定とパッチ適用に役立つというGoogleのKent Walkerの意見に反対する意見がある