脆弱性管理（ ）は、長年にわたり企業のセキュリティ対策の基盤となってきましたが、これは問題の一部にしか対処できていません。 ITシステム、アプリケーション、ネットワークにおけるセキュリティ上の弱点を特定し、是正することに焦点を当てた、継続的なリスクベースのプロセスである脆弱性管理は、通常、CVEを中心に扱っており、設定ミス、有効期限が切れた証明書、およびコンプライアンス違反は、その対象範囲外となっています。
による露出管理の変更点。 Taniumのドメイン・アーキテクトであるグレッグ・ラクロワ氏が説明しているように、エクスポージャー管理とは、既知の脆弱性だけでなく、環境全体にわたるあらゆる形態のセキュリティ上のエクスポージャーを特定し、相互に関連付け、軽減することを目的とした、脅威情報を基にした継続的なプロセスです。
[継続的なエクスポージャー管理が、攻撃対象領域全体にわたるサイバーリスクの特定、優先順位付け、および低減にどのように役立つかをご覧ください]
グレッグ氏は、5つのステップからなるリスク管理ライフサイクル（スコープ設定、調査、優先順位付け、検証、実行）について解説し、Taniumプラットフォームが単一のコンソールからこれらの各フェーズをどのようにサポートしているかを実演します。 このデモでは、Tanium Benchmarkのエンタープライズリスクダッシュボード、Complyにおけるコンプライアンス調査結果、EnforceにおけるCISバンドルキットおよびSTIG GPOを用いたポリシーの適用、EPSSスコアと信頼度スコアを用いたサードパーティ製アプリケーションの脆弱性分析、ならびにエクスプロイトの武器化状況やエクスプロイトコードの公開状況などのエクスプロイトインテリジェンスに基づいたオペレーティングシステムのパッチ適用についてご紹介します。
もし御社のチームが、脆弱性やコンプライアンスに関するワークフローを、別々のツールやチームで管理している場合、今回のエピソードでは、統合された自律的なエクスポージャー管理のアプローチが実際にどのように機能するのか、また、 の修正にかかる平均時間（MTTR） を短縮するためには、そうしたサイロ化を打破することが不可欠である理由について解説します。 以下のリンクから、エピソードの全編をご覧ください。
キーポイント
- エクスポージャー管理と脆弱性管理の比較： 脆弱性管理とは、ITシステム、アプリケーション、またはネットワーク内のセキュリティ上の弱点を特定、評価、優先順位付け、および是正することに焦点を当てた、継続的なリスクベースのプロセスです。 エクスポージャー管理では、その対象範囲をCVEだけでなく、設定ミス、有効期限切れの証明書、コンプライアンス違反などにも拡大しています。
「したがって、脆弱性管理とは基本的に、リスクに基づいた継続的なプロセスであり、その目的は、ITシステム、アプリケーション、またはネットワーク内のセキュリティ上の弱点を特定、評価、優先順位付けし、是正することにあります。 エクスポージャー管理は、脅威情報を踏まえた継続的なプロセスであり、その目的は、環境全体にわたるあらゆる形態のセキュリティ上のエクスポージャーを特定し、相互に関連付け、軽減することにあります。 CVEだけに焦点を当てているわけではなく、設定ミスなども対象に含め、有効期限が切れた証明書やコンプライアンス違反など、一般的なリスクを特定できるよう範囲を拡大しようとしています。”Taniumのドメインアーキテクト、グレッグ・ラクロワ氏
- 5段階の脆弱性管理ライフサイクル： このライフサイクルは、スコープ設定（保護すべき対象の特定）、発見（脆弱性の存在箇所の特定）、優先順位付け（対応時期の決定）、検証（脆弱性が悪用可能かどうかの確認）、および対応（誰がどのように修正するかの決定）という5つの明確な段階に分かれています。
- セキュリティ態勢を即座に可視化するベンチマーク： Tanium Benchmark は、コンプライアンス違反、脆弱性、証明書、およびラテラルムーブメントを網羅し、組織の現在のセキュリティ態勢に関するリアルタイムかつデータ駆動型のスナップショットを提供します。これにより、チームは優先順位付けや対応策の策定に必要な可視性を得ることができます。
- コンプライアンス是正措置のため、BenchmarkからComplyへ切り替える： チームは、Benchmarkで特定されたコンプライアンス違反から、 Tanium Comply に直接切り替えることで、特定のルールに関する追加のコンテキスト情報を取得できます。これには、デバイス上で確認された実際の値、期待される状態、および違反が発生した理由と次の対応手順を説明する段階的な是正ガイダンスが含まれます。
- 優先順位付けの要因としてのエンドポイントの重要度： すべてのエンドポイントが同じリスクを伴うわけではありません。 エンドポイントの重要度（デバイスが重要なサーバーであるか、 Active Directory サーバーであるか、あるいはテスト用ワークステーションであるか）は、コンプライアンス違反や脆弱性の優先順位付けに直接反映され、リスクが最も高い箇所に是正措置の取り組みが集中するよう保証します。
- CISおよびSTIG設定によるポリシーの適用： Tanium Enforce を使用すると、チームはCISバンドルキットやSTIG GPOを直接インポートし、特定のオペレーティングシステム向けのポリシーを作成し、それらの設定をデバイスに自動的に適用することができます。これにより、次回マシンがスキャンされた際に、自律的なリスク管理アプローチの一環として、不適合を自動的に是正することが可能になります。
- EPSSおよび信頼度スコアに基づくサードパーティ製アプリケーションの脆弱性： Adobe Reader、Java、Officeなどのサードパーティ製アプリケーション は、脆弱性の一般的な原因となっています。 Taniumは、EPSSスコアを表示することで、各アプリケーションに関連する脆弱性のうち、悪用される可能性が最も高いものを優先順位付けするのに役立ちます。また、ソフトウェアの導入が最小限の問題で成功する予測確率を示す信頼度スコアも提供します。
「」EPSSとは、今後 30 日間にわたり、その脆弱性が悪用される可能性を示す指標です。 スコアは0から1の間です。 ゼロポイント 85 のスコアはかなり高いですが、この脆弱性が悪用されるリスクは極めて高いと言えます。”Taniumのドメインアーキテクト、グレッグ・ラクロワ氏
- OSのパッチ適用判断におけるエクスプロイト情報の活用： オペレーティングシステムの脆弱性に対処する際、Taniumは、特定されたエクスプロイトの総数、成熟度の最高レベル、エクスプロイトが実戦化されているかどうか、およびエクスプロイトコードが一般公開されているか、あるいは商用で入手可能かといったエクスプロイト情報を提供します。 こうした背景から、チームは、深刻度が高いものの既知の公開エクスプロイトがないCVEよりも、EPSSスコアの高いCVEを優先して対応することになります。 場合によっては、1つの累積更新プログラムだけで、影響を受けるエンドポイント全体にわたる多数のCVEを修正できるため、1回の修正措置が非常に大きな価値を持ちます。
「私にとって、この自律的な露出管理アプローチにおいて本当に重要なのは、サイロ化を打破することです。 これは、まさに「どのように考えるべきか」という考え方です。つまり、自身の環境を把握し、何が稼働しているのか、どこにリスクがあるのか、どこに脆弱性があるのか、どのような脅威にさらされているのかを理解する必要があるのです。 そして、そこから、是正措置を実施する運用チームと協議を行い、優先順位をある程度決めておくことで、単一のプラットフォームを通じてサイロ化を解消し、環境内の問題を修正し、リスクを低減する準備を整えます。”Taniumのドメインアーキテクト、グレッグ・ラクロワ氏
- サイロ化を解消してMTTRを短縮： 自律的なエクスポージャー管理の目的は、可視化、優先順位付け、および是正措置を一つのプラットフォームに集約することで、MTTR（脆弱性が発見されてから実際に修正されるまでの時間）を短縮することです。これにより、コンプライアンス、パッチ適用、エンドポイントの健全性を個別に管理するために、別々のチームやツールを用意する必要がなくなります。
その他の参考資料
- 「修復を最優先とするエクスポージャー管理」が従来のモデルを覆す理由：パッチ適用、アプリケーションの更新、設定変更といった修復措置を最優先とし、AIを活用した優先順位付けと自動化を組み合わせることで、セキュリティおよび運用チームが、現代の大規模環境においてリスクをより迅速に低減できる仕組みについて解説します。
- サイバーセキュリティにおけるエクスポージャー管理とは何か、そしてなぜそれが脆弱性管理の枠を超えているのか：エクスポージャー管理が脆弱性管理とどのように異なるか、また、脅威情報を踏まえた継続的なアプローチによる攻撃対象領域のリスク低減が、実際にはどのような形をとるのかについて概説しています。
- Tanium Comply のドキュメント—コンプライアンス評価の作成とコンプライアンス結果の確認：エンドポイント環境全体における設定の不一致について、Tanium Comply コンプライアンス評価の作成および実行方法、結果の確認、ルール違反の調査、是正措置の指針の理解について解説した技術ドキュメントです。
- Tanium Benchmark のエンタープライズリスクスコアおよびセキュリティ態勢ダッシュボードに関するドキュメント：Tanium Benchmark の技術ドキュメントで、エンタープライズリスクスコアの算出方法、および環境全体の脆弱性データ、コンプライアンス違反、証明書の状態、横方向の移動リスクを確認するためにこのスコアがどのように活用されるかを解説しています。
