AI時代を見据えたアプリケーションセキュリティの再考

前回のコラムでは、フロンティアAIというテーマを取り上げ、ベンダーが謳う本物のAI機能とマーケティング上の誇大表現を、企業がどう見分ければよいかについて論じました。その記事では、企業が自社アプリケーションに関して、脆弱性の特定・緩和・パッチ適用のペースがますます加速する中で、それに追いつけなくなるのではないかという懸念を抱いている点にも触れました。今回はこのテーマについて掘り下げてみたいと思います。

2018年、攻撃者が脆弱性を武器化するまでにかかった時間は平均771日でした。それが2026年には、わずか4時間にまで短縮される見込みです。つまり攻撃者は、AIをはじめとする各種技術を活用することで、脆弱性を悪用するまでのスピードを飛躍的に高めているのです。攻撃者による脆弱性発見・エクスプロイト開発・攻撃実行のペースがこれほど加速している中で、企業は自社と、顧客に提供するアプリケーションをどのように守ればよいのでしょうか。

端的に言えば、パッチ適用のサイクルが月や年ではなく分や時間の単位で測られる時代に、企業がそのペースに追いつけると考えるのは現実的ではありません。とはいえ、自社アプリケーションのセキュリティに関するリスクへのエクスポージャーを抑え、緩和するためにできることはまだ数多くあります。網羅的なリストではありませんが、この新たな現実がもたらすエクスポージャーとリスクを管理する上で役立つと考えられる提言をいくつかまとめました。

• 正確なインベントリの把握：存在を知らないもの、見えていないものを守ることはできません。だからこそ、可視化と発見がこのプロセスの土台として極めて重要になります。自社のアプリケーション、そのAPI、AIコンポーネントを把握したら、そのインベントリを綿密に追跡・管理・保護しなければなりません。以下に挙げる提言の多くは、このインベントリを前提としています。エンタープライズにおけるアプリケーションセキュリティ確保に関わる他の多くの取り組みも同様です。
• 継続的なリスク評価：私たちの多くは、アプリケーションが企業にもたらすリスクを四半期ごと、半期ごと、あるいは年に一度評価するという世界で育ってきました。かつてはそれで妥当だったかもしれませんが、今の時代にはあまりに悠長なペースです。パッチ適用のスピードに追いつけない以上、リスク緩和の取り組みを他の手段で補強する必要があります。アプリケーションのリスクプロファイルを継続的に評価し理解することは、リスク緩和のためにどのような他の手を打てるかを把握する上での基本となります。
• 継続的な脆弱性スキャン：アプリケーションへのパッチ適用を検討する以前に、そもそもどのような脆弱性が存在するのかを把握し理解しなければなりません。そこから、限られたリソースで最大限のリスクを緩和できるよう、トリアージと優先順位付けを行います。しかしこれには、自社アプリケーションの脆弱性に関する情報が継続的に流れてくる仕組みが必要です。アプリケーションを定期的にスキャンして脆弱性を洗い出していなければ、加速し続ける攻撃者のペースに追いつく戦いにおいて、時間的にも状況的にも後れを取ることになります。
• パッチ適用サイクル：パッチを適用できる状況が整った際には、そのプロセスをできる限り負担が少なく効率的なものにする必要があります。つまり、プロセスを合理化し、技術面・組織面のハードルを取り除き、チームが確実に成果を出せる体制を整えるということです。業界全体が、より定期的なパッチ適用サイクルへと移行していくのは間違いなさそうです。そうなれば、失われる時間の一つひとつが、これまで以上に顕著で、目に見えて、痛みを伴うものになります。企業はこうした痛みを先回りして想定し、より高い頻度でのパッチ適用に備えておく必要があります。
• 脅威インテリジェンス：不意を突かれることや予期せぬ事態は、セキュリティに限らずどんな分野でも仕事を難しくします。脆弱性とパッチ適用をめぐる変化がこれほど急速な業界であれば、なおさらです。企業が備えを整えられないまま不意を突かれる場面は今後もなくならないでしょうが、そうした機会は極力減らすべきです。成熟した厳格な脅威インテリジェンスプログラム(自社運用でも外部委託でも)があれば、企業は新たなトレンドや差し迫った変化を把握できます。それによって事前の備えが可能になり、不意を突かれる回数を最小限に抑えられます。
• 予防的コントロールの強化：前述の通り、パッチ適用のペースに追いつけない企業は、それを補うために他の手段を講じる必要があります。その一つが、実績のある手法である予防的コントロールです。今こそ企業は予防的コントロールを見直し、十分に強化されているかを確認する好機です。そうすることで、エクスポージャーを減らし、未パッチのアプリケーションが悪用されるリスクを緩和できます。
• ランタイムセキュリティ：同様に、検知的コントロールとランタイムセキュリティも、パッチ適用のペースに追いつけない企業を補う手段になり得ます。ランタイムセキュリティの緩和策を徹底するには、アプリケーションスタックのあらゆる層をカバーすることを忘れてはなりません。ここで重要になるのが、シグネチャへの依存から脱却し、未知の攻撃を検知できる能力へと移行することです。この能力は、大規模言語モデル(LLM)や自然言語プロンプトに対するランタイム保護も含め、アプリケーション層、API層、AI層のすべてで求められます。
• エージェント：エージェント型AIがもたらす影響については、業界内でもかなりの議論が交わされています。その影響の全容はまだ見えていない部分がありますが、エージェントが機能、脆弱性、機密データの露出といった事柄を発見するスピードが極めて速いことは明らかです。企業は、上記の対策を活用してアプリケーションセキュリティ全般のリスクを緩和すると同時に、エージェントが暴走した場合への適切な備えも整えておく必要があります。これには、アプリケーション層でのDDoS対策、ボット対策、悪意あるユーザーの検知、エージェントの動作に対する可視性の確保、そして継続的な活動監視といった組み合わせが考えられます。

フロンティアAIは、セキュリティ業界がここしばらく目にしてきたトレンドを一気に加速させました。脆弱性の公表からエクスプロイトまでの時間は、かつての月や年単位ではなく、今や分や時間の単位で測られるようになっています。企業がこれほど高頻度でパッチを適用するのは現実的ではないものの、リスクとエクスポージャーを緩和するために講じられる手段は数多くあります。適切な計画と実行があれば、脆弱性の発見・公表・悪用が加速する中でも、企業は自社のアプリケーションを守り続けることができるでしょう。

翻訳元: https://www.securityweek.com/rethinking-application-security-for-the-ai-era/