マイクロソフトによる軍事IT独占が国防総省のハッキング恐怖を煽る

米国国防総省は、国内の反対や国をより良くするという専門家からの批判にもかかわらず、広大な世界的ITネットワークを保護する最も長く続いてきたサイバーセキュリティプログラムの1つを静かに放棄し、マイクロソフトの既製ツールに置き換えようとしている。外国のハッカー、敵のサイバー戦士、オンラインスパイに対して脆弱であることをニューズウィーク誌は学んだ。

国防総省の2024会計年度予算要求が最終決定されつつあった昨秋、国防総省の最高情報責任者ジョン・シャーマンとの一連の会合では、軍の上級ITリーダーの明らかに過半数がこの動きに反対したと、直接関与した元国防高官が語った。ニューズウィーク。彼らは、同部門が単一のソフトウェアベンダーへの依存を強めていることを懸念していました。「私は完全に反対でした。私たちの多くも同じ理由でそうでした。この独占的な (マイクロソフトの) モノカルチャーに自分たちがさらに組み込まれていくように感じたのです。」

潜在的なリスクは 3 月に明らかになり、ロシア軍事諜報部員と思われるハッカーがほぼ 1 年にわたって Microsoft の電子メールプログラムである Outlook の脆弱性を密かに悪用していたことが明らかになりました。この事件は、サイバーセキュリティ業界の報道機関以外は報道していないが、専門家がマイクロソフト IT だけに依存することの危険性を示している。

国家安全保障局からの評価に基づいて、Microsoft セキュリティツールへの移行を進めるという国防総省の決定は、ワシントン州レドモンドに本拠を置くテクノロジー巨人が製造するソフトウェアのセキュリティに関する長年の疑問に新たな光を当てました。、そして政府のテクノロジー市場におけるその優位性の影響。また、追加のセキュリティ対策を売り込むのではなく、最初から安全な製品を提供するようソフトウェア会社に求めるホワイトハウスの新たなサイバーセキュリティ戦略に反する可能性もある。

NSAはニューズウィークに対し、評価書のコピーの提供やコメントを拒否した。元当局者は、この評価が非公開の機密情報によって知らされた可能性があることを誰もが理解していたため、この評価が決定の決定的な要因となったと述べた。「それについては実際に議論することはできない」と元当局者はメディアに話す権限がないため匿名を条件に語った。

世界最大規模の 1 つである国防総省の IT ネットワークは、すでにサイバー専門家がマイクロソフトのモノカルチャーと呼ぶものの代表的な存在でした。これは、全員が同じソフトウェアを使用する IT 環境であり、全員が同じサイバー攻撃に対して潜在的に脆弱であることを意味します。

2017 年以来、国防総省は 400 万台以上のデスクトップコンピューターすべてで Microsoft Windows オペレーティングシステムを独占的に使用しており、Microsoft の Azure クラウドコンピューティングサービスの採用を増やしています。また、210 万人の現役軍人と予備役軍人、および 75 万人の軍属のほとんどが、電子メール、カレンダー、ワードプロセッサ、その他の管理タスクに Outlook や Office などの Microsoft プログラムを使用しています。

現在、同省は、同社のハイエンドソフトウェアライセンスにバンドルされているサイバーセキュリティツールセットであるMicrosoft Defenderも使用する予定であると、国防総省トップのサイバー当局者の一人であるCIO副デビッド・マッキューン氏がニューズウィーク誌に認めた。同氏は電子メールで、「Microsoft Defenderは、軍のネットワークを保護するために必要な機能のすべてではないにしても、ほとんどを満たすことを約束する統合サイバーセキュリティソリューションを国防総省に提供する」と述べた。同氏は、Microsoftのソフトウェアを保護するためにMicrosoftのセキュリティツールを使用すると国防総省の脆弱性が高まるという指摘に異議を唱え、保護しているソフトウェアと統合するためにゼロから構築されたツールの方が安全だと述べた。

MicrosoftはNewsweekへの声明で、世界中の数十億人のユーザーから膨大な量のデータを活用できるため、自社製品を守るのに最適な立場にあると述べた。

「私たちのチームは、政府および商業団体のセキュリティベースラインを強化するために、1 日に最大 65 兆件のサイバー信号を処理および共有しています。私たちは... 政府の顧客がますます深刻化するセキュリティ問題と戦うのを支援するために、統合セキュリティ製品とスタンドアロンセキュリティ製品の両方に投資を続けていきます」複雑な脅威環境。」

しかし、国防総省の動きは、一部の元キャリア国防当局者にとっては、過去に国防総省でマイクロソフト製品の導入を主導してきた者にとっても行き過ぎだ。そのうちの3人はニューズウィーク誌に対し、米国がテロとの戦いから転換し、技術力を利用してロシアや中国といった同胞の敵対者と対峙しようとしているのと同じように、ハイテク巨人への過度の依存は米軍のコンピュータネットワークをより脆弱にする危険があると語った。それらの脆弱性。

また、ソフトウェアのセキュリティを定量化する最善の方法についてサイバー専門家の間で議論が続いているが、同社はその分析に激しく異議を唱えているものの、いくつかの尺度から見るとマイクロソフト製品はハッカーに対してより脆弱であるように見える。

米国政府のサイバーセキュリティ・インフラセキュリティ庁 (CISA) は、ハッカーやサイバー犯罪者によって武器化されたことが判明したすべての脆弱なコードの最新の集計を行っています。 2023 年 4 月までに悪用されカタログ化された 919 件の脆弱性のうち、28% 強にあたる 258 件が Microsoft 製品にありました。この 258 件は、Cisco、Adobe、Apple、Google、Oracle の次の 5 つのベンダーの製品で悪用された脆弱性の合計数を超えています。

CISA とその国際パートナーがまとめたデータによると、2021 年に世界中で最もよく悪用された 15 件の脆弱性のうち、9 件がマイクロソフト製品にありました。

別の文脈で、同社とその擁護者たちは、自分たちが自分たちの成功の犠牲者であると主張している。同社が非常に多くの市場で支配的な地位を占めているため、より多くのセキュリティ研究者が脆弱性を探しているため、より多くの脆弱性が製品で見つかっている、と彼らは言う。また、脆弱性が発見され、責任を持って公開されると、マイクロソフト製品は広く普及しているため、ハッカーによって脆弱性が悪用される可能性が高くなります。ウィリー・サットンが銀行強盗をしたのはそこにお金があったからだと主張するのと同じように、ハッカーはマイクロソフト製品を攻撃するのは、マイクロソフト製品がほとんどの大企業や政府によって使用されているからである。

Microsoft の擁護派はまた、ベンダーごとに脆弱性を数えるのは非常に大雑把な尺度であり、Microsoft は提供する製品の数が多いため、これによって苦しむと主張している。製品ごとの脆弱性を見ると、別の状況が浮かび上がってくるという。もっとも脆弱な製品は Microsoft 製品ではないが、依然として多くの製品がリストの上位にあるという。

脆弱性の問題はさておき、多くのサイバーセキュリティ専門家は、単一ベンダーへの過度の依存はセキュリティに悪影響を与えると考えています。国防総省で Microsoft の展開を主導した元国防総省高官 3 名が、2007 年以来さまざまなベンダーから商用サイバーセキュリティツールを購入してカスタマイズしてきたエンドポイントセキュリティソリューション (ESS) プログラムを廃止し、次のプログラムに置き換えるという決定に疑問を抱いたと述べたのはこのためです。 Microsoft Defender ツール。

「エンドポイント、ソフトウェア、クラウド、そして今回のセキュリティスタックを単一のベンダーと垂直統合しているのが本当に怖い。私にとって、それは許容できないレベルのリスクだ」と2人目の元国防総省幹部は語った。 Microsoft 製品の多くの導入に携わった IT 担当者。

「それは単一障害点を生み出す可能性がある」と、昨年の決定に至った初期の議論に関与した3人目の元国防当局者は述べた。「単一の企業が、ユーザーが使用するソフトウェアだけでなく、それを実行するクラウドインフラストラクチャも提供し、さらにセキュリティスタックも提供している場合、ハッカーがその単一プロバイダーに侵入した場合、問題になる可能性があります。」

国防総省だけではない。連邦政府全体で、従業員の 85% が電子メールやワープロなどの業務に Microsoft ビジネスソフトウェアを使用しています。また元当局者らによると、同社は国防総省によるマイクロソフトのセキュリティ製品への移行を民間の連邦政府機関にも同様に行おうとしているという。

Microsoft ソフトウェアを保護するために Microsoft セキュリティツールに依存することで、国防総省は「全国民の卵を 1 つのかごに入れているが、そのバスケットにはひどく欠陥がある」と、元ホワイトハウス高官のアンドリューグロット氏はニューズウィーク誌に語った。現在、スタンフォード大学のフェローであり、サイバー政策センターのプログラムディレクターを務めるグロット氏は、以前はオバマ大統領とトランプ大統領のホワイトハウス国家安全保障会議スタッフのサイバーセキュリティ政策担当シニアディレクターを務めていた。 Grotto は現在、マイクロソフトと直接競合する企業を含むテクノロジー企業のコンサルティングを行っています。

国防総省の動きは、マイクロソフトの既存の批判者の範囲をはるかに超えて懸念を引き起こした。

元政府 IT 幹部を長年務め、2017 年に国防総省がすべてのデスクトップおよびその他のエンドポイントへの Windows の展開を強制した際に国防総省の最高情報責任者代理を務めていたジョン・ザンガルディ氏は、ESS の決定について直接コメントすることを拒否した。しかし、同氏は在任中、「単一障害点の除去」と「セキュリティツールの多様性と冗長性の重要性」、つまりたとえ重複を意味するとしても複数のツールセットを持つことを強調していたとニューズウィーク誌に語った。

「今日のデジタルインフラは信じられないほど複雑で、現代の民間航空機や軍用機に似ています」と、元米海軍パイロットで現在はデータサイエンスコンサルタント会社レッドホース社の最高経営責任者（CEO）を務めるザンガルディ氏は語る。「これらの航空機は複数のバックアップシステムを備えて構築されています。システムの 1 つの部分に障害が発生しても、航空機全体はバックアップシステムによって引き続き安全に機能します。冗長性により安全性がさらに保証され、複雑なシステムの信頼性が各部品の合計よりも高くなります。」同様に、セキュリティツールの多様性により、デジタルインフラストラクチャにバックアップと冗長性を提供できます。」

この変更によって単一障害点が生じたかどうかとの質問に対し、国防総省副CIOのマッキューン氏は、統合システムはセキュリティの弱さではなく強さの源であると信じていると述べた。

「国防総省が航空機を購入するとき、整備士が組み立てなければならない部品の箱を購入するのではなく、統合された航空機を購入するのです」と同氏は語った。「私たちは、IT 担当者とサイバー担当者が協力して機能させようとする個別のコンポーネントではなく、統合ソリューションに投資することで、ネットワークを兵器システムとして考え始める必要があります。」

同氏は、ESSとMicrosoft Defenderを比較した技術評価や、新しく購入した製品が国防総省ネットワーク上で動作することが適切に認定されているかどうかなどの詳細な質問には直接言及しなかった。

Microsoftは、セキュリティの多様性を強く信じており、たとえば、競合他社からライセンスを取得したものを含む複数の脅威インテリジェンスのソースを利用し、1万5000社以上のセキュリティ企業とパートナーシップを構築していると述べている。

連邦政府によるコンピュータ製品の購入方法の改善に取り組む非営利団体、IT Acquisition Advisory Council の CEO である John Weiler 氏は、Defender セキュリティツールを含めるために Microsoft ライセンスをアップグレードするという国防総省の決定には 2 年間で 5 億 4,300 万ドルの費用がかかると述べました。そしてサービス。国防総省自体は数字を明らかにしていないが、ワイラー氏の数字はこの取引を知る他の情報源によって確認された。

ウェイラー氏は、ESSや、おそらくMicrosoft Defenderツールと重複する他の国防総省サイバーセキュリティプログラムを縮小することで、政府がどれだけの資金を節約したいと考えているのかは明らかではないとしながらも、「彼らは国防総省の競争とイノベーションのための市場全体を排除しただけだ」と付け加えた。同氏は、約十社のサイバーセキュリティベンダーがESSや終了する可能性が高い他のサイバーセキュリティプログラムにツールを供給するために競争していると指摘した。「これらの企業は、将来国防総省のニーズに応えて革新することはなくなるでしょう。それをサポートする収入が入ってこないからです。そして、独占企業が革新をするのではなく、独占を維持することにエネルギーと資金のすべてを注ぐことは誰もが知っています。」

ワイラー氏は、ほぼ四半世紀前に司法省が行ったマイクロソフト独占禁止法訴訟の専門証人であり、この訴訟では、同社がウェブブラウザ「Internet Explorer」を同社のWindowsオペレーティングシステムにバンドルして、次のような競合ブラウザを凍結することで独占禁止法に違反していたと認定された。ネットスケープ。ワイラー氏は、マイクロソフトが現在提供しているセキュリティツールとビジネスソフトウェアのバンドルは、同社が1990年代に使用していたものと「同じ戦略」だと述べた。

Microsoftの声明では、同社のセキュリティソフトウェアに関する慣行が反競争的とみなされる可能性があるとの非難には触れていない。

国防総省の動きは、同社が過去5年間に構築してきた年間200億ドルのセキュリティ事業に関して、マイクロソフトにとって他のいくつかの難しい問題を浮き彫りにしている。

2兆ドルを超えるこの企業は、Appleに次いで2番目に評価の高い世界的企業であり、2,000億ドルを超える年間収益のほぼ10パーセントをセキュリティ製品およびサービスの販売から得ており、その収益源は他の分野と比べても2桁の成長を遂げています。同社のビジネスのうち、成長しているとしてもゆっくりとしたものです。

批評家らは、マイクロソフトのビジネスソフトウェアを既に購入した顧客に追加のセキュリティツールを販売してその金を得ている、と批判している。ビジネスソフトウェアが非常に安全でないために必要なだけだ。

「これは水道会社のようなものです。顧客が『この水は汚染されています』と苦情を言うと、『我々には、大部分を除去できるフィルターやその他の機器を販売しています』と答えるのです。」と、サイバーセキュリティ研修組織である権威ある SANS Institute の新興セキュリティトレンド担当ディレクターである John Pescatore 氏は述べています。「そもそもなぜ彼らはきれいな水を売らないのですか？そもそもなぜ彼らのソフトウェアは安全ではないのですか？」

Microsoft幹部らは非公式に、顧客の需要に応えてセキュリティ市場に参入したと述べている。 Microsoft製品をハッカーから守るための他社のセキュリティツールの市場はすでに活発だったという。なぜ同社は、ソフトウェアの専門知識と、ソフトウェアがインストールされている数十億台のコンピュータからの攻撃について得たすべてのデータをその市場に持ち込むべきではないのでしょうか?

しかし批評家らは、マイクロソフトに脆弱性が多数存在するのは偶然ではないと主張する。セキュリティツール市場でマイクロソフトと競合するサイバーセキュリティ会社プルーフポイントの執行副社長、ライアン・カレンバー氏は、これは数十年に渡る設計上の決定の結果だと語る。

カレンバー氏はニューズウィーク誌に対し、マイクロソフトは何よりも下位互換性に重点を置いていると語った。これは、ソフトウェアの更新バージョンが、以前の更新されていないバージョンが動作していたすべてのプログラムで動作しなければならないことを意味する設計原則である。このコンセプトは消費者やビジネスユーザーに非常に人気がありますが、セキュリティの代償が高くなります。

カレンバー氏は、「レイヤーの上にレイヤーを構築しているだけなので、最終的にはますますリスクが増大することになる」と述べ、一世代前にはバグが多く安全性が低かった機能のコードを保持していると述べた。

カレンバー氏は、先月明らかになったOutlookの脆弱性がこの問題を例示していると述べた。ハッカーは、特別に作成した電子メールを送信するだけで、ターゲットユーザーのデジタル署名のコピーを取得し、それを使用して企業ネットワーク上でそのユーザーになりすますことができます。彼らのメールを読んでください。彼らがアクセスしていたデータを盗みます。さらに悪いことに、それはいわゆる「ゼロクリック」攻撃でした。ターゲットはリンクや添付ファイルをクリックする必要はなく、さらには電子メールを開く必要もありませんでした。

Outlook の脆弱性は、NTLM と呼ばれる 30 年前からある ID 検証メカニズムに存在します。これは 25 年前に廃止されましたが、削除すると下位互換性が失われるため、Microsoft コードに埋め込まれたままになっています。

「突然、2002 年に戻ってしまったのです。ベニヤの薄さはクレイジーです。」とカレンバー氏は言いました。

同社の擁護者らは、Microsoftの顧客全員が最新製品にアップグレードする余裕があるわけではないため、下位互換性に依存していると述べている。

同社はニューズウィークへの声明で、「セキュリティは当社のアプリケーションとサービスのデジタルファブリックに組み込まれており、設立当初から組み込まれている」と述べた。

Microsoft が 3 月 14 日に NTLM の脆弱性を明らかにし、パッチを適用したとき、ロシアの軍事情報機関 GRU と思われるハッカーがほぼ 1 年にわたってこの脆弱性を悪用していました。しかし、サイバー業界の報道以外ではほとんど注目を集めませんでした。今では恒例となっているように、Microsoft や他のベンダーがソフトウェアのセキュリティアップデートと改善をリリースする毎月第 2 火曜日のパッチチューズデーに、別の脆弱性が発表されました。

同じ 3 月のアップデートで、Microsoft は 80 の異なるソフトウェア脆弱性に対するパッチを含め、そのうち 9 件が「緊急」、60 件が「重要」と評価されました。

そして、20 年以上前に連邦政府の最初のサイバー取り組みの一部に携わったベテランのサイバーセキュリティ幹部である Roger Cressey 氏によると、Microsoft の顧客、特に政府機関のかなりの部分がまだこれらのパッチを適用していない可能性が高いとのことです。それ以来、連邦領域での協議と活動を続けています。

クレッシー氏によると、マイクロソフトは20年にわたり、自社製品を保護するために必要な継続的なセキュリティアップデートのコストを政府や民間顧客に負担させることができたという。

現在、サイバーセキュリティとリスク管理のコンサルティング会社であるマウンテン・ウェーブ・ベンチャーズのパートナーであるクレッシー氏は、「ソフトウェアは、政府と消費者が、安全ではない欠陥のあるベンダー製品のコストをビジネスのコストとして負担するよう求められる唯一の業界だ」と語った。彼は時々 Microsoft の競合他社についてコンサルティングを行っています。

その結果、多くのソフトウェアパッチは、発行されてから数週間または数か月後に適用されるか、まったく適用されないこともあります。 2021 年 4 月、FBI は、同社がパッチを発行してから 6 週間以上経過して、世界中の 60,000 を超えるマイクロソフト顧客の IT ネットワーク上に存在するマルウェアをリモートで削除することを許可する裁判所命令を取得する必要がありました。

同社は、CISA、他の政府機関、民間部門のパートナーと協力して、ハッカーによって積極的に悪用されている脆弱性にパッチを適用するセキュリティアップデートを適用することの重要性を宣伝していると述べた。

Microsoft の役割についてサイバーセキュリティコミュニティに広く懸念が広がっていることは、3 月に発表されたバイデン政権の国家サイバーセキュリティ戦略に反映されています。第 3 の柱は、ハイレベル文書で示されている 5 つのうちの 1 つであり、サイバーセキュリティの責任をソフトウェア企業、特にマイクロソフトのような支配的な企業に押し戻すことを目的としています。

この戦略の立ち上げに際し、関係者らは、ソフトウェアメーカーは、顧客であるエンドユーザーにセキュリティを任せてセキュリティを確保しようと追加のソフトウェアを購入するのではなく、製品の元の設計にセキュリティを組み込む必要があると述べた。

ホワイトハウスは、国防総省の決定が異なる方向に進んでいるのかどうかについての質問には言及しなかった。

「（戦略の）第 3 の柱の要点は、セキュリティを後から追加ツールで追加するのではなく、最初からソフトウェアに組み込んだ状態に移行することです」とグロット氏は述べた。

IT市場におけるMicrosoftの複数の役割は、営業幹部が言うところの「アップセル」としてセキュリティを利用できること、つまり顧客に追加機能への支出を増やすことができることを意味すると同氏は付け加えた。

グロット氏は、どのベンダーもアップセルを試みているが、Microsoft は連邦政府におけるビジネスソフトウェア分野 (電子メール、カレンダー、ワープロなど) で圧倒的な優位性を持っているため、独特の立場にあると認めた。

「連邦政府に生産性ツールの 85% を供給するベンダーが 1 社いる場合、そのベンダーは非常に強力な立場にあります。特に、そのことが政府機関にベンダーの変更は費用がかかり、変更が難しいと思わせる場合にはなおさらです」とグロット氏は語った。

2021 年の契約紛争の過程で、米国農務省 (USDA) は、同省が Microsoft 製品から移行することが何を意味するのかについて、まれに詳細に説明しました。

政府監査人による決定の中で引用された政府機関の正当性は、「USDA システムの 96% が Windows オペレーティングシステムを実行している」と述べています。そして、USDA は 120,000 人以上のユーザーをサポートする 7,500 の現場事務所に Microsoft ソフトウェアツールを提供しています。

USDA の職員向けの Microsoft Office ライセンスのコストが 1 億 7,000 万ドルだったのに対し、競合他社の Google Workspace のライセンスのコストは 5,800 万ドル程度だったにもかかわらず、農務省は Microsoft に残りたいと考えていました。

USDAは、他の製品への切り替えには少なくとも3年はかかるだろうと述べ、「この規模の事業には...数百万ドル規模の取り組みが必要となり、その間にIT人材と顧客満足度に影響が出る可能性が高い」と付け加えた。全体的にね。」

ITを専門とする政府調達弁護士のマイケル・ガーランド氏はニューズウィーク誌に、農務省の状況が公表されたという点でのみ注目に値すると語った。同氏は、「農務省の抗議活動は、マイクロソフトを含むソフトウェア大手の一部が米国政府のソフトウェア資産全体にどのように定着し、囲い込まれているかという現実を知る貴重な機会となった」と述べた。

CISAのエリック・ゴールドスタインサイバーセキュリティ担当次官補は、バイデン政権は新たな戦略でサイバーセキュリティのシナリオをひっくり返したいと本誌に語り、セキュリティ責任を「上流」の安全性の低い製品を出荷する企業に押し戻すと述べた。

「被害者だけを責め続けても、それが大規模な改善の方法ではないことはわかっています。学区、小さな病院、地元の水道事業体など、多くの被害者は、自分たちだけで脅威から身を守ることは決してできないからです」直面している」と彼は言った。

しかし、規制によってセキュリティ要件を課すための議会の行動がなければ、当局は市場の力に頼ってマイクロソフトや他のテクノロジーベンダーにセキュリティを向上させるよう促すことを計画している。「ほとんどの顧客が、設計およびデフォルトで安全な製品をインストール、実行し、信頼することを望んでいることを私たちは知っています」とゴールドスタイン氏は述べた。しかし、買い手は何を求めればよいのかわからない、と彼は言う。

市場の啓蒙を支援するために、CISA は安全な製品のための一連の設計原則を作成しており、重要な要件はセキュリティのアップセル行為を終わらせることです。

ゴールドスタイン氏は、車のシートベルトを例に挙げ、基本的なセキュリティ対策に追加料金を請求するのは「OKではない」と述べた。

「もし私たちの誰かがレンタカーを借りて車に乗り、追加料金を請求されシートベルトがなかったとしたら、私たちはそれを受け入れられません...私たちはテクノロジーを備えた同じモデルに到達する必要があります。そこには基本的な（セキュリティが）備わっています。 ) テクノロジーが満たすことが期待される閾値です」と彼は言いました。

ゴールドスタイン氏は、連邦政府機関が新たなセキュリティ機能（サイバー攻撃への対応に役立つコンピューター活動のログを保存する機能など）を導入するためのホワイトハウスの期限が迫っており、マイクロソフトのような大手政府ベンダーにとって重要なテストケースになるだろうとゴールドスタイン氏は述べた。

これまで、政府機関はそのような機能に対して最大 40% の追加料金を支払わなければなりませんでしたが、ゴールドスタイン氏は、ベンダーがステップアップして、高価なアドオンを必要としない製品を連邦政府の顧客に提供することで、正しいことを行う時期が来たと述べました。安全であるために。

Microsoft幹部らは、同社には国防総省であろうと誰であろうと、高度なセキュリティ対策に対して追加料金を請求する権利があると述べている。

Microsoftの副社長ブラッド・スミス氏は2021年の議会委員会で、セキュリティをアップセルとして扱うべきかどうかとの質問に対し、「われわれは営利企業だ」と語った。「私たちが行うことはすべて、慈善活動以外の利益を生み出すことを目的としています。」

ショーン・ウォーターマンには、[email protected] までご連絡いただけます。 Twitter @WatermanReports で彼をフォローしてください。