脆弱性管理の｢トリアージ｣が抱える指標の課題
セキュリティの脆弱性管理における「トリアージ」には、優先順位を判断する「指標」に課題もある（写真：セーラム / PIXTA）
災害時など多くの傷病者がいる現場で、傷病の緊急度や重症度に応じて治癒や搬送の優先順位を決定する「トリアージ」。実はサイバーセキュリティの世界でも行われていることをご存じだろうか。
サイバーセキュリティにおけるトリアージは、セキュリティインシデントの重要性や緊急性を適切に判断し、対応の必要性や優先順位を見極めることだ。トリアージのメリット・デメリット、必要となる事前準備や体制などについて、インターネットイニシアティブ（IIJ） セキュリティ本部 セキュリティ情報統括室長の根岸征史氏に聞いた。
脆弱性管理における「トリアージ」とは
――サイバーセキュリティの「トリアージ」は、どう捉えればよいのでしょうか。
ここでは脆弱性管理のトリアージに絞って説明します。脆弱性は報告されているものだけでも年間3万件くらいあり、この2年ほどで急激に増えています。
とはいえ、すべてに対応しなければいけないわけではありません。さまざまな調査がありますが、実際にサイバー攻撃に悪用されるのは全体の1〜4％程度で、大事なのは悪用されるものを確実に対策することです。
東洋経済Tech×サイバーセキュリティのトップページはこちら
脆弱性が見つかると、対象製品のベンダーなどから修正プログラム、いわゆるパッチが提供され、ユーザーはそれを適用して対策します。通常、見つかった脆弱性が悪用されて攻撃が来るまでには猶予がありますが、その期間は年々短くなっています。
数も多くスピードも求められる中、効率良く対処するには優先順位付けが重要です。悪用される可能性が高いものはどれで、攻撃があった際は組織にどんな影響があるのか。自社が持つIT資産によって重要度も異なるので、それらを加味した優先順位付けをするのがトリアージです。
――トリアージのための準備や体制はどのようなものが必要ですか。
根岸征史（ねぎし・まさふみ）インターネットイニシアティブ セキュリティ本部 セキュリティ情報統括室長／国内大手電気メーカーのSEを経て、外資系ベンダ等でネットワーク構築、セキュリティ監査、セキュリティコンサルティングなどに従事。IIJ Technologyに入社後は、セキュリティサービスの責任者として、セキュリティ診断など数多くの案件を担当。現在はIIJのセキュリティインシデント対応チームで主にセキュリティ情報の収集、分析、対応にあたる（写真は本人提供）
脆弱性対応は大きく4段階に分かれます。前半2つはトリアージの準備です。第1段階が「対象の把握」で、どのようなソフトウェアやハードウェアを使っているかを把握します。第2段階ではそれらに脆弱性があるかを確認します。
そのためには、ベンダーなどが提供する情報を日常的にチェックします。またアタックサーフェスマネジメント（Attack Surface Management:ASM）と呼ばれる、インターネットに接続されている機器やソフトウェアを外部からスキャンして脆弱性を調べるサービスもあります。
第3段階がトリアージで、例えば使っている機器などに脆弱性が見つかった場合、直ちに対処すべきか、しばらく対策しなくても問題がないかを分析し評価します。そして第4段階で、パッチを当てたりシステムを停止したりなどの対策をとります。
――トリアージがうまく機能せずに、インシデントに発展するのはどのようなケースですか。
攻撃コードが公開されているなど悪用されやすい脆弱性は存在しますが、実際に攻撃が来るかの予測は極めて難しいです。状況を正しく把握できず、対処は後からでいいと間違った判断をしてしまうこともあります。
また、脆弱性情報がSI企業には届いていても、ユーザー企業に届いていないケースもあるでしょう。運用を外部に委託している場合、対応の責任分界点が明確になっておらず対策が漏れることもあります。
脆弱性情報が出たら、その日のうちに攻撃が来ることもあります。迅速に動ける体制があるかどうかで、インシデントに発展するかしないかの差が生じるのです。最近では、脆弱性に対処した時点ですでに侵害されている事例も増えています。パッチを当てて終わりではなく、ログを詳細に調べるなど現時点で侵害されていないか確認する能力も必要です。
トリアージに用いる「指標」には課題もある
――実際にどのようにトリアージを進めればよいのでしょうか。
ベンダーなどが公開する脆弱性情報を入手したら、それを評価するための指標が必要です。最も使われているのは国際的な指標のCVSS（Common Vulnerability Scoring System）で、10点満点で深刻度の高さが表されます。
多くの組織は、10点や9点と高いスコアであれば直ちに対処するというルールを作っているでしょう。しかし、深刻度合いが高いからといってすぐに攻撃が来るのか、逆にそれほど深刻ではないから放置してもいいのかはスコアだけではわかりません。深刻度と攻撃には多少の相関はありますが、必ずしもリンクしないのです。
そもそもCVSSでスコアが高いとされる脆弱性は多数あり、すべてに対処するのは組織のリソース的にもかなり厳しいでしょう。深刻度合いが一目瞭然なのはいいのですが、こうした点は世界的にもずっと課題と言われています。
――何か打ち手はないのでしょうか。
打開策の1つが、アメリカのサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が提供するKEVカタログ（Known Exploited Vulnerabilities Catalog）です。
これは悪用が確認された脆弱性のデータベースで、アメリカの連邦政府機関では2年前から、KEVで公開された脆弱性は緊急度に応じて2週間や1カ月以内など期間内に対処することを法律で義務付けています。
現在の対象は連邦政府機関ですが、民間もこれを活用すべきとの動きがあります。しかし、あくまでもアメリカ政府機関で想定される脆弱性しか掲載されないため、日本国内でしか使われていないソフトウェアの情報などは載りません。そのため、KEVの情報は実際に攻撃に使われる脆弱性よりもかなり少ないです。
CVSSでは数が多すぎるので、KEVの情報を参考にするというのは合理的な考え方でしょう。ただし、KEVでカバーされていない部分をどう判断するかは、企業や組織がそれぞれ取り組まなければなりません。
日本にもKEVのように誰でも参照できるリストがあれば、脆弱性情報の認識も速くなるはずです。今のところ、日本政府なり周辺機関で動きはありませんが、民間組織がそれぞれデータベースを作るのは二度手間だし、拘束力もありません。国としてKEVを真似た仕組みができるといいなと考えています。
現状のサイバーセキュリティ情報にアンテナを張っておく
――トリアージを機能させインシデントを起こさないためのポイントはありますか。
多くの組織が、ベンダーやSI企業などに委託してITシステムの構築や運用を行っているでしょう。IIJもネットワークの設計や運用管理のサービスを提供していますが、ベンダーやSI企業は脆弱性情報をいち早く入手しているので、協力関係を作って支援を得るといいでしょう。
とはいえ、必ずしも依頼先が高度なセキュリティのノウハウを持っているとは限りません。パートナーの経験値を見極める必要もあるかもしれません。
海外のセキュリティ専門会社には、独自の知見で対処すべき脅威を分析し、情報を提供するサービスもあります。費用はかかりますが、こうした外部サービスをうまく利用するのも手です。またASMのサービスも、脆弱性の確認や把握をカバーします。経済産業省からもASMの導入ガイダンスが出ているので、脆弱性管理の選択肢の1つになるでしょう。
――脆弱性情報や社内の状況をつねにキャッチアップすることも大切ですね。
トリアージをしても、優先順位を誤って攻撃を受けてしまっては意味がありません。悪用されない脆弱性をいくら対策しても仕方ないので、組織の状況に合わせた指標や方法でトリアージをする必要があります。また状況の変化も速いので、一度トリアージして終わりにせず、最新のサイバーセキュリティ情報にはアンテナを張っておきましょう。
現状がわかっていれば、自社で対処できない場合にでも外部のサポートを受けるなどの選択肢を持つことができます。現場レベルだけでなく経営レベルで、サイバーセキュリティの現状を認識していることが理想です。
（谷川 耕一 ： ライター）
