脆弱性の実態は、ソフトウェアに存在する不具合（バグ）である。脆弱性対策が必要となるのは、Internet ExplorerやAdobe Readerといったクライアントソフトウェア、Webサーバやアプリケーションサーバといったサーバソフトウェア、Webアプリケーションソフトウェアまで幅広い。中でも、「最近はクライアントソフトウェアの脆弱性を突く攻撃が増えている」と渡辺氏は説明する。

脆弱性対策の効果：情報漏えいだけでなく「データ破壊」に対処する

　サイバー攻撃対策として、外部との通信を遮断するといった手段で情報漏えいを防ぐ「出口対策」が注目されている。システムがマルウェアに感染したり不正アクセスされても、機密情報の外部流出だけは防ぐというアプローチだ。ファイアウォールやプロキシサーバ、アクセス制御といった製品の導入によって、出口対策を実現する。

　では出口対策だけしていれば、サイバー攻撃対策として十分なのだろうか。渡辺氏は、「情報漏えいだけでなく、データ破壊行為についても考慮すべきだ」と指摘する。顧客情報や契約情報など、企業活動を進める上で重要なデータは数多い。こうしたデータがサイバー攻撃によって削除されたり改変されれば、業務に与える影響は重大だ。「情報漏えい対策を進める一方で、システムが攻撃される可能性を可能な限り抑えなければならない。そのために、脆弱性対策は有効な手段となる」

　渡辺氏は、「LANやインターネットから隔離されたシステムについても脆弱性対策が必要になる」と指摘する。USBメモリを介した攻撃手法もあるため、ネットワークから隔離していたとしてもマルウェア感染の可能性は否定できないからだ。

脆弱性対策の具体的手法

　一口に脆弱性対策といっても、その手法はさまざまだ。以下、「脆弱性の検知／排除」「脆弱性の保護」の2つに分けて解説する。

脆弱性の検知／排除：パッチ管理や脆弱性検査で効率化

　基本的な脆弱性対策は、パッケージソフトウェアであればベンダーが提供するセキュリティパッチの適用、手組みのシステムであれば脆弱性の検査や修正である。こうした作業を効率化する製品やサービスが充実しつつある。

　パッケージソフトウェアに対するパッチ適用の負荷軽減に役立つのが「パッチ管理製品」だ。インベントリ情報や脆弱性データベースを基にシステムに潜む脆弱性を検出。必要なパッチを自動でダウンロードして適用する。検出した脆弱性のリポート機能を持つ製品もある。運用管理製品やIT資産管理製品の一部は、パッチ管理機能を1機能として搭載する。

　脆弱性の検出作業を効率化するには「脆弱性診断ツール」が役立つ。脆弱性診断ツールには、ソースコードを分析して脆弱性を検出する開発時向けの製品と、システムを自動解析してテストを自動実行する運用時向けの製品がある。いずれの製品も検出した脆弱性をリポート表示する機能を持ち、システムにどういった脆弱性が潜んでいるかを確認できる。

　脆弱性診断ツールが出力した診断結果を十分に分析できるスタッフがいない場合、脆弱性診断の実行や分析をサービスとして提供する「脆弱性診断サービス」を利用するという選択肢もある。脆弱性診断サービスは、セキュリティサービス事業者やシステムインテグレーターが提供するマネージドセキュリティサービスの一環として提供される場合もある。

脆弱性の保護：IPS／IDSやWAFで仮想的なパッチを実現

　本来であれば脆弱性を排除するのが理想的だが、こうした根本的な対策が難しい場合もある。パッケージソフトウェアの場合、カスタマイズやシステム連携などの影響でパッチ適用が困難な場合も少なくない。手組みのシステムの場合、コスト面の問題で脆弱性の修正がすぐにできない企業もあるだろう。

　さまざまな理由で脆弱性は排除できないが、攻撃を受ける可能性は軽減したい。こうしたニーズに応えるのが、侵入検知システム（IDS）／侵入防御システム（IPS）、Webアプリケーションファイアウォール（WAF）といったネットワークセキュリティ製品である。

　IPS／IDSやWAFは、脆弱性を悪用した攻撃トラフィックを検知し、サーバやWebアプリケーションに到達する前に通信を遮断する機能を備える。脆弱性を修正したりパッチを適用しなくても脆弱性を保護することができるのが利点だ。実質的にパッチ適用と同等の効果が見込めるため、自社のIPS／IDSやWAF製品を“仮想パッチ製品”としてアピールするベンダーも現れつつある。

脆弱性対策の注意点：Webサイト刷新時の脆弱性発生に注意

　脆弱性対策には課題も多い。渡辺氏は、セキュリティパッチが提供されていないゼロデイ脆弱性を突いた攻撃が増えつつあることに注意すべきだと指摘する。シグネチャによるパターンマッチングを採用するIPS／IDSやWAFは、ゼロデイ脆弱性を悪用する攻撃を検知することは難しい。こうした事情から、IPS／IDSやWAFベンダーは振る舞い検知などの手法により、ゼロデイ脆弱性の悪用を検出すべく工夫を重ねている。

　また、脆弱性対策には継続的な取り組みが不可欠になることを忘れてはならないと渡辺氏は強調する。「特にWebサイトの機能を頻繁に刷新する場合、Webアプリケーションの修正によって新たな脆弱性が発生し、対策が追い付かない企業も多い」のが現状だという。「Webサイトの刷新時には、脆弱性対策などのセキュリティ対策を併せて検討するという意識を持つことが大切だ」