編集部からのお知らせ
新型コロナ禍が組み替えるシステム
テレワーク関連記事一覧はこちら
海外コメンタリー

Facebookのレッドチームはいかに世界最大のSNSをセキュアにしているか

Danny Palmer (ZDNet.com) 翻訳校正: 石橋啓一郎

2020-01-16 06:30

 Facebookは、同社のレッドチームがシステムを攻撃から守るためにどのような活動をしているかについて、その一端を明かした。

 巨大ソーシャルメディア企業であるFacebookは、10チーム以上のレッドチームを擁している。レッドチームとは、自分の組織のネットワークへの侵入を試みるハッカーの視点から考えるセキュリティ専門家のチームで、攻撃者の戦略を予想し、先手を打って防ぐことによって、効果的にデータを守ることを目的としている。

 レッドチームは、実際に利用可能な手口や戦術を使ってネットワークをテストすることで、Facebookのセキュリティの現状を理解し、改善すべき分野を特定する。

 Facebookの攻撃的セキュリティエンジニアであり、以前はマルウェアの研究者やコンピューターフォレンジックの検査官を務めていたAmanda Rousseau氏は、ロンドンで開催されたサイバーセキュリティカンファレンス「Black Hat Europe 2019」で、Facebookにおけるレッドチームの活動と、同チームがどんな困難に直面しているかを説明した。

 「私たちは、『敵対的なマインドセット』という言葉をよく使う。私はこれを、既存のやり方にとらわれない考え方だと説明することが多い」と同氏は言う。「私たちは前提条件を疑う。また、私たちが働いている空間にあるものを攻撃する。それを自由にやり、自由に考え、問題を迂回するためにあらゆる種類のアイデアを試す」

 Rousseau氏は壇上から、チェーンのレストランから無料でパンケーキを手に入れる方法を考えてみてほしいと聴衆に問いかけた。レッドチームの仕事は、これを可能にするさまざまな方法を考えることだ。考えられる方法の中には単純なものもあれば、劇的なものもある。

 もっとも簡単なやり方は、パンケーキを食い逃げすることだろう。また、偽札を使ったり、従業員を装ったりする複雑な手口も考えられる。さらに、火災報知器を鳴らしたり、暴力で脅したりといった、極端な手段もあり得る。

 Rousseau氏は「これは極端なやり方だが、私たちには、そのようなシナリオも考慮する責任がある」と述べ、こうした考え方は、Facebookのウェブサイトやアプリ、メッセージングサービス、製品、あるいはキャンパスの安全を守る際にも適用されると説明した。

 Rousseau氏は米ZDNetの取材に対して、「悪魔の代弁者(議論に欠陥がないかを検討するために、あえて逆の立場から議論する役割)を演じることで、エンジニアが作っているもののセキュリティを向上させることができる。わが社には、毎日何か新しいものを作っているエンジニアが大勢いる」と語った。

 仕事の性質上、Facebookのレッドチームには日常的に行う決まった仕事があるわけではないが、普段は製品やネットワークのセキュリティをテストしたり、改善したりする作業をしており、建物が検討の対象になる場合さえあるという。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. ビジネスアプリケーション

    テレワークで起こりがちなトラブルの原因「資料が自宅から閲覧できない」にどう対処する?

  2. 経営

    CIOが成功するための最大の条件は「CEOとの連携」にあり?!516名のCIO調査を紐解く

  3. 経営

    【働き方改革事例】PCの調達・管理に関する不安を解決するサブスクリプションサービス

  4. クラウドコンピューティング

    【DX解説書】もっともDXに不向きな〇〇業界が取り組むべき改革とは?

  5. クラウドコンピューティング

    今すぐ「働き方改革」に着手するべき、2つの理由と改革への第一歩

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]