whack-a-mole は負けている

セキュリティエンジニアリングの製品防御側において、セキュリティ業界の2つのクラスの人々を対比させたいと思います。 第一は、「アイデンティティとしてのセキュリティ」の人々です。これは、ハッカーや電話盗聴にまで遡る、セキュリティ・アズ・カウンターカルチャーの姿勢に戻ります。それはトムソンの「ワークイズム」を反映しており、仕事は単に生計を立てる手段ではなく、アイデンティティ、目的、そしてコミュニティの感覚を築く方法です。セキュリティの場合、このアイデンティティは、他人が見ないものを見、エッジの効いた、誤解されがちな方法で賢くあること、つまり「違う」ことの周りに築かれる傾向があります。単なるセキュリティ専門家以上の、ハッカーのペルソナを持つ人物。システムより賢いスタイリッシュなアウトサイダー。他の人が見逃す洞察を見つける探偵。 ハッカーのエトスに問題があるわけではありません。システムの破綻する場所や、予期せぬ、あるいは間違った方法で機能する場所を見つけるという考えは、明らかに非常に価値があります。キャリア、カンファレンス、プロフェッショナルコミュニティはすべて、脆弱性の発見を報酬とし、驚けば驚くほど良いのです。同様に、ハッカーの美学はそのままです。この時点では、それは主流です。毎年約25,000人がDEF CONに参加しています。 予期せぬ洞察を評価することは、ハッカーだけのものではありません。2000年代には、書籍『Freakonomics』が非常に人気がありました。それはまた、一見単純であったり、あるいは平凡な社会現象に対する驚くべき説明を提案する形を取りました。もし予期せぬものを見つけられれば、あなたは非常に賢くクールでなければならないのです！しかし、驚きが本当に知性のシグナルであるべきでしょうか？その姿勢をさらに進め、ポール・グレアム風の「～であることが判明した」というミスディレクションを取ることもできます。Yを信じると言う代わりに、Xを期待して調査したところ、Yが真実であることが判明した、と言うのです。そうすれば、Yを正当化する必要はなく、Xが間違っていると言うだけで済みます。 あなたが選ぶアイデンティティは、美学を超えて重要です。問題の定義は本質的に関連する世界観を伴っており、特にその世界観を中心にアイデンティティ、コミュニティ、そして職業を築いてしまった場合、世界観を変えることは非常に困難です。根本的な問題に対処する解決策の証拠であっても、世界観を検証するような形でないものは拒否される可能性があります。 具体的な例として、ノードハウスとシェレンバーガーは、2004年の悪名高いエッセイ「環境主義の死」で、気候変動活動におけるこの失敗モードに対処しています。環境保護論者は、「環境」を特別な利益として保護することに人々を同意させたいと考えており、それを進めるためには技術的な政策介入が必要だと考えました。これは、キャップ・アンド・トレードや炭素排出量制限のような、「環境」に関連する形での解決策が必要であることを意味しました。温室効果ガスを削減するという望ましい結果をもたらすものの、「環境的」であるには不十分な解決策、例えばクリーンエネルギーコストの削減（使用量が増加しても）、高収量農業（有機農法から食卓までだけではない）、そして行動変容よりも技術的代替がうまく機能するという考えは拒否されました。皮肉なことに、この物議を醸したエッセイから20年が経過した現在、これらの拒否された解決策の多くが最終的に実現したことがわかります。太陽光発電とバッテリー技術の改善、電気自動車やその他の再生可能エネルギー（2010年代には多くの政府補助金があった）は、2000年代の環境主義の受け入れられた世界観を検証した政策よりも、温室効果ガス排出量を削減する上でより大きな貢献をしました。 セキュリティにおいては、技術的に印象的な脆弱性を繰り返し発見、悪用、パッチ適用するという形をとらない解決策は、特に探偵として行動することを好む場合、アイデンティティとしてのセキュリティの人の世界観を満たさない場合、見過ごされる可能性があります。攻撃者のマインドセットと首尾一貫した脅威モデルは、安全なシステムを構築するために重要です。しかし、それらは必要ですが、完全でしょうか？そして、それらは良い出発点でしょうか？私たちは、料理人に「シェフのように考えろ」と指示して料理を教えたりはしません。 ここで、2番目のクラスの人々、つまり「堅牢性としてのセキュリティ」の人々に移ります。どうやら、セキュリティには、障害条件、エッジケース、および不整合の最中でも、望ましい特性を維持する正しいシステムを構築することに主に動機づけられている人々がいるようです。セキュリティは、攻撃者に直面した場合を含む、すべての条件下で適切に動作する、よく設計されたシステムを構築する一部です。 その違いを説明するために、脆弱性報酬プログラム（VRP）、別名バグバウンティについて人々がどのように考えているかを見てみましょう。VRPの目的は何でしょうか？最低限、VRPはセキュリティ問題の連絡窓口として機能し、攻撃者に悪用される前に製品内でパッチを適用できるようにします。十分に大きな製品（あるいは特にプラットフォーム）を実行している場合、セキュリティ問題で連絡してくる人々がいるでしょう。少なくとも一部のセキュリティレポートは有効であり、パッチが必要になります。VRPは、このための標準的なプロセスであり、組織が、製品の一部に取り組んでいる個々の機能チーム以外の、外部および内部のセキュリティバグレポートの両方に、対応する能力を持つことを強制します。それは参加者に、あなたにとって生産的な方法でバグを報告することに金銭的インセンティブを与えます。 バグの発見とパッチ適用を超えて、VRPはセキュリティチームの戦略を通知するために使用され、使用されるべきです。VRPは、標準的な製品管理アプローチにおける顧客の役割のほぼ代替となるものです。攻撃者はあなたのユーザーではなく、セキュリティの全範囲は未知の未知数です。それは攻撃サーフェスの全体を列挙するわけではありませんが、VRPは攻撃者の方法論への洞察を得て、セキュリティチームの作業を検証するための、繰り返しの一貫した方法であり、それによって未知の未知数のサイズと影響を制限することができます。VRPでどのような種類のバグが現れているか、製品のどこで発生しているか、なぜ発生しているか、そしてどのチームがそれらを所有しているかはすべて、バグがまれになる未来に向かって構築されるべきセキュリティロードマップへの入力となり得ます。 VRPは双方向の道でもあります。脆弱性研究者はインセンティブに反応するため、セキュリティチームが何らかのセキュリティイニシアチブを正当化するための仮説を検証したい場合、VRPのルールと報酬を調整して、仮説を検証し、他のチームやリーダーシップにロードマップを正当化するための証拠として使用できる提出を奨励したり、仮説が間違っていたことを示す提出を奨励したりすることもできます。VRPの結果がロードマップが現実に結びついていないことを示唆している場合、セキュリティチームは仮説を却下し、別のことを試すことができます。VRPの最も良い点の1つは、バグハンターが探すものが、製品に取り組んでいる人々の信念によって制約されないことです。 VRPがより広範な戦略への入力として使用される場合、VRPの全体的な目標は、すべてのバグを完全に列挙して安全な製品を持つことではありません。VRPのポイントは、セキュリティの問題に取り組むことです。議論の余地がありますが、VRPを通じて外部から来るバグに対処することは、それらのバグを優先する最悪の方法です。なぜなら、それは本質的に割り込み駆動型であり、バグをパッチするチームによって容量管理されていないからです。VRPバグのパッチ適用は、 whack-a-mole をプレイする別のケースです。実際に何かを安全にすることは、セキュリティチームの責任であり、彼らはバグが発生できないようにする（例：安全なコーディングを通じて）、またはアーキテクチャの変更によってバグがもはや重要でなくなるようにする（例：影響を低減する）必要があります。VRPにおける、すべてのバグを列挙することと、時間の経過とともにセキュリティを削減するための戦略を通知することとのこの区別は、堅牢性としてのセキュリティの litmus test です。 より多くの問題を、より速く見つけることが良いという極性がありますが、それはb