CISAの既知の悪用済み脆弱性（KEV）カタログを理解する
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、既知の悪用済み脆弱性（KEV）カタログを維持しており、これは組織がサイバーセキュリティ脅威への対応の優先順位付けを行うのを支援するために設計されたリソースです。CISAの元KEVセクションチーフであるTod Beardsleyが執筆した最近の論文は、セキュリティチームがこのカタログをどのように活用して脆弱性管理プロセスを改善できるかを明らかにしています。本記事では、KEVカタログの目的、収録の基準、そしてセキュリティチームがKEV Colliderのようなツールをどのように利用して脆弱性管理を強化できるかを掘り下げます。
CISA KEVカタログとは？
CISA KEVカタログは、単に最も深刻な脆弱性の一覧ではなく、運用上の優先順位付けツールとして機能します。米国政府システムに対して悪意ある攻撃者が悪用する超重大な欠陥の集成だと誤解されがちですが、このカタログにはより焦点を絞った目的があります。主として、連邦政府の民間組織が、悪用が確認されている脆弱性を特定できるよう支援することを意図しています。
KEVカタログの主な特徴
- 運用重視: このカタログは、悪用済み脆弱性すべての包括的な目録を提供するのではなく、緊急性と悪用可能性に基づいて脆弱性の優先順位を付けるために設計されています。
- 限定的な収録基準: KEVカタログに収録されるには、脆弱性が特定の条件を満たす必要があります。これについては後ほど詳しく見ていきます。
KEVカタログへの収録基準
KEVカタログに掲載されるには、脆弱性が次の4つの主要条件を満たす必要があります。
- CVE識別子: 各脆弱性には、Common Vulnerabilities and Exposures（CVE）識別子が割り当てられていなければなりません。
- 現実的な緩和策: 脆弱性を緩和するための実行可能な方法が存在する必要があります。これは、CVE-2022-21894（BlackLotus）のように、いくつかの緩和ガイダンスが利用可能であっても、明確で容易な修正がない脆弱性を除外します。
- 悪用の証拠: CISAが、直接または信頼できる報告チャネルを通じて、その脆弱性が悪用されている証拠を観測している必要があります。
- 米国連邦政府の民間行政部門（FCEB）との関連性: 脆弱性はFCEB内の組織に影響を与えるものでなければなりません。
なお、KEVカタログが悪用済み脆弱性の唯一の集成というわけではありません。たとえばVulnCheckは、より大規模なインベントリを維持しており、更新もより迅速であるため、新たに出現する脅威についてより早い通知を提供できる可能性があります。
KEV脆弱性に関する誤解
よくある誤解として、KEVカタログ内の脆弱性はすべて、リモートから悪用可能で、認証不要で、最高レベルの深刻度であるというものがあります。最近の分析では、1,488件のKEV脆弱性のうち、初期侵入に向けて直ちに悪用可能と見なされるのは32%（約483件）に過ぎないことが示されています。
高リスク脆弱性の特徴
「直撃型のリモートコード実行（RCE）」脆弱性として該当するには、特定の基準を満たす必要があります。
- アクセスベクター: 脆弱性はネットワーク越しに到達可能でなければなりません。
- 必要な権限: 脆弱性を悪用するためにログイン資格情報が不要であること。
- ユーザー操作: 悪用が成立するために被害者がシステム上で何らかの操作を行う必要がないこと。
- 完全性への影響: 悪用によりシステムの完全性が大幅に損なわれること。
驚くべきことに、KEVカタログには多くの脆弱性が収録されている一方で、直ちにリスクとなるためのこれら厳格な基準を満たすものは一部に限られます。
管理強化のためにKEV Colliderを活用する
Beardsleyの研究から得られた洞察は、KEV Colliderというツールの開発へと結実しました。このWebアプリケーションは、Common Vulnerability Scoring System（CVSS）スコア、Exploit Prediction Scoring System（EPSS）、MITRE ATT&CKフレームワークへのマッピングなど、さまざまなシグナルを用いてKEVデータを拡充し、組織を支援します。
KEV Colliderの利点
- 探索と検証: セキュリティチームは、KEV拡充データを効果的に探索し、検証できます。
- 優先順位付け: このツールは緊急性に基づいて脆弱性の優先順位付けを支援し、チームがリソースを効率的に配分できるようにします。
脆弱性管理における課題を乗り越える
脆弱性に対して完璧なカバレッジを達成することは、ますます非現実的になっています。組織はしばしば、予算、人員、ツールに関する制約に直面します。多くの脆弱性は、資産の棚卸し、スキャン、パッチ適用を従来の方法で行うのが難しい資産に影響します。そのため、セキュリティチームは是正の取り組みを賢明に優先順位付けする必要があります。
効果的な管理のための推奨事項
- リスクベースの是正: 組織へのリスクと潜在的影響に基づいて脆弱性の優先順位を付けます。
- リソース配分: 変化する脅威や悪用報告に基づき、追加リソースを投入すべきタイミングを判断します。
- 継続的な監視: 新たな脅威に適応するため、脆弱性管理戦略を定期的に見直し、更新します。
結論として、CISA KEVカタログは、サイバーセキュリティ態勢の強化を目指す組織にとって重要なリソースです。収録基準を理解し、KEV Colliderのようなツールを活用することで、組織の脆弱性管理の取り組みを大幅に強化できます。
