狙われやすい脆弱性とは？ 攻撃者視点に立つと見える“セキュリティ対策の優先順位”
- ありがとうございます！
- いいね！した記事一覧をみる
会員になると、いいね！でマイページに保存できます。
近年、サイバー攻撃者にとっての「アタックサーフェス（攻撃対象）」が拡大している。拡大し続けるアタックサーフェスに、潜在的に存在する脆弱性のうち、どの脆弱性から優先的に修復を進めるべきか？判断基準に悩まされる。もし攻撃者の立場からそれらの脆弱性を見たとき、同じ目的が達成できるのであれば、何を基準にどれを選ぶだろうか。本記事では、攻撃者が優先的に悪用しようとする脆弱性の見極め方を解説する。
（Photo/Shutterstock.com）
企業や組織はアタックサーフェスの管理強化が必要
ランサムウェアが依然として猛威をふるっている中で、近年、攻撃者の攻撃トレンドに少しずつ変化が見られるという。
これまでのサイバー攻撃の初期侵入の経路では、たとえばマクロを実装したオフィス文書を電子メールで送信し、電子メールの受信者がそのオフィス文書を開封してマクロの実行を許可すると、マルウェアをダウンロードして感染、その後はラテラルムーブメント（組織内ネットワークでの横展開）によって組織の内部に広がっていくという攻撃が多かった。しかし、電子メールによる初期侵入は依然として重大な脅威だが、近年インターネットに公開されているデジタル資産、たとえばリモートアクセスサーバやソフトウェア、OS、ウェブサイト等の脆弱性を悪用した侵入事例も増加傾向にある。IPAの情報セキュリティ10大脅威2023の解説によれば、こうした初期侵入がランサムウェア攻撃の主要な手段のひとつとなっている。
この背景には、企業や組織のデジタルトランスフォーメーションによるIT環境のモダナイゼーション（IT環境の近代化）が関係している。たとえば、サービス提供プラットフォームやネットワークの仮想化、コンテナ化などによって、データやアプリケーション、デバイス、人などのデータソースとコンピュータサービスである「リソース」の分散化が加速度的に進んだ。その分散化の動きは、データセンターからクラウドまで広がっており、コロナ禍によって、社員の働く場所もオフィスからリモートへの分散化が進んだ。
こうした環境変化により「リソース」の分散化が進んだが、こうした分散化が結果として、サイバー攻撃者にとっての「アタックサーフェス」の拡大につながっている現状がある。同時に、企業や組織側も分散化したリソースの管理対象が大きすぎて対応できていない実情があり、これも攻撃を助長しているようだ。
それでは、企業や組織に対策の術は残されていないのだろうか。「把握や管理ができていない「デジタル資産」や、「その管理対象外に潜在する脆弱性」に対する攻撃を防ぐことはできるのだろうか。
これまでのサイバー攻撃の初期侵入の経路では、たとえばマクロを実装したオフィス文書を電子メールで送信し、電子メールの受信者がそのオフィス文書を開封してマクロの実行を許可すると、マルウェアをダウンロードして感染、その後はラテラルムーブメント（組織内ネットワークでの横展開）によって組織の内部に広がっていくという攻撃が多かった。しかし、電子メールによる初期侵入は依然として重大な脅威だが、近年インターネットに公開されているデジタル資産、たとえばリモートアクセスサーバやソフトウェア、OS、ウェブサイト等の脆弱性を悪用した侵入事例も増加傾向にある。IPAの情報セキュリティ10大脅威2023の解説によれば、こうした初期侵入がランサムウェア攻撃の主要な手段のひとつとなっている。
この背景には、企業や組織のデジタルトランスフォーメーションによるIT環境のモダナイゼーション（IT環境の近代化）が関係している。たとえば、サービス提供プラットフォームやネットワークの仮想化、コンテナ化などによって、データやアプリケーション、デバイス、人などのデータソースとコンピュータサービスである「リソース」の分散化が加速度的に進んだ。その分散化の動きは、データセンターからクラウドまで広がっており、コロナ禍によって、社員の働く場所もオフィスからリモートへの分散化が進んだ。
こうした環境変化により「リソース」の分散化が進んだが、こうした分散化が結果として、サイバー攻撃者にとっての「アタックサーフェス」の拡大につながっている現状がある。同時に、企業や組織側も分散化したリソースの管理対象が大きすぎて対応できていない実情があり、これも攻撃を助長しているようだ。
それでは、企業や組織に対策の術は残されていないのだろうか。「把握や管理ができていない「デジタル資産」や、「その管理対象外に潜在する脆弱性」に対する攻撃を防ぐことはできるのだろうか。
この記事の続き ＞＞
-
・狙われやすい脆弱性と狙われにくい脆弱性の見極め方
・脆弱性診断で「リスク検知」も…なぜ放置されてしまうのか？
・自社も把握できていない脆弱性、どうやって対策すれば良いのか？
今すぐビジネス＋IT会員にご登録ください。
すべて無料！今日から使える、仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
関連タグ
タグをフォローすると最新情報が表示されます
