脆弱性管理とは？

脆弱性管理とは、組織のソフトウェアとシステム内のセキュリティ脆弱性と設定ミスを特定、評価、処理、報告するためのさまざまなプロセス、ツール、戦略を指す用語です。言い換えると、脆弱性管理によって会社のデジタル環境を監視して潜在的なリスクを特定し、最新のセキュリティステータスを把握できます。

セキュリティ脆弱性

大雑把に言えば、脆弱性とは弱点であり、悪用される可能性のある欠陥です。コンピュータサイエンスでは、セキュリティ脆弱性も本質的に同じものです。セキュリティの脆弱性は、脅威となる人物の標的になります。攻撃者は、脆弱性を見つけて悪用し、アクセス制限されたシステムにアクセスしようとします。

脆弱性スキャナー

システム、ネットワーク、アプリケーション全体の脆弱性を特定するには、特定のツールが必要です。脆弱性スキャナーは、デジタルシステム内を移動し、潜在的な弱点を発見して、脆弱性の管理を可能にするように設計されたプログラムです。

リスクベースの脆弱性管理

脆弱性管理の拡張版であるリスクベース脆弱性管理プログラムは、ソフトウェア、ハードウェア、インフラストラクチャなどのデジタルシステムに固有の弱点に対処できるように設計されています。リスクベース脆弱性管理は、機械学習を利用して、脆弱性管理を従来の IT 資産だけではなく、クラウドインフラストラクチャ、IoT デバイス、Web アプリなどを含めるように拡張します。これにより企業は、攻撃対象領域全体に関するインサイトにアクセスできます。

リスクベース脆弱性管理では、リスクベースの優先順位付けの正確性を高めることもできます。それにより企業は、重大度の低い脆弱性を後回しにして、最初に、侵害につながる可能性が最も高い弱点を特定して修復することに集中することができます。

脆弱性管理と脆弱性評価

脆弱性管理も脆弱性評価も、共にサイバーセキュリティ脆弱性への効果的な対処と解決に貢献するものです。しかし、脆弱性管理と脆弱性評価は同義語ではありません。

脆弱性評価は、脆弱性管理の最初の段階に過ぎません。ほとんどの企業は、スキャンツールを使用してネットワーク上のデバイスを確認し、インストールされているソフトウェアのバージョンに関する情報を収集し、その情報をソフトウェアベンダーが発表した既知の脆弱性と対照させています。使用中のソフトウェアの範囲 (アプリケーション、オペレーティングシステム、クラウドサービスプロバイダーなど) をカバーするには、複数のスキャンツール (エージェントや資格情報の必要なものとそうでないもの) が必要になるのが一般的です。企業はスケジューリングされた間隔 (通常は毎月あるいは四半期ごと) でスキャンを実行し、リスト (多くの場合スプレッドシートとして電子メールで送信される) を使用して、アップグレードやパッチ適用タスクを割り当てます。ゼロデイ脆弱性が発表され、それが積極的に悪用されており、パッチがまだ入手利用できない可能性がある場合、企業は、インフラストラクチャの規模と構成に応じて数日から数週間かかる可能性のあるオンデマンドスキャンを実行する場合があります。

対して脆弱性管理はライフサイクルであり、単にスケジューリングされたスキャンやアドホックスキャンを指すわけではありません。評価から優先順位付けや修復までを行う継続的なプログラムです。複数のデータソースを使用して、ソフトウェアとサービスの現在の状態を継続的に評価・再評価します。脆弱性管理システムは、評価ツールによって生成されたソフトウェア情報にビジネス、脅威、悪用、リスクコンテキストを追加することによって、直ちに対処しなければならない脆弱性に効率よく注意を喚起し、最善の解決策や緩和策を提案することさえできます。脆弱性に関する継続的な評価、修復、レポートにより、セキュリティ脆弱性を日常的に管理・対処できます。つまり、弱点を迅速に発見でき、最も影響の大きい問題に優先的に対処でき、見落とされる脆弱性が少なくなります。

簡単に言えば、脆弱性評価は、IT ソフトウェアの状態のスナップショットを提供します。脆弱性管理は、進化し続けるリアルタイムのインテリジェンス、修復ガイダンス、レポートを提供します。

脆弱性管理の議論は、エクスプロイトとは何か、エクスプロイトにどのように備えるべきかということに触れずには完結しません。

エクスプロイトは、悪意のあるソフトウェア (マルウェア) プログラムです。エクスプロイトは、システム内の既知の脆弱性を利用する特殊なコードで構成されています。脅威アクターは最初にエクスプロイトを使用してネットワークや関連システムにリモートでアクセスします。それによって、データを盗んだり変更したり、システム権限を自分に付与したり、許可されたユーザーをロックアウトしたり、ネットワークの奥深くに入り込んだり、他のマルウェアや攻撃手法のためにドアを開いたりすることができます。