ITにおける脆弱（ぜいじゃく）性とは、ソフトウェアに含まれる、セキュリティ侵害の起点になり得る欠陥を指す。侵入者は脆弱性をサイバー攻撃経路として悪用することで、標的のシステムで悪意のあるプログラム（マルウェア）の実行や、メモリへのアクセスができるようになる。（続きはページの末尾にあります）
IT運用のアウトソーシングはさまざまなリスクを招きかねない。英国の法律事務所もそのわなにはまってしまった。同社の失敗から何を学ぶべきか。
数多くの組織が利用する「Firefox」や「Windows」の脆弱性を連鎖させてシステムに入り込む攻撃について、ESETは警鐘を鳴らしている。その手口とはどのようなものなのか。
システムが多様化したりインターネット接続が増えたりすると、侵入口になる「攻撃対象領域」（アタックサーフェス）も広がる。アタックサーフェスを管理し、攻撃を受けるリスクを減らすにはどうすればいいのか。
ビジネスに溶け込みつつある「ChatGPT」は、サイバー犯罪者にとっても“便利なツール”なので注意が必要だ。ChatGPTはどのように悪用されているのか。調査から読み解く。
企業において、従業員の生成AIの利用による情報漏えいや権利侵害、生成AIを悪用した攻撃といったセキュリティリスクに備えるには、適切なセキュリティポリシーを設ける必要がある。効果的な防衛策を築く方法は。
APIは便利さだけではなく、リスクももたらす可能性がある。何に注意すべきなのか。APIを利用する際の3つのリスクと対策を紹介する。
企業は自社アプリケーションのAPIを公開する際、さまざまなセキュリティのリスクを想定して対策を講じなければならない。具体的にはどうすればいいのか。
「Python Package Index」（PyPI）を使ったアプリケーションが攻撃者に狙われる可能性がある。悪用されるのはどのような脆弱（ぜいじゃく）性なのか。
「YouTube」で活発化している暗号資産投資の詐欺。詐欺師はどのような仕組みでユーザーをだましているのか。その被害の実態とは。
老朽化したシステムやそこに存在する脆弱性を取り除くことは一筋縄ではいかない。組織がレガシーシステムを利用するに当たって押さえるべきポイントを解説する。
攻撃による被害を防ぐためには、その入り口になり得る「Windows」のセキュリティを強化することが重要だ。具体的に何をすればいいのか。Windowsセキュリティの専門家に秘訣を聞いた。
「Windows」を安全に使い続けることは簡単ではない。攻撃を受けても実害を出さないようにするためには、何をすればよいのか。Windowsセキュリティの専門家に聞いた。
事業の基盤となる4つの要素からリスクを把握することで、企業を取り巻くリスクの全容やその関係性の把握に役立つ。本稿は、技術と設備の面から見たリスクを解説する。
重大なバグが発生したとき、ビジネス活動に欠かせないシステムを守りたいとIT担当者は考える。ただし、せっかちな対処は逆効果を招く恐れがある。どうすればいいのか。
MITRE ATT&CKを活用すればセキュリティが向上する。だが多くの企業はMITRE ATT&CKを使いこなせていない。その残念な理由と使いこなすための解決策を紹介する。
国家が関わっている複数のハッカー集団が「Apache Log4j」の脆弱性「Log4Shell」を使い、攻撃を仕掛けている。今「誰」が「どう」動いているのか。
MicrosoftやAppleの製品に脆弱性が見つかりパッチが公開されたが、ユーザー企業の適用に遅れが出る可能性がある。防御策の妨げになるのは、話題の“あの脆弱性”だ。
英国陸軍は軍人10万人にImmersive Labsのセキュリティ教育を受けさせ、サイバー攻撃に対抗するためのスキルを高める。内部に「セキュリティ専門家」を育てる英国陸軍の狙いは。
企業はインターネットで自社について説明するさまざまな情報を公開しているため、システムに侵入されるリスクが高まる。どうすればいいのか。Linuxセキュリティの専門家に聞いた。
米国で官民連携によって幅広く脆弱性情報を収集し、サイバー攻撃を未然に防ぐことを目指したプログラムが始動した。クラウドソーシングを使い、脆弱性の報告者に報酬を支払うこの仕組みはどのようなものか。
攻撃者は脆弱性を
といった、さまざまなサイバー攻撃手法に悪用する。脆弱性が発覚してから、その脆弱性が解消されるまでの期間を狙うサイバー攻撃を「ゼロデイ攻撃」と呼ぶ。
脆弱性対策は、ハードウェアやソフトウェアの攻撃経路になり得る欠陥を特定し、分析、対処する手法で構成される。脆弱性対策は、一般的には以下のプロセスを踏む。
攻撃者は、組織のITシステムの脆弱性を常に探している。悪用可能な脆弱性を発見すると、システムへの侵入や企業データへのアクセス、業務運営の妨害を試みる。さまざまなシステムやアプリケーションを保有する大規模な組織では、一つの脆弱性が組織全体への攻撃のきっかけとなる可能性がある。
医療機関や金融機関は、法律や条例で脆弱性対策が求められる場合がある。HIPAA（医療保険の相互運用性と説明責任に関する法律）、金融機関の情報管理やプライバシー保護の要件を定めるGLBA（グラム・リーチ・ブライリー法）、クレジットカード業界のセキュリティ基準のPCI DSS（Payment Card Industry Data Security Standard）といった法律や業界規制は、脆弱性対策の実践を義務付けている。国際標準化機構が策定した情報セキュリティマネジメントシステム（ISMS）の国際規格「ISO/IEC 27001」も、脆弱性対策を要求している。
上述のように脆弱性対策は単一のタスクではなく、ITセキュリティチームが継続的に実施する複数のステップからなるプロセスだ。未適用のパッチや設定ミス、保護されていない機密データなどの問題を調査する脆弱性診断に加えて、実際に攻撃が起こった時のリスクを測定するために、システムの脆弱性を意図的に悪用して検証するペネトレーションテストも含まれる。
脆弱性スキャンとペネトレーションテストの結果を用いて、潜在的な脅威を評価するため脆弱性評価を実施する。特定された脆弱性に関する情報は脅威インテリジェンスソフトウェアに取り込まれ、攻撃を受けた場合の影響の大きさや脆弱性の悪用の可能性に基づいてスコア化される。例えばシステムでリモートコードの実行を可能にする未適用のパッチは、高リスクと判断される可能性が高い。
セキュリティチームは、脆弱性の性質に合わせてさまざまな対策を講じ、検出された問題の優先順位付けと修復を実行する。組織のセキュリティチームは、脆弱性が発見されたシステムを担当するIT運用チームに対して、修復を依頼する。IT運用チームが修正パッチを適用した後に、セキュリティチームは脆弱性が適切に修正されたことを確認するためのスキャンを実行する。
脆弱性対策のプロセス全体を通じて、脆弱性の発見や修復の状況は追跡できるようにする。こうすることで組織のセキュリティリーダーと経営幹部は、セキュリティリスクの低減とコンプライアンスのための取り組みをリアルタイムで把握できる。
脆弱性対策のプロセスは、必ずしも順調に進むとは限らない。組織が対策を実施するときに直面する一般的な課題を以下に挙げる。
ITmediaはアイティメディア株式会社の登録商標です。
