ローマでジェフ・ゴールドブラムに出会ったことがきっかけで、私は何千ものマルウェアサンプルを宇宙へ送り出すことになった

My 家族でローマへMy 、とても素晴らしい旅でした。1週間、仕事から離れて街を散策し、史跡を巡り、食事を楽しみ、ただ家族と過ごす時間は、まさに私にとって必要なものでした。

ある日、涼しい小さな路地を歩いていると、パスタとティラミスの作り方を教える教室に偶然出くわしました。楽しそうだったので、「ローマに行ったらローマ人のように振る舞え」という格言通り、数時間の間、マルウェアやサイバーセキュリティ、重要インフラといったことを忘れて、小麦粉、卵、水、時間配分、圧力、そして忍耐に没頭しました。

授業に慣れていくにつれて、パスタ作りさえも一つの「システム」であることに気づきました。外から見れば単純そうに見えますが、仕上がりを重視するなら、些細な細部が重要になります。水を入れすぎると生地の質が変わり、力を入れすぎると食感が変わってしまいます。作業を急いでしまうと、思うような仕上がりにはなりません。

これは、食の分野でも、ビジネスの分野でも、サイバーセキュリティの分野でも当てはまります。

授業の終わりに、まったく予期せぬ出来事が起こりました。ジェフ・ゴールドブラムに会ったのです。

彼は温かく、ユーモアがあり、気品があり、そしてとても人間味あふれる人だった。彼に会うほとんどの人がそうであるように、私も彼の象徴的な映画での役柄や、ジャズピアノ、そして有名でありながら親しみやすいという彼の独特な魅力について考えていた。それは、私のサイバーセキュリティ脳が頭をもたげる前のことだった。

1996年の映画『インデペンデンス・デイ』の、主人公のデヴィッド・レビンソンがエイリアンの母船にマルウェアを仕込むあのシーンが、頭から離れなかった。

ここではタイミングが重要です。宇宙産業は、ロケットやNASA、そしてSpaceXの上場といった段階を乗り越え、新たな好況サイクルに入ろうとしているように感じられます。

より広い視点で見れば、これは世界的な動きです。Amazon Kuiperが衛星ブロードバンド市場に参入しています。欧州では、政府通信、危機対応、重要インフラ、暗号化サービス向けの安全かつ主権的な通信コンステレーションとして、IRIS²の構築が進められています。中国は「Thousand Sails」や「Guowang」といった大規模なコンステレーション計画で積極的に動き出しています。インドは宇宙および防衛衛星分野での野心を拡大しています。日本は宇宙セキュリティへの投資を拡大している。Viasat、OneWeb、Planet、Maxar、Intelsat、Iridium、Eutelsat、SKY Perfect JSATなどの事業者は、軌道上で通信、画像撮影、航法、防衛、データサービスなどの構築を進めている。

また、この議論は、通信インフラとしての衛星という枠を超えて広がりつつある。イーロン・マスク氏は、地球では電力に制約がある一方で、宇宙では常に太陽光が得られることを理由に、AIデータセンターを軌道上に設置することについて言及している。 昨年、Starcoud社はNvidia H100チップを搭載した宇宙機を打ち上げ、宇宙空間からGoogleのAIモデル「Gemini」の一種を実行することに成功した。さらに、GoogleはTPUと光リンクを備えた衛星クラスターを研究する「Project Suncatcher」を公表するとともに、2027年に試作衛星を打ち上げる計画も明らかにした。

それは、まったく異なる種類の宇宙経済です。

宇宙分野は、輸送から通信へ、通信からデータへ、データから計算へ、そして計算からAIへと移行しつつあります。宇宙は、国家、民間事業者、防衛機関、そして多国籍のサプライチェーンが関与する、グローバルなデジタルインフラ層となりつつあります。

…そして、あらゆるデジタルインフラのレイヤーは、いずれサイバー攻撃の標的となってしまいます。

また、こうしたインシデントの多くは、従来のファイアウォールや検知型セキュリティに主に依存することの限界を浮き彫りにした。

2018年のNASA JPLへの侵入事件では、攻撃者は外部アカウントを乗っ取り、セグメント化が不十分なネットワーク内を横方向に移動しました。一度信頼関係が確立されてしまうと、境界防御だけでは不十分でした。2022年のViasat KA-SATへの攻撃では、攻撃者は侵害されたVPN／ファイアウォールの経路を通じて信頼された管理ネットワークに到達し、正当な管理コマンドを発行しました。

繰り返しになりますが、問題は単に悪意のあるトラフィックを検知できなかったことではなく、一方向ゲートウェイを採用していなかったことにありました。一方向ゲートウェイを採用していれば、ポリシーではなく設計上、データの流れを一方向のみに制限できたはずであり、そもそも攻撃者が重要なシステムに到達することを防げたはずです。

報告されたインシデントのリスクと根本原因を特定したら、それに対してどのような対応を取るべきでしょうか？

宇宙分野におけるサイバーセキュリティは、従来のサイバーセキュリティと根本的な原因の多くを共有していますが、そこに「時間」と「環境」という、すべてを一変させる2つの要素が加わります。

地球上では、何か問題が発生した場合、通信を確立したり、点検したり、修正したり、復旧させたり、あるいは現場に人を派遣したりできると想定しています。しかし宇宙では、こうした想定の多くが通用しなくなります。通信は遅く、コストも高く、制限も多く、地球から離れるほど困難になります。

月は十分に近いため、信号の片道所要時間は1秒強ですが、それでも往復で2秒以上の遅延が生じます。火星の場合は、地球と火星の軌道上の位置によって、片道で約4分から24分程度かかります。深宇宙探査ミッションでは、この問題はさらに深刻になります。「ボイジャー」は極めて遠くにあるため、通信の片道にほぼ丸1日かかることもあります。

これにより、サイバーセキュリティのモデルが変わることになります。

現代のセキュリティツールは、レピュテーションの照会、ハッシュチェック、シグネチャの更新、AIモデルの更新（AI搭載システムが軌道上に展開されるにつれて依存度が高まっている）、サンドボックスへの送信、テレメトリデータのアップロード、一元化された判定など、クラウドとの絶え間ない連携にますます依存するようになっています。地球上では、接続が高速かつ信頼性が高いため、この仕組みは機能します。しかし、宇宙空間では、同じモデルが機能すると想定することは危険です。

月面では、技術的にはこうしたことのいくつかが依然として可能ですが、それを当てにしてはいけません。クラウドへの照会を行うたびに遅延が生じます。サンドボックスへの送信データはすべて地球へ送られ、再び月へ戻ってくる必要があります。リモートデスクトップセッションは毎回遅くなります。大規模なフォレンジックデータのアップロードは、ミッションの帯域幅を奪い合います。地球との通信回線が混雑したり、通信品質が低下したり、通信が遮断されたり、利用できなくなったりした場合、クラウドベースのセキュリティは信頼できなくなります。

月面ですらこれが難しいのであれば、火星ではさらに格段に難しくなり、深宇宙ではリアルタイムでの実施は不可能となる。

パッチ適用についても同様です。長年にわたって宇宙ミッションを運用する場合、ノートパソコンやサーバー、クラウドワークロードのように、インフラにパッチを適用できるとは想定できません。宇宙船は、旧式のハードウェア、限られたメモリ、耐放射線性プロセッサ、制約のある帯域幅、限られた電力、そして極めて短い通信ウィンドウの中で運用されている可能性があるからです。

更新内容が間違っていたり、コマンドの形式が不正であったり、あるいはシミュレーション時とは異なる動作をソフトウェアが飛行中に示したりした場合、回復が困難になるか、さらに悪い場合には、回復が不可能になる可能性があります。

ボイジャーはまさにその好例です。NASAは1977年にボイジャー1号とボイジャー2号を打ち上げましたが、それから50年近く経った今でも、チームはそれらの維持管理を続けています。あれほど古く、しかもはるか遠くにある宇宙機のソフトウェアを更新したり修正したりするには、並外れた技術力が求められます。しかし、それは同時に、宇宙機のパッチ適用が時間がかかり、リスクが高く、地球上のシステムへのパッチ適用とは全く異なるものであるという事実も証明しています。

ガリレオもまた、有用な事例の一つです。打ち上げ後、ガリレオの高利得アンテナが完全に展開できず、その結果、探査機は当初計画されていた高速通信リンクを利用できなくなりました。それでもNASAとJPLは、データ圧縮、ソフトウェアの変更、そして綿密なミッション計画を通じて、重要な科学的知見を導き出すことに成功しました。このことは、宇宙空間においては通信の制約がミッションの成否を左右するという重要な点を裏付けるものとなりました。

サイバーセキュリティに関する問いは単純です。迅速なコミュニケーション、常時可視性、クラウドベースの対応、あるいは現場への要員派遣に頼ることができない場合、どうすればよいのでしょうか？ ここでは3つの戦略を提案します。

検知は、特に地上システム、端末、およびミッション周辺の企業環境においては依然として有用ですが、それは攻撃を視認でき、その後迅速に分析、対応、復旧ができることを前提としています。宇宙空間では、可視性が制限されたり、通信に遅延が生じたり、演算能力に制約があったり、復旧が遅くなったり不可能になったりするため、この前提は成り立ちにくくなります。問題を検知した時点で、ミッションはすでに危機的状況に陥っている可能性があるのです。

だからこそ、その戦略は 「予防」を優先するものでなければなりません。

すべてのファイル、ソフトウェアの更新プログラム、AIモデル、ペイロードパッケージ、コマンドパッケージ、およびリムーバブルメディアデバイスは、検査、検証、クリーンアップ、承認が行われるまでは、信頼できないものとして扱う必要があります。ミッション環境に何かが到達する前に、マルチスキャン、サンドボックス化、コンテンツの無害化と再構築（CDR）、スキーマ検証、署名付き更新プログラム、許可リスト、コマンド検証、および監査証跡を活用してください。

ミッションコントロールを通常の企業ITと同様に扱ったり、エンジニアリングシステムが運用システムに自由にアクセスできるようにしたりしてはなりません。サプライヤーのアクセス権限は、範囲を限定し、一時的なものとし、ログを記録し、隔離された状態にするよう徹底するとともに、地上局、コマンドパス、ソフトウェア更新システム、テスト環境、コラボレーションツールを厳格に分離してください。

侵害されたノートパソコン、盗まれた認証情報、感染したファイル、不具合のあるアップデート、あるいはサプライヤーによる情報漏洩など、いかなるものも、任務遂行の現場に持ち込まれるべきではありません。

ファイアウォールは重要ですが、最も機密性の高いミッションパスにおいては、ファイアウォールだけに頼ることはできません。ファイアウォールはソフトウェアによって制御されているため、設定ミスが生じたり、迂回されたり、侵害されたりする可能性があります。データダイオードや一方向ゲートウェイの方が優れたモデルです。なぜなら、これらは単なるポリシーだけでなく、設計上、データの片方向移動を強制するからです。

MetaDefender Kiosk 打ち上げは、単なるマーケティングのパフォーマンスではなく、私たちの最初の宇宙ミッションでした。私にとって、Kiosk ミッションは、宇宙におけるサイバーセキュリティの基盤であると私が考える要素、すなわち「独立した演算処理」、「信頼よりも予防を優先する姿勢」、「決定論的なファイルセキュリティ」、そして「過酷な環境下でも動作し続けるハードウェア」を体現しているのです。

まず、これは独立したシステムです。極高高度まで打ち上げましたが、ミッション中はクラウドに接続されていませんでした。ローカルでの演算を行い、エアギャップ方式で動作していました。今後のミッションでは、単方向データゲートウェイまたはデータダイオードを搭載する予定です。

第二に、Kiosk はDeep CDR™テクノロジー Kiosk 、管理された隔離されたテスト環境下で、ミッション中にUSB から取得した数千のマルウェアサンプルを処理しました。 Deep CDR™テクノロジーは決定論的であり、ファイルが悪意のあるものかどうかを推測する必要がありません。この技術は、ファイルが悪意のあるものである可能性を前提とし、リスクのあるアクティブコンテンツを削除した上で、クリーンなバージョンを再生成します。プロセスを適切にロックダウンしておけば、Kiosk ファイルを信頼する前にKiosk 、多くの未知のファイルベースの脅威を防ぐために頻繁なシグネチャの更新を必要としません。

最後に、過酷な環境下でハードウェアのテストを行いました。「Kiosk 」は、極端な温度、低気圧、激しい振動、気球の破裂、降下時の高G力、回転、落下、さらには川への着水といった状況にさらされました。それにもかかわらず、しばらくの間は動作し続けました。宇宙サイバーセキュリティはソフトウェアとハードウェアの両面にわたる問題であるため、この点は重要です。