攻撃と防御の歴史 — いたちごっこの変遷

年代ではなく「何が新しく可能になったか」で区切ると、飛躍の意味が見えます。

1. 黎明期（1988ごろ）— 脆弱性という発見 — Morris worm※1 が世界規模で自己増殖し、初めて「つながっているだけで被害が及ぶ」ことを実証した。ここで脆弱性という概念と、インシデント対応を束ねるCERT※2 が整備され始める
2. 感染経路の拡大（1990年代末〜2000年代初頭） — メールに乗る大量拡散型のウイルス（添付を開かせて増える）と、ネットワークの穴を突いて人の操作なしに広がるワームが主役に。増殖のスピードが人の対応速度を追い越した
3. 動機の変質（2000年代半ば以降）— 金銭目的へ — 目立ちたい愉快犯から、フィッシングで口座情報を盗み、感染端末の群れ（ボットネット※3）を金に換える方向へ。攻撃は「腕自慢」から「収益事業」へ動機が変わる
4. 標的の絞り込み（2010年前後）— APT — 不特定多数のばらまきから、特定組織を狙って長期潜伏する標的型攻撃（APT）※4 へ。国家が関与する破壊型攻撃（産業制御システムを狙った事例）も現れ、攻撃は「道具」から「戦略」になる
5. 人質と暴露（2010年代後半）— ランサムの高度化 — データを暗号化して身代金を要求し、さらに盗んだデータの公開をちらつかせる二重脅迫へ。ワーム的に自ら広がるランサムも登場し、被害が組織全体に一気に及ぶ

登場人物メモ（※の説明）:

• ※1 Morris worm — 1988年に広まった初の大規模ワーム。作者の意図を超えて増殖し、社会的な注目と対策の必要性を一気に高めた
• ※2 CERT — Computer Emergency Response Team。インシデント情報を集約・調整し、対応を支援する拠点。脆弱性を「みんなで扱う」体制の始まり
• ※3 ボットネット — 乗っ取った多数の端末を遠隔操作でまとめた群れ。迷惑メール送信やDDoS、貸し出しなどに使われ、攻撃の「基盤」になる
• ※4 APT — Advanced Persistent Threat。特定の相手を狙い、長期にわたり潜伏して目的を果たす持続的な攻撃

ここが上級の要です。攻撃は個人の技から分業された産業へ変わり、その結果として狙う場所も変わりました。

• 分業と商品化 — 脆弱性を見つける者、感染基盤を貸す者、身代金を回収する者に役割が分かれる。RaaS※1 のように「攻撃をサービスとして買う」市場ができ、高い技術がなくても参加できるようになった
• ゼロデイ市場 — 修正が出る前の未知の穴（ゼロデイ※2）そのものが売買される。防御側が知る前に攻撃側が在庫を持つ、という時間差の非対称が生まれる
• 信頼を裏口にする — 正面が固くなると、攻撃は信頼している経路へ回る。正規のソフト更新や取引先を汚染して内側から入るサプライチェーン攻撃は、「外は危険・内は安全」という境界の前提そのものを迂回する

つまり攻撃の産業化とは、「一人の天才の悪ふざけ」から「役割分担された経済活動」への移行であり、それが狙う面（アタックサーフェス）を信頼の内側へずらしたという話です。

登場人物メモ（※の説明）:

• ※1 RaaS — Ransomware as a Service。ランサム攻撃の道具や基盤をサービスとして提供する仕組み。攻撃の裾野を一気に広げた
• ※2 ゼロデイ — 修正パッチが存在しない未知の脆弱性。防御側が対策を用意できない「その日（day zero）」を突く

防御は、攻撃に追い越された経験のたびに前提を組み替えてきました。

1. 既知を照合する（シグネチャ型） — 端末上で既知マルウェアのパターンと突き合わせて検出する。既知には強いが、未知・亜種を取りこぼす限界がある
2. 境界を固める（ファイアウォール／IDS・IPS） — 外との境目で通信を許可・遮断し、不正な兆候を検知・遮断する。「外は危険、内は安全」という信頼の線引きを前提にした発想
3. 挙動で捉える（振る舞い検知／EDR） — パターン照合の限界を補い、怪しい動きそのものを監視する。侵入されうる前提で、検知したら素早く封じ込め・対応する方向へ。「防ぎ切る」から「早く気づいて対処する」への重心移動
4. 誰も無条件に信じない（ゼロトラスト） — サプライチェーン攻撃のように内側が汚染される時代には、境界の内外という区別が崩れる。だから内側も無条件には信用せず、都度検証する

各段は、前段が攻撃に追い越された瞬間に生まれています。防御は「新しい万能薬」ではなく、破られた前提を捨てて引き直した新しい線なのです。

「破られない暗号」ではなく「まだ破られていない暗号」を使い続ける——暗号もまた、いたちごっこの一部です。

• ハッシュの衝突 — 「異なる入力なら異なる値になる」という一意性が、計算能力の向上と解析で崩れる。MD5は現実的な衝突攻撃※1 が成立して信頼を失い、続いてSHA-1も衝突が実証された。だから改ざん検知や署名はSHA-2・SHA-3へ移った
• プロトコルの世代交代 — 通信路を守る仕組みも古い版に穴が見つかるたびに更新される。SSLは脆弱性が続いて廃止され、TLSへ。TLSも 1.0・1.2 を経て、手順を刈り込んだTLS 1.3が主流になった
• 前提が動く — 暗号の安全性は「現実的な時間では解けない」という計算量の仮定に立つ。計算資源が伸び、将来の新技術（量子計算など）が視野に入ると、その仮定ごと揺らぐ。だから暗号は移行できる設計（アジリティ）が重んじられる

危殆化とは「暗号が突然ゼロになる」ことではなく、安全の前提が徐々に痩せていく現象です。だからこそ「今のうちに次へ移せるか」が問われます。

登場人物メモ（※の説明）:

• ※1 衝突攻撃 — 同じハッシュ値を持つ異なる入力を意図的に作り出す攻撃。成立すると「中身が同じ」という保証が崩れ、署名や証明書の偽造につながる

• 攻撃は必ず前提の外へ回る — 正面を固めれば信頼の内側へ、境界を固めれば人と組織へ。最も弱い前提が次に狙われる、という構造は変わらない
• 新技術は新しい攻撃面 — クラウド・IoT・AI・量子。便利になるほど守る面が増える。防御の道具が同時に攻撃の道具にもなる両刃の性質は繰り返される
• 人と組織の問題は不変 — 設定ミス・使い回し・急かされての判断ミス。技術がどれだけ進んでも、フィッシングや設定不備が入口であり続ける
• 「一度対策すれば終わり」はない — 歴史が示すのは、防御が完成しないことではなく、破られた前提を捨てて引き直す運動そのものがセキュリティだということ。基本（更新・強い認証・最小権限・バックアップ・教育）が古びないのは、それが特定の攻撃ではなく前提の弱さを塞ぐからです

まとめ——攻撃と防御の歴史は、追い越し→前提の作り替え→次の探索という一つの運動として読めます。手口の名前を覚えるのではなく、「どの前提が破られ、防御がどこへ線を引き直したか」で捉えると、これから現れる新しい攻撃も、同じ構造の続きとして読めるようになります。