★☆★JNSAメールマガジン　第298号　2024.10.18☆★☆

こんにちは
JNSAメールマガジン　第298号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは
株式会社マクニカネットワークスカンパニー
山下諒輔様にご寄稿いただきました。


【連載リレーコラム】
脆弱性管理における対処の優先度付けの重要性
～大量の脆弱性対処に溺れない、実態に即した対処優先度を判断する～

株式会社マクニカネットワークスカンパニー
第4事業部セキュリティサービス営業部第1課
Macnica ASM プロダクトマネージャ
山下諒輔

近年、企業へのサイバー攻撃の手法・傾向が変化し、インターネットに面し
ている脆弱なシステムが対象となるインシデントが多数発生しています。
境界型多層防御を迂回できるAttack Surface（管理が不十分なサーバやネット
ワーク機器）が攻撃者の格好の侵入経路となっており、標的型攻撃やランサム
ウェアなどの深刻なインシデントが多数発生しています。そのため、各企業が
持つ自社の資産とそのリスクを網羅的に把握し、対処を行うAttack Surface
Managementの取り組みへの注目が世界的に高まり続けています。
本記事では、このAttack Surface Managementの取り組みにおける脆弱性管理や
対処について、大量の脆弱性の対応に追われ、本当に対処が必要な脆弱性が
後回しにしてしまい、最悪の事態とならないよう、対処の優先度付けを行う上で
参考となる考え方や情報をお伝えしていきます。

【実際に悪用される脆弱性の割合とは】
最初に、昨今公開されている脆弱性の状況をお伝えしたいと思いますが、その
件数は増加の一途をたどり、年間約30,000件に上っています。
しかし、この多くが脆弱性を悪用するための条件や攻撃手法が公には未実証、
もしくはあくまで理論上の存在です。実際は、ごく一部の脆弱性だけが悪用され
る可能性があるのが現実であり、本当に対処すべきリスクは、さまざまな研究機
関からの情報を平均すると全体の3％程度と見ています。
それ以外の大部分の脆弱性に関しては、悪用が現実的に起こりえないことが考え
られるため、急いで対処する必要がないというのが、最近の脆弱性管理における
考え方のベースになっています。
このような傾向からも、全ての脆弱性に対処できる潤沢なリソースがあれば別
ですが、膨大な業務を抱える担当者には対応が難しく、できる限りリソースを
温存しながら、現実的なリスクにのみ迅速に対応することが必要になってくる
でしょう。

【現実的なリスクとなる脆弱性とは】
現実的なリスクとは、実際にそのリスクとされている脆弱性等が攻撃に悪用され
る可能性がどのぐらい高いかに繋がっています。
具体的には、攻撃成立の難易度、脆弱性の悪用の有無、攻撃手法情報やPoCの
有無等が例として挙げられます。このように攻撃者目線で見たときにその脆弱性
が今すぐ悪用可能なのか、脆弱性に対してリスクベースで実態を把握し、現実的
なリスクとなるかの指標とすることがあるべき姿だと言えます。
日系企業においては、昨今のランサムウェアの初期侵入口のデータを警察庁が
毎年公開しており、2022年、2023年ともにVPN、FW機器等のネットワークアプラ
イアンス、RDP（リモートデスクトップ）が合わせて約80％を占めています。
日系企業においては、この2大要因を優先度高く、業務上の優先度を加味して
対処優先度付けをしていくことが1つの指標と言えるでしょう。
特にVPN、FW機器等を中心としたインターネットに面しているシステムの脆弱性
管理については資産の把握と対処管理が急務と考えるべき対象です。
【CVSSスコアは脆弱性対処の優先度付け指標として有効なのか】
本当に対処すべきリスクを考える上で、誤解されている指標があります。
脆弱性対処の優先度を決める指標としてよく利用されてきたのが、CVSSのスコア
です。
このスコアで7点以上の脆弱性には対処する、または、報告された脆弱性には
可能な限り全てにパッチを当てることを目指す運用が一般的でした。
この考え方は、脆弱性の件数がさほど多くない時代だからこそ成り立っていました。
2017年ごろから脆弱性件数が爆発的に増加し、更に2019年にはランサムウェアの
脅威が本格化して、今日まで続いています。今ではその数が多すぎて対処が間に
合わず、混乱している企業も少なくないでしょう。
CVSSは、あくまでその脆弱性の理論上の深刻度であって、現実的なリスクでは
ありません。過去に出ている脆弱性を見ても、数年間で半数以上が7点以上に
なっており、CVSSを基準に考えてしまうと、結局ほぼ全ての脆弱性に急いで対処
する必要が出てきてしまいます。逆に、CVSSが7未満の脆弱性であっても攻撃で
利用されるなど、高いリスクの脆弱性が対象から漏れてしまうケースもあります。
これらの状況踏まえ、現状のCVSSベースの運用については、CVSSを策定する関係
団体から2018年に公開されたホワイトペーパーにて、CVSSの誤用だと指摘されて
います。
CVSSという仕組み自体は有用ですが、優先順位付けの指標としては機能して
いないということを知っておきましょう。

【まとめ】
脆弱性の発見が増加する昨今において、対処における優先度付けの重要性と大量
の脆弱性対処に溺れない、実態に即したで対処優先度を判断するための参考指標
を紹介してきました。
本記事を通じて、自社の脆弱性対処の指針は現実的なリスクを加味した実態に
即したものとなっているのか、また対処の優先度付けは出来ているのか、今一度
振り返っていただければ幸いです。また、製品やソリューションを導入する際も
同様の視点で選定をすることを推奨します。
日々公開される脆弱性対応において、皆様の手助けとなれば嬉しく思います。


＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。


＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
　https://tinyurl.com/yeznbbj3
※googleアンケートフォームを利用しています。

【JNSAイベントのお知らせ】
★標準化部会主催セミナー「IoTセキュリティ標準化の動向を知る」
11月15日開催　参加登録を開始しました。
https://www.jnsa.org/seminar/std/2024/index.html

【部会・WGからのお知らせ】
★マーケティング部会主催中小企業を対象としたセキュリティセミナー
「全国サイバーセキュリティセミナー」の講演資料を公開しました。
　https://www.jnsa.org/seminar/2024/cross/index.html
★日本トラストテクノロジー協議会（JT2A）の紹介動画を
　Youtube JNSAChannelで公開しました。
https://www.youtube.com/@JNSAseminar

【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
　当協会から個人の方へ金銭のご請求を行うことはございません。
　お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html


☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>
↓　以下、 JNSA会員企業からのご案内です
==============================================================

（一財）日本情報経済社会推進協会（JIPDEC）
Pマーク取得企業が取組事例を紹介！無料ウェビナー期間限定配信

現在配信中のプライバシーマークセミナー「事例紹介編」では、
制度の概要や取得のメリット、取得までの流れ等に加え、新たに
プライバシーマークを取得した事業者のご担当者様にその取組み
事例を紹介いただいています。
社内に個人情報の適切な取扱いを浸透させた上でプライバシーマー
クを取得するまでの取組みや、取得後の効果、社員教育では、個
人情報管理をどのように従業員の理解を深め意識を醸成していった
のか、そのポイントを詳しく解説していただきました。
社内の個人情報保護体制整備にご関心をお持ちの方は、ぜひ参考に
してください。お申込みは2024年10月31日（木）17時まで。
▼お申込みはこちら
https://privacymark.jp/communication/seminar/new/new_seminar.html

==============================================================

∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞
ＳＡＮＳ Ｔｏｋｙｏ Ｗｉｎｔｅｒ ２０２４のご案内　
∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞∞
2024年11月25日から12月7日にかけて、大好評のSEC504など全10
コースを実施いたします。全コースお申込み特典として講義の録画
映像を4か月間視聴いただけますので、出席できない日程がある場
合や受講後の復習にご活用いただけます！

※JNSA会員様専用のWebサイトよりお申込みいただくと割引が
ございます。詳細はJNSA様のWebサイトをご確認ください。
▼日程・コース等の詳細はこちら
https://www.sans-japan.jp/events/sans_tokyo_winter_2024
▼JNSA様会員専用Webサイト
https://www.jnsa.org/member/cissp_sans_egg.html
【ＮＲＩセキュアテクノロジーズ株式会社】

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
＼ セキュリティ診断計画で迷っている方必見 ／
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
サイバー攻撃が増加している近年において、セキュリティ診断の
重要性がますます高まっています。とはいえ、「どこから手を
付ければよいか分からない」という方も多いと思います。

本記事では、セキュリティ診断計画の立て方について、
3つのステップで分かりやすく解説します。
ぜひこちらの記事を読んで、第一歩を踏み出し、サイバー攻撃を
未然に防ぎましょう。

■ブログ詳細
　⇒ https://hubs.ly/Q02StLPM0
《株式会社ユービーセキュア》


==============================================================

★★11月7日開催！私たちが考える「Web-ASM」とは★★
　ーー 未把握のWebサイトを発見・リスク評価 ーー
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　
　生成AIを活用して未把握のWebサイトを効率的・網羅的に
　発見するAeyeScanの新機能、「Web-ASM機能」について
　詳しくご紹介します。

　AeyeScanのスキャンによるリスク評価を実施すれば
　Webサイトの脆弱性対策をより一層強化することが可能です。

　▼開催日程・詳細
　日程：2024年11月7日（木）
　詳細：https://www.aeyescan.jp/event-seminar/detail-webinar_20241107/
【株式会社エーアイセキュリティラボ】

==============================================================

■業務PCのマルウェア対策はエンドポイント監視のプロにお任せ

"DH-MDR"はAGESTが提供するエンドポイント保護のサービスです。
EDRの運用監視に関するほぼ全ての業務を、専門の技術者が代行す
るため、知見や人的リソースが不足してしてもセキュリティ対策を
施すことが可能となります。　
●セキュリティの専門家が365日24時間体制で監視●セキュリティ
人材が不足している企業におすすめ●インシデント発生時は60分以
内に隔離～報告までを実施し、被害の拡大を最小化●累計監視台数
70万台超えの豊富な実績●経産省が推奨するASM（攻撃領域対象管理
）も実現可能●EDRのライセンスも提供可能。

資料請求・お問い合わせはこちらのページから
https://agest.co.jp/mk/dh-mdr-edr
【株式会社AGEST】

==============================================================

Security Days Fall 2024で講演します。
(キヤノンITソリューションズ)
▼イベント詳細・来場登録はこちら　https://f2ff.jp/event/secd
◎登壇セミナー
・10.24(木) 09:50-10:30
「インシデント事例から学ぶクラウドセキュリティの最適解
セキュリティリサーチャーが最新のサイバー脅威の実態を解説」
https://f2ff.jp/introduction/9531?event_id=secd-2024-02-tokyo
・10.25(金) 16:10-16:50
「ここから始めるランサムウェア対策とID管理
セキュリティ強化とコストの適切なバランスとは。」
https://f2ff.jp/introduction/9579?event_id=secd-2024-02-tokyo
◎ブース：A-07
https://f2ff.jp/event/secd/2024-fall/tokyo/exhibition
みなさまのご登録をお待ちしております。

==============================================================
*************************************
JNSAメールマガジン　第298号
発信日：2024年10月18日
発　行：JNSA事務局　sec@jnsa.org
*************************************