攻撃と防御の歴史 — いたちごっこの変遷

年代ではなく「何が新しく可能になったか」で区切ると、飛躍の意味が見えます。

1. 黎明期（1988ごろ）— 脆弱性という発見 — Morris worm※1 が世界規模で自己増殖し、初めて「つながっているだけで被害が及ぶ」ことを実証した。ここで脆弱性という概念と、インシデント対応を束ねるCERT※2 が整備され始める
2. 感染経路の拡大（1990年代末〜2000年代初頭） — メールに乗る大量拡散型のウイルス（添付を開かせて増える）と、ネットワークの穴を突いて人の操作なしに広がるワームが主役に。増殖のスピードが人の対応速度を追い越した
3. 動機の変質（2000年代半ば以降）— 金銭目的へ — 目立ちたい愉快犯から、フィッシングで口座情報を盗み、感染端末の群れ（ボットネット※3）を金に換える方向へ。攻撃は「腕自慢」から「収益事業」へ動機が変わる
4. 標的の絞り込み（2010年前後）— APT — 不特定多数のばらまきから、特定組織を狙って長期潜伏する標的型攻撃（APT）※4 へ。国家が関与する破壊型攻撃（産業制御システムを狙った事例）も現れ、攻撃は「道具」から「戦略」になる
5. 人質と暴露（2010年代後半）— ランサムの高度化 — データを暗号化して身代金を要求し、さらに盗んだデータの公開をちらつかせる二重脅迫へ。ワーム的に自ら広がるランサムも登場し、被害が組織全体に一気に及ぶ

登場人物メモ（※の説明）:

• ※1 Morris worm — 1988年に広まった初の大規模ワーム。作者の意図を超えて増殖し、社会的な注目と対策の必要性を一気に高めた
• ※2 CERT — Computer Emergency Response Team。インシデント情報を集約・調整し、対応を支援する拠点。脆弱性を「みんなで扱う」体制の始まり
• ※3 ボットネット — 乗っ取った多数の端末を遠隔操作でまとめた群れ。迷惑メール送信やDDoS、貸し出しなどに使われ、攻撃の「基盤」になる
• ※4 APT — Advanced Persistent Threat。特定の相手を狙い、長期にわたり潜伏して目的を果たす持続的な攻撃

防御は、攻撃に追い越された経験のたびに前提を組み替えてきました。

1. 既知を照合する（シグネチャ型） — 端末上で既知マルウェアのパターンと突き合わせて検出する。既知には強いが、未知・亜種を取りこぼす限界がある
2. 境界を固める（ファイアウォール／IDS・IPS） — 外との境目で通信を許可・遮断し、不正な兆候を検知・遮断する。「外は危険、内は安全」という信頼の線引きを前提にした発想
3. 挙動で捉える（振る舞い検知／EDR） — パターン照合の限界を補い、怪しい動きそのものを監視する。侵入されうる前提で、検知したら素早く封じ込め・対応する方向へ。「防ぎ切る」から「早く気づいて対処する」への重心移動
4. 誰も無条件に信じない（ゼロトラスト） — サプライチェーン攻撃のように内側が汚染される時代には、境界の内外という区別が崩れる。だから内側も無条件には信用せず、都度検証する

各段は、前段が攻撃に追い越された瞬間に生まれています。防御は「新しい万能薬」ではなく、破られた前提を捨てて引き直した新しい線なのです。

• 攻撃は必ず前提の外へ回る — 正面を固めれば信頼の内側へ、境界を固めれば人と組織へ。最も弱い前提が次に狙われる、という構造は変わらない
• 新技術は新しい攻撃面 — クラウド・IoT・AI・量子。便利になるほど守る面が増える。防御の道具が同時に攻撃の道具にもなる両刃の性質は繰り返される
• 人と組織の問題は不変 — 設定ミス・使い回し・急かされての判断ミス。技術がどれだけ進んでも、フィッシングや設定不備が入口であり続ける
• 「一度対策すれば終わり」はない — 歴史が示すのは、防御が完成しないことではなく、破られた前提を捨てて引き直す運動そのものがセキュリティだということ。基本（更新・強い認証・最小権限・バックアップ・教育）が古びないのは、それが特定の攻撃ではなく前提の弱さを塞ぐからです

まとめ——攻撃と防御の歴史は、追い越し→前提の作り替え→次の探索という一つの運動として読めます。手口の名前を覚えるのではなく、「どの前提が破られ、防御がどこへ線を引き直したか」で捉えると、これから現れる新しい攻撃も、同じ構造の続きとして読めるようになります。