マイクロソフトがAIを背景にセキュリティパッチ適用のガイダンスを加速させる中、CISOはレジリエンスとのトレードオフに直面しています。他ベンダーも追随する可能性があります。
マイクロソフト365のディレクターであるJeremy Chapman氏は今月、動画でWindows管理者に向けて、セキュリティパッチの適用を先延ばしにできる時代は終わったと語りました。
複雑な企業システムや、過去に発生したパッチ関連の障害事例により、多くの管理者はセキュリティパッチの即時適用を控えてきました。安定性を確保するため、パッチの展開を2週間から4週間、あるいはそれ以上先延ばしにするケースも少なくありません。マイクロソフトは、こうした慎重な姿勢は理解できるものの、AIによってソフトウェアの脆弱性発見と悪用のスピードが加速している以上、もはや通用しないと主張しています。
その結果としてマイクロソフトは、管理者に対しパッチ公開から3日以内の対応を求めるようになりました。
AIによる脆弱性発見がもたらす問題についてのマイクロソフトの見立てには、独立系の専門家たちも同意しています。しかし、大規模なテストや変更管理、互換性の制約を抱える大企業にとって、3日という改善期限は非現実的だと指摘する声も多く上がっています。
マイクロソフトの改訂版アプローチを批判する専門家によれば、企業は一律のアプローチを取るのではなく、実際に悪用されており、かつ自社の環境に関連性の高い脆弱性を、迅速に解決することにより重点を置くべきだといいます。
厳格化するパッチ適用期限
マイクロソフトによる脆弱性修復に関する改訂版ガイダンスは、Anthropic社のProject Glasswingとの協業や、マイクロソフト独自のマルチモデル・エージェント型スキャンハーネス「MDASH」から得られた知見を踏まえたものです。厳格化されたパッチ適用期限は、Windows AutopatchやMicrosoft Intune、あるいはMicrosoft Configuration ManagerやWindows Server Update Servicesといった更新管理ツールを通じて設定可能です。
IT環境がますます複雑化する中、一見単純に見えるパッチであっても、意図しない不具合が発生することがあります。
独自性の高い、あるいは複雑な構成の環境では、パッチとの互換性が確保できず、データ破損やシステムの停止、あるいは悪名高い「ブルースクリーン・オブ・デス」を引き起こす可能性があります。OSベンダーや企業向けソフトウェア・セキュリティ市場の複数のベンダーが、製品を壊したり障害を引き起こしたりするパッチをリリースしてきた実績があり、この問題はWindows環境に限った話ではありません。
ほとんどのセキュリティチームは、パッチ適用の量と速度を同時に引き上げることに耐えられません。というのも、組織はすでに修復対応に苦戦しているのが実情だからです。
「多くの組織は、こうした問題を本番環境へのパッチ適用前に洗い出すため、パッチ適用ウィンドウやレビューサイクル、テスト環境を設けています」と、エクスポージャー管理・脆弱性評価企業Tenableのシニアリサーチマネージャー、Scott Caveza氏は述べています。「拡張的な検証に割くリソースを持たない組織は、ダウンタイムや直前の設定変更を余儀なくさせる欠陥のあるパッチを展開してしまうリスクを負うことになります」
Caveza氏はさらにこう付け加えます。「緩和策は組織ごとに異なりますが、文脈に応じた検証を行わずに自動更新に盲目的に頼ることは、擁護できるセキュリティ体制とはいえません」
CISAの「既知の悪用された脆弱性」リストや他の業界データを見ると、公開された脆弱性のうち実際に悪用が確認されているのはごく一部にとどまることがわかります。
「[企業が注力すべきは]信頼性が高く実際に機能するPoC(概念実証)が存在する脆弱性、悪用が確認された脆弱性、あるいはランサムウェアグループや脅威アクター、ボットネットから継続的に注目されている脆弱性を特定することです」と、VulnCheckのセキュリティリサーチ担当バイスプレジデント、Caitlin Condon氏は述べています。「タイムリーなエクスプロイト・インテリジェンスがあれば、組織は即座に対応が必要なバグを見極めることができ、リスクの低い問題については適切なテストと変更管理のプロセスを経て対応することが可能になります」
他方で、AIによって脆弱性の発見とエクスプロイト開発がかつてないほど高速化しており、その結果としてパッチ適用を遅らせるリスクがはるかに大きくなっているというマイクロソフトの主張に、より理解を示す独立系専門家もいます。
「組織は、重要なシステムの稼働率を守るためにパッチ適用を遅らせることがありますし、多くの更新プログラムは依然として再起動を必要とします」と、エンドポイント保護技術ベンダーThreatLockerのCEO兼共同創業者であるDanny Jenkins氏は述べています。「一部のチームは、新しいパッチがバグを持ち込んだり、見落としていた依存関係を壊したりすることを懸念し、あえて更新サイクルを1回分遅らせています。しかし残念なことに、稼働率維持を理由にパッチ適用を遅らせることは、正当化がますます難しくなってきています」
Jenkins氏はさらにこう付け加えます。「組織は、次のメンテナンスウィンドウを待つ間、重要なシステムを危険にさらしたままにすべきではありません。パッチのテストは依然として必要ですが、そのプロセスは迅速に進める必要があり、実際に悪用されている、あるいはインターネットに露出している脆弱性には最優先で対応すべきです。制御された形での中断は、既知の脆弱性を突かれた攻撃の成功による被害に比べれば、たいていの場合、はるかにコストが低く済みます」
業界全体への広がる影響
マイクロソフトの「3日以内」という提言は、脅威の状況における根本的な変化を映し出しています。他のベンダーもこれに追随することが予想され、CISOは脆弱性修復へのアプローチを見直す必要に迫られています。
「今後は、脆弱性の公開から悪用までの時間がますます短縮されることを前提とすべきです。つまり、セキュリティプログラムは定期的なメンテナンスウィンドウに頼るのではなく、自動化と信頼できるソフトウェアサプライチェーン、そして継続的な可視性を重視する必要があります」と、DigiCertのVP兼フィールドCTOであるMike Nelson氏は述べています。
AIは脆弱性の発見から悪用までの時間を圧縮しており、業界全体が30日、60日、90日単位のパッチ適用ウィンドウから、数日単位へと急速に移行しつつあります。
しかし、「あらゆる脆弱性に対して一律に3日以内の対応を求めることは、大半の大企業にとって現実的でも安全でもありません」と、Contrast Securityの創業者兼CTOであるJeff Williams氏は指摘します。
パッチを適用しなければセキュリティ上の脅威にさらされますが、十分にテストされていないパッチを性急に本番環境へ投入することは、運用上のリスクを生み出します。
「すべてのCVE(脆弱性)を緊急事態として扱うことが目的であってはなりません」とWilliams氏は述べます。「目指すべきは、どの脆弱性が実際に悪用可能で、即座の対応が必要なのかを、数時間以内に見極めることです」
セキュリティチームはすでに、より速いパッチ適用と、増え続ける新規脆弱性への対応という大きなプレッシャーに直面していますが、多くの実務者は後手に回っています。今年発表されたVerizonのデータ侵害調査報告書によれば、パッチ適用までの中央値は実際には43日にまで増加していることがわかりました。
企業環境におけるパッチ展開には、設定変更、レビュー、テスト、検証といったプロセスが伴います。
企業は、自社環境をホリスティックに把握し、どの資産が最も高いリスクにさらされているのかを特定できるようにするためにも、エクスポージャー管理の習熟度を高める必要があります。
「自社環境に最も大きなリスクをもたらす設定ミスやID関連の欠陥、特定の脆弱性を的確に洗い出すことで、セキュリティチームは何を最優先でパッチ適用すべきかを判断できます」とTenableのCaveza氏は述べます。「『すべてにパッチを当てる』という発想はもはや時代遅れですし、毎日公開される脆弱性の数が急増している以上、『より速くパッチを当てる』という発想も現実的ではありません」
CISOは、自社の脆弱性・エクスポージャー管理プロセスを再設計する必要に迫られています。「すべてをスキャンし、汎用的な深刻度スコアを割り当て、膨れ上がり続けるバックログに立ち向かうという従来型のモデルは、もはや十分な速さではありません」と、Contrast SecurityのWilliams氏は述べています。
組織は、本当に重要な少数の脆弱性を特定し、それらから直ちに保護を講じたうえで、事業が安全に許容できるタイムラインに沿って修復していく必要があります。
企業が優先的に対応すべきは、「インターネットに露出しており、リモートから悪用可能な脆弱性、そしてCISAの既知の悪用された脆弱性リストに掲載されている脆弱性」だと、IEEEのシニアメンバーであるJose Lejin氏は述べています。
3日以内にパッチを安全に検証・展開できない企業にも、依然として取りうる選択肢はあります。脆弱性管理プロバイダーBrinqaのCSOであるBrad Hibbert氏は、「代替的な制御策の導入、対象資産の露出範囲の縮小、場合によってはそのコンポーネント自体を完全に取り除くことも含まれます。いずれも悪用可能なリスクを縮小し、適切にパッチを適用するための時間を稼ぐことにつながります」と述べています。
