CIS Control 7：継続的な脆弱性管理

Center for Internet Security (CIS) は Critical Security Controls を提供し、組織がサイバーセキュリティを改善できるよう支援します。Control 7 は継続的な脆弱性管理を扱います（このトピックは以前 CIS Control 3 で取り上げられていました）。

継続的な脆弱性管理とは、IT 環境における弱点を特定し、優先順位を付け、文書化し、そして是正（修復）するためのプロセスです。機密データは前例のない速さで増加しており、攻撃も頻度と巧妙さの両面で増えているため、脆弱性管理は継続的に行う必要があります。

このコントロールでは、組織が重要な IT リソースに対するリスクを最小化するのに役立つ 7 つのベストプラクティスを示します。

7.1. 脆弱性管理プロセスを確立し、維持する。

最初の保護措置では、組織が継続的な脆弱性管理プロセスを作成し、毎年見直すか、あるいは「この Safeguard に影響し得る重要な企業の変更が発生したとき」に改訂することを推奨しています。

継続的な脆弱性管理プロセスは、4つのコンポーネントで構成されるべきです：

• 識別。 組織は、すべての自社コード、サードパーティのアプリケーション、機密データ、オープンソースのコンポーネント、およびその他のデジタル資産を洗い出し、そのうえでそれらの弱点を特定する必要があります。評価ツールやスキャナーはこのプロセスを支援でき、組織のリスク許容度、IT 環境の複雑さ、その他の要因に応じて、週1回程度の頻度から、1日に複数回の頻度まで繰り返すべきです。
• 評価。 発見されたすべての脆弱性は評価し、優先順位を付ける必要があります。継続的な脆弱性評価の一般的な指標には、NIST の Common Vulnerability Severity Score (CVSS)、脅威アクターによる悪用のしやすさ、解決（修復）の難しさ、悪用による金銭的影響、および関連する規制要件や業界標準が含まれます。
• 是正（リメディエーション）。 次に、組織は優先順位に従って、弱点をパッチ適用するか、またはその他の方法で対処する必要があります。是正は、多くの場合、ベンダーの自動アップデート、パッチ管理ソリューション、および手動の手法を組み合わせて運用・管理します。
• 報告。 特定されたすべての脆弱性、評価結果、是正（リメディエーション）に向けた進捗状況に加えて、発生する可能性のある費用についても必ず文書化することが重要です。適切な報告は、今後の是正作業を効率化し、経営層への説明を簡単にし、コンプライアンスの促進にもつながります。

7.2. 是正（remediation）プロセスを確立し、維持する。

脆弱性管理プロセスが導入されたら、対応が必要であると判断した際に、組織がどのように対応するかを特定するための是正（remediation）プロセスを確立する必要があります。サブコントロール 7.2 は、組織が IT プロセスに優先順位を付け、順序を整理できるよう支援することを目的として設計されており、CIS はその目的を次のように説明しています。

「是正（remediation）プロセスに文書化された、リスクベースの是正戦略を確立し、維持する。月次、またはそれ以上の頻度でレビューを行う。」

是正（remediation）プロセスには、対象として特定された後に脆弱性を解決するための一連のツールが組み込まれます。最もよく使われる是正手法には、自動または手動のパッチが含まれます。企業の是正プロセスには、risk-based vulnerability management (RBVM) ソフトウェアを含める場合もあります。これは、企業が直面する潜在的な脅威をトリアージ（triage）するのに役立つほか、脅威がさらされる前に阻止するための高度なデータサイエンスのアルゴリズムや予測分析ソフトウェアも含み得ます。

7.3. 自動化されたオペレーティングシステムのパッチ管理を実施する。

オペレーティングシステムは基盤となるソフトウェアであり、ベンダーは重要な脆弱性に対処するパッチを頻繁にリリースします。重大な更新が適時に適用されるようにするため、組織は少なくとも毎月適用する自動化システムを導入すべきです。

より広い観点では、包括的なパッチ管理フレームワークには、次のような機能が必要です：

• 情報収集。 デバイスを定期的にスキャンすることで、組織はどのデバイスに更新が必要かを特定し、パッチをより早く展開できます。自動化されたパッチ管理ソフトウェアの中には、エンドポイントの状態をより明確に把握するために、ハードウェアやユーザーの詳細情報も収集するものがあります。
• パッチのダウンロード。 パッチのダウンロードは比較的シンプルなプロセスです。難しくなるのは、多数のデバイスがそれぞれ異なる更新を必要とする場合、または組織が多種多様なオペレーティングシステムに依存している場合です。自動化されたパッチ管理ソフトウェアは、これら両方の状況をスムーズに扱える必要があります。
• パッケージ作成。 パッケージは、パッチを適用するために必要なすべてのコンポーネントで構成されます。自動化されたパッチ管理ソフトウェアは、複雑さのレベルが異なるパッケージや、さまざまな種類のコンポーネントを含むパッケージを作成できる必要があります。
• パッチの配布。 ユーザーの負担を増やしたり、業務プロセスを中断したりしないために、パッチ管理ソフトウェアは、特定の時間に起動してバックグラウンドで実行できるようにプログラム可能である必要があります。
• パッチを適用したら、どのデバイスがアップグレードされたのか、どの更新が使用されたのかについて情報を収集する必要があります。自動化されたパッチ管理ソフトウェアは、自動レポートを生成して、IT チームが次にどの手順を取るべきか計画できるようにすべきです。

7.4. 自動化されたアプリケーションのパッチ管理を実施します。

オペレーティングシステムと同様に、多くのアプリケーションやプラットフォームもパッチによって常に最新の状態に保つ必要があり、少なくとも毎月適用するべきです。多くの場合、同じソリューションを使って、オペレーティングシステムとアプリケーションの両方に対するパッチ適用を実装できます。

7.5. 内部のエンタープライズ資産に対して、自動化された脆弱性スキャンを実施します。

組織は、少なくとも四半期ごとに IT 資産を脆弱性についてスキャンする必要があります。CIS は、SCAP に準拠した脆弱性スキャンツールを使用してこのプロセスを自動化することを推奨しています。( SCAPは、スキャナーおよび脆弱性の是正（修復）ツールに関する標準を提供します。)

スキャンの種類には次のようなものがあります:

• ネットワークベースのスキャン、これは有線または無線ネットワークにおける脆弱性を特定します。これは、不正なデバイスやサーバーを特定し、さらにビジネスパートナーとの接続を調べて、相手のシステムおよびサービスが安全であることを確認することで行われます。
• ホストベースのスキャン、ホスト、サーバー、ワークステーションなどのエンドポイントを評価します。これらのスキャンでは、システム設定や最近のパッチ履歴も確認して、脆弱性を見つけます。
• アプリケーションスキャン、 ソフトウェアツールが正しく設定され、最新の状態であることを確認します。
• ワイヤレススキャンにより、不正なアクセスポイントを特定し、適切な設定を確認します。
• データベーススキャンにより、データベースを評価します。

脆弱性スキャンは、認証あり／なしのいずれでも実施できます。認証ありスキャンでは、テスターがログインして、権限のあるユーザーとして弱点を探せます。認証なしスキャンでは、テスターが侵入者になりすまし、自分たちのネットワークを侵害しようとすることで、攻撃者が見つける可能性のある脆弱性を発見するのに役立ちます。どちらも有用であり、継続的な脆弱性管理戦略の一部として導入すべきです。

7.6. 外部に公開されている企業資産について、自動化された脆弱性スキャンを実施します。

組織は、インターネット経由などで外部ユーザーに公開されている機密データやその他の資産に含まれる脆弱性を見つけることに、特に注意を払うべきです。CIS は、外部に公開されている資産については、内部資産の四半期ごととは異なり、少なくとも月1回の頻度で脆弱性スキャンを行うことを推奨しています。ただし、いずれの場合も SCAP 準拠の自動化された脆弱性スキャンツールを使用する必要があります。

一部の組織は、自分たちが把握している以上に、外部に公開されているデジタル資産が多い場合があります。以下のすべてをスキャンでカバーしていることを確認してください：

• デバイス
• 営業秘密
• セキュリティコード
• IoTセンサー
• 遠隔操作装置
• プレゼンテーション
• クライアント情報
• リモートワーク用ルーター

7.7. 検出された脆弱性を修正します。

統制 7.2 では、脆弱性を修復するためのプロセスを確立し、維持する方法を詳しく説明します。少なくとも月1回は修復を実施することを推奨しています。

Netwrix ができること

継続的な脆弱性評価および修復プロセスを導入することは、難しい場合があります。多くの組織では膨大な数の脆弱性が見つかる一方で、適切なタイミングで修復するのに苦労しています。

Netwrix Change Tracker は役立ちます。次のことができます：

• CIS、DISA STIG、SCAP/OVAL など、複数の標準化団体に基づくカスタマイズ可能なビルドテンプレートで、重要なシステムを強化（ハードニング）するのに役立ちます。
• 重要なシステム ファイルが本物であることを、すべての変更を追跡することで確認し、すべての変更履歴の完全な記録を簡単に確認できるようにします。
• システム構成の変更を監視し、計画外の変更があればすぐに警告します。
• NIST、PCI DSS、CMMC、STIG、NERC CIP をカバーする 250 件以上の CIS 認定レポートで、コンプライアンス レポート作成にかかる時間と手間を削減します。

よくある質問

継続的な脆弱性スキャンとは何ですか？

既知の欠陥、コーディング上のバグ、攻撃者が悪用できる可能性のある誤った設定（ミスコンフィグレーション）などを含め、システムやソフトウェアにおけるセキュリティ上の弱点を分類するために、常に探し続けるプロセスです。

脆弱性管理プロセスには何が含まれますか？

継続的な脆弱性管理プロセスは、次の4つのコンポーネントで構成されるべきです：

• すべての IT 資産を特定し、それらを脆弱性スキャンします。
• 悪用の可能性や悪用にかかるコストなどの要因に基づいて、発見された脆弱性に優先順位を付けます。
• 検出された弱点をパッチするか修正してください。
• 特定した脆弱性、評価結果、是正（復旧）に向けた進捗状況、ならびに発生するコストを文書化してください。