選挙セキュリティには、投票機、選挙事務所ネットワーク、有権者登録データベース、その他選挙プロセスを管理するシステムの保護など、さまざまな対策が含まれています。Cloudflareでは、Athenianプロジェクトを受けての州政府や地方自治体への脅威、Cloudflare for Campaignsを受けての選挙シーズンに向けた政治キャンペーンや州党の準備について、そして、Project Galileoを受けての選挙結果や投票権団体についての報告を行う組織との連携などを報告しています。
2022年の米国中間選挙以降、私たちは選挙コミュニティを標的としたより大きなサイバー脅威を、州政府や地方自治体がどのように回避するか支援を検討し、彼らが直面している最大の問題について分析してきました。2022年10月、サイバーセキュリティおよびインフラセキュリティ庁の長官であるJen Easterly氏は、「現在の選挙の脅威環境は、これまで以上に複雑になっている」と述べています。選挙関係者に対する脅威や威嚇、選挙インフラや運営に対するサイバー攻撃の中で、選挙に備えることは簡単なことではありません。
Cloudflareのミッションは、より良いインターネットの構築を支援することです。インターネットは、民主主義を推進し、有権者の情報へのアクセスを確保する上で重要な役割を果たします。これを受けて、私たちはAthenianプロジェクトのもとArea 1 Email Securityスイートを含むサービスを拡大することで、州や地方自治体が幅広いフィッシング攻撃から有権者データを安全かつ確実に保護できるようにお役に立てることを嬉しく思います。
選挙を守るための当社の取り組み
なぜ私たちが製品を拡大したのかを理解するためには、私たちのサービスが選挙期間中の州政府や地方自治体をどのように支援してきたかを振り返る必要があります。Athenianプロジェクトでは、選挙を実施する州や政府に対して、Cloudflareの最高レベルのサービスであるEnterpriseプランを無償で提供しています。元々は、他のインターネットプロパティと同様に、選挙Webサイトも高速で信頼性が高く、安全なものでなくてはならないという考え方でした。しかし、予算が少ないために、政府が攻撃を防ぎ、オンラインを維持するための適切なリソースを得られないことがあまりにも多いのです。
これを受け、私たちは2017年にAthenianプロジェクトを立ち上げました。これには、DDoS攻撃対策、Webアプリケーションファイアウォール、SSL暗号化、およびWebアプリケーションに焦点を当てたその他のセキュリティ機能など、当社の中核となるWebサービスの多くが含まれています。これらのサービスを31州の地方自治体に提供し、現在、米国の359の選挙団体を保護しています。
私たちは、Workers、Pages、Zero Trust、そしてネットワークセキュリティソリューションと、Cloudflareの製品群を拡充してきました。このため、私たちは、Athenianプロジェクトで日々共に働く選挙コミュニティに対して、どのようにすればより良いサポートができるかを理解したかったのです。
私たちにできることはもっとある
社内では、選挙コミュニティとインターネットのエコシステム全体が直面する最も差し迫った問題について、ブレーンストーミングを行いました。また、新規および既存のAthenianプロジェクトの参加者に、社内ネットワークやアプリケーションのセキュリティについて最も苦労している点を尋ねました。選挙の夜にDDoS攻撃を受けるのではないかという懸念からはじまり、ゼロデイ脅威、オンパス攻撃、マルウェア攻撃まで、さまざまな回答が寄せられました。特に、フィッシングやランサムウェア攻撃を非常に恐れながら選挙を運営している小さな郡では、同じテーマが数多く挙がりました。
電子メールは通信手段として重要であるにもかかわらず、多くの種類の電子メールセキュリティが、いまだに電子メールにデフォルトでは組み込まれていません。その結果、電子メールは大小の組織にとって、また個人にとっても、主要な攻撃ベクトルとなっています。人間の心理を利用してすばやく、そして不運な判断を促すフィッシングの試みは、私たちも直接目の当たりにしてきました。攻撃者が一度ネットワークに侵入すると、検出されずに横方向に移動し、広範囲にわたる機密内部システムに容易に影響を与えることができます。
そのため、ランサムウェア攻撃に対する先制防御として、メールセキュリティは重要な役割を担っています。これらの攻撃の多くは、悪意のあるメールやフィッシングメールから始まるため、効果的なメールセキュリティがランサムウェアに対する最前線の防御として機能し、これらの攻撃が受信トレイに到達する前に阻止することができるのです。選挙管理者の受信トレイに届く前に脅威をブロックできることから、選挙関係者との協力のもと、当社の製品を提供できる最善の方法があったことを嬉しく思いました。
通常、インパクトプロジェクトで新しいセキュリティ製品を提供する際、当社は外部のステークホルダーと協業しています。その一例が、Project Galileoで提携している市民社会グループです。彼らの多くは選挙コミュニティや、CISAのJoint Cyber Defense Collaborative（JCDC）などの政府機関で活動しています。こうしたパートナーシップは、当社のセキュリティツールを、正しい判断と持続可能なやり方でどのように提供するかを理解するうえで助けとなっています。
ノースカロライナ州のある郡における、Area 1 Email Securityの利用方法
2022年の米国中間選挙の数ヶ月前、現在AccessやGatewayなどのZero Trust製品を使用しているいくつかの州や自治体に、メールセキュリティに関して支援を申し出ました。
Athenianプロジェクトの参加者のうち、この拡張に熱心に取り組んでくれたのがノースカロライナ州のローワン郡です。ローワン郡のCIOであるRandy Cress氏にとって、選挙シーズンは、有権者に正確で安全な情報を提供する.govサイトのセキュリティを確保するために、ITスタッフが総出で取り組むことを意味します。
2020年、ローワン郡の報告によると、Cloudflareのおかげで400%増加したトラフィックに限られた予算で取り組むことができ、その結果、他の郡の取り組みにリソースを再集中させることができたとのことでした。フィッシング攻撃に関してはRandy氏は、郡の職員をフィッシング攻撃から守り、悪意のある脅威を自動的にブロックすることを望んでいました。
「Area 1 Securityの導入前は、Office 365 のメール保護を使用していましたが、隔離されたメッセージの詳細については限られた情報しか得られませんでした。Microsoftのクラウドサービスは常に進化していますが、私たちの環境では、セキュリティ機能をサポートするための複雑さを軽減し、新たた防御レイヤーを継続的に実装していくことを求めていました。」
Area 1を導入することで、同郡はフィッシング攻撃が環境に損害を与える前に先制して発見し、排除することができるようになったのです。Randy氏は次のように付け加えました。「我々のチームはCloudflareのおかげで、正式なオンボーディングコールの前に、30分もかからずに完全にオンボーディングすることができました。設定モードやトラブルシューティングに時間を取られることなく、製品の機能や仕様に焦点を当てることができました。DNSとDDoS攻撃対策にCloudflareを使用しているため、変更は非常に簡単で、メール配信プロセスに支障はありませんでした。」
2022年の米国中間選挙について、Randy氏は次のように報告しています。「選挙に先立ち、我々のArea 1ダッシュボード内のレポートでは、2022年10月の同時期と比較して2倍もの悪意のあるメールを受信したことが示されました。クレデンシャル・ハーベスティングが最大の脅威であると認識し、どのユーザーがメール侵害のターゲットになっているかを容易に確認できるようになりました。Athenianプロジェクトのもと、Area 1 Security を利用することで、私たちの組織にセキュリティレイヤーを追加することができました。そして、従業員が悪意のあるリンクをクリックする前に、悪意のあるメッセージに対して先制防御を行うことができました。Cloudflareが最初の防衛線となることで、ローワン郡の有権者に安全な投票プロセスを提供することに集中でき、私たちに安心感を与えてくれます。」
Area 1とAthenianプロジェクト
Cloudflare Area 1 Email Securityは、フィッシング攻撃を阻止するクラウドネイティブサービスであり、AthenianプロジェクトのEnterpriseアカウントで使用することが可能です。Athenianプロジェクトの詳細についてご興味のある国や地方自治体の方は、弊社Webサイトhttps://www.cloudflare.com/athenian/からお申し込みください。