サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 の緊急指令 2021年12月17日 を発出し、連邦政府機関に対し、 Log4j の脆弱性について、直ちにネットワークへのパッチ適用を行うよう求めました。 メッセージ：パッチを適用できない場合は、影響を受けるソフトウェアをネットワークから削除してください。 そして、人間として、また技術的に可能な限り迅速に行ってください。
ITプロジェクトにとって、「直ちに」というのはほんの一瞬に過ぎませんが、ましてや、米国政府の巨大な官僚機構や無数の外部ベンダーが関わるプロジェクトとなればなおさらです。 しかし、CISAが各機関に対し、できるだけ早くパッチを適用するよう求めたのは、これが初めてのことではありませんでした。 その1か月前、同機関は、 の拘束力のある運用指令「 （BOD）」を発出しており、これは、2017年以降、脅威アクターによって悪用されてきた約 290 件の既知の重大な脆弱性に適用されるものでした。 （一部の脆弱性については、CISAは各機関に対し、修正のための期間として 60 日間、あるいは最大6か月を付与しましたが、他の脆弱性についてはわずか2週間しか与えませんでした。）
[関連記事：脆弱性「 Log4j 」に関するCEO各位への手紙]
その緊急性や、CISAの厳しい期限については、理解できます。 これまでの指針では、多くの連邦機関が、 ネットワーク全体、とりわけリモートワーカーが使用する数千ものエンドポイントやクラウドアプリケーションに含まれるエンドポイントについて可視性を確保すること 、および迅速かつリアルタイムなソフトウェアのパッチ適用において直面している課題が明らかにされています。
2015年、CISAの研究者らは、連邦政府機関におけるセキュリティ上の欠陥の3分の1近くについて、パッチの適用に平均 200 日以上 かかっていることを明らかにしました。 3年後、同機関は、 15 日以内にすべての既知の脆弱性を修正するよう求めるBODを発出することで、パッチ適用の迅速化を図りました。
によると、その指令で対象とされたセキュリティ上の脆弱性のうち、実際に悪用されたのはわずか 4％ に過ぎませんでしたが、ハッカーたちは、0 日目（セキュリティパッチが必要であることが公表された初日）にはその42％、公表から2日以内には 50％、そして 28 日以内には75％を標的にしました。
Cyber-risk 101
戦略国際問題研究所（CSIS）の国土安全保障担当上級顧問であり、「民主主義制度の防衛」プロジェクトのディレクターを務めるスザンヌ・スポールディング氏は、CISAのパッチ適用に関する指針は「リスク管理の基礎（ 101）」であると述べています。 「結果と発生の可能性を考慮するのです。」 これらは、悪用された場合に重大な影響を及ぼす可能性があり、かつ悪用される可能性が最も高い脆弱性です。」
CISAが継続的に更新している「 」カタログ（ ）には、同機関のBODに記載されたセキュリティ上の脆弱性が掲載されており、これには、Adobe、Apple、Cisco、Google、Microsoft、Oracle、SolarWindsなど、数多くの主要ソフトウェアベンダーが提供するソフトウェアおよびソフトウェア設定が含まれており、これらはすべて連邦政府のネットワーク上で導入されています。
CISAのリスクカタログは、最近の攻撃において、多くの脅威アクターが戦略的に複数の脆弱性を「連鎖」させているという認識に基づいています。
これは、ロシアのハッキング集団「Nobelium」が、今年初めに複数回にわたる攻撃において、Microsoft Exchange Serverの「 」と呼ばれる4つの脆弱性 を悪用した際に用いた戦術です。同集団は、深刻度の低い脆弱性を突いてネットワークへの足掛かりを確保し、その後、他の弱点を段階的に利用して権限を昇格させ、より機密性の高いデータやプロトコルへのアクセスを獲得しました。
スピードバンプが至る所にあります
リスクの高い脆弱性へのパッチ適用、そしてそれを迅速に行うことは不可欠です。 しかし、必ずしも簡単とは限りません。 「特定のパッチを適用すると、機関のネットワーク全体に支障をきたす恐れがあります」とスポールディング氏は述べています。 さらに困難なのは、連邦政府機関や民間請負業者が、レガシープラットフォーム、 ファームウェア、およびソフトウェアなど、多種多様なIT環境の中で業務を行っているという点です。 パンデミックの影響でリモートワークへの移行が余儀なくされる中、クラウドベースのVPNアクセス経路や 端末の数が急増しました。
「これは非常に大規模な取り組みです。」 各機関がすべての業務を中断して、これらのパッチを直ちに適用することを期待するのは無理な話です。”ViakooのCEO、バッド・ブルームヘッド氏
ナショナル・セキュリティ・インスティテュートのエグゼクティブ・ディレクター、ジャミル・ジャファー氏は、「どの機関であれ、CISAのBODの要件を実質的に満たすためには、すべてのネットワーク資産を棚卸しし、『パッチ適用が必要なシステムを特定し、そのパッチ適用が現在のソフトウェアに与える影響を把握する』というプロセスを経なければならないでしょう」と述べています。
つまり、オンプレミスおよびクラウドのサーバー、デスクトップコンピュータ、モバイルデバイス、IoTセンサーなど、すべての代理店およびベンダーのソフトウェア、ファームウェア、エンドポイントについて、 による徹底的な調査と によるインベントリ作成を行うことを意味します。 次に、各機関は、脆弱性のある資産を修正、削除、または交換するとともに、すべてのソフトウェアの更新および のセキュアな設定 が適切にインストールされ、正常に動作していることを確認しなければなりません。
[関連記事：元国防長官――「我々は自分たち自身が最大の敵だ」]
「これは非常に大規模な取り組みです」と、IoTデバイスのセキュリティ確保などを手掛けるViakoo社のCEO、バッド・ブルームヘッド氏は述べています。 「各機関がすべての業務を中断して、これらの修正を直ちに完了させるなど、到底期待できることではありません。」
この作業の規模を考慮すると、ブルームヘッド氏は、手作業でこれに取り組むことは非現実的であると同時に、現実的でもないと指摘しています。 「それに取り組むための人手が、どうしても足りないのです」と彼は指摘します。 「現実には自動化が必要ですが、実際に自動化を導入している代理店はごく一部に過ぎません。」
ソフトウェアの更新を自動化しても、それだけでは不十分かもしれません。 その好例として、SolarWindsへの攻撃では、ロシアのハッカーたちが通常のソフトウェア更新を トロイの木馬として利用し（）、Orionのソフトウェアに悪意のあるコードを埋め込みました。このソフトウェアは、 2020年の春に4か月の間に 18,000 人のユーザーによってダウンロードされました。
CISAの取締役会に不足している点
パッチの適用は脆弱性に対する短期的な対処法となるかもしれませんが、長期的に政府のサイバーセキュリティを真に強化するためには、より抜本的な見直しが必要となるでしょう。
「どの機関も、セキュリティの取り組みを進めているところです」とブルームヘッド氏は述べています。 「最終的な目標はゼロトラストです。」
報告によると、 データ漏洩の61％ は認証情報の漏洩が原因であることから、多要素認証（MFA） は、 ゼロトラストを実現するための重要なステップとなります。 （ コロニアル・パイプラインへの攻撃 は、1つの漏洩したパスワードに関連していることが判明しました。） しかし、CISAは多要素認証（MFA）の導入を推進する動きが鈍いのです。 2021年8月において、 の「不適切な慣行」 リストに、ワンタイム認証が追加されたのみです。
バイデン政権は6月の大統領令で、すべての政府機関およびベンダーに対し、 180 日以内に多要素認証（MFA）を導入するよう義務付けましたが、バイデン大統領自身は記者会見で、行政機関が連邦政府の民間請負業者に対してセキュリティプロトコルを「『強制』」することはできないと認めました。
[関連記事：FRBのサイバーセキュリティ指針が、老朽化したネットワークの問題を浮き彫りに]
取締役会が未解決のままにしているもう一つの大きなセキュリティ上の弱点は、脆弱なVPNです。これでは、 リモートアクセス活動を監視・監査する手段が一切ありません。 万が一攻撃が発生した場合でも、VPNではネットワーク活動履歴が保存されないため、侵害の発生源を追跡することができません。 10月、CISAは、リモートアクセスのセキュリティを強化するため、「 」ガイドライン（ ）を公表しました。 しかし、遵守状況を監視し、確実に遵守させるための強固な枠組みがなければ、これらは単なるアイデアに過ぎません。
「コンプライアンスと執行の仕組みは非常に重要だと考えています。」 罰金について検討すべきだと思います。”CISA所長のジェン・イースターリー氏
CISAの取締役会がセキュリティ上の脆弱性の修正を目指しているとはいえ、その実施は不可能ではないにせよ、困難であるように思われます。 2週間の期限は11月 17日に過ぎましたが、同庁は、この指示に従った機関やベンダーがいくつあるかについてはおろか、どの程度遵守されているかについても、まだコメントしていません。
「結局のところ、CISAにはこうした事項を執行する能力には限りがあります」とジャファー氏は述べています。 「最終的には、大統領と議会が、これらの指針を監督する役割を担わなければなりません。」 「それこそが、各機関の長に対し、できるだけ多くのことをできるだけ早く成し遂げるよう、さらなるプレッシャーをかけることになるでしょう。」
CISAの ジェン・イースターリー所長（ ）は、2021年9月 に開催された上院国土安全保障・政府問題委員会の公聴会で証言した際、その事実を認めました。 「コンプライアンスと執行の仕組みは、非常に重要だと考えています」と、彼女は委員会に述べました。 「罰金について検討すべきだと思います。」
「罰金は、当然ながら、機関にとって最悪のシナリオとなるでしょう。なぜなら、業務運営やサイバーセキュリティの両方に充てられる実質的な資金に影響を及ぼすからです」とジャファー氏は述べています。 「重要なのは、各機関が先手を打ってCISAの指示を実施することであり、理想を言えば、議会がそのような権限の付与を検討する前に実施することです。」
最良のシナリオは？ 悪意のある攻撃者が、毎日、終日、悪用できる脆弱性を探り続けているサイバー環境において、連邦政府機関とその外部パートナーは、短期的なパッチ適用にとどまらず、ゼロトラストという長期的な戦略へと移行しなければなりません。そして、その移行は迅速に行わなければなりません。
