あなたのモバイルアプリに潜むものとは? Lookout MSECが解明を目指す

モバイルデバイスは深刻なセキュリティ問題を抱えています。セキュリティの境界線の外側で稼働しており、セキュリティチームの目が届かないのです。どのアプリケーションがデバイスに存在するかはセキュリティチームも把握しているかもしれませんが、それらのアプリケーションを構成するコンポーネントや依存関係、さらにはそのコンポーネント内に潜む脆弱性まで理解していることはほとんどありません。

LookoutのCEOであるJim Dolce氏は一例としてWolfSSLを挙げました。WolfSSLは、ANSI Cで記述された小型・高速・可搬性の高いSSL/TLSライブラリで、主にメモリに制約のあるデバイス向けに設計されており、10億台を超えるデバイスに搭載されています。「モバイルデバイスにオンラインバンキング用のアプリが入っている場合、そのアプリはおそらくWolfSSLを使用しています。これには非常に深刻な脆弱性があります。悪意ある攻撃者に悪用されれば、銀行になりすますことが可能になり、利用者が認証情報を入力すると、その銀行の認証情報が盗まれてしまいます」

このWolfSSLの脆弱性を発見し公表したのはMythos Glasswingプロジェクトです。つまり、攻撃者側はこの銀行アプリが脆弱である可能性を把握していますが、セキュリティチームは従業員がこのアプリを使用していることを把握しているでしょうか。

「アプリケーションの名前とバージョンを知るだけでは、そのリスクプロファイルのごく一部しか把握できません」とLookoutは説明します。「セキュリティチームには、表面下に埋め込まれたソフトウェアコンポーネント、依存関係、脆弱性への可視性が必要です」

これを実現するのが、同社が新たに発表したMobile Security Exposure Center(MSEC)です。組織が抱える膨大な数に上りうるモバイル機器群について、単に「概要」を把握するのではなく、完全な可視性を提供します。簡単に言えば、MSECはフリート内のすべてのデバイスを調査し、どのアプリが存在するかを把握します。その上で、各アプリのバイナリから独自のソフトウェア部品表(SBOM)を生成します。

このSBOMから、アプリ内のあらゆるコンポーネントを把握し、それらのコンポーネントを既存の脆弱性データベース(KEVリストなど)と照合します。その結果は組織のCTEM(継続的脅威エクスポージャー管理)に取り込まれ、セキュリティチームが必要な修復措置を講じる際の助けとなります。

「このシステムは、どのアプリがWolfSSLを使用しているか、そのアプリのバージョン、そのアプリを使用しているユーザーとデバイスを特定します。これらの情報はすべて、エクスポージャーの修復に活用できます。つまりMSECは基本的にエクスポージャーを特定し、その情報を提供するのです」とDolce氏は続けました。これは、モバイルデバイス上のすべてのアプリの、あらゆるソフトウェアコンポーネントに適用されます。

MSECは、Lookoutが既に提供しているAI Visibility & Governance製品を補完するものでもあります。「AI Visibility & Governanceが企業全体のAI導入・利用状況の把握を支援する一方で」とLookoutは述べています。「MSECはそれらのアプリケーションのソフトウェア構成とエクスポージャープロファイルを明らかにします。両者を組み合わせることで、アプリケーションのリスク、セキュリティ、ガバナンスをより包括的に把握できるようになります」

その結果として、「事後対応型のアプリケーション管理から、事前対応型のエクスポージャー管理への転換」が実現するとしています。

ただし、ここには小さな課題があります。MSECは、SBOM生成の過程で発見したアプリのコンポーネントを、既存の脆弱性データベースと照合します。先に挙げたのはその一つ、CISAが作成するKEVリスト、すなわちKnown Exploited Vulnerabilities Catalog(既知の悪用済み脆弱性カタログ)です。この名称自体が課題を示唆しています。「既知の」脆弱性である点です。脆弱性データベースには、未知の脆弱性を含めることはできません。つまり、MSECは既知の脆弱性の修復には役立ちますが、新たな最先端AIモデルが新種の脆弱性を発見する可能性は常に残ります。

Lookoutは当然この点を認識しており、対策も講じています。

「悪意ある攻撃者は、例えばMythosのような最先端AIモデルを使って脆弱性を発見し、悪用することができます」とDolce氏も同意します。「それが最先端AIモデルの攻撃的な使い方です。ですがLookoutも同じモデルを防御的に活用できます。私たち自身が最先端モデルを用いてSBOM全体から未知の脆弱性を発見することで、KEVをはじめとする既存の脆弱性データベースの先を行くことができます。それがMSECの次の進化形になるでしょう」

さらに同氏はこう続けました。「私たちは自社のSBOMを活用し、最先端AIモデルを防御的に用いて未知の脆弱性を自ら発見し、それらもカタログ化していきます」

しかし、そのすべての出発点となるのは、企業のモバイル機器群全体にわたるアプリの棚卸しを把握すること、フリート内の全アプリについて正確なSBOMを作成すること、そしてアプリのコンポーネントを既知の脆弱性データベースと照合することです。その上で同氏はこう付け加えました。「最後のステップは、攻撃者側が攻撃的に使用しているのと同じ最先端AIモデルを防御的に用いて、未知の脆弱性を発見することです」