a社では、利用しているソフトウェア製品の脆弱性に対して、ベンダから提供された最新のセキュリティパッチを適用することを決定した。 ソフトウェア製品がインストールされている組織内のPCやサーバについて、セキュリティパッチの適用漏れを防ぎたい。
All Rights Reserved.「すみません、セキュリティ更新について少しお話できませんか？」言うまでもなく、ソフトウェア更新のインストールは遅れがちです。平均では、検知1か月後のパッチ適用状況は脆弱性の4分の1にとどまっています。それが半分にまで到達するには100日かかっており、4分の1は1年たってもパッチが適用されていません。情報セキュリティのエキスパートは、既知の脆弱性の数は膨大であると口を揃えて言うでしょう。しかし、正確な数を把握している人は多くありません。現時点では、約10万8,000個のCVEが公開されています。このデジタルの世界にあなたを送り出してくれた両親。今度は、そのお返しをする番です。ランサムウェアに暗号化されたデータを取り戻すのは簡単なことではなく、不可能な場合もあります。ランサムウェア対策は、そもそも感染しないようにデータを保護するのがベターです。効率性（Efficiency）とカバー率（Coverage）の算出明確な戦略なしにすべてのパッチを手動で適用するのは時間の無駄である、というリサーチャーらの考えには私たちも同意します。しかし、Kaspersky Labのアプローチは少し異なります。Kaspersky Vulnerability & Patch Management（Kaspersky Security for Businessにも含まれる）には、脆弱性の監視とパッチのインストールを担うサブシステムが採用されています。上から、公開されたCVE、実環境で観測されたCVE、エクスプロイトが存在するCVE巧妙化するインターネットの脅威からパソコン、スマートフォン、タブレットをしっかりと守ります。もう1つの戦略は、ベンダー別にパッチ適用の優先度を決めることです。結局のところ、CVEの合計数に対する実際のエクスプロイト数の割合は、開発者によって変わってくるので、現実に悪用される可能性が高い脆弱性を含む製品のベンダーについて、優先度を高くするというのは理にかなっています。しかし、効率性とカバー率については、ランダムにパッチを適用した場合よりも芳しくない結果となり、効果はおよそ半分です。たとえば、MicrosoftによるCVEの言及がある、Metasploitにエクスプロイトが存在するなどの要素があると、当該脆弱性の悪用される可能性が大幅に上がります。したがって、長期的には、この対策はCVSSを基準にした対策よりも妥当性が低いことになります。保護機能を損うことなく、コンピューターの高パフォーマンスを保つための方法を説明します。理想の世界では、セキュリティパッチがリリースされたら会社で使用している全ソフトウェアにすぐインストールしていることでしょう。しかし現実はそれほど単純ではなく、すべてのパッチをインストールするだけの時間の余裕がありません。そこで、優先順位を付けなければなりません。でも、どうやるのが一番良いのでしょうか。パッチが適用されないままになっている脆弱性の3分の2は、ベンダー3社の製品に存在する脆弱性です。リサーチャーたちが構築したモデルの話に戻りましょう。彼らはCVEの概要、公開されているエクスプロイトのデータベース、そしてIPS/IDSシステムからのデータを比較して、脆弱性が実際に悪用される見込みに影響を与える一連の要素を特定しました。ここでは、すべての脆弱性が実際に悪用されるわけではない、ということが大前提となっています。これが真実だと仮定すると、本当に攻撃に使われる（またはその可能性が高い）脆弱性について優先的に対応し、そうではない多数の脆弱性に対してはパッチの適用を先送りしても問題ないということになります。とはいえ、「危険な」脆弱性と「ほぼ無害」な脆弱性とをどう区別すればいいのでしょうか。また、毎月の公開数は、過去数年間で増加しています。2005～2017年には1か月に公開されるCVEは300～500個でしたが、2017年末には月の平均が1,000個を超え、その後も高いレベルを保っています。毎日何十個もの新しいバグが発見されている計算です。一般に認められているパッチ適用戦略の1つは、共通脆弱性評価システム（Common Vulnerability Scoring System：CVSS）に基づくもので、特定の値を上回るCVSSスコアに優先度が割り当てられます。CVSS スコアが10の場合で計算すると、効率性は23%、カバー率は7%になります。興味深いことに、ランダムにパッチをインストールした場合でも、まったく同じ結果になります（少なくともこの指標を使った場合は）。RSAC 2019に登壇したリサーチャーが、現在の脆弱性の状況を説明し、効果的にパッチを適用するための戦略モデルを発表しました。 JVN iPediaの情報を、Webを通じて利用するためのソフトウェアインタフェースです。誰でも、MyJVNが提供する APIを利用して様々な脆弱性対策情報を取得し、脆弱性対策情報を利用したサイトやアプリケーションを開発することが可能となります。 パッチが適用されないままになっている脆弱性の3分の2は、ベンダー3社の製品に存在する脆弱性です。 パッチが適用されていない脆弱性の割合（ベンダー別） パッチが適用されていない製品. a社では,利用しているソフトウェア製品の脆弱性に対して, ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされている組織内の pc やサーバについて, セキュリティパッチの適用漏れを防ぎた ビデオ会議ソフトウェアのZoomに存在する脆弱性を、サイバーセキュリティ企業ACROS Securityが公表した。Zoomは修正に取り組んでいる。 All Rights Reserved.「すみません、セキュリティ更新について少しお話できませんか？」言うまでもなく、ソフトウェア更新のインストールは遅れがちです。平均では、検知1か月後のパッチ適用状況は脆弱性の4分の1にとどまっています。それが半分にまで到達するには100日かかっており、4分の1は1年たってもパッチが適用されていません。情報セキュリティのエキスパートは、既知の脆弱性の数は膨大であると口を揃えて言うでしょう。しかし、正確な数を把握している人は多くありません。現時点では、約10万8,000個のCVEが公開されています。このデジタルの世界にあなたを送り出してくれた両親。今度は、そのお返しをする番です。ランサムウェアに暗号化されたデータを取り戻すのは簡単なことではなく、不可能な場合もあります。ランサムウェア対策は、そもそも感染しないようにデータを保護するのがベターです。効率性（Efficiency）とカバー率（Coverage）の算出明確な戦略なしにすべてのパッチを手動で適用するのは時間の無駄である、というリサーチャーらの考えには私たちも同意します。しかし、Kaspersky Labのアプローチは少し異なります。Kaspersky Vulnerability & Patch Management（Kaspersky Security for Businessにも含まれる）には、脆弱性の監視とパッチのインストールを担うサブシステムが採用されています。上から、公開されたCVE、実環境で観測されたCVE、エクスプロイトが存在するCVE巧妙化するインターネットの脅威からパソコン、スマートフォン、タブレットをしっかりと守ります。もう1つの戦略は、ベンダー別にパッチ適用の優先度を決めることです。結局のところ、CVEの合計数に対する実際のエクスプロイト数の割合は、開発者によって変わってくるので、現実に悪用される可能性が高い脆弱性を含む製品のベンダーについて、優先度を高くするというのは理にかなっています。しかし、効率性とカバー率については、ランダムにパッチを適用した場合よりも芳しくない結果となり、効果はおよそ半分です。たとえば、MicrosoftによるCVEの言及がある、Metasploitにエクスプロイトが存在するなどの要素があると、当該脆弱性の悪用される可能性が大幅に上がります。したがって、長期的には、この対策はCVSSを基準にした対策よりも妥当性が低いことになります。保護機能を損うことなく、コンピューターの高パフォーマンスを保つための方法を説明します。理想の世界では、セキュリティパッチがリリースされたら会社で使用している全ソフトウェアにすぐインストールしていることでしょう。しかし現実はそれほど単純ではなく、すべてのパッチをインストールするだけの時間の余裕がありません。そこで、優先順位を付けなければなりません。でも、どうやるのが一番良いのでしょうか。パッチが適用されないままになっている脆弱性の3分の2は、ベンダー3社の製品に存在する脆弱性です。リサーチャーたちが構築したモデルの話に戻りましょう。彼らはCVEの概要、公開されているエクスプロイトのデータベース、そしてIPS/IDSシステムからのデータを比較して、脆弱性が実際に悪用される見込みに影響を与える一連の要素を特定しました。ここでは、すべての脆弱性が実際に悪用されるわけではない、ということが大前提となっています。これが真実だと仮定すると、本当に攻撃に使われる（またはその可能性が高い）脆弱性について優先的に対応し、そうではない多数の脆弱性に対してはパッチの適用を先送りしても問題ないということになります。とはいえ、「危険な」脆弱性と「ほぼ無害」な脆弱性とをどう区別すればいいのでしょうか。また、毎月の公開数は、過去数年間で増加しています。2005～2017年には1か月に公開されるCVEは300～500個でしたが、2017年末には月の平均が1,000個を超え、その後も高いレベルを保っています。毎日何十個もの新しいバグが発見されている計算です。一般に認められているパッチ適用戦略の1つは、共通脆弱性評価システム（Common Vulnerability Scoring System：CVSS）に基づくもので、特定の値を上回るCVSSスコアに優先度が割り当てられます。CVSS スコアが10の場合で計算すると、効率性は23%、カバー率は7%になります。興味深いことに、ランダムにパッチをインストールした場合でも、まったく同じ結果になります（少なくともこの指標を使った場合は）。RSAC 2019に登壇したリサーチャーが、現在の脆弱性の状況を説明し、効果的にパッチを適用するための戦略モデルを発表しました。