セキュリティをアイデンティティとするか、堅牢性とするか——なぜモグラ叩きは負けているのか

最近のブログ記事で、セキュリティエンジニアのDavid Adrianは、製品セキュリティにおける2つの考え方の間に明確な線を引いている:セキュリティをアイデンティティとする考え方とセキュリティを堅牢性とする考え方だ。前者はハッカーの精神——ポップカルチャーに美化され、予期せぬ脆弱性を見つけるスリルに駆られる——である。後者は、攻撃下でもその特性を維持するシステムを構築することであり、セキュリティは単なる優れたエンジニアリングに過ぎない。

Adrianは、アイデンティティとしての考え方は、発見には価値があるものの、罠になり得ると主張する。自分の価値を、驚くべきバグを見つける賢い探偵であることに結びつけると、その物語に合わない解決策を拒否し始める。彼はこれを、環境運動が安価な太陽光や高収量農業といった技術的解決策を初期に拒否したことに例える——それらの解決策は「環境に優しく」見えなかったが、結局は好まれた政策よりも排出削減に貢献した。

セキュリティにおいて、これは脆弱性報奨金プログラム(VRP)を最終目標として過度に重視する形で現れる。確かにVRPは有用だ——外部からの報告の窓口と、安定したデータの流れを提供する。しかしAdrianは、VRPの真の価値はすべてのバグを列挙することではなく、時間の経過とともにバグの発生率を減らすより広い戦略に情報を提供することだと主張する。同じ種類の問題が繰り返し現れるなら、進歩しているのではなく、パッチを当てるのが速くなっているだけだ。

彼はこれをSREモデルと対比する:サービスがSLOに違反した場合、SREチームは機能開発を停止し、システム上の問題を修正する権限を与えられている。それはモグラ叩きではない。根本原因に対処することだ。セキュリティチームも、繰り返し発生する脆弱性クラスを見たときに介入する同様の権限を持つべきだ。

Adrianの結論:「モグラ叩きをしている限り負けている。」セキュリティ指標が単に「解決済みインシデントが右肩上がり」というだけなら、何も守っていない——忙しくしているだけだ。本当の仕事は、そもそもそうしたバグを稀なものにすることだ。