避けたい、脆弱性の悪用

Microsoftの脆弱性スキャナ「MBSA」の限界

MBSAは重大な脆弱性をシンプルかつ簡潔な形で提示してくれる。しかし市販の脆弱性スキャナと比べると、すぐに限界が見えてくる。

公開 2010年11月29日 08時00分

更新 2012年09月04日 16時30分

著者

Kevin Beaver

[TechTarget]

印刷する

　わたしはこのところ、Microsoft Baseline Security Analyzer（MBSA）と愛憎関係にある。最初は気に入らなかったが、そのうちセキュリティスキャンツールが気になり始めた。MBSAはより高いレベルのWindows、SQL Server、IISに関連する脆弱性のスナップショットを提示してくれる。これらはMicrosoftがテストを勧める最も重大な脆弱性であり、シンプルかつ簡潔な形で提示される（下図）。

図：MBSAのシンプルで完結なリポート表示《クリックで拡大》

　MBSAにはまた、スクリプティング機能およびVisioと連係できる機能もある。これで脆弱性をネットワーク図の上に置いて見ることができる。Windows 7とWindows Server 2008 R2搭載のシステムでも実行可能だ。MicrosoftはShavlik Technologies（MBSAのコードを書いた会社）と提携し、Shavlik NetChk Limitedツールを通じてMicrosoftのレガシーソフトのサポートも提供している。

　それはそれとして、わたしは自分の顧客に、Microsoftはセキュリティベンダーではなく、業界最高の脆弱性スキャンツール開発ビジネスに携わっているわけでもないとくぎを刺すことにしている。ここ数年でQualys、GFI Software、Rapid7などの各社が成長してきた理由はそこにある。MBSAを市販の脆弱性スキャナと比べてみれば、すぐにMBSAの限界が見えてくる。

　以下は市販の脆弱性スキャナがMBSAの機能を上回る点だ。

すべての（少なくとも大部分の）既知の脆弱性を、CVEの識別番号が付いたものも含めて検出できる。市販のスキャナが検出できるのは、Microsoftが最も重大と見なした問題のみにとどまらない
脆弱性を悪用して、スキャンでどんな情報が入手できるのかを見せてくれる
手の込んだパスワード破りを実行できる
Linux搭載システム、ファイアウォール、スイッチ、無線AP、サードパーティーアプリケーションなど、ほかのネットワークホストの脆弱性も発見できる。Microsoftを中心とするソフトの脆弱性を見つけるだけにとどまらない
より優れたリポートを提供してくれる
トレンド分析、長期的な脆弱性管理の機能がある

　MicrosoftはMBSAを中堅・中小企業（SMB）向けと位置付けている。つまり真のエンタープライズツールとは考えていない。しかし現実として、SMBにもエンタープライズレベルの脆弱性があり、エンタープライズ対応のツールが必要だ。MBSAは手始めとしては結構だが、長期的な防御のためにはサードパーティーツールが最善の選択だ。

　MBSAはフル機能を備えた脆弱性スキャンツールではなく、これをあてにして自社環境で重大な脆弱性をすべて発見できると思ってはならない。もし導入する場合は、購入リストから脆弱性スキャナを外す前に、自分が何に踏み込むのかを知り、限界を認識することだ。脆弱性を見落として悪用されるようなことだけは避けたい。

本稿筆者のケビン・ビーバー氏は米Principle Logicの情報セキュリティコンサルタント。執筆、講演も手掛ける。専門は独立した立場からのセキュリティ評価。情報セキュリティ分野の著書、共著書に『Hacking For Dummies』『Hacking Wireless Networks For Dummies』（Wiley）などがある。情報セキュリティのオーディオブック『Security on Wheels』も手掛け、IT専門家向けのブログを執筆している。

印刷する