脆弱性対策とは？　いまさら聞けない基礎知識

脆弱性対策に関する用語解説の記事を紹介します。製品／サービス選定の参考にご覧ください。

脆弱性対策に必要なプロセスとは

　攻撃者は脆弱性を

ソフトウェアに外部から不正な文字列を入力して侵害する「インジェクション攻撃」
バッファ（データを一時的に格納するメモリ領域）に許容量を超えるデータを書き込み、侵入の糸口にする「バッファオーバーフロー攻撃」

といった、さまざまなサイバー攻撃手法に悪用する。脆弱性が発覚してから、その脆弱性が解消されるまでの期間を狙うサイバー攻撃を「ゼロデイ攻撃」と呼ぶ。

脆弱性対策の5つのプロセス

　脆弱性対策は、ハードウェアやソフトウェアの攻撃経路になり得る欠陥を特定し、分析、対処する手法で構成される。脆弱性対策は、一般的には以下のプロセスを踏む。

1．脆弱性の診断
- ネットワークの定期的なスキャンや、ファイアウォールのログの記録、実際にシステムに侵入して脆弱性を確認するペネトレーションテスト、脆弱性スキャンなどを実施する。脆弱性の診断（脆弱性評価）やその自動化には、脆弱性スキャンツールを利用できる。業務プロセスに潜む脆弱性を特定するには、ペネトレーションテストが必要だ。このような脆弱性はネットワークやシステムをスキャンしても検出できるとは限らない。
2．脅威の特定
- 脆弱性の診断結果に基づき、セキュリティの脆弱性を悪用する可能性があるマルウェアや攻撃手法といった脅威を特定する。
3．リスクの検証
- 特定した脆弱性がサーバやアプリケーション、ネットワークなどのシステムで悪用される可能性があるかどうかを調べ、脆弱性の深刻度と企業にもたらすリスクを分析する。
4．リスクへの対処
- セキュリティパッチが利用できるようになるまでの期間で、脆弱性が悪用されるのを防ぐ「リスク軽減」の方法を見つけ出す。システムの重要度が高くない場合には、影響のある部分をオフラインにするといった「リスク回避」の策を実行したり、何も対処しない「リスク受容」の判断をしたりする。
5．セキュリティパッチ適用
- 脆弱性が発覚したハードウェアやソフトウェアのベンダーからセキュリティパッチを入手して適用する。セキュリティパッチ管理ツールを使用すれば、セキュリティパッチの適用を自動化できる。このプロセスではセキュリティパッチのテストも実施する。

なぜ脆弱性対策が必要なのか

　攻撃者は、組織のITシステムの脆弱性を常に探している。悪用可能な脆弱性を発見すると、システムへの侵入や企業データへのアクセス、業務運営の妨害を試みる。さまざまなシステムやアプリケーションを保有する大規模な組織では、一つの脆弱性が組織全体への攻撃のきっかけとなる可能性がある。

　医療機関や金融機関は、法律や条例で脆弱性対策が求められる場合がある。HIPAA（医療保険の相互運用性と説明責任に関する法律）、金融機関の情報管理やプライバシー保護の要件を定めるGLBA（グラム・リーチ・ブライリー法）、クレジットカード業界のセキュリティ基準のPCI DSS（Payment Card Industry Data Security Standard）といった法律や業界規制は、脆弱性対策の実践を義務付けている。国際標準化機構が策定した情報セキュリティマネジメントシステム（ISMS）の国際規格「ISO/IEC 27001」も、脆弱性対策を要求している。

脆弱性対策の仕組み

　上述のように脆弱性対策は単一のタスクではなく、ITセキュリティチームが継続的に実施する複数のステップからなるプロセスだ。未適用のパッチや設定ミス、保護されていない機密データなどの問題を調査する脆弱性診断に加えて、実際に攻撃が起こった時のリスクを測定するために、システムの脆弱性を意図的に悪用して検証するペネトレーションテストも含まれる。

　脆弱性スキャンとペネトレーションテストの結果を用いて、潜在的な脅威を評価するため脆弱性評価を実施する。特定された脆弱性に関する情報は脅威インテリジェンスソフトウェアに取り込まれ、攻撃を受けた場合の影響の大きさや脆弱性の悪用の可能性に基づいてスコア化される。例えばシステムでリモートコードの実行を可能にする未適用のパッチは、高リスクと判断される可能性が高い。

　セキュリティチームは、脆弱性の性質に合わせてさまざまな対策を講じ、検出された問題の優先順位付けと修復を実行する。組織のセキュリティチームは、脆弱性が発見されたシステムを担当するIT運用チームに対して、修復を依頼する。IT運用チームが修正パッチを適用した後に、セキュリティチームは脆弱性が適切に修正されたことを確認するためのスキャンを実行する。

　脆弱性対策のプロセス全体を通じて、脆弱性の発見や修復の状況は追跡できるようにする。こうすることで組織のセキュリティリーダーと経営幹部は、セキュリティリスクの低減とコンプライアンスのための取り組みをリアルタイムで把握できる。

脆弱性対策で発生しがちな問題とは

　脆弱性対策のプロセスは、必ずしも順調に進むとは限らない。組織が対策を実施するときに直面する一般的な課題を以下に挙げる。

資産目録の欠如
- 組織内で利用する全てのITシステムを把握できていない場合、確実な脆弱性スキャンが困難になる。
リソースの優先順位付け
- スキャンの結果、システムの脆弱性が数千個規模で発見される場合がある。どの脆弱性を最初に修正すべきかの判断には、セキュリティ担当者のスキルや優先順位付けのプロセスが必要となる。
チーム間の連携
- 脆弱性の確実な修復にはセキュリティチームとITチームの協力が必要だ。プロセスの不備やコミュニケーション不足がその妨げとなることがある。
手作業への依存
- 脆弱性の発見や修復で手作業のタスクが生じると、属人化や問題解決の遅延を招く。
ツールの乱立
- 連携されていない複数の脆弱性対策ツールが組織内で利用されると、業務プロセスが複雑化したり、セキュリティリスクの可視性が低下したりする可能性がある。
脆弱性の把握の困難さ
- 特に大規模組織では、複雑なシステム構成により、組織全体の脆弱性を一元的に把握しづらくなる。
攻撃対象の継続的な変化
- 新たな脆弱性が継続的に発生するため、組織におけるシステムの監視と管理のプロセスはますます複雑化する。