継続的かつ文脈重視、リスク志向のアプローチで防御に取り組むことで、セキュリティ組織はビジネスにとって最も重要な対策を優先できるようになります。
従来の脆弱性管理は転換期を迎えつつあります。多くのセキュリティ組織が、今日の変化と攻撃のスピードに運用を合わせるため、継続的脅威エクスポージャー管理(CTEM)の導入を検討しています。
従来の脆弱性管理では、セキュリティチームが環境をスキャンし、脆弱性を特定した上で必要に応じて修正を実施するという定期的な評価に依存していました。これに対しCTEMはよりアジャイルなアプローチを取り、脆弱性にとどまらずエンドポイント、ネットワーク、ID、クラウド環境、アプリケーション、ユーザーにまたがる組織のリスクエクスポージャーを継続的に把握することを目指します。
「CTEMは3つの重要な点で従来とは異なるものをもたらします」と、Foundry Spainのプリンシパルアナリストであるフェルナンド・マルドナード氏は指摘します。
同氏がまず挙げるのは対象範囲です。CTEMは脆弱なソフトウェアだけでなく、設定ミス、IDリスク、過剰な権限、漏洩した認証情報にも焦点を当てます。これらはいずれも攻撃者が悪用を強めている侵入口です。
「2つ目は検証です。スコアに頼るのではなく、[CTEMは]そのエクスポージャーが本当に悪用可能かどうか、そして現在の対策でそれを防げるかどうかを検証します」とマルドナード氏は付け加えます。
3つ目の違いは動員だと同氏は言います。CTEMのフレームワークでは、各問題の修正責任を特定の担当者に割り当てるためです。従来はここが停滞の原因となっていました。「評価指標は『どれだけ多くの脆弱性を見つけたか』から『どれだけ多くの実際の攻撃経路を塞いだか』へとシフトします」と同氏は結論づけます。
単発のスキャンではもはや不十分
現在の脅威情勢を見れば、単発のスキャンではもはや不十分であることは明らかです。
今日のインフラは絶えず変化しています。クラウド環境、分散アプリケーション、API連携、継続的デプロイ、自動化などが組織の攻撃対象領域を常に変化させています。
「単一のスナップショットは有用な情報を提供できますが、すぐに古くなってしまいます」と、Factumの攻撃的セキュリティエンジニアであるルイス・ウリベ氏は言います。「新しい資産、設定変更、公開されたサービス、権限の変更などにより、数時間から数日でリスクレベルが変わり得ます」
さらに、攻撃者は非常に狭い機会の窓を突くために、ますます迅速に動くようになっています。「その結果、組織には実際に攻撃に利用され得る脆弱性を継続的に特定し、文脈化し、優先順位付けする能力が必要になります」とウリベ氏は言います。
このスピードこそ、セキュリティ組織がCTEMへの移行を検討すべき重要な理由だと、Foundry Spainのマルドナード氏は付け加えます。そうしなければ、組織は状況を把握できないまま運用することになりかねません。
「評価と評価の間には長い不確実性の期間があり、AIへの依存を強める攻撃者は新たな脆弱性を悪用するまでの時間を短縮しています」と同氏は言います。「単にパッチを当てて何もしないというだけでは、もはや十分ではありません」
ボリュームも問題の一つだとマルドナード氏は言います。毎年数万件の脆弱性が公表され、手に負えないほどのバックログを生み出しており、重要な問題が無数の些細な指摘に埋もれてしまっています。
そして最後に考慮すべきなのがカバレッジだと同氏は付け加えます。
「スキャナーが把握できるのは脆弱なソフトウェアであり、ID、SaaS、設定ミス、攻撃経路までは把握できません。しかし、まさにそこから攻撃者は侵入してきます。スキャンで分かるのは何が脆弱かということだけで、何が悪用可能か、ビジネスにとって本当に重要なのは何かまでは分かりません。この論点は、どのベンダーを信頼するかとは関係なく、環境の構造的な事実として成り立ちます」と同氏は説明します。
自動化と文脈インテリジェンスの役割
Factumのウリベ氏は、自動化と文脈インテリジェンスがCTEMモデルの2つの重要な柱であると指摘します。同氏の見解では、前者により資産、設定、脆弱性、環境の変化を継続的に可視化でき、新たなエクスポージャーの早期発見が容易になります。
SCC Españaのサービス担当ディレクター兼CISOであるアグスティン・セラルタ氏は、自動化が重要である一方、人間の判断に取って代わるものではないと述べます。
「複雑な環境では、自動化なしに大量のデータを管理することは不可能です」と同氏は言います。「しかし、意思決定を完全にアルゴリズムに委ねることはリスクを伴い得ます。特にそのモデルがレビューされなかったり、陳腐化したりしている場合はなおさらです」
その結果、文脈インテリジェンスは技術的な文脈(悪用可能性、エクスポージャー、既存の対策)とビジネス上の文脈(どのシステムが重要なプロセスを支えているか、法的義務、契約上の責務など)を組み合わせる必要があると同氏は言います。
「その組み合わせがなければ、真のリスク管理は成り立たず、技術的な必要性に基づく優先順位付けにとどまってしまいます」と同氏は言います。
Secure&ITの運用ディレクターであるハビエル・カスティージョ氏は、CTEMがペネトレーションテストやレッドチーム活動に取って代わるものではない点に注意すべきだと言います。これらは「自動化されたプロセスではほとんど検出できない複雑な脆弱性、設計上の誤り、ロジックの欠陥、高度な攻撃手法を特定する上で、依然として基本的なサービスであり続けます」と同氏は言います。
したがって、成熟したサイバーセキュリティ戦略においては、継続的な監視と攻撃的評価は互いを補完する能力として位置づけるべきだと同氏は付け加えます。
受動的な戦略から継続的エクスポージャー管理への転換
TrendAI Iberiaのテクニカルディレクターであるホセ・デ・ラ・クルス氏は、組織がCTEMの5つのフェーズ(スコーピング、発見、優先順位付け、検証、動員)をアジャイルかつ効率的に実施できるようにする上で、自動化が基本的な役割を果たすと言います。
自動化が整った状態では、「人間はモデルの正しい機能を監督し(ヒューマン・イン・ザ・ループ)、モデルが生成するデータを検証するアナリストとなり、それによって効果的で信頼性の高い導入が保証されます」と同氏は言います。
Secure&ITのカスティージョ氏は、企業がまず取り組むべきは、従来型インフラ、クラウド環境、アプリケーション、デジタルID、接続デバイス、第三者に公開されているサービスなど、組織のすべての資産を含む攻撃対象領域の包括的な把握だと説明します。
「知らないものを守ることはできません。多くの組織は今なお、自社のエコシステムを構成するすべての要素についての完全な把握ができていません」と同氏は言います。
そこから組織は、リスクの特定、検証、優先順位付け、修復のための継続的なプロセスの確立に向けて取り組むべきです。
「これには、継続的な監視能力の導入や、情報の収集・相関を自動化するソリューション、リスク志向の評価指標の確立、さまざまな技術チームとビジネスチームの間の連携メカニズムの構築が含まれます」と同氏は付け加えます。
CTEM導入の課題
企業がCTEMへの移行に際して直面する課題は数多くありますが、その中でも特に重要なのが断片化の解消だと、SCC Españaのセラルタ氏は言います。「ツール、コンソール、レポート、データが多すぎて、もはや管理が不可能な状態になっています」
組織レベルでは、サイロ化も依然として大きな障壁になっているとセラルタ氏は考えています。「誰が決定するのか、誰が責任を負うのかが不明確な場合、セキュリティは損なわれます。文化的なレベルでは、時間の不足、『コンプライアンス』だけへの偏った注力、ツールへの過度な依存といった、いくつもの自然な抵抗が重なり合っています」
Foundry Spainのマルドナード氏は、「文化的な側面が最も難しい」と考えています。
「これは、脆弱性を見つけて報告するという発想から、ビジネスリスクを検証し低減するという発想への転換を伴います。一つひとつ脆弱性を追い続けたいという衝動を抑え、CTEMがベンダーから提供される機能ではなく、組織自らが設計し採用すべき運用モデルであることを受け入れる必要があります」と同氏は言います。「ここでほとんどのプログラムが行き詰まります。なぜなら、ツールさえ導入すれば文化までついてくると期待して購入してしまうからです。しかし、それは決してうまくいきません」規制の観点からは、CTEMは欧州の規制が求めるリスク管理の原則によく適合しているとセラルタ氏は考えています。「ただし、それはガバナンス、トレーサビリティ、人間による統制の下で実施され、企業のセキュリティポリシー、そして組織の全メンバーに定義・周知すべきテクノロジー・データ・AIの許容利用ポリシーと整合している場合に限られます」
