組織は、数百のシステムにまたがる数百万件の脆弱性を追跡するという、途方もない負担に直面しています。脆弱性管理は見直しが必要ですが、それは優先順位付けやデータ駆動型のアプローチを捨てることを意味しません。組織は自社に影響を及ぼすものに焦点を絞る必要があります。もはや、そうしなければ対処しきれないほど多くの欠陥が存在しているからです。
ある組織のシステムは、この圧倒的な量に耐えられず、9月のパッチチューズデーのリリース後に機能不全に陥りました。環境に流入する新たな脆弱性インスタンスの数をシステムが支えきれなくなったと、Empirical Securityの創業者であるJay Jacobs氏は明かします。CVEの数だけを見れば1,000件未満と対処可能に思えましたが、それらは数千万規模の脆弱な資産に広がっていたのです。
この企業だけではありません。パッチチューズデーは記録的な件数を更新し続け、緊急とみなされる修正も含まれています。加えて、自動化ツールや人工知能（AI）がより多くの欠陥を発見し、アラートが相次いで発生しています。セキュリティチームがノイズの抑制に奔走するなか、課題は業界全体に波及しています。
「ハッキングできるからといって、実際に悪用されるとは限らない」
脆弱性の件数が爆発的に増えるにつれ、組織が脆弱性を追跡・特定し、修復する方法も大きく進化してきました。最も重大なものを優先することが鍵となりましたが、実際に対応が必要な件数を減らすには、より優れた手法が求められていました。
2021年、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際の脅威活動に基づいてパッチ適用の優先順位を決められるよう、「Known Exploited Vulnerabilities（KEV）」リストの定期公開を開始しました。組織は今もこのリストに頼り続けており、専門家は脆弱性が大幅に増加した現在でも有用性は変わらないとの見方で一致しています。同様に、VulnCheckも2024年に独自のKEVカタログを公開し、その理由として優先順位付けの課題を挙げています。
現在、未処理案件の滞留と修復へのプレッシャーは高まる一方です。しかし多くの専門家は、脆弱性の増加がセキュリティチームの作業負荷を、喧伝されるほど増やすべきではないと考えています。脆弱性が報告されたからといって、それが悪用されるとは限らないからです。
攻撃者が狙うのは、最も防御の手薄な資産、つまり組織自身が保有していることすら把握していない資産だと、Root EvidenceのCEOであるJeremiah Grossman氏は説明します。Root Evidenceの調査によると、悪用されているCVEはわずか1.4%です。そこからさらに、自社環境に影響するものだけに絞り込むことができます。そうすれば対象ははるかに小さくなり、大半の組織が対処できる規模に収まります。
脆弱性の候補は増え続けていますが、攻撃者が実際に悪用する件数は横ばいのままであり、悪用率は低下していると、Grossman氏はDark Readingに語りました。
「企業は、攻撃者が何をするかを推測するのではなく、実際に何をしているかに注目すべきです」と同氏は述べます。
AIは件数を増やすが、リスクは増やさない
AIは脆弱性管理をめぐる不安をあおっていますが、ただでさえ人手が足りないなか、組織がそれに振り回されている余裕はありません。実際、その必要もありません。Root Evidenceは、AIによって脆弱性の影響や件数が急増することを示すデータを確認していません。
「AIがすべての脆弱性を見つけ、すべてのエクスプロイトやキャンペーンの背後にいるとしましょう」とGrossman氏は問いかけます。「仮にそうなったとしても、侵害の件数と影響が変わらないのであれば、それは壮大な『だから何?』ではないでしょうか」
AIが件数を押し上げているとしても、組織がすべての脆弱性を修正する必要はないことを裏付けるデータや証拠は十分にあると、Empirical SecurityのCEOであるEd Bellis氏は説明します。修復を担当する人々にとってはノイズが増えるかもしれませんが、それでも選別する方法はあるといいます。
「多くのチームが手作業で対応しており、それが苦しんでいる原因です」とBellis氏はDark Readingに語ります。「今話しているような件数には、人間では対応しきれません」
プロセスが手作業中心になっているのは、利用できるデータが不足しているためだと、Jacobs氏は付け加えます。公開されている記録やアドバイザリーは、組織が優先順位を判断するために必要な情報の表面をなぞるにすぎず、チームはブログ記事を探して読み込むという余分な労力を強いられています。
Bellis氏とJacobs氏は、効果的なプログラムはよりデータ駆動型へと進化し、専門家の意見も考慮に入れることで、焦点を移してプレッシャーを和らげていくと予想しています。十分なデータが利用できることが極めて重要なのはそのためです。状況は改善していますが、そのペースは十分に速くありません。
「どのような条件下で悪用可能になるのかを理解し、それらの脆弱性がどこにあるのかという状況も把握できれば、補完的な対策について議論できるようになります」とJacobs氏は説明します。「すでに一連の対策を講じている企業であれば、優先度を下げられる脆弱性が山ほどあるかもしれません」
CVSSへの不満を吐き出す
ベンダーによるアドバイザリーの公表方法も、主観的なリスク評価に基づいているため、必要以上に深刻に見えることがあります。企業は、共通脆弱性評価システム（CVSS）で最高の10と評価された脆弱性を警告する情報を目にして、慌てて優先対応に走ることがあります。
多くの場合、組織は何を修正すべきかを推測しているにすぎず、それが自社環境に存在するのか、脅威がどれほど差し迫っているのかを確認できていません。Grossman氏は、パッチ管理プログラムではCVSSスコアへの依存を減らし、攻撃者が狙うものにもっと注目するよう勧めています。
「誰も使っていないソフトウェアのCVSS 10かもしれません。攻撃者はそんなものに時間をかけません」とGrossman氏は述べます。
ベンダーは、自社が公表した脆弱性を顧客に他より優先して対応してもらいたいと考えており、そのためスコアを高めに付ける動機が働く可能性があると、Jacobs氏は説明します。一方で、高または重大な欠陥を数百万件も抱える企業という評判を得たくないため、スコアを低めに抑える動機もあるといいます。
こうした相反する動機が、一貫性のないメッセージにつながることがあります。
「同じ企業でも、誰と話すかによって、スコアの付け方の優先事項が異なる場合があります」とGrossman氏は付け加えます。
CVSSやそれに類する指標は「過剰に処方」されており、多くの欠陥に高や重大のスコアを付けているとJacobs氏は指摘します。セキュリティチームは、対応を求められる大量の脆弱性にすっかり疲弊しています。
「どう見ても複雑な問題です」とBellis氏は言います。「とりわけ、裏付けとなるデータのない専門家の意見が数多く絡む場合はそうです」
自動化が負担の均衡を助ける
自社製品の欠陥を顧客が修正しやすくしているベンダーも確かに存在すると、Bellis氏は付け加えます。パッチ適用が1分で済む欠陥もあれば、最長で6カ月かかるものもあるといいます。同氏は、Google Chromeは自動更新を配信しており、Microsoftはワンクリックで修正できるわけではないものの、完全な回帰テストが必要なOracleやJavaの脆弱性よりは容易だと指摘しました。
「お好みのパッチ管理ツールを選んでください」とBellis氏は勧めます。「脆弱性の修正を自動化できることは大きな助けになりますが、それが当てはまらない脆弱性もまだまだ山ほどあります」
Contrast SecurityのCSOであるDavid Lindner氏も、同様の事例を語りました。顧客がプラットフォームでアプリケーションをスキャンし、深刻度9.8の重大なCVEを見つけて、脆弱性管理プログラムのガイドラインに従って修正を求めるという話を「しょっちゅう」耳にするといいます。しかし、悪用を防ぐ対策がすでに講じられているため、その欠陥には到達できないことが多いと、同氏は付け加えます。
「それは修正と同じく、緩和策です」とLindner氏はDark Readingに語りました。
同氏は、業界が脆弱性管理からリスク管理の視点へ移行しつつあると考えています。同氏が話を聞いた最高情報セキュリティ責任者（CISO）の多くが、自組織の環境に少なくとも100万件の脆弱性を抱えていると報告しています。
多くの組織には、主観的なリスク評価を掘り下げて、実際にどれほど影響するのかを見極める時間やリソースがありません。その結果、バーンダウンチャートを作成し、欠陥を見つけて修正し、取締役会に報告するというサイクルが生まれているとLindner氏は説明します。その根底にあるのは「コンプライアンスや規制対応としては、それで十分だろう」という考え方だと、同氏は付け加えます。
Lindner氏は、組織はどのツール（AI対応のものかもしれません）や、どのKEVリスト、悪用予測スコアリングシステムが自社の環境に最も適しているかを見極め、プログラムを自社向けにカスタマイズすべきだと提言します。汎用的なスコアは、業種や規模の異なる組織すべてに同じように当てはまるわけではありません。
「主観的なものです」と同氏は付け加えます。「『今はこれを脆弱性の絶対的な基準として使っていて、スコアの示すとおりに動く』というものではありません。『それが自分たちにどう当てはまるか』が重要なのです」
