「『CVE』のないクラウド」に専門家が不満な“表の理由”と“裏の理由”

クラウドサービスの脆弱性に「CVE」が付与されないことを複数の専門家が問題視している。どのような見解から専門家は異議を唱えているのか。

公開 2021年12月14日 05時00分

更新 2022年12月22日 10時04分

著者

Shaun Nichols

[TechTarget]

印刷する連載新着通知を受け取る

　IT製品の脆弱（ぜいじゃく）性の情報を示す脆弱性識別子「CVE」（Common Vulnerabilities and Exposures）は、第1回「クラウドサービスの脆弱性に『CVE』がない“なるほどの理由”」で挙げた理由から、クラウドサービスの脆弱性には付与されない。このことについて複数のセキュリティ専門家が、「企業のセキュリティ部門やエンドユーザー、セキュリティ業界にとっての損失につながる」と発言している。

「CVEのないクラウドサービス」に研究者が不満を抱く理由

併せて読みたいお薦め記事

脆弱性への向き合い方

　クラウドサービスにCVEが付与されないことに関する懸念が浮上したのは、2021年夏にMicrosoftのクラウドサービス形式のデータベース管理システム（DBMS）「Azure Cosmos DB」に、脆弱性「ChaosDB」が見つかったことがきっかけだった。同社はChaosDBの発見者であるクラウドセキュリティベンダーWizと共同でChaosDBを公表した。

　他のクラウドベンダーは、ChaosDBのような重大な脆弱性を公表していない可能性がある。独立系セキュリティ研究者のケビン・ボーモント氏をはじめ、複数の専門家がこの問題についてミニブログサービス「Twitter」で指摘した。「『クラウドセキュリティの巨大なギャップ』のせいで、クラウドサービスの脆弱性に関する信頼できる情報源は、外部のセキュリティ研究者だけになってしまった」（ボーモント氏）

CVEに名を残すことの意義

　セキュリティ研究者にとって、脆弱性報告者としてCVEで実績を認められることは、キャリアでの大きなプラスになる。脆弱性を探し出すセキュリティ研究者であるバグハンターにとって、CVEに名を残すことは履歴書のような役割を果たし、公に功績を認められることにつながる。その結果、業界で名声が広まり、さらなる高収入の仕事を見つけるチャンスを獲得できる。

　だからといって「バグハンターの誰もが単純に富と名声を追求しているわけではない」と、トレンドマイクロの脆弱性発見コミュニティーZero Day Initiativeのコミュニケーションディレクターを務めるダスティン・チャイルズ氏は述べる。セキュリティ研究者が脆弱性を報告する動機は「さまざまだ」とチャイルズ氏は指摘。「公的な評価や金銭的報酬も、ベンダーに脆弱性を報告する者にとっては大きなインセンティブになる」と語る。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

印刷する

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Shaun Nichols

15年以上にわたる記者経験を持ち、まだスマートフォンがなかった時代から企業向けIT市場を取材してきた。組み込みシステム開発やスーパーコンピュータなど幅広い分野をカバー。米TechTargetの記事を執筆する傍ら、米エネルギー省（DOE）の研究所であるLawrence Berkeley National Laboratory（ローレンス・バークレー国立研究所）の出版物や企業IT情報サイト「The Register」にも寄稿している。サンフランシスコのベイエリアに住み、趣味は料理、ガーデニング、ビデオゲーム、スポーツ観戦。NFL（ナショナルフットボールリーグ）チーム「San Francisco 49ers」やMLB（メジャーリーグベースボール）チーム「San Francisco Giants」の大ファンだと自称する。