避けたい、脆弱性の悪用
Microsoftの脆弱性スキャナ「MBSA」の限界
MBSAは重大な脆弱性をシンプルかつ簡潔な形で提示してくれる。しかし市販の脆弱性スキャナと比べると、すぐに限界が見えてくる。
わたしはこのところ、Microsoft Baseline Security Analyzer（MBSA）と愛憎関係にある。最初は気に入らなかったが、そのうちセキュリティスキャンツールが気になり始めた。MBSAはより高いレベルのWindows、SQL Server、IISに関連する脆弱性のスナップショットを提示してくれる。これらはMicrosoftがテストを勧める最も重大な脆弱性であり、シンプルかつ簡潔な形で提示される（下図）。
図：MBSAのシンプルで完結なリポート表示《クリックで拡大》
MBSAにはまた、スクリプティング機能およびVisioと連係できる機能もある。これで脆弱性をネットワーク図の上に置いて見ることができる。Windows 7とWindows Server 2008 R2搭載のシステムでも実行可能だ。MicrosoftはShavlik Technologies（MBSAのコードを書いた会社）と提携し、Shavlik NetChk Limitedツールを通じてMicrosoftのレガシーソフトのサポートも提供している。
それはそれとして、わたしは自分の顧客に、Microsoftはセキュリティベンダーではなく、業界最高の脆弱性スキャンツール開発ビジネスに携わっているわけでもないとくぎを刺すことにしている。ここ数年でQualys、GFI Software、Rapid7などの各社が成長してきた理由はそこにある。MBSAを市販の脆弱性スキャナと比べてみれば、すぐにMBSAの限界が見えてくる。
以下は市販の脆弱性スキャナがMBSAの機能を上回る点だ。
- すべての（少なくとも大部分の）既知の脆弱性を、CVEの識別番号が付いたものも含めて検出できる。市販のスキャナが検出できるのは、Microsoftが最も重大と見なした問題のみにとどまらない
- 脆弱性を悪用して、スキャンでどんな情報が入手できるのかを見せてくれる
- 手の込んだパスワード破りを実行できる
- Linux搭載システム、ファイアウォール、スイッチ、無線AP、サードパーティーアプリケーションなど、ほかのネットワークホストの脆弱性も発見できる。Microsoftを中心とするソフトの脆弱性を見つけるだけにとどまらない
- より優れたリポートを提供してくれる
- トレンド分析、長期的な脆弱性管理の機能がある
MicrosoftはMBSAを中堅・中小企業（SMB）向けと位置付けている。つまり真のエンタープライズツールとは考えていない。しかし現実として、SMBにもエンタープライズレベルの脆弱性があり、エンタープライズ対応のツールが必要だ。MBSAは手始めとしては結構だが、長期的な防御のためにはサードパーティーツールが最善の選択だ。
MBSAはフル機能を備えた脆弱性スキャンツールではなく、これをあてにして自社環境で重大な脆弱性をすべて発見できると思ってはならない。もし導入する場合は、購入リストから脆弱性スキャナを外す前に、自分が何に踏み込むのかを知り、限界を認識することだ。脆弱性を見落として悪用されるようなことだけは避けたい。
本稿筆者のケビン・ビーバー氏は米Principle Logicの情報セキュリティコンサルタント。執筆、講演も手掛ける。専門は独立した立場からのセキュリティ評価。情報セキュリティ分野の著書、共著書に『Hacking For Dummies』『Hacking Wireless Networks For Dummies』（Wiley）などがある。情報セキュリティのオーディオブック『Security on Wheels』も手掛け、IT専門家向けのブログを執筆している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
旭中央病院に学ぶ「ITデバイス活用促進」 VDI／MDM併用アプローチで得た効果は -
事例
ソフトウェアテスト・QAサービス導入事例集：大手電機メーカーから開発会社まで -
製品資料
アプリケーション開発現場で頻発 品質低下を招く“3つの問題”とは？ -
製品資料
AIエージェントが本番DBを9秒で削除した事例も AI活用と権限管理の課題とは？ -
事例
SaaS型ERP導入で失敗しないためには？ 事例に学ぶ大規模刷新のポイント
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
取手市がVDIと決別した理由 更改費用「4倍超」を約1.7倍に圧縮
-
2
「HDD終了」は本当か 巨大クラウド2社が下した大容量フラッシュへの決断
-
3
AIで人を減らした企業がもう心変わり 「AIブーメラン現象」の実態
-
4
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
5
ただなのに「12時間以内の復旧」も要求 無償OSSに商用レベルを求める企業の末路
-
6
レガシー基幹システムをSAPに統合 山善が突き止めた「標準化と個別最適」の境界線
-
7
Claude Codeでは「エージェントを作るな、スキルを作れ」 Anthropicが示すAI構築術
-
8
10年かけてBIを再構築したアマノの一手 「権限がない」「予算がない」でもDXは動かせる
-
9
人気のプログラミング言語「Rust」と「Python」の違いは何か？
-
10
Claudeの不可視透かしに批判殺到 著作権消失や誤判定に潜む企業リスク
ホワイトペーパーランキング PR
-
1
セキュリティソフトをすり抜ける標的型攻撃メール、不審メールの見破り方とは？
-
2
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
3
属人化や仕様バグはなぜ起きる？ AI時代に必須のドキュメント文化の作り方
-
4
商用利用の安全性を確保し大量のコンテンツを高速で生成する、AI活用の秘訣
-
5
財務を戦略的組織へ進化させるAI活用術、4つの主要な障壁と解消方法
-
6
中小企業必見、Microsoft 365でゼロトラストセキュリティを実現する方法
-
7
5分で分かる「AI駆動開発エージェント」 要件定義から設計・実装・テストまで
-
8
動画で知るランサムウェア被害企業のリアル、会計データが無事だった理由とは
-
9
年収2000万「クラウドセキュリティのプロ」になれる資格とは
-
10
NTTドコモが実践したクラウド統合監視 業務量2倍でも残業削減を実現できた理由
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー