「セキュアバイデザイン」の実践: Sophos Firewall における 1 年間の進捗

1 年前、ソフォスは 2025 年のセキュアバイデザインの進捗状況を公開し、CISA の「セキュアバイデザイン」イニシアティブにおける 7 つの柱に対するソフォスの取り組みを振り返りました。それ以来、ソフォスの全製品および脅威環境全体において、年一回の記事では全容をカバーしきれないほどの出来事がありました。そこで、製品ごとに最新情報をお伝えすることとなりました。まずは、最も重要度の高い製品であるファイアウォールから始めましょう。

ネットワークエッジデバイスは、以前と変わらずエンタープライズセキュリティにおいて最も魅力的な標的となっています。信頼境界に位置し、業界全体で慢性的に監視体制が不十分である上、ソフォスが Pacific Rim の調査で報告したように、今後リソースが豊富な攻撃者は、開発を行うベンダーに攻撃を仕掛けるなど、何年もかけて分析を行うでしょう。過去 1 年間で、この評価の緩和につながるような事象は何も起きていません。それどころか、AI を悪用した攻撃ツールの登場により、脆弱性の特定から悪用までの時間が短縮されており、この変化については「止まらない脆弱性の『洪水』をどう防ぐか？」で考察しました。

本記事では、過去 1 年間に Sophos Firewall 向けにリリースした機能、FortiBleed キャンペーンから得られた教訓、NCSC のネットワークデバイスメーカー向けフォレンジックガイダンスとどのように関連しているか、そしてソフォスの今後の取り組みについて説明します。

FortiBleed: デフォルト設定の検証

2026 年 6月、Fortinet デバイスの認証情報が大量に流出しました。「FortiBleed」と呼ばれるこの事案は、エッジデバイスに対する広範な攻撃キャンペーンの一環で、CISA によるセキュリティ強化アラートの発出につながりました。ソフォスでも関連する活動が確認されています。具体的には、インターネットに接続された Sophos Firewall デバイス上のユーザーレベルアカウントに対する、認証情報のブルートフォース攻撃やスタッフィング攻撃です。

ソフォスのお客様にとって、これはパスワード推測であり脆弱性の悪用ではありませんでした。脆弱性の関与や広範囲にわたる侵害の兆候も見つかりませんでした。何年にもわたるデフォルトのハードニング策が功を奏しました。例えば、デフォルトの認証情報の排除、WAN 側からの Web 管理ポータルとユーザーポータルの隔離、ユーザーポータルでの CAPTCHA 導入、全ポータルでの MFA の強制、および CIS ベンチマークに対するリスクのある設定を警告する v22 ヘルスチェック機能です。

それでも、インシデント後の検証から 2 つの教訓が得られました。

第一に、MFA の登録自体が trust-on-first-use (TOFU: 初回利用時の信頼) の問題を抱えていました。存在はしていても一度もログインしたことがないアカウント (特に、AD グループ同期によって休眠中アカウントや非人間アカウントが取り込まれる場合に多く見られる) には MFA が登録されておらず、最初に認証に成功した者が MFA を登録できる状態でした。ユーザーポータルでそのアカウントのパスワードをブルートフォース攻撃で突破すると、その攻撃者が最初のユーザーとなり、自身の MFA を設定できてしまいます。ソフォスはこの問題を解消するため、オンボーディングの仕組みを再設計しました。登録用 QR コードはポータル上に表示されるのではなく、メールで送信されるようになりました。これにより、初回利用時にはパスワードの推測だけでなく、ユーザーのメールボックスに対する管理権限の証明が必要となります。コードは未使用の場合 24 時間で失効し、新規導入時にはメールベースのオンボーディングがデフォルトとなります。これと並行して、ブルートフォース攻撃に対する動的ロックアウト機能や、SSH 上での MFA の適用も現在開発を進めています。

第二に、大規模な環境において「侵害の事実がない」ことを確認するのに想定以上の時間を要しました。お客様が侵害されていないことを立証するための可観測性は確保されていましたが、数十万台のデバイスにわたってその証拠を収集する作業は時間がかかり、手作業が必要でした。この教訓は、以下で説明するテレメトリおよびフォレンジックへの投資に直接反映されています。これには SophosLabs にストリーミング送信されるログイン失敗のテレメトリも含まれており、これによりソフォスのインストールベースは、エッジデバイスへの攻撃キャンペーンを検知する業界最高水準のセンサーへと進化します。次に FortiBleed のような攻撃キャンペーンが発生した際には、標的、攻撃元、規模などの特定を、数日ではなく数時間で完了させることを目指しています。

今年リリースした機能

v22 の主要なアーキテクチャ変更については、早期アクセス開始時に紹介しました。具体的には、再設計されコンテナ化されたコントロールプレーンや、KASLR、スタックカナリア、および強化された usercopy を備えた 6.6+ カーネル、フリートの完全性リモート監視を実現する統合型 XDR Linux Sensor、そしてヘルスチェック機能です。v22 は現在、最も広く導入されているファームウェアバージョンであり、今年の取り組みはこの基盤の上に構築されています。

SFOS 上の SLS。v22 MR1 より、Sophos Linux Sensor (SLS) は最小モデルの XGS 88 に至るまで、XGS アプライアンスの全ラインナップで稼働するようになりました。SLS はインタラクティブシェルやリバースシェルへのアクセスといった脆弱性悪用後の動作を検知し、関連する C2 (コマンドアンドコントロール) 活動も検知します。重要な点として、検知ルールはファームウェアのリリースとは切り離され、OTA (Over-The-Air) で更新可能になりました。また、ソフォスのネットワークセキュリティエンジニアリング、SophosLabs、および社内の検知・対応チームが共同で検知コンテンツの CI/CD パイプラインを構築しています。ソフォスが知る限り、アプライアンス本体上でこの種の継続的にデリバリされる全フリート対象の動作検知機能を実装しているファイアウォールベンダーは他に存在しません。予防が理想的ですが、検知は必須です。

追跡可能なテレメトリ。仮想環境およびソフトウェア環境での導入には、使用前の登録が必須となりました。匿名での未登録インスタンスを許可していた以前の登録延期モードは削除されました。これにより、攻撃者 (および動機が明確でない脆弱性研究者) が匿名でソフォスのソフトウェアを調査するために利用していた経路が遮断され、すべての導入環境がソフォスのテレメトリにおいて特定可能になりました。

基盤の強化。同様に重要な点として、SFOS のビルドツールチェーンを刷新しました (最新の GCC および glibc と、それに伴うエクスプロイト緩和策の導入)。また、特権実行パスの削減を継続し (複数のコンポーネントでの sudo の使用廃止など)、ファイアウォールのリポジトリ全体における CodeQL や Semgrep を活用した静的解析を拡張し、その結果をゲート付き CI/CD パイプラインにフィードバックしています。

ホットフィックスの可視化。Sophos Firewall は、長年にわたりゼロタッチの OTA ホットフィックスを提供するという点で独自の地位を築いており、お客様のファイアウォールの 99% 以上が自動的にこれらを受け取っています。課題だったのは検証可能性でした。お客様 (および監査人) は修正が適用されたことを信用するしかありませんでした。現在では、ホットフィックスの適用状態がファイアウォールの UI、ログビューア、メール通知、および Central Firewall Reporting で直接確認できるようになりました。ソフォスのアドバイザリに「適用済み」と表示されている場合、お客様ご自身でその証拠を確認できるようになりました。

ファームウェアの定期更新。ソフォスは 2024 年の公約において、ファームウェアアップデートのスケジュール設定の自動化を約束しました。これは 2026 年 8 月に Sophos Central から提供されます。メンテナンスリリースの定期スケジュールを設定でき、ファイアウォールごとのオーバーライド機能も備えているため、管理者は管理権限を完全に維持できます。フリートの健全性管理が、この仕組みを支えています。インストールベースはこれまでのどのサイクルよりも迅速に最新ファームウェアに統合されており、v22 はリリースから約 6 か月で最も広く導入されたバージョンとなりました。一貫性があり予測可能な自動パッチ適用は、ソフォスが提供できる最も効果の高いセキュリティ機能の一つであり、その導入スピードの速さからも、お客様の高い支持が伺えます。

自社ファイアウォールへの AI の投入

フロンティア AI モデルによって、外部からの脆弱性調査のあり方が変化していることについては、すでに記事で取り上げました。しかし、内部からのアプローチの方がより重要です。外部の研究者はバイナリやブラックボックス的動作を分析対象としていますが、ソフォスはソースコード、ビルドシステム、そしてラックに収められた実際のアプライアンスを保有しています。これは防御側にとって、非常に大きなアドバンテージとなります。

ソフォスは今年、社内でエージェント型脆弱性追跡プラットフォームを構築し、まず SFOS に対して導入しました。これは単なるチャットボットラッパーではありません。隔離された再現性のあるラボ環境で、実際のファイアウォールアプライアンス (HA ペアを含む) を稼働させ、ソースコードから作業を行い、証拠に裏付けられ、優先順位付けされた調査結果を生成します。また、エージェントのすべてのアクションは記録され、追跡可能です。プロダクトエンジニアはレッドチームと連携してこれを運用し、OpenAI の GPT-5.6 Sol や Anthropic の Claude Mythos Preview などのフロンティアモデルを用いて脆弱性ハンティングを行っています。

当初の結果は予想を上回るもので、従来のペネトレーションテストの数分の 1 のコストで実現できました。いくつかの調査結果は新たな脆弱性を明らかにするのではなく、これまでのセキュリティ強化の取り組みの正しさを裏付けるものでした (これまでで最も深刻な発見については、ソフォスのエンジニアがプロアクティブに行ったアーキテクチャ上の改善により、現行リリースですでに解消されていました。CVE に関するソフォスの公約に沿い、これについては CVE を公開する予定です)。手法、結果、そして製品のテスト方法への影響など、記事 1 本分の詳細な内容であるため、別途公開する予定です。

NCSC フォレンジックガイダンスとの整合性

2024 年、NCSC と各国のパートナーは、ネットワークデバイスおよびアプライアンスのメーカー向けに、デジタルフォレンジックと防御的監視に関するガイダンスを公開しました。ソフォスの見解では、これはエッジデバイスにとって「侵入の証拠」 (CISA セキュアバイデザインの柱の 1 つでもある) が何を意味するかを示した、これまでで最も具体的な規定です。ソフォスは SFOS をこのガイダンスの各セクションに照らして評価し、詳細な対応表を NCSC と共有するとともに、進捗状況を随時報告しています。現状の状況は以下の通りです。

現時点で要件を満たしている項目。セキュアなログ機能とリモートログ機能: v22 では、保護された追記専用方式のログ処理、中央リポジトリへのセキュアなログ転送、およびログ内のデバイス識別子の付与が実装されました。認証、プロセス、ファイルシステム、およびネットワークイベントのログの範囲は、SLS および関連する v22 の取り組みを通じて大幅に拡張されました。

一部満たしている項目。一部のイベントカテゴリについては、ガイダンスで規定されている完全性をもって取得できておらず、揮発性データの収集は、リアルタイムのテレメトリストリームとファイル整合性監視を通じて現在一部対応しています。ソフォスの IDR チームは、アプライアンスからの揮発性メモリの分析に成功していますが、取得メカニズムの製品化が依然として必要とされています。

まだ満たしていない項目。非揮発性データの収集 (デバイスから永続ストレージのイメージをリモートかつ大規模に取得すること) は、ソフォスにとっても、そして業界全体にとっても、残された最大の課題です。

CISA セキュアバイデザインに対するソフォスの公約に注目してくださっている皆様へ: 今年のファイアウォールに関する取り組みは、いくつかの「柱」に直接対応しています。スケジュール設定によるファームウェアアップデートにより、セキュリティパッチに関するソフォスの公約が完結します。MFA オンボーディングの強化により、MFA の柱がデバイス自体にまで拡張されます。SLS、ホットフィックスの可視化、およびテレメトリに関する取り組みはすべて、「侵入の証拠」の柱に貢献します。また、v22 におけるコントロールプレーンのコンテナ化は、脆弱性のカテゴリ全体を排除するという公約を継続するものです。

ここで、ソフォスのコミットメントについて説明します。

• コミットメント 1 — フリートのフォレンジックキャプチャ。Sophos Firewall 向けのフォレンジックキャプチャ機能を提供することを約束します。これにより、導入済みデバイスから揮発性および非揮発性のアーティファクトを収集できるようになり、NCSC フォレンジックガイダンスに対する残りの課題が解消されます。現在、関係者と共同で設計を進めており、進捗状況については次回のファイアに関する「セキュアバイデザイン」アップデートで報告いたします。

• コミットメント 2 — 攻撃テレメトリ。ファイアウォールフリートからの攻撃関連テレメトリ (SophosLabs にストリーミング送信される認証失敗のテレメトリを含む) を拡張すること、また、テレメトリサービス自体の完全性を改ざんから保護する機能を強化することを約束します。これにより、フリート規模でのキャンペーン検知が、侵害されたデバイスから送られてくるデータの信頼性に依存しなくなります。

これほど詳細な情報をソフォスが公開しているのは、購入者の皆様が、ソフォスだけでなくすべてのベンダーに対して、こうした情報を求めるべきだと考えているからです。NCSC の Ollie Whitehouse 氏が指摘しているように、製品のセキュリティは最終的には市場のインセンティブの問題です。つまり、透明性が罰せられるのではなく報われるようになって初めて、セキュリティは改善されます。本記事が、皆様が他のインフラストラクチャベンダーに対してより厳しい質問を投げかける一助となれば、その役割は果たせたことになります。

セキュリティ研究者の皆様へ: ソフォスのバグ報奨金プログラムでは、ファイアウォールプラットフォームに関する発見に対し、最大 5 万ドルを支給しています。皆様がソフォスのエンジニアに厳しい課題を突きつけるほど、来年のこのアップデートはより良いものになるはずです。