ITおよびセキュリティチームは、攻撃者が悪用する可能性のある弱点について通知する脆弱性アラートを常に受け取っています。しかし、すべてが同じ緊急性を持っているわけではなく、多くは積極的に狙われていません。
「アクティブエクスプロイト」、「自然環境でのエクスプロイト」、「ゼロデイ」、「重大な脆弱性」といった用語は一緒に使われることがありますが、同じ意味を持つわけではなく、同じ対応を引き起こすべきではありません。
脆弱性が積極的に悪用された場合、さらなる攻撃を防ぐために優先してパッチを適用する必要があります。それを念頭に置き、「アクティブな搾取」とは何か、さまざまな用語の違い、そして優先すべき脆弱性をどのように特定するかを探ってみましょう。
サイバーセキュリティにおいてアクティブエクスプロイトとは何を意味するのか？
アクティブな悪用とは、攻撃者が現在、実際のターゲットに対してセキュリティの脆弱性を悪用していることを意味します。現在、アクティブな悪用アラートがあるエンドポイントは、既知の脆弱性を通じて標的にされるリスクがあり、できるだけ早く対処しなければいけません。
実際には、重要な要点はシンプルです。脆弱性が積極的に悪用されている場合、それを通常のバックログ項目ではなく、短期的な 修復優先事項として扱うべきです。
アクティブなエクスプロイトと関連のセキュリティ用語
それを念頭に置いて、異なる用語が何を意味するのか尋ねなくてはいけません。すべてが同じように重大だと聞こえるセキュリティ警告に圧倒されるのは簡単ですが、用語の違いを知っていると、対応に大きな違いが生まれます。
脆弱性とエクスプロイト
脆弱性とは、攻撃者が侵入点を得ることができるようなシステム、ソフトウェア、またはその他のアプリケーションの弱点のことを指します。一方、エクスプロイトはサイバー犯罪者がその脆弱性を悪用するために使用する方法や技術です。簡単に言えば、脆弱性は「何」であり、エクスプロイトは「どうやって」です。
アクティブな悪用と理論上の悪用可能性
多くの脆弱性は理論上は悪用可能ですが、それが実際に悪用されているわけではありません。アクティブなエクスプロイトとは、攻撃者がすでに被害者を狙って脆弱性を悪用している証拠があることを意味し、理論的な悪用可能性とは、まだ起こっていないことを意味します。
アクティブなエクスプロイト対ゼロデイ
脆弱性は、ゼロデイの欠陥であるかどうかに関わらず、積極的に悪用される可能性があります。しかし、ゼロデイ脆弱性は、攻撃時に未知であるか、または未修正の欠陥です。ゼロデイの脆弱性は、攻撃時に利用可能なパッチが存在しないため、最も重要な脆弱性のひとつとなり得ます。
アクティブなエクス プロイト vs. 高いCVSS
脆弱性が高い深刻度スコアを持っているからといって、それが積極的に悪用されているとは限りません。深刻度と悪用は異なる概念であり、高いCVSSスコアが必ずしも攻撃者がその脆弱性を狙っていることを意味するわけではありません。同様に、低いCVSSスコアの欠陥でも、実際に悪用されている場合は緊急に対処が必要です。
アクティブなエクスプロイト対KEV
同様に、アクティブな悪用と既知のエクスプロイト脆弱性（KEV）は異なりますが、これらは密接に関連しています。KEVは、既知の実例から野生での悪用が確認された脆弱性を特定するためのカテゴリです。これらの脆弱性は既に悪用されているため、通常、緊急の修正優先度が必要です。CISAのKEVカタログは、チームが最初に対処すべきことを決定する際に最も重要な参照ポイントのひとつです。
なぜアクティブなエクスプロイトがパッチの優先度を変えるのか
通常、積極的に悪用されている脆弱性は、修正の優先順位の上位に移動するべきです。一度搾取が確認されると、状況はいくつかの重要な点で変わります：
それは、脆弱性を可能性のあるリスクから観察されたリスクとアクティブな脅威に移動させます。
定期的なスケジュールサイクル中のパッチ適用ではもはや十分ではありません。それは攻撃者に攻撃のタイミングを多く与えることになります。
アクティブな脅威に対抗するためには、より迅速な検証、パッチ適用、緩和、または隔離が必要となります。
特に脆弱なシステム がインターネットに接続されているか広く展開されている場合、遅れた行動のコストや潜在的な影響を高めます。
それはチームがどのように仕事を優先すべきかを変えます。特に、高度な重大性があるが、悪用の証拠がない脆弱性に関してです。
セキュリティチームが積極的に悪用されている脆弱性を特定する方法
セキュリティチームとITチームは、シンプルなワークフローを使用して、積極的に悪用されている脆弱性を特定し、何がすぐに対応されるべきかを決定できます。
権威ある脆弱性の悪用情報源を確認: CISAのKEVカタログや高品質なベンダーからの勧告など、信頼できる情報源から始め、野外での悪用の証拠があるかどうかを確認してください。
ベンダーのアドバイザリーと脅威インテリジェンスの更新を確認する: 悪用活動、影響を受けるバージョン、攻撃条件、および推奨される緩和策を確認する報告を探す。
影響を受けるソフトウェアが環境に存在するか確認: 脆弱なOS、アプリケーション、またはバージョンが存在しない場合、問題はチームからのアクションを必要としないかもしれません。
デバイス、ソフトウェアバージョン、ビジネスの重要性によって露出を評価する。これにより、どのシステムが最も高い運用リスクを生み出すかを判断するのに役立ちます。
最速のリスク軽減策を選択: 状況によっては、即座にパッチを当てる、代替のコントロールを適用する、または一時的に露出システ ムを隔離することが必要です。
脆弱性が積極的に利用されている時にすべきこと
環境において積極的に悪用されている脆弱性が含まれている場合、優先すべきは迅速に曝露を減らし、実際に解決されたことを確認することです。
アクティブに利用されている脆弱性がある場合は、次のことを確認してください：
影響を受けたエンドポイントやシステム全体の確認を行い、どのデバイスが影響を受けているかを判断します。
修正の優先順位を設定 する際は、ただのアドバイザリーの見出しではなく、実際の存在に基づいて最も重要なエンドポイントから始めましょう。
パッチを適用（または他の緩和策）を可能な限り迅速に行い、被害の拡大を防ぎましょう。
失敗を追跡し、例外やリメディエーションを逃したデバイスを特定して対処します。
再チェックして、エンドポイントのステータスを確認し、リスクが実際に軽減されたことを確認してください。
チームがここでよく間違えるところ
積極的に悪用されている脆弱性が発見された場合、チームは迅速に対応する必要があります。しかし、あまりにも急いで行動すると、修正を複雑にするようなミスを招くことがあります。アクティブなエクスプロイトを扱う際の一般的なミスに注意しましょう：
すべての「クリティカル」な脆弱性を同等に緊急と扱うことは、何も優先順位が適切に設定されていないことを意味し、最も危険な脆弱性が安全であるより長く放置されます。
パッチの発表があるとリスクがすでに解消されたと仮定することは、ITチームがパッチを展開する前に警戒を緩めさせてしまいます。
CVSSスコアだけに注目することで、悪用の証拠を確認せず、ITチームは優先すべきでない脆弱性に集中してしまう可能性があります。
エンドポイントの視認性が欠如しているために、実際に何が露出しているのか把握できず、ITチームはどこに対処が必要かについて暗中模索状態に陥っています。
遅いまたは手動のパッチワークフローに依存することは、攻撃が進行中である場合、チームを遅れさせる可能性があり、安全性を損なう時間を要することになり、人為的なミスの可能性も高まります。
より良い可視性と迅速な修復がどのようにリスクを減少させるか
アクティブなエクスプロイトが確認されると、最大の課題が始まります。ITチームは、脆弱なソフトウェアがどこで実行されているのか、システムがどれだけ露出しているのか、修復するために必要なこと、およびどれだけ速くそれを実行できるかを特定する必要があります。
重要なのは、視認性と実行速度の兼ね備えです。チームは影響を受けたエンドポイントを迅速に特定し、最も重要な脆弱性を理解し、露出が大きなインシデントに発展する前に修正または緩和するために素早く行動する必要があります。
そのため、次のような機能を含 むエンドポイントとパッチ管理ソリューションを見つけることが重要です。
影響を受けたエンドポイントの可視性により、ITチームは危険にさらされているデバイスを効果的に特定できます。
脆弱性のコンテキストを、より良い意思決定を導くための修復決定に結びつける。
パッチが適切に設定されていることを確認するためのパッチの実行と追跡。
緊急時対応のための繰り返し可能なワークフローにより、チームは必要に応じて効率的にパッチや修正を展開できます。
Splashtop AEMがチームの迅速な対応を支援する方法
ITチームがエンドポイント全体での可視性、セキュリティ、パッチ管理を提供するために、強力なエンドポイント管理ソリューションを必要としていることは明らかです。それでは、Splashtop AEM（Autonomous Endpoint Management）について説明します。
Splashtop AEM は、組織とそのITチームがどこからでもエンドポイントやリモートデバイスを管理できるようにし、ITコンプライアンス、サイバーセキュリティ、新しい脅威への迅速な対応を確保するのを支援します。適切にパッチが適用されるようにエンドポイントをポリシーベースのオートメーションを使用して保ち、CVEベースの脅威検出でリアルタイムにリスクを特定します。
Splashtop AEMで、次のことができます:
1. どのエンドポイントが公開されているかを確認する
Splashtop AEMはデバイスの可視性を提供し、ITチームが迅速かつ効果的にリスクのあるデバイスを特定することができます。これには、会社所有およびBYODエンドポイントのハードウェアおよびソフトウェアに関する可視性が含まれており、デバイスを信頼して管理するのが容易になります。
2. 実際のリスクに基づいて優先順位を付ける
Splashtop AEMは、Common Vulnerabilities and Exposures（CVE）データを使用して潜在的なリスクとそれが引き起こす脅威を特定します。これにより、チームは実際の実行可能なデータを使用して、ビジネスのコンテキストを考慮しつつ、最も大きな脅威に優先順位を付けることができ、より良い意思決定につながります。
3. ワークフローからパッチを適用し、確認する
Splashtop AEMを使用すると、IT管理者はシンプルで使いやすいダッシュボードからすべてを管理できます。これには、パッチ管理、実行、ステータストラッキング、およびフォローアップが含まれ、エンドポイントが単一の場所から適切にパッチされていることを簡単に確認できます。
4. より遅いパッチプロセスによる遅延を減らす
Splashtop AEMは、自動パッチ管理を提供し、パッチ適用の速度と効率を向上させます。これには、パッチの検出、優先順位付け、テスト、設定、確認が含まれ、企業は遅延なくすべてのデバイスに更新を信頼性高く展開することができます。
アクティブな攻撃があなたに到 達する前に阻止する
脆弱性が「積極的に悪用されている」と報告される場合、それは攻撃者がすでに行動していることを意味します。アクティブな悪用は、後で対処すべきバックログ項目ではなく、直ちに対処すべき運用上の優先事項として扱われるべきです。これは、応答速度、可視性、およびフォローアップが重要であることを意味し、それによってITチームは攻撃が始まる前に脆弱性に対処し、それらが解消されたことを確認することができます。
パッチの可視性、脅威の検出、および修復速度を向上させたい場合は、主要な脅威を特定し、会社のポリシーに沿って修復できる堅牢なエンドポイント管理ソリューションが必要です。そうしなければ、ITチームは最も深刻な脅威と対処すべきエンドポイントを判断するために右往左往することになります。
Splashtop AEMを使用すると、CVEベースのアラート、リアルタイム脅威検出、完全なエンドポイントの可視性、リアルタイムのパッチ管理で、活発に利用される脆弱性を簡単に検出し、防御できます。Splashtop AEMは、ITチームにネットワーク全体のエンドポイントを保護するためのツールを提供します。これにより、積極的に悪用される脆弱性を早期に迅速にブロックします。
Splashtop AEM の動作を見てみたいですか？無料トライアルで今日から始めて、エンドポイントを安全に保ちましょう。
