この記事は、Infrastructure & Security Group , Senior Vice President and General Manager
である Tom Gillis によるブログ「 Shields Up: Cisco Live Protect Closes Vulnerability Gap with Compensating Control 」（ 2026年 6月 2日 ）の抄訳です。
危機は有意義な変化を推進する絶好の機会です。そして今年の夏はまさに、そのような「危機が変化を促す機会」が到来します ― インフラストラクチャのテスト、検証、導入は慎重に行い、変更は最小限に抑える。これは長年、業界全体で守られてきた運用の基本原則です。Mythos が登場する前の世界では、インフラストラクチャには重大な脆弱性が年間で十数件程度発生するに過ぎず、攻撃者がこうした脆弱性をエクスプロイトし始めるまでには数か月の猶予がありました。そのため、特にデータセンターでは、年に 1 回または半年に 1 回インフラストラクチャを更新するという計画は妥当であり、広く定着していました。
現在の新たな局面を推進している要因として、2 つの根本的な変化が存在します。まず、 Salt Typhoon と Volt Typhoon の発見により、スイッチ、ルータ、ファイアウォール、ロードバランサなどのインフラストラクチャが新たな攻撃対象領域になったという警告が業界全体に出されました。かつて、こうしたインフラストラクチャの脆弱性を発見してエクスプロイトできるのは、非常に高度な攻撃者に限られていました。しかし、重要なインフラストラクチャを直接標的とする新たな脅威の出現により、この前提は根本から覆されたのです。
2 つ目は、フロンティア AI モデルの新世代の登場により、あらゆるソフトウェアシステムの脆弱性を発見する能力が飛躍的に向上したことです。AI コーディングツールは、すでに長年にわたって広く利用されてきました。前世代の AI コーディングツールは、新規プロジェクトで大きな変革をもたらすことが実証ました。モデルは新しい小規模なコードベースの完全なコンテキストを理解できるため、小規模なチームでも生産性を飛躍的に向上させることが可能でした。しかし、シスコのスイッチ、ルータ、ファイアウォールの大規模なコードベースは非常に複雑で、長年にわたり開発が続けられてきたので、これらのモデルがその全容を理解することは困難です。
ですが、今後は違います。新しいフロンティアモデルは 1 兆個のトレーニングパラメータを有し、非常に大規模なコンテキスト処理能力を備えているため、こうした複雑なソフトウェア製品であってもその全容を理解できます。そのためモデルは、コードの脆弱性の原因となる、見落とされがちな相互依存関係を発見することが可能になりました。非公式ながら重要な節目として言えるのは、優秀な人間がこれらのコードベースを長年にわたって精査してきたにもかかわらず、こうした脆弱性を発見することができなかったという事実です。これまでも、AI ツールは常に人間よりも高速に処理し、人間よりも多くのデータを取り込むことが可能でした。しかし私の経験上、人間が導き出せなかった有意義な洞察を AI モデルが生成したのは今回が初めてです。そして、これらのモデルはマシンのスピードで動作するため、脆弱性および対応するエクスプロイトをこれまでとは比較にならないほど高速に発見しています。このスピードの変化は、Cisco Talos のデータでも裏付けられています。実際、攻撃者が AI による自動化を大規模に導入したことで、脆弱性が公開されてからアクティブなエクスプロイトの最初の兆候が確認されるまでの時間は著しく短縮しています。
これらの 2 つの要因、つまりインフラストラクチャが新たな攻撃対象領域となったこと、そして AI ツールがこれまで以上に容易にインフラストラクチャの脆弱性を発見してエクスプロイトできるようになったことを合わせて考えると、私たちは明らかに危機に直面しています。ここで、私の最初の主張に立ち返りましょう。つまり、「危機は有意義な変化を推進する絶好の機会である」という考えです。
インフラストラクチャの新たな運用モデル：Live Protect
ベンダー、顧客、パートナーを含む業界全体にとって、この新たな現実に適応することは不可避の課題です。「資産を使い倒す」という考えでサポート期間が切れた古いシステムを運用できる時代は、完全に終わりを迎えました。年に 1 回インフラストラクチャをアップグレードする時代も、遠い昔のことです。私たちはついに、ほぼ絶え間なく小さな変更を頻繁に加えていくクラウド型運用モデルを採用しなければならない段階にきたのです。ゴールデン ゲート ブリッジの塗装作業と同じで、橋を全面的に封鎖して一度に塗り替えることはできません。橋を封鎖せずに少しずつ塗り替えれば、はるかに混乱が少なくて済みます。今の場所を塗り終えたら、反対側からまた作業を始めるだけです。一気に大規模な作業をするのではなく、小さなステップを積み重ねていくことで、誰にも不便をかけずに仕事を完了させることができます。
これこそが、Cisco Live Protect の背後にある戦略的意図です。つまり、ランタイム機能を NX-OS に直接組み込むことで、定期的なメンテナンスアップグレードの合間にもシスコが検証した補完コントロールをインフラストラクチャに適用できるようにします。
ここで明確にしておきたいのは、Live Protect はパッチではないという点です。コアとなるライフサイクル管理や永続的なソフトウェアアップデートが不要になるわけではありません。むしろ Live Protect は、一時的かつ狙いを定めたシールドとして機能し、これを数クリックで適用して特定の脆弱性のリスクを軽減することができます。目的は緊急の「応急措置」であり、より頻繁なメンテナンス期間の合間でも稼働中のシステムを停止させることなくこの措置を適用できます。
この仕組みを実現しているのは eBPF（Extended Berkeley Packet Filter）です。これを活用することで、OS カーネル内でサンドボックス化されたプログラムを実行できます。そのため、カーネルのソースコードを変更したり、システムを再起動したりすることなく、エクスプロイト試行を発生源で阻止してブロックするための優れた可視性と精度の高い防御を実現することが可能になります。
eBPF の独自機能を活用することで、非常にきめ細かなピンポイントの防御を行い、既知の脆弱性をエクスプロイトから保護できます。このシールドは、「特定のプロセスによる特定のファイルへのアクセスを禁止する」というレベルまで具体的に指定できます。このようにシールドをきめ細かく具体的に指定できるため、誤検出率を非常に低く抑えられるようになっています。つまり、そのプロセスはその特定のファイルに決してアクセスしてはならない、ということです。したがって、その動作は許可しません。さらに、シールドはパフォーマンスにほとんど影響を及ぼさないという利点もあります。
Cisco Live ではデモを実施し、本番用シールドを稼働中のスイッチに適用してもスイッチの正常性に影響がないことをお見せします。CPU、メモリ、遅延はすべて、シールドが存在しないかのように維持されます。これは、重い EDR ソリューションを重要なシステムに押し込むようなものではありません。アップデートの合間に発生する重大な脆弱性のエクスプロイトを阻止する、焦点を絞った防御です。
重要な点として、Cisco Live Protect は「自分で設定する」ランタイムルールではありません。脆弱性が検出されると、Cisco Talos がエクスプロイトの経路を分析して、シールドを作成します。その後、シスコが社内のエンジニアリングプロセスを通してシールドを検証し、 狙いが正確であること、効果的あること、パフォーマンスが優れていることを確認します。シールドは展開されると、チームが永続的なパッチを用意するまでの間システムを保護する「応急措置」として機能します。パッチ適用後、シールドは自動的に廃棄されます。
Live Protect によって PSIRT ワークフローがアップデートされます。
包括的な検証とレジリエンスの強化を実現するため、シスコは大手 AI レッドチーミング企業の Armadin 社と提携を結びました。脆弱性に関する脅威研究を Armadin 社と共有し、Armadin 社のチームと連携して Live Protect シールドのテストと検証を行い、エクスプロイトを確実にブロックできることを確認します。
この検証プロセスでは、シールドの有効性、そしてエクスプロイトに関連するターゲティングになっているかどうかを確認します。また、対応プラットフォーム、リリース、モード、制限をチェックし、ソフトウェアにパッチが適用された後にシールドが自動で廃棄される経路も検証します。これにより、運用担当者はカスタムシールドの設計、開発、サポート、廃棄といったオーバーヘッドをほとんど増やすことなく、シスコおよびサードパーティが検証した保護を適用できます。
永続的なパッチが安全に展開されるまでの間、ネットワーク、セキュリティ、インフラストラクチャの各チームが、これらのシールドを信頼して対応インフラストラクチャの保護を委ねられることが大切です。Talos、そして Armadin 社などのシスコの信頼できる提携企業との連携は、この信頼を支える役割を果たしています。
セキュリティの運用化
Live Protect により、「全面的に対応するかまったく対応しないか」という運用モデルから、段階的で制御されたワークフローへと移行できます。Live Protect には、以下の 3 つの明確な運用モードが用意されています。
- モニタリングモード：エクスプロイト試行やポリシーヒットを記録し、防御措置の適用は行いません。チームは措置を実行する前に脅威を確認できます。
- 適用モード：脅威アクティビティをリアルタイムで積極的にブロックまたは緩和します。
- 無効化モード：ポリシーをアンインストールせずに、一時的に無効化します。
Live Protect シールドは観測可能で元に戻すことができます。保護機能はブラックボックスではありません。運用上のセーフガードとして、モード、証拠、ロールバック、破棄の機能が備わっています。
この段階的なアプローチにより、インフラ管理チームは攻撃にさらされる時間を大幅に短縮し、十分に検証されていない緊急パッチを急いで適用する必要性が減ります。そのため、より秩序立った予測可能なメンテナンススケジュールを立てることができます。
ある意味、Live Protect は、時速 200 km で走るレーシングカーのエンジントラブルを、走行したまま修理するようなものです。レース途中に想定外のピットインを強いられることなく、車載インテリジェンスがエラーに対するエンジン部品の脆弱性を検知し、一時的な応急処置を施して、予定されている次のピットインまで通常どおり走行を続けられるとしたらどうでしょう。
もしこれがレースの世界で実現したらすごい話ですが、サイバーセキュリティにおいては現実になっているのです。シスコが検証したランタイム保護は、シスコの脆弱なインフラストラクチャに対する中間的な防御を実現し、セキュリティチームが永続的なパッチを展開する時間を確保します。その間、機器をシャットダウンしたり再起動したりする必要はありません。そのため、組織のリスクを高めることなく運用を維持できます。
将来の方向性
先日発表されたシスコ AI 成熟度指標は、市場が抱える深刻な課題を浮き彫りにしました。組織は AI の導入を優先する一方で、最大の障壁としてインフラストラクチャとセキュリティの準備を一貫して挙げています。AI ネイティブのデータセンターには、従来モデルではサポートできないレベルの性能とセキュリティが不可欠であることを組織は理解しています。この具体的な課題に対するシスコの答えが、Live Protect です。ネットワークのファブリックにセキュリティを直接組み込むことで、AI ワークロードのサポートに必要なレジリエンスを実現します。組織は、「イノベーションかセキュリティか」という二者択一を迫られることはもうありません。
現在、Live Protect はシスコのデータセンター向け N9000 スイッチで提供されています。今後数か月間で、キャンパスおよびブランチ向けシスコ スマートスイッチ、Catalyst ワイヤレスコントローラ、セキュアルータ、SD-WAN Manager などのインフラストラクチャ プラットフォームへと対応範囲を拡大していく予定です。
Live Protect は、レジリエンスをインフラストラクチャのファブリックに直接組み込むという私たちの目標に向けた重要な一歩です。AI を活用したツールが進化し続ける中、シスコが検証した補完コントロールを適用できることは、あらゆるエンタープライズ環境で最低限の必須要件となります。次々と行われる脆弱性の公開を止めることはできませんが、それらにどう対処するかは変えられます。プログラムで制御可能なよりダイナミックな運用モデルに移行することで、インフラストラクチャの安全性を維持しながら、ビジネスに必要な稼働時間を維持することが可能になります。
Cisco Live では、さらに詳しい情報をお伝えする予定です。なぜ Live Protect がこれほど革新的で、自己防衛型インフラストラクチャの構築へと私たちを導く存在であるのかをお話しします。セキュリティの未来はもう始まっており、その先頭に立っているのはシスコです。
本記事で説明されている製品や機能の一部は開発段階にあり、利用可能になった時点で順次提供される予定です。シスコは提供スケジュールを変更する権利を有しており、提供の遅延または未提供について責任を負いません。
Authors