ネットワークの監査を10年以上続けてきましたが、はっきり言います：NFTはあなたのネットワークを守ることはできません。見出しを見たことがあるでしょう。もしかしたらNFTを使ったログインを提案されたこともあるかもしれません。Twitterでブロックチェーンのセキュリティについて読んだこともあるでしょう。でも、実際にネットワークを壊したのは何か？設定ミスのルーター、使い回しのパスワード、2021年のファームウェアの未パッチです。NFTが原因だったことは一度もありません。NFTが解決策だったことも一度もありません。

「NFTソリューションでネットワークを安全に保つ方法」というフレーズは、実際のアドバイスではありません。それはキーワードの罠です。「ブロックチェーン」と「セキュリティ」を混同したときに起こるものです。全く別物です。近いものではありません。

昨年何が起きたか、はっきり言います。中規模の銀行が、CTOがNFTベースのログインを追いかけていたため、MFAの導入を4か月遅らせました。4か月間、ネットワークは露出したままです。その間に、私はベンダーが自社製品をNFTで保護されている、トークン化されている、ブロックチェーンで検証済みと主張しているのを見ました。そして、暗号鍵の実際の保管場所を尋ねると沈黙します。先月、いわゆる安全なNFTプラットフォームを3つ調べましたが、どれもSOC 2レポートはなく、ペンテスト結果も公開されていませんでした。1つのホワイトペーパーは、比喩だけの3ページでした。

実際に効果的なものは何か？私がすべてのネットワークに展開しているもの。実際の攻撃を防ぐもの：

強力なパスワードとMFA。どちらか一方ではなく、両方です。そしてSMSの2FAは使わないでください。傍受されます。Microsoft Authenticatorやハードウェアキーを使いましょう。私はすべてのクライアントネットワークでSMSを無効にしています。

すべてをパッチ適用してください。2021年のファームウェアを動かすルーター？すでに3つの既知の方法で侵害されています。OSも同じです。例外はありません。

ネットワークのセグメント化。HR VLANがゲストWi-Fiと通信できる、プリンターが給与サーバーにアクセスできるなら、すでに負けています。セグメント化を正しく行えば、侵害の封じ込めは理論ではなく自動です。

暗号化されたDNS。DoHやDoT。ローカルの盗聴を防ぎます。DNSマルウェアのリダイレクトもブロック。追加コストなし。オンにするだけです。

今日の昼食前にこれをやってください：UPnPを無効に、デフォルトの管理者アカウント名を(変更、本気で、「admin」や「password」を変更、自動更新が有効で動作しているか確認してください。

AIは必要ありません。ブロックチェーンも必要ありません。必要なのは規律です。

昨年、小さな法律事務所のために本格的なセキュリティプランを作りました。最初の週にTelnetとSMBv1を停止。3週目にどこでもMFAを導入。5週目から8週目にかけてネットワークを適切にセグメント化。9週目にテーブルトップ演習を実施—ファイアウォールのログにCobalt Strikeが映っているふりをして、誰が実際にバックアップの場所を知っているかを確認。成功は高価なツールでは測れません。何が起きなかったかで測ります：30日以内に未パッチの重大なCVEはゼロ、2か月後のフィッシングクリックもゼロ。

今年、47のベンダーデッキを読みました。すべて「NFTで保護されたアクセス」や「トークン化されたファイアウォール」、「NFTでネットワークキーを所有」などのフレーズを使っていました。それらの本当の意味は何か？追加のAPI呼び出しを伴うデータベースのルックアップです。設定ファイルをfirewall.jsonに名前変更しただけです。あなたが持つトークンは、他者が管理するキーを指しています。FTCは昨年、NFT認証VPNがFIPS 140-2に準拠していると主張した企業に250万ドルの罰金を科しましたが、それは誤りでした。

ベンダーがNFTセキュリティを最初に掲げて、TLS 1.3やCVEパッチについて言及しない場合は、離れてください。デモにハードウェアセキュリティモジュールやエアギャップされたキー生成が映らなければ、それは演技です。

ブロックチェーンが得意とするのは、ログの改ざんを難しくすることです。それは役立ちます。魔法ではありません。ファイアウォールでもありません。台帳です。あなたのファイアウォールにはルールが必要です。ユーザーにはトレーニングが必要です。CISOはまだ眠る必要があります。

本当のセキュリティは退屈です。ファームウェアの更新です。今すぐルーターを確認してください。デフォルトのパスワードを変更してください。

光り輝くトークンを追いかけないでください。CISAのShields Upチェックリストは無料です。NIST SP 800-207も無料です。CIS Controls v8も無料です。それらを使いましょう。新奇性よりも一貫性が勝ちます。

すべての管理者とクラウドアカウントにMFAを設定してください。明日までにやりましょう。来週ではありません。会議の後でもありません。これを終える前に。あなたのネットワークは安全ではありません、見た目だけの安全ではなく、実際に作業をしたからこそ安全なのです。