セキュリティコラム（第１回） ： 脆弱性診断の必要性

カテゴリ
サイバーセキュリティブログ  記事一覧  脆弱性診断 
タグ
脆弱性診断  セキュリティ対策  脆弱性  おすすめ 

SOMPO CYBER SECURITY

B!

 

このセキュリティコラムは、情報セキュリティに関する疑問や課題について専門家以外の方にもわかりやすく説明していくことを目的としています。第１回目は、「脆弱性診断の必要性」です。
（2024.2.6 当社加筆）

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)



「脆弱性」とは

そもそも、「脆弱性（ぜいじゃくせい）」とは、いったい何でしょうか。広辞苑で「脆弱性」を引くと、「もろくてよわい性質。コンピューターやネットワークなどの情報システムでは、障害・事故・災害・不正使用・攻撃・情報漏えいなどに対するもろさ。ヴァルネラビリティー。」とあります。これを見ても、情報セキュリティに携わる人以外にはピンと来ないかもしれません。

私達が普段利用しているウェブサイトの多くは、ウェブアプリケーションと呼ばれる、ブラウザから利用可能なプログラムで構成されています。プログラムにミス、いわゆるバグが存在すると、不正に使用され情報漏えいなどの事故が発生してしまうことがあります。このバグの中で悪用可能なものを脆弱性と呼びます。例えば、コップであれば「ひび」、バケツであれば「穴」があるなど、外見上の問題があれば、修理する、新しいものを購入するといった判断ができると思いますが、普段は表に見えていないプログラムのバグを見た目から判断することは非常に難しいのが現状です。

システムに脆弱性がある状態を放置すると、悪意のある第三者から攻撃を受けることにより、日常の業務に支障を来したり、顧客情報等を窃取されたりすることによって、多額の損失を被るリスクがあります。

脆弱性対応の難しさ

脆弱性を塞ぐには、プログラムのアップデートやセキュリティパッチの適用が必要となります。Windowsの場合には、サービスパックやWindows Updateによって、それまでに発見された脆弱性を塞ぐことができます。

しかしながら、次々と発見される脆弱性への対応は、企業にとって容易ではありません。CVE Details※1によると、2017年には14,714件、2018年には16,555件もの脆弱性が発見・報告されています。2019年も８月の執筆時点で既に7,853件が報告されているなど、増加の一途を辿っています。2018年で言えば、単純計算で1日に45件の脆弱性が発見・報告されていることになります。

以上を踏まえると、情報システム部門やそれに相当する職員が、自社に関係する脆弱性であるかの判別、実際に攻撃に使用された際の深刻度の評価、セキュリティパッチ等の適用などの対応を通常業務の傍らで実施することがいかに難しいか、想像に堅くないのではないでしょうか。また、数の多さもさることながら、ウェブアプリケーション等のシステムが稼働するには、これを動かすOSやミドルウェア等の他のプログラムの脆弱性にも目を向けなければならないなど、自社のシステムの脆弱性を網羅的に塞ぐことは極めて難しいと言えます。
 
※1 CVE Details：https://www.cvedetails.com/browse-by-date.php

脆弱性診断の必要性

脆弱性を網羅的に塞ぐことが困難である以上、リスクマネジメントの観点からは、脆弱性を特定するだけでなく、その深刻度を評価した上で、対応の優先順序を付けて計画的に対応することが求められます。このため、システムの脆弱性について、相応の技術を身に付けて自身で診断するか、または専門家による診断を受けることが必要です。

また、日々新しい脆弱性が発見され、攻撃手法もアップデートされています。このため、私達人間も症状の無い病気の早期発見や経過観察のために定期的に健康診断を受けるように、システムにおいても、少なくとも年に一度（クレジットカードを扱う企業は、四半期に一度）以上の頻度で脆弱性診断を継続的に実施し、ウェブサイトや使用中のOS、ミドルウェアその他のプログラムに「もろくて弱い箇所」があるのかを特定する必要があります。脆弱性診断によって、発見された脆弱性を悪用する方法を再現し、危険かどうかの判断、攻撃された際の影響を分析・評価し、サイバー攻撃による被害を最小限に抑える活動を続けていくことが企業存続のための成功要因の一つであると考えます。

脆弱性診断のサービス

これまで脆弱性対応の難しさと脆弱性診断の必要性について述べてきましたが、『SOMPO CYBER SECURITY』では、組織のネットワークやサーバーと言ったインフラの診断から、IaaSやSaaSなど各種のクラウドの設定ミスなどのチェック、またウェブアプリケーションの診断といった、多様な脆弱性を診断するサービスをご提供しています。
 
特にウェブアプリケーションの脆弱性診断は、安価に幅広い範囲を診断するサービスからエンジニアが手作業で深い診断を行うサービスまでご提供しており、お客様ニーズにマッチしたサービスが見つかるかと思います。

脆弱性診断サービスの詳細は、こちらをご参照ください。
 
また、Webサイトの脆弱性診断に関するお客様からのよくあるご質問をまとめた記事がこちらにありますのでご覧ください。

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)


ーWebアプリからクラウドまでー
脆弱性診断サービスはこちら

執筆者

平原 伸昭
（クラウドセーフ株式会社　代表取締役）

2002年に大手セキュリティベンダーに入社以来、 情報セキュリティ分野に従事し、不正プログラムに関する動向や解析、サイバー攻撃、サイバー犯罪、コンピュータに残された痕跡情報調査の分野に精通。多くの政府・企業・団体におけるセキュリティ事故への対応を経験。

2017年4月、 ITの安全、安心、簡単利活用で企業の成長に貢献したいという想いからクラウドセーフ株式会社を創業。

サイバーセキュリティに関して多くのIT関連記事を寄稿。
企業、団体へのセキュリティトレーニング、大手損害保険会社、上場企業、大手製造業、スタートアップ企業等の技術顧問を務める。

ＳＯＭＰＯリスクマネジメント株式会社サイバーセキュリティテクニカルアドバイザー、
警察庁「総合セキュリティ対策会議」委員、
愛知県警察サイバー犯罪・サイバー攻撃対策アドバイザー、
福岡県警察サイバー犯罪対策テクニカルアドバイザー、
北海道警察サイバー攻撃対策アドバイザー
などを務める。

GCFA（GIAC Certified Forensic Analyst ）
CHFI (Computer Hacking Forensic Investigator)

関連記事

（4/17更新有）Palo Alto Networks製品の脆弱性に対応してください（悪用中）

脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。 Cognyte CTI Research Group@Cognyte | 2024年4月 2024.4.17追記本記事公開後、当該脆弱性の悪用条件等の更新が行われています。最新の情報はP...

【採用事例】株式会社ダイフクさま ～きっかけはお客さまからのご依頼～（Panorays)

サプライチェーンリスク評価サービス『Panorays』の採用事例として、株式会社ダイフクさまにお話をうかがいました。 近未来を想像させる大阪市内にある真新しい本社ビルで、サプライチェーンリスク評価サービス『Panorays』の採用事例の取材をさせて頂いたのは、日本国内外でビジネスを大きく成長させている製造大手の株式会社ダイフクさまです。実際の運用はまだこれからという段階であり、採用に至った背景や理...

ハクティビストによるDDoS攻撃サービスInfraShutdownの利用

脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。 Cognyte CTI Research Group@Cognyte | 2024年3月 先般、自称ハクティビストグループであるAnonymous Sudanが新DDoS攻撃サービス「I...

【採用事例】応用地質株式会社さま サイバーリスクアセスメントサービス

当社が提供するサイバーリスクアセスメントやPanoraysを使った組織のセキュリティ態勢改善の事例です。 「DX」を推し進める組織が増加する中、それに伴うセキュリティ態勢の強化は十分か、攻撃をどの程度防御できる対策が取られているのか、管理体制は整備されているのか、考えなければならないこと、やらねばならないことに終わりはありません。やらなければと思っている間にインシデントに見舞われることもあります。...