SOMPO CYBER SECURITY
脆弱性（ぜいじゃくせい）（Vulnerability）とは、OSやソフトウェア、ハードウェアにおいて、情報の安全性を脅かす恐れのある欠陥のことを指します。
「もろく、弱い」の字が表すように、プログラムの不具合や設計上のミスが原因となって発生する場合が多く、セキュリティホールと呼ばれることもあります。
OSやアプリケーション、ネットワークシステムなど、さまざまなシステムが脆弱性を抱えており、サイバー攻撃者はPoCやエクスプロイトを利用して、サイバー攻撃をしかけることが多くあります。そのため、システムを運用・提供する事業者は、パッチと呼ばれる修正プログラムの提供や、ソフトウェアのアップデートといった手段で、常に脆弱性に対応しています。
一方、脆弱性を悪用する脅威（サイバー攻撃など）は多様化・高度化しており、脆弱性を完全に排除することはできないことを踏まえたうえで、情報セキュリティ対策を強化することが求められています。
脆弱性情報を集約するプロジェクトとしては、米国政府が運営するNVD（National Vulnerability Databese）があります。Webアプリケーション・セキュリティ団体であるOWASPは、頻出する脆弱性をOWASP TOP10として公開しています。
また、ホワイトハッカーや研究者にバグ発見を促し報酬を提示するバグ・バウンティも盛んであり、代表的なサイトにHacker1やBugCrowd、YesWeHackがあります。米国防総省のように、企業や組織が自らバグ発見・報告を募るケースもあります。
ソフトウェアに脆弱性が発生する根本的な原因は、開発におけるミスや不具合です。このような脆弱性を発見・修正するために、SAST、DAST、IASTといったアプリケーションセキュリティテストが開発過程に組み込まれます。
また、様々な機関や団体が、安全なソフトウェア開発のためのセキュア・コーディングに関するガイダンスや施策を公開しています。ソフトウェア開発におけるAIやNLPの活用によるバグ・脆弱性の低減策に関する研究も存在します。
関連用語
脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。 Cognyte CTI Research Group@Cognyte | 2024年4月 2024.4.17追記本記事公開後、当該脆弱性の悪用条件等の更新が行われています。最新の情報はP...
2021年7月 イスラエルにあるSOMPO Digital Lab Tel Aviv内に発足したサイバーチームが発信するニュースレターを紹介します。今回のニュースレターでは、Webアプリケーションスキャナーを比較・検討する際に、実際に用いた手順を紹介します。 Max Cohen@SOMPO Digital Lab Tel Aviv | 2024年2月 記事に関するご意見・お問い合わせはこちらへお寄...
目次 はじめに 各セキュリティ診断サービスの対象範囲 実施するタイミング 診断の規模 優先度が高い対象 実施にかかる期間 はじめに ここ10年ほどで、企業のWEBサーバやWEBアプリケーションなどの脆弱性を狙ったサイバー攻撃が急増し、ここ数年は高止まり状態になっています。サイバー攻撃を自分事ととらえ、日ごろから対策をしっかりとっておくことが求められています。 このコラムでは、デジタル庁が出している...
このセキュリティコラムは、情報セキュリティに関する疑問や課題について専門家以外の方にもわかりやすく説明していくことを目的としています。第１回目は、「脆弱性診断の必要性」です。（2024.2.6 当社加筆） 記事に関するご意見・お問い合わせはこちらへお寄せください。(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい) 「脆弱性」とは そもそも、「脆弱性（ぜい...