ほぼ全ての脆弱性を見つけるには、IT担当者はユーザー認証を受けた状態と受けない状態の両方でWindowsの脆弱性スキャンを実行する必要がある。どちらか一方では不十分だ。

　ユーザー認証を受けない状態でのスキャンでは、IT管理者はWindowsシステムにログオンしないで脆弱性スキャンツールを実行することになるため、組織外のユーザーが見るものを確認することになる。ユーザー認証を受けた状態での脆弱性スキャンでは、信頼済みのユーザーが見るものを確認できる。この場合、スキャンツールが各Windowsシステムにログオンして、コンピュータのより詳細なスキャンを実行できるよう、有効なユーザー名とパスワードを入力する必要がある。

　認証を受けた状態と受けない状態では、スキャンの結果が大きく異なる。そのため、両者を交互に実行することが推奨される。

　例えば、認証を受けていない状態でWindowsの脆弱性スキャンを実行すると、一般に次のような予測可能な脆弱性が見つかる。

• Windowsのパッチの欠如（比較的少数）
  • 「EternalBlue」（注1）が悪用した脆弱性に対処するMicrosoftの「MS17-010」など。ただし重大なパッチ欠如が見つかることはほとんどない
• ネットワークに接続するコンピュータのユーザーなら誰でもアクセスできるネットワーク共有
• 貧弱なWindowsパスワード
• 有効化されたファイル転送プロトコルサービス

※注1：ランサムウェア（身代金要求型マルウェア）「WannaCry」の拡散に悪用されたといわれている脆弱性攻撃ツール。

　認証を受けた状態でのWindows脆弱性スキャンでは次のように、上記とは全く異なる、より深刻度の高い脆弱性を多数検出できる。

• WindowとMicrosoftアプリケーションのパッチの欠如（比較的多数）
  • 攻撃者は「Metasploit」などの脆弱性スキャンツールを利用して、こうした欠如を悪用した攻撃を仕掛け、リモートからのフルアクセスを簡単に獲得できる
• Adobe Systemsの「Adobe Reader」、Java、Mozilla Foundationの「Mozilla Firefox」などサードパーティー製ソフトウェアのパッチの欠如
  • ゼロデイ脆弱性（パッチ公開前の脆弱性）を悪用したマルウェア攻撃によってエンドポイントに重大な問題が生じる恐れがある
• ログオンしたユーザーなら誰でもアクセスできるネットワーク共有
  • 監視されていない機密情報は、このようなネットワーク共有から漏えいすることが少なくない
• 脆弱なWindowsドメインパスワードポリシー
  • パスワードの複雑性に関する要件や侵入者のロックアウト（ログオン禁止措置）などを含まないポリシーは、不正ログオンを容易にしかねない

なぜこれほどいい加減なのか

　放射線のテストメーターやオシロスコープなどのツールを扱う、他の専門的職業では、こうした装置の取り扱いについての訓練を受ける。ライセンスや資格がなければ業務に使用できない場合もある。ITとセキュリティの場合、このようなことは当てはまらない。脆弱性スキャンを実行する担当者の大半は、恐らく、適切にスキャンを実行する方法についての講義や正式な訓練を受けていない。

　ベンダーは、自社の脆弱性スキャンツールを「ボタンを選択してクリックするだけの簡単なツール」だと思わせたいようだ。だが大半の場合、簡単ではない。スキャンツールは、実行するスキャンポリシーの選択や結果の報告方法の決定など、大量のオプションを用意している。こうしたオプションには、IT担当者がネットワークの検出を実行する際に役に立つものもあれば、妨げになるものもある。脆弱性のスキャンプロセスは単純ではないのに、多くの担当者が単純に扱っているのが実情だ。

　認証を受けた状態と受けない状態の両方でスキャンするWindowsの脆弱性のバリエーションをIT担当者が全て認識し、それらを全て報告できる場合を除いて、全員の期待を満たし、問題を解決することはできない。IT担当者はスキャンの結果を最大限に生かせるように多様なアプローチを採用し、Windowsシステムをあらゆる角度から調べなければならない。なぜなら、悪意のある攻撃者がそうしているからだ。