Log4j のセキュリティ上の欠陥 (新しいタブで開きます) が表面化した際――サイバー犯罪者がたった1行のコードで脆弱なコンピュータネットワークに侵入できるという事態――それは、めったにないサイバーセキュリティ上の脅威であり、直ちにパッチを当てる必要のある「核級」のゼロデイ脆弱性であるかのように見えました。
しかし、デジャヴと言う間もなく、 Spring4Shell (新しいタブで開きます) のゼロデイ攻撃が発生し、さらに多くの見出しを飾り、経営幹部をパニックに陥れ、セキュリティチームを 24/7 のフル稼働状態に追い込みました。
時代は確かに変わりましたね。 かつては、犯罪を目的とするハッカーたちが、こうしたゼロデイ脆弱性（ソフトウェアの開発者やベンダーが、発見または悪用されるまでその存在を認識していないコード上の欠陥）を、数年おきに確実に悪用していました。
現在、企業や政府機関がネットワークや組織内のアプリケーションを運用するためにサードパーティ製のソフトウェアへの依存度を高めていることから、こうしたゼロデイ攻撃はますます頻発し、その深刻度も増しています。
最後まで諦めずに頑張りましょう！
しかし、ITセキュリティの専門家たち――そして、彼らが報告義務を負う経営幹部や取締役会――は、次のように疑問を投げかけています。「ゼロデイ攻撃は本当に増加し、深刻化しているのでしょうか？」 それとも、こうした欠陥を突き止めるセキュリティ研究者やバグ報奨金ハンターたちの腕前が、単に上達しているだけなのでしょうか？
「すべてのゼロデイ脆弱性が、全社を挙げて対応すべき重大な事態というわけではありません。」タニウムのエンドポイントセキュリティ研究部門ディレクター、メリッサ・ビショピング氏
Taniumのエンドポイントセキュリティ研究担当ディレクターであるメリッサ・ビショピング氏は、後者だと考えています。 「ゼロデイ脆弱性がますます多く見つかるようになっていますが、その一因は、現在、非常に多くの人々がそれらを探しているからです」と、脅威ハンティングのワークショップも主催しているビショピング氏は述べています。 「すべてのゼロデイ脆弱性が、全社員を動員するような重大な事態となるわけではありません。」 「大規模な攻撃」という差し迫った脅威に夜も眠れないほど心配されるかもしれませんが、それらは私たちが確認しているゼロデイ攻撃のほんの一部に過ぎません。 「ゼロデイであるという事実だけに基づいて判断するのではなく、深刻度に基づいて評価し、それに応じて対応するようお勧めします。」
とはいえ、彼女は、セキュリティの専門家にとって、常に警戒を怠らないことが極めて重要であると警告しています。 犯罪目的のハッカーが、たった1つの脆弱性を悪用して広範囲にわたる大混乱を引き起こす可能性があることを踏まえると（ のSolarWinds へのハッキング事件や、それが企業や政府に与えた影響を参照）、ゼロデイ脆弱性の動向を常に把握しておくことが、ネットワークセキュリティの鍵となります。
ゼロデイ攻撃の深刻度が高まっています
開発者がより安全にコーディングできるよう支援する統合プラットフォームを提供するContrast Securityの最高製品責任者（CPO）であるスティーブ・ウィルソン氏は、同社が注力しているアプリケーション層において、ゼロデイ攻撃の数と深刻度が増加していると指摘しています。 同氏によると、その主な理由の一つは、企業が現在使用しているソフトウェアコードの多くが、実際には何年も、あるいは何十年も前に書かれたものであるという点だそうです。 ウィルソン氏によると、Javaライブラリである「Apache Log4j」は20年の歴史を持ち、そのメンテナンスは主にボランティアによって行われています。 (新しいタブで開きます)。
「これらのライブラリにおける基本的な前提の多くは、開発者が安全なコードの書き方についてあまり詳しくなかった時代に定められたものです」とウィルソン氏は述べています。 「ハッカーたちは現在、こうした古くから広く導入されているエコシステムに明らかに狙いを定めており、そこでのセキュリティ上の脆弱性は甚大な影響を及ぼす可能性があります。」
拡大し続ける攻撃対象領域
アカマイ・テクノロジーズのセキュリティ技術・戦略担当ディレクターであるトニー・ラウロ氏は、ゼロデイ脅威が当面の間は続くと見ている点に同意しています。その主な理由として、多くの企業がデジタル化を進め、 クラウドへの移行を進め、 （新しいタブで開きます）、また従業員が さまざまなエンドポイントデバイスからリモートワークを行い、 （新しいタブで開きます） していることが挙げられます。
「残念ながら、攻撃者が狙える攻撃対象領域が増えるため、この問題は改善される前にさらに深刻化するでしょう」とラウロ氏は述べています。 「そして確かに、インターネットを利用する新世代が次々と現れるにつれ、被害者の層もさらに広がることは間違いありません。」
[関連記事：リモートワーク革命について知らないことが、あなたに不利益をもたらすかもしれません] (新しいタブで開きます)
さらに、ゼロデイ攻撃は、サイバー犯罪の世界において収益源となりつつあるため、増加する可能性があります。 NSAのサイバーセキュリティ担当局長であるロブ・ジョイス氏は、今年のRSAカンファレンスでのパネルディスカッションにおいて、ランサムウェア集団が 収益を投じて ゼロデイ攻撃用エクスプロイトを購入していると述べ、同局としては、犯罪者が新たに公表されたソフトウェアの脆弱性をいかに迅速に悪用できるかについて懸念を抱いていると語りました。
天が崩れ落ちることはありません――実際に崩れ落ちるまでは
一部のゼロデイ攻撃は、実際よりも脅威が大きく見える場合もありますが、ITセキュリティ部門はそれらすべてを真剣に受け止め、防御に全力を尽くさなければなりません。
「さまざまな脆弱性について 150,000 件もの警告が表示されており、その多さにほとんど呆気にとられてしまいます。」IDCのグループ副社長、フランク・ディクソン氏
このアプローチに難色を示すセキュリティチームもあるでしょう。 彼らは長年にわたり、ベンダーや研究者、ソフトウェア開発者たちが新たなゼロデイ脆弱性を指摘する声を聞いてきましたが、結局はたいした問題ではないことが判明してきました。 さらに、ほとんどのセキュリティチームは、過重な業務に追われ、人員不足で、予算も不足しています。 そのため、彼らは緊急性のないアラームを無視しがちです。
「『alert fatigue (新しいタブで開きます)』という状況です」と、IDCのグループ副社長であるフランク・ディクソン氏は述べています。 「彼らはさまざまな脆弱性について 150,000 件もの警告を受けており、それにはほとんど麻痺してしまうほどです。」
ディクソン氏は、企業はまずこうした不満に対処しなければならないと述べています。 また、 のサイバー衛生管理 （新しいタブで開きます）において、明らかな変更点やそれほど明らかではない変更点をいくつか加えることで、ゼロデイ攻撃がもたらす脅威に対処する必要があります。具体的には、次のような対策が挙げられます：
- 効果的なパッチを、初回から確実に提供すること。 これはソフトウェアベンダーの責任です。 実際、Googleのゼロデイ脆弱性の多くは、以前から で修正済みの （新しいタブで開きます） 脆弱性であり、と、Project Zeroのセキュリティ研究者であるマディ・ストーン氏は述べています （新しいタブで開きます）。 予防についてはどうでしょうか？ ストーン氏は、自身が調査したゼロデイ脆弱性の少なくとも半数は、「より包括的なパッチ適用と回帰テストを行っていれば防げたはずだ」と指摘しました。 それは、消防隊が火を消したものの、残った燃え殻を見落としてしまい、やがて風に乗って新たな大火災へと発展してしまうようなものです。 「パッチを正確かつ網羅的に適用できるということは、単にスイッチを切り替えるだけの話ではありません。それには、投資、優先順位の決定、そして計画が必要です。」 また、ユーザーを迅速に保護することと、パッチ適用が網羅的であることを両立させるパッチ適用プロセスの構築も必要となります。」
- 自社の資産を把握しましょう。 把握できていないものを保護したり、パッチを適用したりすることはできません。調査によると、多くのCIOは、オンプレミスおよびクラウド上のすべての資産について、 可視性 (新しいタブで開きます) を十分に確保できていないことが明らかになっています。 ゼロデイ脆弱性が発覚した際、動揺した経営幹部がCISOやCIOに真っ先に尋ねる質問は、「この件について、どれほど気にかける必要があるのでしょうか？」というものです。 そして、「私たちにとって、これは世界の終わりなのでしょうか、そうでないのでしょうか？」 と、タニウム社のビショピング氏は述べています。 こうした場面において、強力なデータ可観測性と エンドポイント管理プラットフォーム （新しいタブで開きます） が極めて重要となります。 これらは、CIOやそのチームがデータサイロ間の隔たりを解消し、エンドポイントの状況を確認し、ゼロデイ攻撃への曝露レベルをより迅速に把握するのに役立ちます。
[関連記事：可視性とサイロ化の解消が、あらゆるサイバーセキュリティ行動計画において重要な理由] (新しいタブで開きます)
ちなみに、この課題の解決に役立つ優れたエンタープライズクラスの 資産管理ツール は数多く存在しますが、スピードを優先するあまりサイバーセキュリティやセキュリティ衛生管理を軽視する風潮に対処することも、同様に重要です。
- コーディングをめぐる責任のなすり合いはやめましょう。 脆弱性はつきものです。 彼らはこれからもずっとそうするでしょう。 しかし、プロダクトマネージャーやマーケティング担当者が開発者に、セキュリティレビューや修正を行う時間すらないほど急いでコードを書くよう迫る場合、こうした事態はより頻繁に発生します。 製品のタイムラインは、製品を市場に投入することを軸に策定されます。 サイバーセキュリティは、そのプロセスの終盤で、単なる「チェック項目」として扱われることがよくあります。
「私たち全員が、今後もゼロデイ攻撃と戦い続けなければなりません。 「楽だったのは昨日だけでした。」アカマイ・テクノロジーズのセキュリティ技術・戦略担当ディレクター、トニー・ラウロ氏
ディクソン氏は、その状況を変えなければならないと述べています。 組織は、ソフトウェア開発者が厳しいセキュリティ目標を達成できるよう、インセンティブを与える必要があります。 「今日の開発者は、期限通りに製品を納品し、収益を上げる能力に対して報酬を得ていますが、セキュアなコーディングに対しては必ずしも報酬が支払われているわけではありません」と彼は述べています。 「そうすべきですね。 「組織において、セキュリティのパラダイムをトップダウンで推進することは、極めて重要です。」
ビショピング氏はさらに、時折脆弱性が発見され、ゼロデイ脆弱性となった場合でも、開発者を非難するようなことは避けることが極めて重要だと付け加えています。 「情報漏洩が発生した際に責任のなすり合いをするような風潮は、改めなければなりません」と彼女は言います。 「はい、後から振り返って、コードの記述に不備がなかったかを確認し、プロセスが適切に遵守されていたかを確認できるようにしたいですね。」 しかし、懲罰的なアプローチをとるのは逆効果であり、実際には何の解決にもなりません。 その代わりに、この脆弱性を招いた要因を理解し、根本原因分析を通じて継続的に改善していく方法に注力する必要があります。」
- 攻撃対象領域の管理について検討してください。 CIO（ ）は、ビジネスの成長やデジタルトランスフォーメーションを支援するために新しいクラウドサービスを導入したり、エンドポイントを追加したりするたびに、攻撃対象領域を拡大させてしまいます。 （新しいタブで開きます） IDCのディクソン氏は、ゼロデイ攻撃に対処するために検討すべき新しいアプローチの一つとして、攻撃対象領域管理（ASM）を挙げています。 これは、組織のITインフラストラクチャに対する継続的な発見、棚卸し、分類、および監視と定義されています。 これは、こうしたセキュリティ上の課題を攻撃者の視点から捉えようとするものです。 これらのツールは、ハッカーがそうするように、ネットワークに対して絶えず自動的にpingを送信し、潜在的な攻撃経路を探しています。
- 「ゼロデイ」対策の運用ガイドを作成しましょう。 現在、多くの組織では、 ランサムウェア （新しいタブで開きます） の攻撃を受けた場合の対応手順を定めたプレイブックを用意しています。 これらは、多くの場合、経営、財務、法務、人事、および技術部門のスタッフによる共同作業として行われます。 また、ゼロデイ攻撃に対しても、 インシデント対応 (新しいタブで開きます) といった具体的な計画が必要です。
[関連記事：インシデント対応プレイブックをどのように作成すべきかお悩みですか？ CISAの「 」（新しいタブで開きます）を参照してください。
これは主に、ゼロデイ攻撃が予期できない性質を持つためであり、脆弱性がわずか数日のうちにエクスプロイトや攻撃へと発展してしまうことが多いためです。 さらに、ベンダーは通常、脆弱性が発見されてからかなり時間が経ってからその存在を知るため、必ずしも効果的なパッチを用意できているとは限りません。 多くの場合、
のアップデートが提供されるまでの間、彼らにできる最善の策は、一時的な設定の微調整を提案することだけです。
ビショピング氏は、以下のような事項を網羅した対応マニュアルを作成し、常に最新の状態に保つことを推奨しています：
- さまざまなゼロデイアラートが、 において、対応の優先順位がどのように付けられるか
- の通知は、 の誰に、いつ送信されるのでしょうか。組織内外を問わず、その対象について教えてください。
- 各脅威レベルについて、詳細を把握し、解決するために、どのような技術的な措置が講じられるのでしょうか。
- ビジネスへの重要度に基づき、 のITシステムのうち、 のどのシステムが優先的に対応されるのでしょうか。
- 監査措置 として、問題に対処するために適切な措置が講じられたことを、企業の経営陣、投資家、および規制当局に示すために、どのような措置が講じられるのでしょうか
「今、万全の準備をしておけば、緊急事態が発生した際にも、必要な対応のほとんどがプレイブックに明記されていると確信できるでしょう」とビショピング氏は述べています。
ゼロデイ攻撃は、決して避けられない運命というわけではありません。 ほとんどの組織には影響がないかもしれませんが、それらがなくなることはありません。
「戦いはまだ終わっていません。」 「私たち全員が、今後もゼロデイ攻撃との戦いを続けなければならないでしょう」と、アカマイのラウロ氏は述べています。 「結局のところ、楽だったのは昨日だけだったのです。」
