名和氏がランサムウェア7事例の教訓とともに明かす、対策を自動化、最適化、重点化する秘訣、アダマール積とは：ITmedia Security Week 2025 冬

　「2024年に発生したランサムウェア攻撃のうち、80％以上がデータを暗号化せず、データ窃取のみに注力していたことが判明している。これにはデータ流出のみを目的とした攻撃は、従来のランサムウェア攻撃よりも34％高速に展開可能だ」というレポート（出典：Inforsecurity Magazine（2025年2月））にヒントがある。

　「攻撃者が激増し、攻撃者にとっての“競合他社”が増えている今、先に攻撃を仕掛け、先に利益を得ようとしている。攻撃者の裾野が広がって低レベルな攻撃者も増えており、それらは手っ取り早く利益を上げようとしている」

【事例2】ボットネットがMicrosoft 365の基本認証を狙ったパスワードスプレー攻撃

　攻撃者は情報窃取マルウェア（Infostealer）によって盗まれた資格情報を利用し、大規模な認証試行を行っている。これは現在進行形の話で、2025年2月にはInfostealerに関するレポートを欧米それぞれのインテリジェンス組織が強化している。

【事例3】GitVenomキャンペーン：GitHubを悪用した暗号資産の窃取

　「GitHub」を悪用した暗号資産の窃取も現在進行形の脅威だ。攻撃者がオープンソースを利用する理由は「皆が使っているから」であり、悪意あるコードを埋め込もうと画策する攻撃者は多い。当初は善良なコミュニティー協力者の顔をして近づき、ある日突然悪意あるコードを埋め込む。

【事例4】北朝鮮「Lazarus」、Bybit暗号資産取引所から15億ドル窃取

　過去最大の暗号資産ハッキング事件として話題となっている、Bybitにおけるインシデントだ。

　「当事者は必死に頑張っているが、残念ながら抜け漏れがある。どんなに対策しても、どうしても入ってきてしまうことを受け入れねばならない。リアルタイム監視や迅速な対応策が必要だ」

【事例5】OpenAI、北朝鮮のハッカーによるChatGPTアカウントを停止

　「日本ではあまり報じられていない」と名和氏は述べつつ、OpenAIにおけるレポートを取り上げて警鐘を鳴らす。北朝鮮ハッカーグループが「ChatGPT」を悪用していることを検知したOpenAIは、そのアカウントを停止した。「これを裏読みすると、OpenAIはユーザーが入力したプロンプトを理解し、出力も把握していることを意味するだろう。重要なのは、AIツールを悪用しているのは北朝鮮だけでなく、隣に座る仲間かもしれないということだ」

【事例6】PayPalの「新しい住所」機能を悪用したフィッシング詐欺

　諸外国では、給与を「PayPal」で支払う事例も増えてきている。そこから増えているのが、PayPalアカウントを狙った攻撃だ。しかしそれは通常のレベルのフィッシングではないという。名和氏はだまされやすい要因を次のようにまとめる。

　「『住所を追加したので、不正かどうかチェックしてくれ』というようなフィッシングを仕掛けてくる。正規でよくあるお知らせとして、個人のプライバシー、セキュリティを守るためのものなので、内容は自然だ」

【事例7】Truesight.sysドライバの亜種によるEDR回避とGh0st RATの展開

　名和氏が最後に紹介したのは、ドライバを用いたEDR（Endpoint Detection and Response）回避の事例だ。「BYOVD（Bring Your Own Vulnerable Driver）」という攻撃によって、脆弱なドライバを送り込み、EDRなどのセキュリティ対策機構を無効化する。「これも現在進行形のものなので、警戒を強めてほしい」と名和氏は警告する。

　「私たちの想定を超えるような攻撃、侵入方法が発生していることを受け入れなくてはならない。脅威検出システムの強化が求められるが、『強化をどうすべきか』で止まってしまっている。あるいは『製品を変えれば何とかなる』と思っている人が意外と多い。今回はオンプレミスで、自分たちの努力、DIYで、さらに限られた人的リソースや予算の中で最大の効果を期すための考え方を伝えたい」

セキュリティ対策に「アダマール積」を適用せよ

　ここから名和氏は、本講演の主題を解説する。「まずはサイバーセキュリティを本業としている方向けの解説」として、多角的な解析アプローチの必要性をまとめたスライドを提示する。先に紹介した7つの事例にもあるように、「複数ログの関連付け」が重要だという。このログの関連付けが成功すれば、高いインシデント検出率とリアルタイム対応が得られる。

複数ログを関連付ける（名和氏の講演資料から引用）

　ここで名和氏は、アダマール積の考え方を解説する。要素ごとの乗算を意味し、行列計算で使われる考え方だ。

「アダマール積」とは（名和氏の講演資料から引用）

　これをセキュリティ対策に適用すると、「多角的分析結果の統合」「リスク評価への活用」という2つのメリットが得られる。名和氏は「欧州各国では、この考え方で大きな成果を得ている」と付け加える。

アダマール積をセキュリティ対策に適用する（名和氏の講演資料から引用）

　例えば、サーバが3台あった場合、基地の脆弱性行列「V」はサーバ1、3に脆弱性があることを示し、不審な通信検知行列「C」はサーバ1、2で検知されたことを示す。アダマール積を使って「V ⊙ C」で計算すると、「サーバ1が最もリスクが高い」と判断できる。

セキュリティへの適用を単純化した例（名和氏の講演資料から引用）

　「これは単純な例なので、直感とあまり変わらない結果が出ただけだが、要素ごとに展開し、複雑にかみ合ったものだとより便利に感じられるだろう」

　名和氏はさらにかみ砕いて紹介する。「アダマール積」（⊙）は行列の要素同士を掛け合わせる演算だ。同じサイズの行列A,Bに対して、(A ⊙ B)の各要素は対応する要素同士の掛け算になる。

　ここで、講演タイトルにもなっている「自動⊙(最適⊙重点)」のメタファーに関して触れる。⊙を「×」に変えると、算数を知っている方なら「少しおかしい」と思う点があるだろう。掛け算は通常、順序は無関係だが、この計算式はカッコが付いており、計算順序が明確に設定される。

　「理論的には自動、最適、重点の3要素を掛け合わせることを表現しているが、最適と重点にカッコが付けられているのは、私たちが攻撃に対応するに当たってワークフローで最初に行うべきなのが最適化と重点化だからだ」

講演タイトルの計算式の意味（名和氏の講演資料から引用）

　名和氏は続けて、これがなぜ足し算でなく掛け算なのかを語る。足し算だと、1つの要素が非常に弱くても、他の要素が強ければ当然計算結果は大きくなる。セキュリティで重視しなければならないのは、全体を見たときの状況だ。掛け算ならば、1つでも弱い要素があると、計算結果は大きく低下する。そのため、掛け算の思考こそが求められるという

　「『誰一人として置いていかない』と考えるなら、セキュリティの弱い部分を見いだすことが重要。もし見いだすのが難しいなら『全体としてどうなっているか』を知ることが重要で、掛け算を使うと全体の状況がよく分かる。各要素のバランスの重要性が明確になる。これこそが、意思決定層に対する説明として非常に効果的だ」

なぜセキュリティでは「掛け算」が重要なのか（名和氏の講演資料から引用）

　人手を介さずにリアルタイムで機能する仕組みを考える「自動化」、限られたリソースで最大の効果を得る調整としての「最適化」、最も重要なポイントに集中する「重点化」。この効率性、効果性、優先度を“掛け合わせる”ことで、「対策の真の価値が決まる」と名和氏は「自動⊙(最適⊙重点)」の実践的意味をまとめる。これら3要素のバランスを取ることが成功の鍵なのだ。

作用効果は？

　名和氏は、これら対策の具体的な作用効果を述べる。

　対策の自動化としては、マルチシグナルによるトリガーを考える。複数条件がマッチした際にアラートを送って、対処するもので、SOAR（Security Orchestration, Automation and Response）との連携などが挙げられる。

　ただしこれは製品を入れるというものではなく、基礎となるプロセス、あるいは設計思想を理解した者が適切な設定を施し、情報ソースデータの根源となる部分を調整して初めてSOARの有効性が発揮できる。

　組織が利用しているXDR（Extended Detection and Response）などをアダマール積の理解に基づいて整理された、合理的かつ論理的な形で対処することで、自動化による即時遮断が期待できるようになる」

対策の自動化（名和氏の講演資料から引用）

　対策の最適化として、名和氏はノイズ低減と効率向上を挙げる。組織内の状況が変わったり、教育効果によって変化が起きたりといったことが起こると、データの流れは一定ではなくなる。変化に対して逐一調整するのではなく「最初から一気通貫で機械に任せる仕組みを作る。ロジカルに抜け漏れをなくそうという考え方が重要なポイントだ」と名和氏は指摘した。

対策の最適化（名和氏の講演資料から引用）

　対策の重点化は、リスクに応じた優先順位付けがポイントだ。縦と横の行列で考えることは、視覚的な位置を明確にできるメリットがある。ワークフローの流れ、分岐点を含めた形で行列の各要素に与える。これによって脆弱性やリスクのある部分を数字で表すことができ、優先度を明確化できる。

対策の重点化（名和氏の講演資料から引用）

アダマール積で多角的防御を実現せよ

　名和氏はまとめとして、多角的防御を実現する体制を紹介する。特にアダマール積の考え方が有効な部分は「SIEM（Security Information and Event Management）の導入」「複数のセキュリティツールを統合した脅威の検出・対応」「誰が相関分析結果を確認し対応するかの明確化」だ。

多角的防御を実現する企業内部体制。特にアダマール積の考え方が有効な部分に下線を引いている（名和氏の講演資料から引用）

　名和氏は具体的なセキュリティ対策として、下記のポイントを挙げた。

　特に重要なのは、組織全体で包括的な取り組みを行うこと、複数のセキュリティデータをアダマール積の考え方で相関分析することだ。名和氏は次のようにまとめて講演を締めくくった。

　「アダマール積の考え方を使って、私の仲間たちも成功体験を積み上げている。ぜひ共有したいと思い、今回の講演で紹介した。1つの部署が理解しただけでは効果が少ない。ストーリーテリングのように少しずつ成果を示すことで、興味を持ってくれる部署が必ず現れる」

アダマール積の考え方を広めていく（名和氏の講演資料から引用）