2026年の防衛サイバーセキュリティ：厳格な境界線、未検査のコンテンツ

過去12か月間に、航空宇宙・防衛関連企業の80%以上が情報漏洩被害に遭った。^[3]この業界では毎週およそ1,250件のサイバーインシデントが発生しており、^[4]2018年以降、攻撃件数は300％増加し、過去1年間で61％の組織がランサムウェアの被害に遭っている。^[5]機密プログラムの混乱、対諜報活動の暴露、あるいはサプライヤーの侵害に伴う契約リスクを考慮する前の段階で、情報漏洩による平均的な損害額は546万ドルに上る。^[6]

GoogleThreat Intelligence 2026年2月、過去2年間にわたり、中国と関連のあるスパイ組織が他のいかなる国家主体よりも防衛・航空宇宙分野を標的にしており^[7]、エッジデバイス、VPNアプライアンス、ファイル転送経路を悪用して長期にわたりアクセス権を維持していると確認した。 ロシア、イラン、北朝鮮も同様の産業基盤を標的としている。ハクティビストによるDDoS攻撃は、このセクターにおけるインシデント発生件数の76%以上を占めている（業界横断的な平均の2倍^[8]）が、件数そのものは重要な指標ではない。戦略的な脅威は、緻密かつ忍耐強いものである。それはノックすることなく、すでに信頼されているコンテンツを通じて侵入してくる。

ネットワーク上に既に存在する正規のシステムツールを活用するLOTL（Living Off the Land）の手法により、攻撃者は検知を回避しながら活動することができます。行動分析が作動する頃には、高度な攻撃者はすでに長期間潜伏しており、環境の把握、重要標的の特定、そして情報の持ち出しに向けた準備を整えていることが少なくありません。検知は不可欠ですが、それだけでは不十分です。重要なのはネットワーク内部ではなく、侵入の起点にあるのです。

ゼロトラストは、防衛および政府ネットワーク全体における標準的なセキュリティモデルとなっていますが、それには十分な理由があります。継続的な認証、最小権限のアクセス、デバイスのコンプライアンス状態の強制、マイクロセグメンテーション――これらの制御策は不可欠であり、あらゆる防衛アーキテクチャに組み込まれるべきものです。問題はゼロトラストそのものにあるのではありません。問題は、本来解決するよう設計されていない問題に対する完全な解決策として、ゼロトラストを扱ってしまう点にあります。 ゼロトラスト・アクセスは、誰がネットワークにアクセスできるかを制御するために構築されたものです。一度ネットワークに侵入した後に、境界を越えて何が持ち込まれるかを検証するために構築されたものではありません。 

この制限は特定のものです。ゼロトラストは、境界を越えるのが誰であるかを確認します。一方、コンテンツ検証は、何が通過を許可されるかを決定します。ゼロトラストポリシーは、認証済みのユーザーが許可されたデバイスから正当な転送を要求していることを正しく検証します。しかし、転送されるファイルに、悪用可能なマクロや連結された悪意のあるペイロード、あるいは信頼された文書形式に埋め込まれたゼロデイ攻撃が含まれているかどうかについては、把握できません。 

このブログの冒頭で紹介した攻撃キャンペーン（BRICKSTORMによる航空宇宙・防衛（A&D）環境での393日間にわたる潜伏、およびVolt Typhoonによる米国の重要インフラへの5年間にわたる足場確保）は、アクセス制御を突破したわけではありません。これらは、アクセス制御が疑う理由のないコンテンツを介して侵入したのです。  

アイデンティティおよびアクセス管理は、不可欠な第一の層です。物理的な入口、分類境界、およびソフトウェアサプライチェーンにおけるコンテンツの検証は、実際に宛先に到達することが許可されるものを決定する層です。これら二つが組み合わさって初めて、システムは完成します。それぞれ単独では、もう一方の層が抱える課題に対処することはできません。 

2025年から2026年にかけてのファイルベースの脅威情勢において、運用面での最も重要な変化は、マルウェアの生成および検知回避の仕組みへのAIの応用である。Googleの脅威インテリジェンスチームは、攻撃フェーズにおいてリアルタイムで変異するマルウェアのファミリーを特定しており^[14]、エクスプロイトの開発コストは数週間かかっていたものが、ほぼゼロにまで低下している^[15]。

OPSWAT、具体的な事例が報告されています。それは、悪意のあるPDFを無害なPDFに構造的に連結する「連結PDF」の手法です。34種類のスキャンエンジンでテストを行ったところ、ファイルを連結すると検出率は34から5へと低下しました。^[16]以前は脅威としてフラグを立てていた3つのエンジンが、検出を行わなくなりました。ユーザーのPDFリーダーは、攻撃者の意図通りにフィッシングコンテンツを表示してしまいました。 セキュリティインフラは、ユーザーが実際に開いた文書とは異なる文書を評価していたのです。

検出すべきマルウェアのシグネチャも、検知すべきエクスプロイトも存在しない。あるのは、正当なファイル形式の構造的な配置だけであり、それによってスキャナーやリーダーが異なるコンテンツを認識してしまうのだ。機密分類の境界において、この手法を用いた単一のファイルは、アラートを発生させることなく「非機密」から「秘密」へと分類をすり抜けることができる。この隙は、決して理論上の話ではない。

CDR（Content Disarm and Reconstruction）は、メカニズムのレベルでこの問題に対処します。CDRは悪意のあるコンテンツを特定しようとするのではなく、すべてのファイルを構成要素に分解し、ファイル構造に関係なくすべてのアクティブなコンテンツや実行可能なコンテンツを削除した上で、機能的に完全なクリーンなバージョンを再構築します。

既知のシグネチャを持たないAI生成の亜種、構造的に連結された悪意のある文書、マクロが埋め込まれたOfficeファイル、攻撃用アーカイブ――これらすべては、ファイルが到達先に届く前にCDRが実行メカニズムを削除するため、同じプロセスによって無力化されます。

CDRはファイル単位の制御です。ネットワーク内部でのLOTL活動や、環境内にすでに潜伏している攻撃者の存在については対処しません。

ドメイン横断型ソリューションへの要件は変化しています。データ交換を必要とする関心コミュニティはより多様化しています。データの種類も、標準的な生産性ソフトウェアのファイルから、システムワークロード、インテリジェンスフィード、クラウドネイティブ形式へと拡大しています。長期的に活用できるCDSを設計するには、静的なアプライアンスではなく、モジュール式でオーケストレーションされたアプローチが必要です。

MetaDefender Managed File Transfer 、機密ネットワークと非機密ネットワーク間の安全なファイル取り込みおよび転送Managed File Transfer 、転送ポリシーを適用するとともに、ワークフロー全体にわたるルーティングロジックと監査証跡をManaged File Transfer 。ファイルは各境界でコンテンツ検査を行うため、MetaDefender Core を通過します。これらを組み合わせることで、ポリシーによって管理される統合的なクロスドメインアーキテクチャが形成されます。すなわち、MetaDefender Managed File Transfer データフローをManaged File Transfer 、MetaDefender Core 通過するデータをCore 。

CMMC 2.0は、2025年11月10日より国防総省（DoD）の契約において適用が義務付けられました。これにより、防衛関連企業のサイバーセキュリティは、自己申告ではなく、初めて第三者による検証が行われることになります。2026会計年度国防権限法（NDAA）第866条では、国防総省に対し、2026年6月1日までに防衛産業基盤（DIB）のサイバーセキュリティ要件を標準化することが求められており、契約ごとの規則は削減される一方、より厳格かつ一貫性のある運用が図られることになります。

これらの進展はいずれも重要ですが、いずれも前述の課題を解決するものではありません。CMMCレベル2の110のコントロールは、これらの攻撃対象領域に対処する具体的な対策を義務付けるのではなく、幅広い産業基盤全体における基準を引き上げることを目的として設計されています。これらのコントロールでは、施設の入口における物理メディアの検査、ドメイン境界を越える際のファイル内容の検証、依存関係レベルでのソフトウェアコンポーネントの可視化、あるいはハードウェアによるネットワーク分離と連動したインラインでのコンテンツ検査は求められていません。

請負業者は、これらの不備がすべて未解決のままでも、C3PAOの検証を含むレベル2の評価に合格することが可能です。 2025年時点で、CMMC準拠の技術を採用していた防衛関連企業はわずか21%に留まっていた^[17]。2025年12月時点で、8万社を超える請負業者からなる産業基盤に対し、認可されたC3PAOはわずか92件であった^[18]。コンプライアンス体制は追いついていない。

認定の観点から、もう一つ重要な違いがあります。CMMCは請負業者のセキュリティ対策そのものを規定するものであり、それらの対策を実施するために使用されるツールを認定するものではありません。コモン・クライテリア（Common Criteria）認証（国家安全保障システム上の情報保証（IA）製品に対してNSTISSP #11で義務付けられている）は、認定を受けた独立した試験機関による評価を通じて、特定の製品のセキュリティ特性を検証するものです。 CMMCのコントロール要件を満たすために使用されるCC認証製品は、C3PAOの評価者に対して、試験所による検証済みの証拠を提供します。

CMMCとコモン・クライテリアは、互いに補完し合う枠組みです。一方は組織の活動内容を規定し、もう一方はツールが公称通りの機能を果たしていることを検証します。どちらがどちらなのかを理解しておくことは重要です。

MetaDefender 、CMMCレベル2の110のコントロール項目のうち約20MetaDefender 。これは、ほとんどのセキュリティスタックが対応を想定していない領域です。アクセス制御、監査ログ、インシデント対応、および要員セキュリティは対象外となります。その価値は「精度」にあります。既存のスタックではカバーできない境界領域における厳格な制御を、独立した試験機関の基準に基づいて検証済みです。

今後3年間で最も有利な立場に立つ組織は、セキュリティ予算が最も多い組織でも、CMMCの要件を最も多く満たしている組織でもありません。それは、実際の攻撃対象領域――物理的な侵入経路、機密区分境界、OTとITのインターフェース、ソフトウェアのサプライチェーン――を明確に把握し、それぞれの箇所に検証済みの対策を導入している組織です。

ネットワーク内部での検知は、すでに侵入に成功している高度な攻撃者に対しては常に後手に回ってしまいます。ファイルが実行される前、デバイスが接続される前、そしてペイロードが分類ラインを越える前に、境界線上で予防措置を講じることこそが、最大の効果を発揮するポイントです。OPSWAT まさにその領域でOPSWAT 。

お客様の具体的な環境やアーキテクチャについて話し合うためのブリーフィングをご依頼ください。

CDSアーキテクチャの設計はまだお済みではありませんか？CDSの専門家が作成した『政府・防衛向けクロスドメインソリューション購入ガイド』をダウンロードしてください。本ガイドは、最新のクロスドメイン要件を評価するプログラムマネージャー、セキュリティアーキテクト、調達チーム向けに作成されています。