脆弱性を理解するための総合ガイド

脆弱性とは、システムまたはその手順における問題のことです。これによりシステムは攻撃や外部からの侵入に晒されます。権限の境界線を超えることも可能になります。

*本記事は、弊社マキナレコードが提携する米Flashpoint社のブログ記事を翻訳したものです。

脆弱性とは？

脆弱性とは、コンピューターソフトウェアやハードウェアにおける弱点のことです。これにより、攻撃者は権限の境界線を超えることが可能になります。脅威アクターから見ると、脆弱性は組織へのアクセス権を得るための好機です。これらを悪用すれば、サイバー犯罪者は侵害されたネットワークを通じて攻撃を拡大させることができます。そうして犯罪者たちはランサムウェアや情報窃盗マルウェア、DDoS攻撃などの様々なサイバー攻撃を行うことが可能になります。

あらゆる技術には脆弱性が存在します。新しい技術が市場に導入されるにつれて、公表される脆弱性の数は年々増加しています。

脅威アクターはどのように脆弱性を利用するのか？

脆弱性を利用するために、脅威アクターはそれらを活用する方法を1番最初に見つけなければなりません。この行為は脆弱性の「悪用」として知られています。ハッカーはシステム上で認可されていないまたは本来意図されていない動作を実行するために「エクスプロイト」を使用します。エクスプロイトとは、ソフトウェアや特定のコードやデータを指します。エクスプロイトはスクリプトやソフトウェアツールを使って自動化できます。有効なエクスプロイトが一度でも使われると、攻撃者は幅広い種類の行動を実行することができるようになります。そうした行動には攻撃者に管理者権限を与えてしまうものもあります。これにより、悪意のあるアクターは正当なユーザーを削除したり、マルウェアをインストールしたり、被害者のネットワーク内で横方向に移動することができます。その結果、攻撃者はほかのシステムやデバイスへのアクセス権を手に入れてしまいます。

脆弱性の種類

したがって、脆弱性について理解することはセキュリティの専門家がより安全なシステムを維持するのに役立ちます。また、開発者がより安全な製品とソフトウェアを設計したり開発する手助けにもなります。以下は最も一般的な種類の脆弱性です。

• SQLインジェクション：この脆弱性を悪用すると、攻撃者は入力フォームに不正なSQL文を挿入することができます。これは通常、データベースの改ざんや情報取得のために行われます。
• クロスサイトスクリプティング（XSS）：この脆弱性により、ほかのユーザーが閲覧しているWebページに攻撃者が不正なスクリプトコードを埋め込むことができます。攻撃者はCookieやセッショントークン、その他の機微な情報を盗むことができる可能性があります。
• サーバーの設定ミス：セキュリティ上の設定ミスは、システムやアプリケーション内の構成設定が不完全もしくは不適切な状態のときに発生するものです。これにより情報漏洩が起こる可能性があります。セキュリティ設定ミスのよくある原因には、デフォルト設定（デフォルト認証情報を含む）の変更を行わないこと、設定の誤った変更、さまざまな技術的エラーなどがあります。
• 脆弱なライブラリ：サードパーティ製の抱き合わせソフトウェアやオープンソースソフトウェア（OSS）のライブラリにおいて、悪意のあるアクターから攻撃される可能性がある脆弱性を含んでいる場合に発生します。Log4ShellやXZ Utilsが例に挙げられます。
• バッファオーバーフロー：プログラムのメモリ領域（バッファ）に許容量を超えるデータを送りつけたときに発生し、攻撃者がシステムをクラッシュさせられる、または任意のプログラムコードを実行できる可能性があります。

より優れたインテリジェンスの必要性

脆弱性は高度に技術的で、微細な違いがあり、なおかつ数も多くなることがあります。この場合、脆弱性の管理はリソースを非常に多く消費するプロセスとなります。したがって組織は効果的に優先度を決定するため、包括的でタイムリーな実行性のある脆弱性インテリジェンスが必要となるのです。

脆弱性管理（VM）においては、多くの手順とプロセスが実施されます。しかし、貧弱な脆弱性インテリジェンスはVMプロセスのほぼあらゆる段階を損ないます。脆弱性の影響度と深刻度はいつでも変化する可能性があります。こうした指標は、どのような新しい情報が明らかになるかによって左右されるのです。それゆえ多くの変数を考慮する必要があります。もし最初の開示後にエクスプロイトコードが公開されたら何が起こるでしょうか。開示後に解決策の詳細がSNSで公開されたにも関わらず、CVEおよびNVDで更新されなかったとしたら？残念なことに、そのような状況はいつでも起こり得る上、VMプログラムの有効性に深刻な影響を及ぼす可能性があります。

ほとんどの組織には脆弱性をフルタイムで研究するチームを雇う資金がありません。脆弱性の研究は時間とリソースを消耗するプロセスになることもあります。組織がインテリジェンスの完全な全体像を持ち、より良いリスク決定を行えるようにすることが重要です。Flashpointは市場において最も包括的でタイムリーかつ実行可能な脆弱性インテリジェンスのソースを提供しています。このソースにより、セキュリティチームは脆弱性への対応業務に不可欠な背景情報を入手できるようになります。

よくある質問

Q：サイバーセキュリティにおける脆弱性とは？

A：脆弱性とは、攻撃者がセキュリティ・コントロールを回避しアクセス権限の境界を超えることができてしまうような、コンピューターのソフトウェアやハードウェア、システムプログラムにある欠陥のことです。サイバー攻撃の好機と捉えられる弱点のことを指します。

Q：脆弱性とエクスプロイトの違いは？

A：脆弱性は弱点や欠陥そのものを指します。エクスプロイトは、脅威アクターが特定の脆弱性を悪用して認証されていない行為をシステム上で行うために設計されたり利用されるコードやプログラムのことです。

Q：なぜ脆弱性を管理するために包括的なインテリジェンスが必要なのでしょうか？

A：脆弱性は技術的で量が多いため、包括的なインテリジェンスが必要不可欠です。CVEやNVDなどのパブリックソースだけに頼っていては効果的な管理はできません。パブリックソースでは重大なメタデータ（悪用の状態や解決策の有無など）が不足することが多々ある上、既知の問題の多くが報告されていないからです。

※日本でのFlashpointに関するお問い合わせは、弊社マキナレコードにて承っております。

また、マキナレコードではFlashpointの運用をお客様に代わって行う「マネージドインテリジェンスサービス（MIS）」も提供しております。

FlashpointやVulnDBについて詳しくは、以下のフォームからお問い合わせください。