アメリカのサイバーセキュリティ対応でサプライチェーンを強化せよと当時のバイデンが出した大統領令により、アメリカでは急速にサプライチェーン強化が進みましたが、そのきっかけとなったSolarWinds社のOrionへの攻撃手口がすさまじかった。
Orionというのはファームやミドルウェアの修正モジュールを作成し、配布するためのプラットフォームだが、この修正モジュールの中にバックドアを潜ませ、配布後に外部から侵入し、機微な情報を盗み出すもの。
どうやるのかというと、ビルド環境に侵入後に特権を奪取すると修正版を作成するのに使用されるWindows Visual Studioの挙動を監視し、作業ディレクトリや作成に必要なライブラリやモジュールを探し、そのソースの一部を改ざんする。ソースコードファイルを置き換え中にビルドエラーが引き起こされると、Orionの開発者が気づき攻撃者の発見につながるのでこれを回避するために、ハッシュ検証チェックを盛りこむといったものをはじめあれやこれやの対策が施される。
ファイル名や拡張子の書き換えなどいくつかの対処の後、バックドアされたソースファイルは、標準プロセスの一環としてコンパイルされ、その後で一時ファイル等の痕跡を削除する。ソースコードは、一般的な変数名やあらかじめ難読化された文字列が使用され、開発者のコメントや無効化されたコードがないかなどを消すなどのサニタイズまで行う。
この手口が興味深いのは、修正モジュールを作成している作業中に侵害行為を行っている点で、こうした手順でエラーが発生したり、あるいはセキュリティツールで検知され失敗しないかどうかをOrionの動作環境と同じものを作って事前に入念な動作検証をしているものと思われる。
こういう連中に的にされると、EDRやEPPでも挙動がおかしいと反応できるかも怪しく、そんじょそこらの事業会社では防御することは非常に難しい。
後で調査したところでは、SolarWinds社は最初の侵害を受けてから１年近くもわからなかった。SBOMでソフトウェアの管理をするにしても、修正版自体が巧妙に改ざんされるとなるとどうなるのだろうかと思ってしまう。
失敗から学ぶということが組織としてできるかどうかがこれまでも、そしてこれからも死活的に重要なのですが、我が国の状況は愕然とするばかりです。
太平洋戦争時に珊瑚海海戦といって日米で世界の歴史上初となる空母とその艦載機の機動部隊による大規模な艦隊決戦が行われました。日米ともにそんな大規模な戦いはやったことはなく、空母が撃沈され双方に大きな損失が出ましたが、この経験からアメリカでは大きな戦略・戦術転換が図られました。
アメリカ海軍は空母を中心とする打撃陣の陣形と対空攻撃方法を見直し、航空機搭乗員の育成、無線傍受と運用方法などいくつかの大きな変換を行いました。搭乗員育成では、機体操縦に長時間をかけなくてもできるような操縦性向上、機体の防弾性改造などが採用されました。
その後ミッドウェイ海戦では判断ミスなども重なって大打撃を受けることになりました。しかし問題は珊瑚海での経験を日本側はアメリカほどに深刻に受け止め変更もしなかった点です。（もちろん、勝敗には工業生産力や物量の違いが大きな要因であったことはいうまでもありません）
で、この状況を今日に照らして振り返ってみるとどうでしょう。
・なぜバブル崩壊が長引き失われた３０年になったのか？ 大蔵
省や日銀の行ったことは正しかったのか？
・少子高齢化で働き手がいないので、外国人を入れて賄おうと
したことは本当はどうだったのか。
・郵政民営化で何が改善されたのか。国民はどんな恩恵を受けた
のか？
・3.11の災害で再生エネルギー、太陽光にシフトしたことは正
しいことなのか？
・コロナワクチンで多数の後遺症に苦しむ人が出たし、ワクチ
ン接種による感染抑制効果も不明なままでこれはどう説明さ
れるのか？ またコロナが流行したらmRNAワクチンを打つ
のか？
これらに対する真摯な振り返りが行われた記憶はありません。
それまで誰も経験したことがないことに直面した場合、前例にとらわれず（そもそも前例はない）、知恵を結集して対処できなくてはなりません。
でも、いつの時代においても我が国はどうもこれができないのです。
「俺を誰だと思ってるんだ！ 頭が高い」と言い張って間違いを認めようとしない、なんとかの権威 と言われている方々に誰もモノ申せないのです。
この”権威”は、政治家はもちろん、企業組織人のみならず、さらに恐ろしいことに、新聞やテレビなど報道機関もが、「俺様こそが正義」という新たな権威者になって猛威を振るってきました。
真摯に反省、振り返りができる社会にならないと、この無謬地獄から脱却できない。
不都合な真実というのはいろいろあるが、最近のクマ問題もそうだろう。
全国規模で人里近くにこんなにクマが出没する原因には、太陽光発電・メガソーラの設置によるものもあるのに、マスコミも誰も発言しないのはなぜ。
伊東市の市長は学歴問題で干されたが、この市長はメガソーラ反対派だったからではないのか。
都知事だって同じいやもっと悪質でひどいのに、C国太陽パネル設置を進めているので、無罪放免だなんて、おかしいにもほどがある。