Microsoftが警告：パッチ適用の猶予期間が急速に縮小、ネットワークレベルでの封じ込めへの転換を促す

Microsoftは、脆弱性の公表から悪用までの時間が企業側の安全なパッチ適用スピードを上回るペースで縮小しており、パッチ適用までの猶予期間が急速に狭まっていると警告しています。同社は、そのギャップの間にエクスポージャーを抑えるため、ネットワークレベルの制御策を導入するよう組織に呼びかけています。

ブログ記事の中で、MicrosoftのAzure Networking担当コーポレートバイスプレジデント兼ゼネラルマネージャーであるIgor Sakhnov氏は、従来型の脆弱性管理モデルは「もはや存在しない世界を映し出すものになりつつある」と述べ、現代の攻撃タイムラインが圧縮される一方で企業側のプロセスは変わっていないと指摘しました。

Sakhnov氏は「脆弱性が公表された際、組織にはその問題を理解し、影響を受けるシステムを評価し、パッチをテストし、変更のタイミングを調整したうえで、広範な悪用が始まる前に修正を展開するだけの時間がありました」と述べ、「しかし今日、そのタイムラインは急速に縮小しています」と付け加えました。

パッチ適用の複雑さは変わらぬまま、攻撃タイムラインは圧縮

Microsoftによれば、脆弱性は「かつてないほど可視化され、広く拡散し、急速に兵器化される」ようになった一方で、企業環境はハイブリッド環境やマルチクラウドインフラにまたがるなど、ますます複雑化しています。

Sakhnov氏は「現代の攻撃キャンペーンはインターネット規模で展開されます。セキュリティ研究、公開された情報、概念実証(PoC)エクスプロイト、脅威インテリジェンスは数時間のうちに世界中に広まります」と述べ、「一方で、企業環境の運用上の実態は変わっていません」と付け加えました。

Microsoftは、このミスマッチが「現代のサイバーセキュリティにおいて最も危険な期間の一つ、すなわち認知から修復までの間の空白期間」を生み出していると説明しています。

Gartnerのディレクターアナリスト、Shriya Mehrotra氏は、この圧縮傾向がすでに一部の環境で顕在化していると指摘します。

Mehrotra氏は「その通りです。特にリスクの高い、インターネットに露出したシステムでは顕著です。攻撃者は数時間で重大な脆弱性を悪用できる一方、多くの企業ではパッチのテストと展開に依然として数週間を要します」と述べつつ、この傾向が「あらゆる脆弱性、あらゆる組織に等しく当てはまるわけではない」と付け加えました。

Microsoftは、AIの進歩とエクスプロイト情報の急速な拡散が、公表から攻撃までの時間をさらに短縮させていると指摘しています。

Sakhnov氏は「こうした能力がより広く利用可能になるにつれ、公表から悪用までのタイムラインは縮小し続けます」と述べ、この結果を攻撃側と防御側の間の「構造的な不均衡」と表現しました。

ネットワークレベルの制御策を新たな制御プレーンに

このギャップに対処するため、Microsoftはネットワークを中心とした新たなセキュリティ「制御プレーン」への転換を提案しています。

Sakhnov氏は「ワークロード自体が即座に自己防御できない場合、別のレイヤーが保護を提供する必要があります」と述べ、組織が「ますますネットワークをそのレイヤーとして注目するようになっている」と付け加えました。

エンドポイントベースの制御とは異なり、ネットワークレベルの保護策は「ワークロードの内部ではなく、その周囲で機能」するため、パッチの展開やアプリケーションの改修を待たずに防御策を適用できます。

Sakhnov氏は「目的はパッチ適用を回避することではありません」と述べ、「目的は、パッチ適用がまだ完了していない期間において、意味のある防御レイヤーを構築することです」と説明しました。

Mehrotra氏は、このアプローチは完全に新しいものというより、既存のセキュリティ慣行の延長線上にあるものだと述べています。

Mehrotra氏は「セキュリティチームは、実際に悪用されており、かつ外部に露出している脆弱性を優先し、パッチを安全に展開できるようになるまでの間、セグメンテーション、トラフィック制御、WAF/IPSポリシー、あるいは一時的な隔離を活用すべきです」と述べ、「この制御プレーンは自動化を進めるものではありますが、その大部分は既存のセグメンテーション、代替制御(コンペンセイティングコントロール)、ゼロトラストのアプローチを発展させたものです」と付け加えました。

実環境における現実的な課題

このモデルはより迅速なネットワークレベルの封じ込めを重視していますが、アナリストによれば、その実装状況は企業間でばらつきがあるといいます。

Mehrotra氏は、このアプローチは成熟した環境ほど実現しやすいと指摘しています。

Mehrotra氏は「このモデルは成熟したクラウド環境では実践的ですが、多くの企業では一貫して実装することに依然として苦労しています」と述べ、「効果的なリアルタイムの封じ込めは、正確な資産インベントリ、エクスポージャーのマッピング、トラフィックの可視性、アプリケーションのコンテキスト、そして一元化されたポリシー適用に左右されます」と説明しました。

Kanerikaの共同創業者兼CROであるBhupendra Chopra氏は、多くの組織がこうしたモデルを機能させるために必要な基礎的な可視性さえまだ欠いていると述べています。

Chopra氏は「現実的には、まだそこまで至っていません」と述べ、「大半の大企業は、自社システムについて正確な全体像を一つも持っていません。資産の記録は互いに連携しない別々のツールに散らばっており、あるアプリケーションの所有権は、誰がその責任者かを更新しないまま持ち主が変わっていくのです」と語りました。

パッチ適用前の封じ込めの限界

Microsoftは、この制御プレーンの目的は、公表から修復までの期間のエクスポージャーを低減することであり、パッチ適用を置き換えるものではないとしています。

Sakhnov氏は「この新たな現実において、組織はパッチ適用だけに頼ることはできません」と述べ、セキュリティ戦略は「強固なパッチ管理の実践と、機械並みの速度で対応できる代替制御策を組み合わせる」必要があると付け加えました。

アナリストによれば、封じ込め策への依存は、慎重に管理しなければそれ自体がリスクを生む可能性があるといいます。

Mehrotra氏は「ネットワークベースの封じ込めは、管理されていない経路、暗号化された経路、IDベースの経路、あるいは代替の攻撃経路を見落とす可能性があります」と述べ、過度に広範な制御策は正当な業務サービスを妨げかねないと指摘しました。「組織は、封じ込めを恒久的なパッチ適用の代替としてではなく、直近のエクスポージャーを低減し時間を稼ぐための手段として捉えるべきです」。

Chopra氏は、一時的な制御策が恒久化してしまうリスクもあると述べています。

Chopra氏は「ネットワークルールがリスクの高い経路を遮断した後、誰も根本的なシステムのパッチ適用に立ち戻ることなく、18か月後にはその場しのぎの対応が、誰も承認した覚えのない独自の負債と化しているのです」と語りました。

Microsoftが示したこの転換は、脆弱性が判明していながらまだ修正されていない期間のリスク管理に新たな重点を置くものです。Sakhnov氏は「サイバーセキュリティの将来は、公表から修復までの期間においてリスクを低減できるかどうかという組織の能力にかかっています」と述べています。