脆弱性管理のベストプラクティス トップ5

近年、ハイブリッド IT アーキテクチャやリモートワーク戦略への移行によって、ほとんどの組織の IT 基盤は大きく拡大しています。この拡大に加えて、現在では社内ネットワークに接続するコンピューティング機器や IoT デバイスの数が増えていることを考えると、なぜサイバーセキュリティがますます難しい課題になっているのかが分かります。IT の範囲が広がるほど、攻撃対象（攻撃面）も増大します。

攻撃対象領域（アタックサーフェス）を減らすには、重要な欠陥を解消するためにソフトウェアやハードウェアを定期的にパッチ適用するだけでは不十分です。サイバー脅威からインフラ、ユーザー、そして機密情報を守るには、資産の洗い出し、脆弱性スキャン、特定した脆弱性の優先順位付けと修復まで含む包括的な脆弱性管理プログラムが必要です。

この記事では、あらゆる脆弱性管理プログラムに共通する5つのベストプラクティスを紹介します。なお、脆弱性管理は一度やって終わりの作業ではありません。効果を得るには、指定されたIT担当者に割り当てられた定期的なルーチンである必要があります。

1. アセット（資産）の発見

自分が把握していないものは守れないため、脆弱性管理の最初のステップは、環境内のあらゆるデバイスを完全に把握するためのディスカバリスキャン（発見スキャン）を開始することです。このスキャンには、ドメインコントローラーやアプリケーションサーバーから、IoTセンサーや取り付け型カメラのような小さなものまで、すべてを含める必要があります。接続されているあらゆるデバイスはセキュリティ脅威に対して脆弱であるため、社内のテスト環境や DevOps 環境も含める必要があります。

最初の発見（ディスカバリ）作業の後は、ネットワークに新たに追加されたデバイスを含め、すべての資産を正確に報告できるように、定期的にスケジュールされたスキャンを実施する必要があります。勤務スケジュールが異なると、特定の時間帯にだけ接続されるデバイスがある可能性があるため、スキャンは1日の中で異なる時間に設定してください。市場には活用できる 脆弱性スキャン のツールが複数あります。以下のスクリーンショットは、Greenbone Enterprise の発見レポートの例です。

2. スキャン頻度

ネットワークはどれくらいの頻度でスキャンすべきでしょうか？Center for Internet Security (CIS) は、組織が2週間ごとにスキャンを実施することを推奨しています。教育機関のようにユーザーベースが非常に動的な環境では、毎週、あるいは毎日スキャンを実行したい場合もあります。一方で、規模が小さく、より静的な組織では、毎月1回のスキャンで十分だと感じることがあるでしょう。正解はありませんが、資産の発見（ディスカバリー）スキャンはネットワーク性能への影響が小さいため、慎重に判断して頻度を高める方向を検討してください。

Greenbone Enterprise でスケジュールされたスキャンを設定する例は次のとおりです。

3. 脆弱性スキャンの実行

もちろん、ITシステムを単に棚卸しするだけでは不十分です。攻撃者が悪用できる可能性のある脆弱性について、すべての資産を定期的にスキャンする必要もあります。発見（ディスカバリー）スキャンとは異なり、脆弱性スキャンはシステムのパフォーマンスに大きく影響する可能性があり、資産ごとに要する時間も長くなります。そのため、通常は脆弱性スキャンを通常の業務時間外に実施するのが最適です。

環境内のさまざまなアセットタイプに対応するため、別々のスキャン戦略を定義する必要がある場合があります。たとえば、ファイルサーバーはIoTデバイスよりも深いスキャンが必要になります。多くの高品質な脆弱性スキャナーでは、異なるシステムやアプリケーションを対象にレポートするための、複数のスキャンプロファイルを作成できます。新たに公開された脆弱性をテストできるよう、ツールが更新されたデータベースを使用していることを確認してください。

異なる資格情報を使ってスキャンを実行することで、特定のユーザーロールや権限の割り当てに固有の脆弱性を見つけることができます。なお、ディープダイブ（詳細調査）スキャンには通常、特権（privileged）資格情報が必要です。

4. 調査結果の優先順位付け

脆弱性スキャンのレポートでは、複数のITアセットにまたがって多くの課題が列挙されることがよくあります。したがって、ITチームは、重要な脆弱性が速やかに対処されるように、修復（レメディエーション）作業の優先順位を付ける必要があります。レポートには通常、リスクや深刻度（severity）の評価が記載されますが、優れたツールであれば、影響を受けるシステム数や発見・発生がどれくらい最近かといった複数の要因に基づいて結果をフィルタリングし、並べ替えられます。これにより、情報をより効果的に活用してリスクを迅速に低減できます。

5. 対応（Remediation）

ネットワーク上のどこに存在するかにかかわらず、まずは高リスクの脆弱性から対処することがベストプラクティスです。特に、開発環境やテスト環境における重大な問題の修復（レメディエーション）を先延ばしにしないでください。これらのシステムは、制限の厳しいポリシーが適用されていないことが多いため、特に脆弱になり得ます。

高リスクの脆弱性の修復（レメディエーション）が完了したら、すぐに中リスクの脆弱性へ移りましょう。ハッカーは、高リスクの脆弱性は通常対処されることを知っているため、中リスクの脆弱性を狙うことがよくあります。その後は、厳格で不変のルールはありません。修復は優先順位に基づいて進めるべきです。ただし、多くの場合は本番環境（プロダクション）システムに残っている脆弱性を最初に修復するのが賢明です。

修復（レメディエーション）作業が完了したら、再度スキャンを実行して、システムに脆弱性が残っていないことを確認してください。以下は Greenbone Enterprise の脆弱性レポートの別の例です。

結論

脆弱性スキャンソフトウェア のソリューションは、あらゆる IT セキュリティ戦略において重要な要素です。これらは、脆弱性が悪用される前に IT 環境内の脆弱性を特定して軽減することで、組織の攻撃対象領域（アタックサーフェス）を縮小するのに役立ちます。さらに、しっかりとした脆弱性管理プログラムは、重要な IT システムでの中断やダウンタイムを防ぎ、業務の継続性を確保するのに役立ちます。