イナゴのように、ゼロデイ脆弱性は次々と現れます。 「 Spring4Shell」と呼ばれる最新の脆弱性は、VMwareの Spring 製品におけるもので、
これは、アプリケーション構築のためのオープンソースのJavaツールキットです。 この欠陥がどれほど深刻な問題となるのか、現時点ではまだ誰にも分かりません。
研究者が 2021年12月で公表した、名称が類似する「 Log4Shell 」の脆弱性と同様に、この問題に対処するには、サイバーセキュリティの専門家とソフトウェア開発者による迅速な連携が必要となります。 その協力関係が具体化しつつあります。
The new hack, revealed 3月31日, is the second Spring bug reported in a week, and comes just days after Google announced that its Chrome browser, used by an estimated 3.2 billion people, contained a zero-day flaw in its JavaScript engine. マイクロソフトのEdgeブラウザでも、同じ不具合が発生しました。 両社はパッチを公開し、ユーザーに対し、できるだけ早くそれらのブラウザを更新するよう呼びかけました。
ソフトウェアの欠陥は修正可能です。 ただし、ソフトウェアにパッチを適用した場合に限ります。 また、パッチ適用はIT運用チームの役割であるとはいえ、取締役や経営幹部が、 ますますこの議論に加わるようになってきています。 同社は、CISOやCIOをはじめとする関係者に、適切なパッチ管理戦略が整備されているかどうかを尋ねています。 もしそうでないとしたら、なぜでしょうか？ こうした話し合いは、とっくに行われるべきでした。
ご自身で会話を始めてみませんか？ ビジネスやテクノロジーのリーダーの皆様が、最適なアプローチについて知っておくべきことは以下の通りです。
パッチ管理の基礎を学びましょう
ゼロデイとは、ソフトウェアベンダーやユーザーが気付く前に、ハッカーによってすでに知られている、最も危険な種類の脆弱性のことです。 Googleが発表したゼロデイ脆弱性（ ）は、Windows、macOS、Linux上のChromeユーザーおよびMicrosoftのEdgeブラウザのユーザーに影響を及ぼします。 Googleは脅威レベルが高いと指摘していますが、これ以上の情報は公表していません。
「Googleは脅威レベルが高いと指摘していますが、これ以上の情報は公開していません。」
このような状況では、経営者は腫瘍専門医のような考え方をしなければなりません。 彼らはがんについて完全に理解しているわけではないかもしれませんが、治療については十分に精通しているべきです。
つまり、効果的なパッチ管理を行うための手順を理解することです。 これには、利用可能なパッチの検索、組織にとって最も重要なパッチの優先順位付け、そしてインストール、テスト、および設定内容の文書化が含まれます。
自動化されたパッチ管理は、特に数百、あるいは数千ものエンドポイントを擁する企業において、そのプロセスを簡素化するのに役立ちます。 セキュリティの自動化「 」により、脆弱性が未解決のまま残されることがありません。 そして、それはその数あるメリットのほんの一部に過ぎません。
ソフトウェアのパッチ適用に伴う課題に備えましょう
月曜日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の 3月28日 は、 の連邦民間機関に対し、Chromeの脆弱性に対するパッチを適用するよう警告しました。 彼らには、そのための3週間の猶予が与えられました。 ASAPの指針は、決して新しいものではありません。 CISAは12月、各機関に対し、 Log4j の脆弱性（）に対するネットワークのパッチ適用を迅速に行うよう求める緊急指令を発出しました。オープンソースのロギングユーティリティである Log4jは、数百万ものJavaアプリケーションで使用されており、その脆弱性を悪用する攻撃が広範な懸念を引き起こしたことから、ビジネスおよびテクノロジーのリーダーたちの間でパッチ管理への関心が再び高まりました。
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
つまり、ソフトウェアのパッチ適用は不可欠です。 しかし、複雑な場合もあります。 『 2021年12月』において、 のエンドポイント担当である 氏は、こうした取り組みにおけるスピードの重要性、その過程で直面する課題、そしてそれらの課題を克服するための手順について解説しました。 ステップ1： の資産発見およびインベントリ作成 の徹底したプロセスを確立します。
［さらに読む：CISA：連邦政府機関にLog4j脆弱性に緊急にパッチを適用する必要がある］
サプライチェーン内のソフトウェアの脆弱性を確認してください
「 Log4j バグ」の余波で依然として不安を抱えているビジネスやテクノロジーのリーダーたちにとって、最新のSpringの脆弱性に関するニュースは、ある種のデジャヴを感じさせるものでした。 しかし、それは同時に、ネットワークエコシステム内のサードパーティが、ハッカーへの裏口を開く可能性があるという事実を改めて思い知らされるものでもありました。
「組織のエコシステムには、おそらくかつてないほど多くのサードパーティが存在しているでしょう」と、フォレスターのプリンシパル・アナリストであるサンディ・カリエリ氏は、同社が主催した「 」および「Security & Risk Forum 2021」 において警告しました。
あまりにも多くの組織が、ビジネステクノロジーやサードパーティのリスクを軽減する方法を依然として変えていません。 その状況は変えなければなりません。 『 2021年12月』誌の 氏による記事「 」では、サプライチェーンへのハッキングについて深く掘り下げています。その仕組み（想像するほど複雑ではありません）、影響を受ける対象（つまり私たち全員です）、そしてなぜこれほど成功し続けているのかについて解説しています。 （企業やその他の団体が犯しがちなミスの中には、攻撃者が悪事を働くのを助長してしまうものがあります。）
[関連記事： Log4j の脆弱性を巡るサプライチェーンリスクへの対処]
今週のニュースを受けて、多くの人がCISAの「 （既知の悪用されている脆弱性カタログ）」 にアクセスすることになるでしょう。 CISAは、実際に悪用されているという証拠に基づき、このデータベースに新たな脆弱性を追加しています。 もともと連邦政府機関向けに設計・構築されたこのデータベースは、どなたにとっても有用な情報源となっており、CISAは企業やその他の団体に対し、同データベースの情報を、重大なサイバー犯罪活動の指針として活用するよう推奨しています。
最近のニュースの見出しが示すように――「8つの脆弱性が追加されました」、「9つ」、「32」、「66」――次々と新たな情報が報じられています。
そのCISAのページは、ブックマークしておいたほうがよいでしょう。
