巻頭言：SRE × セキュリティを考える
いやー、乱世乱世。最近は本当にそう思わざるを得ないようなセキュリティインシデントが跋扈しています。
もちろん、セキュリティの穴があるからですよね、と切り捨てることは簡単ですが、AIを利用した穴探しという変革が来てしまったがゆえでもあります。
さて、より強固なセキュリティが求められる時代にSREsは何ができるでしょうか？
この問いに対して、SREの本丸・Googleがヒントとなる記事を出してくれています。
この記事は、SREという考え方をどうサイバーセキュリティに適用するか？といった内容で、4つの主張がされています。
1. Eliminate toil
SREといえばの「トイルの撲滅」。これはサイバーセキュリティにおいても同等に大事です。
セキュリティエンジニアリングにおける、最大の課題のひとつは「防御の拡張スピードよりも、防御対象が増えること」。なので、サブリニアスケーリングの実現が不可避になります。
たとえば、検出ルールのデプロイ、ポリシーの管理、アラートのトリアージといったセキュリティ運用に、この考え方が適用できます。また、AIを使った仕組みづくりにも触れられており、アラートのトリアージなどは特に取り組まれている企業は最近よく見かけますね。
2. Alert on symptoms, not causes
原因ではなく、“症状"に対してアラートを出す。どういうことかというと、SREでは「CPU使用率が90%」などの原因に対してのアラートを出すより、「レスポンスが遅い」などの症状に対してアラートを出しましょうと言われます。
それは、過剰なアラートを引き起こさず、アラート疲れを起こさないようにしましょうという話にも繋がります。
こと、セキュリティにおいても、広すぎる検知・狭すぎる検知の2点が問題となります。たとえば、広すぎる検知は「ログイン失敗」などの広い範囲で拾ってしまうと、大量に通知が来てしまい、ノイズが増えます。狭すぎる検知では、攻撃者が簡単に変更できる情報を検知してしまうと、少し攻撃方法を変えられただけで検知できなくなります。
Googleは、機密性・完全性・可用性の3つが侵害される時にアラートを発報すべきであると述べています。広すぎる検知については、自動化システムでの対処を行い、アカウントへの侵害が非常に怪しい場合に人間が介入する。狭すぎる検知では、IPなどの単純な値での検知ではなく、不正な操作かどうかの評価を自動化システムで行い、怪しい場合に人間が介入できるようにする。
このように、基本的には仕組みでなんとかし、人間が介入する回数を減らしていくことにあります。
また、SLOとエラーバジェットの概念をセキュリティにも適用するのはどうか？という話もされています。記事に載っているように、「すべての脆弱性を即座に修正するという非現実的な目標を放棄すること」などは、たしかにその通りですし、セキュリティエンジニアの方は自然にやっていることだったりするのかなと思います。（攻撃手法が現実的じゃないものは後回し、など）
しかし、セキュリティは一度の侵害が大きなリスクとなりうるので、なかなか難しいのかなとも思ったり。
3. Use blameless postmortems to engineer resilience
非難なきポストモーテムから、レジリエンスを高めようというお話。これは言わずもがなのお話ですね。
ただ、どうしてもセキュリティインシデントでは性質上、非難が向きやすい領域なので、これは声を大にして徹底しなければいけないのかもしれません。
4. Embrace gradual, reversible change
変更は段階的に、いつでも戻せるように。リリースエンジニアリングのお話ですね。
たとえば、セキュリティではWAFルールを導入する際に、検知のみ→一部遮断→全遮断みたいな段階的な導入、戻す時はすぐにロールバックできるようにといった感じですね。
取り返しのつかない事態に恐れること無く、変更を加えていくことをセキュリティでも行えるようにするのが大事。
まとめ
今回は、昨今のセキュリティ問題にあわせて、SREとセキュリティについての記事を紹介させていただきました。
急に「セキュリティをなんとかしろ！」と言われている方もいらっしゃるかもですが、SREを使ってプロダクト守っていきましょう！
宣伝
「カンファレンス運営の教科書」という本をインプレス様より発売いたしました！カンファレンスってどうやって成り立ってるの？と気になる方や、カンファレンスをやりたい方はぜひ買ってみてください！
カンファレンス運営の教科書 企画・集客・運営を成功させる実践ガイド | インプレス NextPublishing 「カンファレンスを主催してみたいけれど、何から手をつければいいのか分からない」そんな悩みを抱えるエンジニアやコミュニティリーダーに贈る、実践的な運営ガ...
NextPublishing デジタルファースト宣言！
あと、11/23の技術書典 21で「入門30代」という本も発売いたします！こちらもぜひとも！
入門30代｜技術書典21 新刊 これからの人生が、もっと楽しくなる。30代の入門書です。
入門30代
