ITにおける脆弱（ぜいじゃく）性とは、ソフトウェアに含まれる、セキュリティ侵害の起点になり得る欠陥を指す。侵入者は脆弱性をサイバー攻撃経路として悪用することで、標的のシステムで悪意のあるプログラム（マルウェア）の実行や、メモリへのアクセスができるようになる。（続きはページの末尾にあります）
システムに潜む脆弱性を検出するために役立つのが「脆弱性診断」ツールだ。数ある脆弱性診断ツールの中から、“使えるツール”を5つ紹介する。
システムに存在する脆弱性は「脆弱性診断」ツールを使うことで見つけやすくなる可能性がある。主要な脆弱性診断ツール「Open VAS」「Burp Suite」の特徴とは。
「Python 2」と「Python 3」にはさまざまな違いがある。ペネトレーションテストでの「Python」活用を推奨する有識者が、特筆すべき両者の違いを解説する。
Impervaの5年にわたる調査によって、脆弱性が放置されているデータベースの利用率が明らかになった。世界ワースト1として名指しされた国とはどこか。アジア太平洋地域ではどこが危険なのか。
身近な言葉を使った用語は一見すると分かりやすいものの、むしろ誤解を生むことがある。こうした用語の一つが「ネットワークテスト」だ。テスト対象によって微妙に異なる、ネットワークテストの意味をおさらいする。
WhiteSource Softwareがオープンソースコードのセキュリティ状況を調査し、レポートを公開した。脆弱性は前年比50％増と増大傾向にあるという。プログラミング言語別の脆弱性の状況も明らかになった。
最近の調査によると、Webサイトの大半がいまだに時代遅れのPHP バージョン5を使っている。だがセキュリティサポートの終了が2018年末に迫る中で、懸念が高まりつつある。
商用コードを監査した結果、多くのオープンソースコードが含まれていることが分かった。問題は、そのコードが内包している脆弱性が放置されていることだ。
Black Duck Softwareがオープンソースのアプリケーションを分析した結果、その多くでセキュリティ上の欠陥を内包していることが明らかになった。しかし、判明したリスクはセキュリティ面だけではなかった。
主要な脅威インテリジェンスサービスを比較し、その違いを確認する。脅威インテリジェンスサービスは企業の多様なセキュリティニーズにどう対処するのだろうか。
セキュリティ戦略にDNSの防御を組み込む必要がある。今回は、悪意のあるサイトに引きずり込まれるのを防ぐのにも有効な、DNSプロキシサービスについて紹介する。
複数の研究者が、オンラインショップの現状に警鐘を鳴らしている。多くのオンラインショップにセキュリティ上の脆弱性が存在し、カード情報を入手するためのコードが埋め込まれたサイトもあるという。
Microsoftの新しいWebブラウザ「Microsoft Edge」は幅広いセキュリティ機能を備え、従来の「Internet Explorer」よりも安全性を高めたという。本当にそうなのか。実際の機能を検証する。
Webサイトの暗号化を目指すGoogleの取り組みが続いている。Webブラウザ「Chrome」では2017年から、HTTPを使ってパスワードや決済情報を入力させる一切のサイトを安全ではないと認識して警告を表示する。
米政府機関やセキュリティ企業Rapid7は、多くのメーカーがルーターに認証情報をハードコードしており、攻撃者に悪用される可能性があると指摘した。このバックドアを悪用されると何が起きるのか？
調査の結果、VPNサービスを提供しているプロバイダーの多くに、情報漏えいの脆弱性が存在していた。その意外な原因とは？
5400件以上のOSSプロジェクトを解析し、24万件の欠陥を検出してきたCoverityが、約100億行のオープンソースコードと商用プロジェクトのコードを比較。OSSのコードがセキュリティに問題を抱える理由とは？
効果的なパッチ適用、管理体制を実現するには、各種エンドポイントセキュリティツールの中から適切なツールを選定する必要がある。本稿では、パッチ管理プロセスにお勧めのツールを紹介する。
企業はセキュリティ対策強化のために、FacebookのThreatDataフレームワークによるセキュリティアナリティクスから何を学べばいいのか。
2014年4月に発覚したOpenSSLの脆弱性「Heartbleed」。放置している企業もまだ多いというHeartbleedだが、それを悪用した不正ログインなどの被害が実際に起きている。実例を交えて、その実害を紹介する。
攻撃者は脆弱性を
といった、さまざまなサイバー攻撃手法に悪用する。脆弱性が発覚してから、その脆弱性が解消されるまでの期間を狙うサイバー攻撃を「ゼロデイ攻撃」と呼ぶ。
脆弱性対策は、ハードウェアやソフトウェアの攻撃経路になり得る欠陥を特定し、分析、対処する手法で構成される。脆弱性対策は、一般的には以下のプロセスを踏む。
攻撃者は、組織のITシステムの脆弱性を常に探している。悪用可能な脆弱性を発見すると、システムへの侵入や企業データへのアクセス、業務運営の妨害を試みる。さまざまなシステムやアプリケーションを保有する大規模な組織では、一つの脆弱性が組織全体への攻撃のきっかけとなる可能性がある。
医療機関や金融機関は、法律や条例で脆弱性対策が求められる場合がある。HIPAA（医療保険の相互運用性と説明責任に関する法律）、金融機関の情報管理やプライバシー保護の要件を定めるGLBA（グラム・リーチ・ブライリー法）、クレジットカード業界のセキュリティ基準のPCI DSS（Payment Card Industry Data Security Standard）といった法律や業界規制は、脆弱性対策の実践を義務付けている。国際標準化機構が策定した情報セキュリティマネジメントシステム（ISMS）の国際規格「ISO/IEC 27001」も、脆弱性対策を要求している。
上述のように脆弱性対策は単一のタスクではなく、ITセキュリティチームが継続的に実施する複数のステップからなるプロセスだ。未適用のパッチや設定ミス、保護されていない機密データなどの問題を調査する脆弱性診断に加えて、実際に攻撃が起こった時のリスクを測定するために、システムの脆弱性を意図的に悪用して検証するペネトレーションテストも含まれる。
脆弱性スキャンとペネトレーションテストの結果を用いて、潜在的な脅威を評価するため脆弱性評価を実施する。特定された脆弱性に関する情報は脅威インテリジェンスソフトウェアに取り込まれ、攻撃を受けた場合の影響の大きさや脆弱性の悪用の可能性に基づいてスコア化される。例えばシステムでリモートコードの実行を可能にする未適用のパッチは、高リスクと判断される可能性が高い。
セキュリティチームは、脆弱性の性質に合わせてさまざまな対策を講じ、検出された問題の優先順位付けと修復を実行する。組織のセキュリティチームは、脆弱性が発見されたシステムを担当するIT運用チームに対して、修復を依頼する。IT運用チームが修正パッチを適用した後に、セキュリティチームは脆弱性が適切に修正されたことを確認するためのスキャンを実行する。
脆弱性対策のプロセス全体を通じて、脆弱性の発見や修復の状況は追跡できるようにする。こうすることで組織のセキュリティリーダーと経営幹部は、セキュリティリスクの低減とコンプライアンスのための取り組みをリアルタイムで把握できる。
脆弱性対策のプロセスは、必ずしも順調に進むとは限らない。組織が対策を実施するときに直面する一般的な課題を以下に挙げる。
ITmediaはアイティメディア株式会社の登録商標です。
