能動的サイバー防御という言葉が急に有名になったが、守る側がただ受け身のままでいるだけではなく、攻撃側に一杯食わせようとするアプローチは以前から存在する。デセプションもそのひとつだ。デコイ（架空の端末や架空の顧客ファイルなど）を用意しておくことで、一度は攻撃側をヒャッハーとさせたあとでガッカリさせたり、攻撃プロセスの分析などを行う。
本稿では Black Hat USA 2026 で行われたデセプションに関わる興味深い講演『 If the Adversary Lives Off Your Land, So Should You（Living off the Land 攻撃には Living off the Land 攻撃を）』をレポートする。登壇したのはシェーン・ステイガー（Shane Steiger）とマレッタ・モロヴィッツ（Maretta Morovitz）、両名とも現役の MITRE の研究者だ。
それにしてもつい書いてしまったが「一杯食わせる」ってつくづく平和な表現だと改めて思う。やる側もやられる側も赤塚不二夫の世界のように、なんだか根底では仲がいいような感じなのだ。
● 窮地を逆手に利用するサイバーデセプション
「指輪物語」（ロード・オブ・ザ・リング）では、ヘルム峡谷の要塞が、難攻不落の砦としてローハン国の籠城戦の場として選ばれる。だが城壁の排水溝から敵の侵入を許してしまい、戦況は一変、ローハン国が窮地に立たされる。
マレッタは「これは、現在主流ともいえる侵入を検出する防御体制の限界を示している」とコメントした。
攻撃者は必ず突破口を探し出し、侵入してくる。そして環境に寄生して（Living off the Land）好き放題暴れまわる。こんな状況で我々にできることはないのか？ 逆に、この状況を利用した対策はないのか？
サイバー攻撃は、物語の城攻めのように、相手の殲滅など破壊が目的ではなく、隠密活動と情報窃取にあるため、これを検知する難しさがある。従来の多層防御はまさにこの考え方に基づいて、ファイアウォールの他に侵入検知、EDR 等によるシステム内部の監視を組み合わせていた。
しかし、マレッタとシェーンはもう一歩先に行く。受動的な監視や検知から、プロアクティブに敵と対峙・関与（Engage）する必要があるとする。それが敵対的エンゲージメント、そのひとつがサイバーデセプションだ。
● サイバーデセプションの狙いは ３ つ
彼らが提唱するアプローチは「否認」と「欺瞞」によって構成される。ここでいう否認とは、事実・虚構の正否をあきらかにせず全体をあいまいにすること。敵が侵入した世界は、じつは現実と虚構が入り乱れている状態だったらどうだろうか。こうなると、敵は何が現実（重要なデータ）か、何が虚構（囮、ダミー）かの区別がつかない。
これだけでも敵は混乱するが、そこに「欺瞞」情報を加える。真実と虚構をあいまいな状態にすれば、敵のリソースや時間を分散させ、無駄に消費させることができる。収集したデータが無価値であることを知れば攻撃モチベーションをくじくこともできる。さらに、敵を間違った方向に導くことも可能だ。
このアプローチの目的は 3 つある。
「ひとつは、環境内で活動する敵を暴露すること（Expose）、ふたつめは攻撃コストの増加と収集データの価値低下によって敵対者の活動に悪影響を与えること（Affect）、3 つめはタイムリーで状況に応じた情報を引き出すこと（Elicit）」とマレッタは言う。つまり、意図的に用意された囮や偽情報は、ハニーポットやセンサーのように敵の活動を検知、捕捉することに利用できる。そして、敵の行動の観察から「目的は何か」「どんな攻撃手法を使っているのか」などの脅威インテリジェンスに役立つ情報を得ることができる。
