ゼロデイ脆弱性は、オペレーティング・システム、アプリケーション、デバイスのバージョンがリリースされた瞬間から存在しますが、ソフトウェア・ベンダーやハードウェア・メーカーはそれを知りません。脆弱性は、誰かに発見されるまで、数日、数カ月、あるいは数年間、発見されずに放置されることがあります。

最良のシナリオでは、セキュリティー研究者やソフトウェア開発者が、脅威行為者よりも先に欠陥を発見します。しかし、時にはハッカーが先にぜい弱性を見つけることもあります。

欠陥の発見者にかかわらず、多くの場合、その欠陥はすぐに公知のものとなります。ベンダーやセキュリティー専門家は通常、顧客が予防措置を講じることができるように、この情報を顧客に伝えます。ハッカーは、その脅威を自分たちの間で共有するかもしれませんし、研究者はサイバー犯罪の活動を観察することで、その情報を知ることがあるかもしれません。ベンダーは、ソフトウェア・アップデートやその他の修正が開発されるまで、ぜい弱性を秘密にしておくことがありますが、これにはリスクを伴います。ハッカーがパッチが適用される前に欠陥を見つけた場合、組織は不意を突かれる可能性があります。

新しいゼロデイ脆弱性の発見は、修正プログラムの開発に取り組むセキュリティー専門家と、その脆弱性を利用してシステムに侵入するゼロデイ・エクスプロイトを開発するハッカーとの間で競争を引き起こします。ハッカーは、実行可能なゼロデイ・エクスプロイトを開発すると、サイバー攻撃を開始します。

多くの場合、ハッカーはセキュリティー・チームがパッチを開発するよりも早くエクスプロイトを開発します。ある推定(リンクはibm.com外にあります）によると、ぜい弱性が公開されてから通常14日以内にエクスプロイトが利用可能になることがあります。しかし、ゼロデイ攻撃が始まると、通常、わずか数日でパッチが適用されます。これは、ベンダーが攻撃から得た情報を使って修正すべき欠陥を特定できるためです。そのため、ゼロデイぜい弱性は危険ですが、ハッカーは通常、長期間にわたってそれを悪用することはできません。

ゼロデイ攻撃は、対策が難しいサイバー脅威の一つです。ハッカーは、ターゲットがその存在を知る前にゼロデイ脆弱性を悪用することで、発見されずにネットワークに侵入することができます。

脆弱性が公になっても、ソフトウェア・プロバイダーがパッチをリリースするまでには時間がかかるため、その間、組織は脆弱性にさらされることになります。

近年、ハッカーはゼロデイぜい弱性をより頻繁に悪用しています。2022年のMandiantレポートによると、2021年だけで2018年から2020年の全期間を合わせたよりも多くのゼロデイぜい弱性が悪用されたとのことです（リンクはibm.com外にあります）。

ゼロデイ攻撃の増加は、企業ネットワークが複雑化していることに関連していると考えられます。今日、組織はクラウドとオンプレミスのアプリケーション、会社所有のデバイスと従業員所有のデバイス、モノのインターネット（IoT）と運用技術（OT）デバイスを組み合わせて利用しています。これらのすべてが組織の攻撃対象領域を拡大し、ゼロデイ脆弱性がどれにでも潜んでいる可能性があります。

ゼロデイ欠陥はハッカーにとって価値のある機会であるため、サイバー犯罪者は現在、ゼロデイぜい弱性とゼロデイ・エクスプロイトを闇市場で高額で取引しています。例えば、2020年にはハッカーがZoomのゼロデイを50万米ドルで販売していました（リンクはibm.com外にあります）。

国家関係者もゼロデイ欠陥を探しています。多くは、発見したゼロデイを公開せず、敵に対して使用するため、独自のゼロデイ・エクスプロイトを秘密裏に開発することを好みます。多くのベンダーやセキュリティー研究者は、このようなやり方が知らず知らずのうちに組織を危険にさらすと批判しています。

セキュリティー・チームは、ゼロデイ脆弱性に対して不利な立場に立たされることが少なくありません。これらの欠陥は未知であり、パッチも適用されていないため、企業はサイバーセキュリティーのリスク管理や脆弱性緩和の取り組みにおいて、これらを考慮に入れることができません。

しかし、企業はより多くの脆弱性を発見し、ゼロデイ攻撃の影響を軽減するために、いくつかの対策を講じることができます。

パッチ管理：ベンダーは、ゼロデイが判明するすぐにセキュリティー・パッチを提供しようとしますが、多くの企業はこれらのパッチを迅速に適用することを怠ります。正式なパッチ管理プログラムは、セキュリティー・チームが重要なパッチを常に適用するのに役立ちます。

脆弱性管理：綿密な脆弱性評価とペネトレーション・テストによって、企業はハッカーに侵入される前にシステムのゼロデイ脆弱性を発見することができます。

攻撃対象領域管理（ASM）：ASMツールは、セキュリティー・チームがネットワーク内のすべての資産を特定し、脆弱性がないかどうかを調べることができます。ASMツールはハッカーの視点からネットワークを評価し、脅威アクターがどのように資産を悪用してアクセスする可能性が高いかに焦点を当てます。ASMツールは、攻撃者の目を通してネットワークを見ることができるため、ゼロデイ脆弱性の発見に役立ちます。

脅威インテリジェンス・フィード：セキュリティー研究者は、ゼロデイ脆弱性に最初に気づくことが多いです。外部の脅威インテリジェンスを常にアップデートしている組織は、新しいゼロデイ脆弱性についていち早く知ることができます。

異常ベースの検知手法：ゼロデイ・マルウェアはシグネチャー・ベースの検知方法をすり抜けることができますが、機械学習を使用してリアルタイムで不審な活動を検知するツールは、多くの場合ゼロデイ攻撃を捕捉することができます。一般的な異常ベースの検知ソリューションには、ユーザーとエンティティーの行動分析（UEBA）、拡張検知と対応（XDR）プラットフォーム、エンドポイントの検知と対応（EDR）ツール、一部の侵入検知と侵入防止システムなどがあります。

ゼロトラスト・アーキテクチャー：ハッカーがゼロデイ脆弱性を悪用してネットワークに侵入した場合、ゼロトラスト・アーキテクチャーによって被害を最小限に抑えることができます。ゼロトラストは、継続的な認証と最小限の権限アクセスを使用して、横方向の移動を防止し、悪意のある攻撃者が機密リソースに到達するのを防ぎます。