セキュリティ担当者には、リスクと脅威の違いを理解し、それに応じて対処することが求められます。一般の人（私たちのほとんどがそうです）には、両者に違いがないように見えるかもしれません。そもそも、意味は同じではないのでしょうか。脆弱性やDDoS攻撃、最新のゼロデイエクスプロイトを表す際に、両者を同じ意味で使ってはいないでしょうか。
そうかもしれません。しかし、セキュリティの専門家は通常、はるかに厳密に区別します。そうしなければ、防御を突破するためのツールや手法、テクノロジーが増え続けるなか、それらとのデジタル戦争に予算を費やし、IT部門全体の予算を上回りかねないからです。脅威によってリスクの大きさは異なります。
リスクとは、発生する可能性や、脆弱性が悪用された場合の影響など、複数の要因に基づいて算出される指標です。今日、道路を横断中にバスにはねられ、深刻な結果を招く可能性があることは誰もが承知しています。しかし、その可能性は極めて低いため、ほとんどの人は非常に低いリスクだと考えます（そもそもリスクとして認識されないかもしれません）。一方、ウィスコンシン州の真冬に、靴底に滑り止めのない3インチヒールを履けば、転倒して望ましくない結果を招く可能性が高いため、個人的には冬季のリスクはかなり高いと考えます。
それがリスクです。
脅威は別物です。天候やバスの運行経路、あるいは攻撃者が今日当社のWebサイトに対してボリューム型攻撃を仕掛けるという判断など、私たちには制御できないものです。
セキュリティ担当者とその組織が目指すことの1つは、脅威を緩和し、脆弱性が悪用される可能性を低減することで、リスクを最小限に抑えることです。気温が氷点下20度で、私道が氷に覆われているなら、底が平らで滑りにくいブーツを履きます。これにより、脅威は排除されないものの緩和され、リスクが低減します。新たな脆弱性が突然発見された場合は、その新たな脅威が組織にどのようなリスクをもたらすかを判断する必要があります。
実際、これはリスク評価の手法として広く受け入れられており、業界では次のように数式で表されます。
A（資産）+ V（脆弱性）+ T（脅威）= R（リスク）
これにより、各組織は、ビジネス要件とリスク許容度に応じて個々の要因を重み付けできるだけでなく、一貫した対応を取ることができます。特に、評価したリスクが組織の許容範囲内であると判明した場合、新たな脆弱性が公表された際に、動揺して反射的な対応を取ることを防ぐのに役立ちます。
では、HEISTについてはどうでしょうか？
そこでHEISTの話になります。HEISTは「HTTP Encrypted Information can be Stolen through TCP-Windows」の略です。HEISTのほうが明らかに言いやすく、まるで『ミッション：インポッシブル』に出てきそうな響きではないでしょうか。この脆弱性はBlackHatで発表され、現在もArs TechnicaやEngadgetの記事を通じてインターネット上で広まっています。これまでのところ、実際の攻撃で悪用された事例は確認されていません。容易に悪用できる脆弱性ではなく、F5の研究者を含む研究者も、HEISTの悪用は決して簡単ではないと指摘しています。これは、ブラウザAPIの動作（応答時間を測定できるブラウザAPIを利用して、TCPの通常の動作を観察します）、Webアプリケーションの動作、コンテンツ圧縮、TCP、暗号技術を組み合わせた複雑なサイドチャネル攻撃です。
この攻撃では、複数のリクエストを完了する必要がある場合、ネットワークに大きな負荷がかかる可能性がありますが、どちらかといえば「目立つ」部類に入ります。ネットワーク負荷が大きいことも目立つことも、発覚を避けたい攻撃者にとっては好ましくありません。それでも、悪用に成功すれば、攻撃者はこれをBREACHやCRIMEと組み合わせてペイロードを復号し、いわばデジタル上の大当たりを引き当て、機密性の高い（場合によっては極めて重要な）個人データやビジネスデータを露出させる可能性があります。その場合、個人を特定できる情報（PII）というデジタル上の大当たりを手に入れられるのであれば、どれほど目立っても気にしないでしょう。
これは脅威です。データの窃取に悪用される可能性があります。これは侵害と呼ばれ、「非常に悪いこと™」です。問題は、この脅威がいつ現実のリスクになるのかという点です。
さて、今日（正確には、これを書いた時点）では、この脅威は現実に存在するものではありませんでした。つまり、実環境では確認されていなかったのです。しかし、実環境に存在しないという意味ではありません。単に、まだ確認されていないというだけです。今日の、まさに今の時点では。
もう頭が混乱してきましたか？セキュリティの専門家がいつも困惑した表情を浮かべているように見える理由も、これでお分かりでしょう。常にこのような思考プロセスをたどり、意思決定を行わなければならないからです。
そこで問題となるのは、この脅威が存続を脅かすものになり得る場合、リスクはどの程度かということです。それを判断するには、脆弱性が悪用された場合の影響を見極める必要があります。誰かがアプリやサイトからデータを持ち出すことに成功したら、どのような影響が生じるでしょうか。どれほどのコストがかかるでしょうか。ブランドへの影響も忘れてはいけません。それも、この（ますます複雑になる）方程式の一部です。緩和策のコストも同様です。影響が比較的小さい解決策で済む場合と比べ、緩和策のコストが高い場合には、この方程式も変わります。脅威を緩和するために、たった1つの設定を変更するだけでも、データセンター内（およびクラウド内）のすべてのWebサーバーに手を加えなければならないとすれば、存続を脅かす可能性があるかもしれない事態への対応に、多大な時間（ひいては費用）がかかります。リスクが低ければ、「オオカミが来た」という声に慌てて対応するのではなく、ひとまず様子を見るという判断をするのも無理はありません。
たとえば、返すデータのサイズを変化させて攻撃者を混乱させ、HEISTの実行を難しくする簡単なスクリプトなど、実装コストの面で影響が比較的小さい緩和策であれば、導入を進めることを検討してもよいでしょう。結局のところ、リスクをさらに低減するためのコストはわずかであり、将来HEISTが実行された場合の影響よりも、ほぼ確実に小さいからです。
絶え間ない（再）調整
現実には、セキュリティとは、多くのIT組織に存在する政治的な難題をかいくぐりながら、脅威を緩和してリスクを最小限に抑えるための絶え間ない闘いです。IT部門が機能ごとにサイロ化されているため、リスクが顕在化する可能性が変動する脅威に対しては、たとえ簡単な緩和策であっても、セキュリティ担当者が実装を見送るケースがあまりにも多く見られます。
脅威をプロアクティブに緩和するのではなく、リスクが高まり、対応を迫られるまで待つのです。たとえば、過去2年間に大きな話題となったエクスプロイトの多くは、アプリケーションを標的としていました。これらを緩和するには、アプリケーションの上流にあるデータパス上にソリューションを導入する必要があります。規模拡大と配信のためにアプリケーションが最終的に集約されるポイントが、依然として最も効率的かつ効果的な導入場所だからです。しかし、この戦略的な制御ポイントを管理しているのは、セキュリティチームではなくアプリケーションデリバリーチームです。こうした脅威を早期に緩和するために必要な労力が、リスクを上回ってしまいます。いわば両チームが歩み寄ることは、組織にとって常に課題であるため、アプリケーション層でリスクをプロアクティブに低減し、脅威を緩和する取り組みは、実際には行われていません。
現時点では、HEISTは多くの組織にとってリスクが低いと見なされている可能性があります。しかし、HEISTが脅威であることに変わりはありません。実際に悪用される前にその存在が周知された今こそ、検討すべきです。部門間で連携し、HEISTに対するこの緩和策のような「サーバーレス」セキュリティソリューションを、脅威が組織の存続に関わるものとなり、悪用のリスクによって誰もが高コストの対応や実装に追われる前に導入する必要があります。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。