今回のHelp Net Securityのインタビューでは、CohesityのGlobal Field CISOであるJoye Purser博士に、KEV、EPSS、CVSSがそれぞれ異なる方向を示している場合に脆弱性をどう優先順位づけすべきかを聞きました。まず実際に悪用が確認されているかどうかを最優先とし、次に悪用される可能性、そして技術的な深刻度を評価します。さらに資産の露出度や事業上の重要性、代替対策の有無に応じて調整を加えます。
インタビューでは、インターネットに露出している悪用済みシステムについて24〜72時間という修復目標を設定し、その目標を達成するために組織が何を犠牲にする必要があるのかについても触れています。また、デセプション技術に潜む見えにくい失敗パターンや、従業員400人・予算25万ドルの製造業者が最初の5万ドルをどこに投じるべきかについても解説しています。
セキュリティ責任者が同一の脆弱性についてKEV、EPSS、CVSSからそれぞれ異なる判断を得た場合、決め手となるルールは何でしょうか。アナリストに書き留めさせるべき判断ロジックを教えてください。
KEVで示されるように実際に悪用が確認されている脆弱性は、特にそれがインターネットに露出している資産や事業上重要な資産に影響する場合、最優先事項となります。その次に、EPSSを用いて悪用される可能性を評価し、続いてCVSSを使って技術的な影響の大きさを把握します。
私がアナリストに伝える判断ロジックはこうです。まず実際の悪用の有無、次に悪用される可能性、そして技術的な深刻度の順に評価し、資産の露出度、事業上の重要性、代替対策の有無、侵害された場合の影響の大きさに応じて調整を加えます。露出しているIDシステムにある深刻度の低い脆弱性のほうが、隔離された資産にある重大な脆弱性よりも、より差し迫ったリスクとなる場合もあります。各種スコアは有用ですが、それらは環境の文脈に照らして適用する必要があります。
現時点で中規模企業がインターネットに露出している資産について現実的に達成できる平均修復時間はどの程度でしょうか。そして、それを達成するために組織は何を犠牲にする必要がありますか。
実際に悪用が確認されている、インターネットに露出した重大な脆弱性については、24〜72時間という目標は妥当な水準だと言えます。ただし、多くの中規模組織にとって、これを一貫して達成するのは容易ではないでしょう。
これを実現するにはトレードオフが伴います。セキュリティチームとITチームには、通常のリリーススケジュールを中断し、緊急のテストと展開にエンジニアリングリソースを割り当て、場合によっては一時的なサービス停止や機能低下を受け入れる権限が必要です。即座にパッチを適用できない場合、組織はアクセス制限、脆弱な機能の無効化、システムの隔離といった代替対策を講じる準備も整えておく必要があります。
最も重要なのは組織上の対応です。実際に悪用されているインターネット向け脆弱性は、通常のパッチ適用キューの一項目としてではなく、運用上の最優先事項として扱わなければなりません。修復の迅速化には、明確な責任所在、事前承認済みの緊急対応手順、そしてセキュリティ・IT・アプリケーションの各チーム間の連携が不可欠です。
ベンダーがあまり宣伝しない、デセプション技術の失敗パターンとは何でしょうか。ハニーポットが攻撃者の足がかりになったり、コンプライアンス上の問題になったりした事例を見たことはありますか。
主な失敗パターンは、デセプション環境が過度に接続され、過度に信頼され、あるいは十分に保守されなくなることです。攻撃者を観察する目的で設置されたハニーポットも、本番システムへのアクセス権、再利用可能な認証情報、過剰な権限、あるいはそれ自体の脆弱性を持っていれば、新たな足がかりになりかねません。
コンプライアンスやガバナンス上の懸念が生じることもあります。デセプションシステムは攻撃者の活動、認証情報、本番環境に近いデータ、その他の機微な情報を捕捉する場合があります。データ保持、プライバシー、法務、証拠能力に関する要件を事前に検討していなければ、こうしたシステムは組織が想定していなかった義務を生み出す可能性があります。
したがって、デセプション技術は隔離し、権限を厳格に絞り、継続的に監視する必要があります。当初から潜在的に危険なインフラとして扱い、本番環境との不必要な信頼関係を決して許容しないことが重要です。
地味で安価でありながら、流行りの対策よりも防御側に時間的猶予をもたらす対策を一つ挙げるとすれば何でしょうか。
フィッシング耐性のある多要素認証は、組織が導入できる中で依然として最も重要な対策の一つです。新しくも華やかでもありませんが、盗まれた認証情報が即座に利用可能なアクセス権に変わるのを防ぐことで、攻撃者の動きを大きく遅らせることができます。
基本的なID衛生管理も同様に重要です。組織は休眠アカウントを削除し、特権アクセスを制限し、最小権限の原則を徹底し、認証情報を定期的に更新し、管理者アカウントにはより強固な統制を適用すべきです。攻撃者が今なお成功を収めているのは、認証情報が使い回され、権限が必要以上に広く付与され、あるいは古いアカウントが有効なまま残っているためです。
これらの対策は組み合わせて用いることで最大の効果を発揮します。MFA、管理者アクセスの制限、権限の分割、認証情報の失効措置を併用することで、一般的な攻撃経路を突破しにくくし、初期侵害後の横展開を制限できます。
従業員400人・セキュリティ予算25万ドルの製造業者を機械並みの速度で行われる攻撃から守るとしたら、最初の5万ドルはどこに投じますか。
組織によって事情は異なりますが、製造業においては、業務運用と人的安全の保護を最優先にしなければなりません。重要なOT(制御技術)を企業ITから確実に分離し、不要な外部アクセスを排除することを提案します。
次の優先事項はIDです。特権アクセスおよびリモートアクセスにはフィッシング耐性のあるMFAを使用し、休眠アカウントを削除し、管理者権限を厳格に管理します。また、組織が最も重要なシステムのバックアップを確実に保護し、それらのシステムが実際に復旧可能であることをテスト済みにしておくべきです。
予算の一部は、基本的な可視性とインシデント対応の即応性にも充てるべきです。組織は、どの資産が外部に露出しているか、それを誰が管理しているか、そして問題発生時に誰がシステムを隔離する権限を持つのかを把握しておく必要があります。
限られた予算の中では、攻撃者が利用できる容易な侵入経路の数を減らし、攻撃が成功した場合の被害範囲を封じ込め、一箇所の侵害が事業全体の停止につながらないようにすることが目標となります。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/joye-purser-cohesity-kev-epss-cvss-conflicts/
