脆弱性管理のライフサイクルとは

毎月、米国国立標準技術研究所（NIST）は、国家脆弱性データベースに2,000件を超える新しいセキュリティー脆弱性を追加しています。セキュリティー・チームは、これらすべての脆弱性を追跡する必要はありませんが、システムに潜在的な脅威をもたらす脆弱性を特定して解決する方法が必要です。脆弱性管理ライフサイクルはそのためにあります。

ライフサイクルの一般的なラウンドには、次の5つの段階があります。

1. 資産インベントリーと脆弱性の評価。
2. 脆弱性の優先順位付け。
3. 脆弱性の解決。
4. 検証と監視。
5. 報告と改善。

脆弱性管理ライフサイクルにより、組織は脆弱性管理に対してより戦略的なアプローチをとって、セキュリティー体制を強化することができます。セキュリティー・チームは、新たな脆弱性が出現したときに対応するのではなく、システム内の欠陥を積極的に探します。組織は、最も重大な脆弱性を特定し、脅威アクターの攻撃前に保護を導入できます。

脆弱性とは、ハッカーが悪用して企業に損害を与えることができる、ネットワークまたは資産の構造、機能、または実装におけるセキュリティーの弱点です。

脆弱性は、資産の構造の根本的な欠陥から生じる可能性があります。悪名高いLog4Jの脆弱性もその一例で、一般的なJavaライブラリのコーディングエラーにより、ハッカーが被害者のコンピューター上でリモートからマルウェアを実行できる状態になりました。その他の脆弱性は、機密データをパブリック・インターネットに公開するクラウド・ストレージ・バケットの設定ミスなど、人為的ミスによって引き起こされます。

あらゆる脆弱性は組織にとってリスクです。IBMのX-Force Threat Intelligence Indexによると、アプリの脆弱性を悪用する攻撃は、最も一般的なサイバー攻撃ベクトルの1つです。

ハッカーにとって自由に使える脆弱性の蓄積が、増加しています。これに応じて、企業は脆弱性管理をサイバーリスク管理ストラテジーの重要な構成要素としています。脆弱性管理ライフサイクルは、刻々と変化を続けるサイバー脅威の状況における効果的な脆弱性管理プログラムの正式なモデルを提供します。ライフサイクルを導入することで、組織は次のようなメリットを享受できます。

• プロアクティブな脆弱性の発見と解決：多くの場合、企業はハッカーが悪用するまで脆弱性に気づきません。脆弱性管理ライフサイクルは継続的な監視を中心に構築されているため、セキュリティー・チームは攻撃者より先に脆弱性を発見できます。
  
  
• 戦略的なリソース配分：年間何万件もの新しい脆弱性が発見されていますが、組織に関連する脆弱性はごくわずかです。脆弱性管理のライフサイクルは、企業がネットワーク内で最も重大な脆弱性を特定し、最大のリスクを優先して修復するのに役立ちます。
  
  
• より一貫した脆弱性管理プロセス：脆弱性管理ライフサイクルは、脆弱性の発見から修復、そしてそれ以降にいたる、セキュリティー・チームが従うべき反復可能なプロセスを提供します。より一貫性のあるプロセスはより一貫性のある成果をもたらすため、企業は資産インベントリー、脆弱性評価、パッチ管理などの主要なワークフローを自動化できるようになります。

新しい脆弱性はいつネットワーク内で発生しても不思議ではないため、脆弱性管理ライフサイクルは連続する個別のイベントではなく、継続的なループになっています。ライフサイクルの各ラウンドは、次のラウンドに直接反映されます。通常、1つのラウンドには次の段階が含まれます。

ステージ0：計画と事前作業

技術的には、計画と事前作業は脆弱性管理ライフサイクルの前に行われるため、「ステージ 0」が指定されています。この段階で組織は脆弱性管理プロセスの重要な詳細を検討し、それには次のものが含まれます。

• どの利害関係者が関与し、彼らがどのような役割を果たすか
  
  
• 脆弱性管理に利用可能なリソース（人、ツール、資金など）
  
  
• 脆弱性の優先順位付けと対応に関する一般的なガイドライン
  
  
• プログラムの成功を測定するためのメトリクス

組織は、ライフサイクルのすべてのラウンドの前にこの段階を経るわけではありません。企業は通常、正式な脆弱性管理プログラムを開始する前に、広範な計画と事前作業のフェーズを実施します。プログラムが実施されると、利害関係者は定期的に計画と事前作業を再検討し、必要に応じて全体的なガイドラインとストラテジーを更新します。

ステージ1：資産の発見と脆弱性評価

正式な脆弱性管理ライフサイクルは、資産インベントリー（組織のネットワーク上のすべてのハードウェアとソフトウェアのカタログ）から始まります。インベントリーには、正式に認可されたアプリとエンドポイント、および従業員が承認なしに使用するシャドー IT資産が含まれます。

企業のネットワークには新しい資産が定期的に追加されるため、ライフサイクルごとに資産インベントリーが更新されます。企業はインベントリーを自動化するために、攻撃対象領域管理プラットフォームなどのソフトウェア・ツールをよく使用します。

資産を特定した後、セキュリティー・チームはその脆弱性を評価します。チームは、自動化された脆弱性スキャナー、手動のペネトレーション・テスト、サイバーセキュリティー・コミュニティーからの外部脅威インテリジェンスなど、さまざまなツールと方法を組み合わせて使用できます。

ライフサイクルのすべてのラウンドですべての資産を評価するのは負担が大きいため、通常、セキュリティー・チームはバッチで作業します。ライフサイクルの各ラウンドでは特定の資産グループに焦点を当て、より重要な資産グループはより頻繁にスキャンを受けます。一部の高度な脆弱性スキャン・ツールでは、すべてのネットワーク資産をリアルタイムで継続的に評価するため、セキュリティー・チームは脆弱性の発見に対してさらに動的なアプローチを取ることができます。

ステージ2：脆弱性の優先順位付け

セキュリティー・チームは、評価段階で見つかった脆弱性に優先順位を付けます。優先順位付けにより、チームは最も重要な脆弱性に最初に対処できるようになります。この段階は、チームが低リスクの脆弱性に時間とリソースを費やすのを回避するのにも役立ちます。

脆弱性に優先順位を付けるために、チームは次の基準を考慮します。

• 外部の脅威インテリジェンスからの重大度評価：これには、MITREの共通脆弱性識別子（CVE）リストや共通脆弱性評価システム（CVSS）が含まれます。
  
  
• 資産の重要性：重要な資産の重大でない脆弱性は、重要でない資産の重大な脆弱性よりも優先順位が高いことがよくあります。
  
  
• 潜在的な影響：セキュリティー・チームは、ハッカーが特定の脆弱性を悪用した場合に何が起こり得るかを、ビジネス・オペレーションへの影響、金銭的損失、法的措置の可能性などを含めて検討します。
  
  
• 悪用の可能性：セキュリティー・チームは、ハッカーが積極的に悪用している既知の脆弱性により注意を払います。
  
  
• 誤検知：セキュリティー・チームは、リソースを投入する前に、脆弱性が実際に存在することを確認します。

ステージ3：脆弱性の解決

セキュリティー・チームは、最も重大なものから最も重大でないものまで、優先順位を付けられた脆弱性のリストを使用して作業します。組織が脆弱性に対処するには、次の3つのオプションがあります。

1. 修復：オペレーティング・システムのバグにパッチを当てる、設定ミスを修正する、脆弱な資産をネットワークから削除するなどして、脆弱性が悪用されないように全面的に対処します。修復は必ずしも実現可能ではありません。一部の脆弱性については、発見時点では包括的な修正が利用できません（例：ゼロデイ脆弱性）。その他の脆弱性の場合、修復には非常に多くのリソースが必要になります。
   
   
2. 軽減策：脆弱性を完全に排除することなく、脆弱性の悪用を難しくしたり、悪用された場合の影響を軽減したりします。たとえば、より厳格な認証と承認の手段をWebアプリケーションに追加することで、ハッカーがアカウントを乗っ取ることがより困難になります。特定された脆弱性に対するインシデント対応計画を作成することで、サイバー攻撃による打撃を和らげることができます。セキュリティー・チームは通常、修復が不可能な場合や法外に費用がかかる場合に、軽減することを選択します。
   
   
3. 受容：脆弱性の中には、影響が小さいか、悪用される可能性が低いため、修正しても費用対効果が高くないものもあります。このような場合、組織は脆弱性を受け入れることを選択できます。

ステージ4：検証と監視

軽減と修復の取り組みが意図したとおりに機能したことを検証するため、セキュリティー・チームは、作業したばかりの資産を再スキャンして再テストします。これらの監査の主な目的は2つあります。セキュリティー・チームが既知の脆弱性すべてに正常に対処できたかどうかを判断することと、緩和や修復によって新たな問題が発生していないことを確認することです。

この再評価段階の一環として、セキュリティー・チームはネットワークをより広範囲に監視します。チームは、直近のスキャン以降の新たな脆弱性、時代遅れになった古い軽減策、または対応が必要となるその他の変更を探します。これらすべての調査結果は、ライフサイクルの次のラウンドで役立ちます。

ステージ5：報告と改善

セキュリティー・チームは、発見された脆弱性、実行された解決手順、結果など、ライフサイクルの最新ラウンドでの活動を文書化します。これらのレポートは、経営陣、資産所有者、コンプライアンス部門などを含む、関連する利害関係者と共有されます。

またセキュリティー・チームは、ライフサイクルの最新ラウンドがどのように進んだたかについても振り返ります。チームは、平均検出時間（MTTD）や平均解決時間（MTTR）、重大な脆弱性の総数、脆弱性の再発率などの主要なメトリクスを調査する場合があります。これらのメトリクスを長期にわたって追跡することで、セキュリティー・チームは脆弱性管理プログラムのパフォーマンスのベースラインを確立し、長期にわたってプログラムを改善する機会を特定できます。ライフサイクルの1つのラウンドから学んだ教訓は、次のラウンドをより効果的なものにすることができます。