穴をふさぐ運用が限界なら、疑わしいときは自動で切り離す設計にする

脆弱性を見つけて、パッチを当てて、また次が出る。この運用は、資金のある大企業でも追いつかなくなっています。AIで攻撃が速く安くなった今、「穴を全部ふさいでから守る」前提は成り立ちにくくなりました。この記事では、「侵入されることを前提に、疑わしければ自動で切り離す」設計の考え方を整理します。

国境に壁を作っても守れない理由

「国内ネットワークに膜を張り、外へ出る通信を厳しく制限する」という発想は、一見わかりやすい対策です。ただ、国単位の壁にはいくつか限界があります。

- 攻撃は国内の乗っ取り済みサーバーや踏み台からも来るため、国境で見ても「国内発の通信」に見えます

- 通信が暗号化されていると、境界では中身を判断できません

- 通信の秘密との関係で、一律の検査・遮断は制度上の壁が高いです

- 実際の侵入口は、パッチ未適用のVPN機器、使い回しのID、フィッシング、委託先など、個々の組織の中にあります

一方で、「外に出る通信を止める」という考え方そのものは有効です。マルウェアの外部通信(C2)と情報の持ち出しを止められるからです。これは国単位ではなく、**組織や拠点の単位**でこそ実現できます。

「止められない」より「止まったときの被害」で比べる

穴が残る理由のひとつに、「業務を止められない」という前提があります。パッチ適用やサービス再起動は、数分〜十数分の停止で済むことが多い作業です。

- 止めた場合: 数分〜数時間。原因が明確で、戻せる

- 侵害された場合: 数週間〜数か月。漏れた情報は戻らない

2021年の徳島県の病院、2022年の大阪の医療センターでは、ランサムウェアで電子カルテが使えなくなり、診療の縮小が長期間続きました。侵害されれば、結局どちらも止まります。「止めない」ことを優先した結果、もっと長く止まるわけです。

「止められない」を本当に実現したいなら、冗長化や計画停止枠の確保など、**止めずに更新できる設計**への投資が筋になります。

疑わしければ遮断する(フェイルクローズ)

誤って止めた場合の被害は、侵害されたあとの混乱に比べてたいてい小さく済みます。そこで、一般の業務システムは次の方針に寄せます。

- 疑わしい挙動があれば、まず遮断する(フェイルクローズ)

- 遮断を戻す手順と窓口を、先に用意しておく

- 例外申請を簡単にして、現場が保護を切ってしまうのを防ぐ

重要インフラや医療のように、止めると人命に関わる領域も同じです。侵害されれば止まるのですから、早く切り離すほうが被害は小さくなります。ただし**切り離しても最低限の業務が回る設計**が前提になります。

- 診療系と外部接続系のネットワーク分離

- 読み取り専用で参照できる別系統の保管(直近のカルテ・処方情報など)

- 紙運用への切替手順と訓練

- 書き換えできない形で隔離したバックアップ

遮断の判断は人に任せない

人が判断する仕組みにすると、「業務を止める責任」を誰も負いたがらず、判断が遅れます。検知から遮断までの数時間で、被害は広がります。

そこで、**遮断は自動、復旧だけ人が判断する**という非対称な設計にします。

- 遮断のトリガーを事前に決めておく(大量のファイル暗号化、管理者権限の異常使用、外部への大量送信、既知の不正宛先への通信など)

- 遮断の実行は自動、復旧は原因とバックアップの健全性を確認してから人が行う

- 自動遮断の動作はログに残し、あとから説明できるようにする

すでに製品として実現できる機能も多くあります。EDRの自動隔離、Microsoft Defenderの自動攻撃遮断、ファイアウォールの自動ブロックなどです。まずはこれらの自動隔離が有効になっているかの確認から始められます。

木・林・森・大森林: 段階的に切り離す

遮断は一気に全部ではなく、小さい単位から段階的に広げます。

| 段階 | 隔離の単位 | 判断 |

| --- | --- | --- |

| 木 | 端末・アカウント | 自動(EDRが即隔離) |

| 林 | 部門・ネットワークセグメント | 自動(拡散の兆候で連動) |

| 森 | 拠点・組織全体の外部接続 | 事前に承認済みの条件で自動 |

| 大森林 | 業界・地域・プロバイダー単位 | 官民の連携(ISP・クラウド・政府) |

ポイントは次の3つです。

- 下位で止まれば、上位には広げません。影響は最小に保ちます

- 上位に進む条件は「◯分以内に◯台以上へ拡散」など数値で決めます

- 多くの組織は「木(EDR)だけ」か「森(全面停止)だけ」の両極端で、**中間の林(セグメント分離と連動隔離)が空白**になりがちです

2001年のNimdaのように、公開から短時間で世界中に広がったワームの例では、拠点単位で切り離す頃には、拠点の内部がすでに感染していることがありました。人の判断では間に合わないので、木・林の段階で自動的に止める必要があります。

自動化で気をつけること

- **攻撃者に利用される**: わざと誤検知を起こさせて業務を止める攻撃が成立します。遮断条件の見直しと、復旧の速さで備えます

- **自動配信の事故**: 2024年7月のCrowdStrikeの更新事故のように、自動配信が広範囲を同時に止めることがあります。遮断・防御系の更新は段階展開にします

- **自動の動作が見えなくなる**: ログと通知を必ず残します

国レベルでは「初期状態で保護がオン」を目指す

国全体では、国境の壁よりも、ISP・クラウド・機器メーカーが持つ層に保護を組み込むほうが現実的です。

- ID(M365、Googleなど): MFA強制、危険なサインインの自動遮断

- DNS: 不正な宛先への名前解決を、ISPやクラウドDNSの段階で遮断

- 機器: VPN機器やルーターを、初期設定で自動更新にする

- ISP: 既知の攻撃インフラ宛の通信を、事業者側で遮断

2025年に成立した能動的サイバー防御関連法は、攻撃元サーバーの無害化などを可能にする一歩です。ただし、攻撃を確認してからの対応になる面があります。穴をふさぐ負担を利用者から取り上げ、**保護を初期状態でオンにする**仕組みの側に移すことが、これからの論点になると考えます。

まとめ

- 穴を全部ふさぐ運用は限界が来ている。侵入されても被害が広がらない設計に重心を移す

- 「止められない」ではなく、侵害された場合の長期停止と比較して判断する

- 疑わしければ遮断(フェイルクローズ)。ただし、切り離しても回る設計と、すぐ戻せる手順をセットにする

- 遮断は自動、復旧は人。木(端末)・林(セグメント)・森(拠点)の順に、小さい単位から切り離す

- まず確認するのは、EDRの自動隔離が有効か、そしてセグメント分離(林)があるか