企業規模での脆弱性管理 は、ITセキュリティにおいて運用面で最も困難な課題の一つです。 多くの組織が、数千件、場合によっては数百万件もの脆弱性に直面していますが、CVSSスコアのみに依存するという従来のアプローチでは、チームが確信を持って優先順位を決定するために必要な背景情報を得ることができません。 ある脆弱性のスコアが 10 点中5.5 点であるという事実だけでは、現在攻撃者がその脆弱性を積極的に悪用しているかどうか、ランサムウェア攻撃で利用されているかどうか、あるいは影響を受けるエンドポイントがドメインコントローラーであるかどうかについては、ほとんど何もわかりません。 今回のエピソードには、Taniumの製品ポートフォリオ・リードであるジュリア・グルーネヴァルト氏がゲストとして登場し、まさにこの課題を解決する「 Tanium Comply 」の重要な新機能について詳しく解説します。
ジュリアは、Complyで現在利用可能な、相互に関連する3つの機能について解説しています。それは、エクスプロイトインテリジェンスデータ（EPSSスコア、エクスプロイトの成熟度レベル、ランサムウェアキャンペーンとの関連性など）、エンドポイントの重要度、そして「検出された製品」という新しいフィールドです。このフィールドにより、影響を受ける可能性のある 80 の製品リストから、エンドポイント上で実際に検出された単一のアプリケーションに限定して是正措置を絞り込むことができます。 これらの追加要素を総合することで、チームはジュリアが説明する「3つの要素からなる優先順位付けの枠組み」を活用できるようになります。それは、「脆弱性の重要度」、「悪用される可能性」、「影響を受ける資産のビジネス上の重要度」という3つの要素です。
また、Julia氏は、新しい「Exploitability Dashboard」も紹介しています。このダッシュボードは、CVSSおよびEPSSのオーバーレイ、CISAの「既知の悪用済み脆弱性」フィード、 のMITRE ATT&CKテクニックマッピング を、CWEを通じて一元的に表示するもので、日常的なトリアージと経営層向けのレポート作成の両方に適した単一のビューで提供されます。
もし御社のチームが、いまだにスプレッドシートを使って業務を行っていたり、脆弱性の発見結果を明確な是正措置に結びつけるのに苦労しているなら、今回のエピソードはぜひ最後までご注目ください。 以下の動画をご覧いただければ、Complyコンソール内で各機能が実際に動作する様子をご覧いただけます。
キーポイント
- CVSSだけでは不十分です： 数千、あるいは数百万もの脆弱性を管理しているお客様にとって、優先順位を決定するにはCVSSスコアだけでは不十分です。 彼らは、その脆弱性が現在実際に悪用されているかどうか、特定の脅威アクターがそれを利用しているかどうか、そしてランサムウェア攻撃キャンペーンと関連しているかどうかを知る必要があります。
「多くの顧客には、数千もの脆弱性が存在しています。」 場合によっては、数百万もの脆弱性が存在するケースもあります。 そのような遺産の管理は、なかなか大変ですよね？ 何を優先すべきか、今すぐ修正すべきことは何か、そして通常のパッチ適用サイクル（修正に数週間、場合によっては1ヶ月ほどかかる可能性のあるもの）で対応できるものは何かを理解する必要があります。”Taniumの製品ポートフォリオ責任者、ジュリア・グルーネヴァルト氏
- EPSSスコアとエクスプロイト情報： Comply nowでは、最大値が1となる「悪用可能性指標」であるEPSSスコアに加え、特定の脆弱性に関連付けられた個々のエクスプロイトの数や、それを悪用しているランサムウェアキャンペーンの件数を表示する新しいエクスプロイト情報パネルが提供されています。
- 「最大成熟度」フィールド： 最も実用性の高い新しいフィールドの一つが「最大成熟度」です。これは、研究者が特定した概念実証（PoC）レベルのエクスプロイトと、現実世界で実際に悪用されているエクスプロイトとを区別するものであり、CVSSスコアだけでは決して明らかにならない違いです。
「この脆弱性は、私にとって今すぐ修正すべき非常に重要なものです。もし優先順位付けにCVSSだけを使っていたら、この事実に気づくことは決してなかったでしょう。」Taniumの製品ポートフォリオ責任者、ジュリア・グルーネヴァルト氏
- 第3の柱としてのエンドポイントの重要度： Complyでは、CVSSおよびEPSSに加え、ビジネスへの影響度を測定する指標であるのエンドポイント重要度（）が組み込まれています。 Tanium には 3 つのデフォルトルール（すべてのドメイン コントローラーは「重要」、すべてのサーバーは「高」、すべてのワークステーションは「中」）が設定されており、各チームは、アプリケーションの有無、ユーザーの身元、カスタム タグなど、Tanium がアクセス可能なあらゆるデータに基づいて、独自の動的ルールを定義することができます。
- 「検出された製品」による修正対象の絞り込み： 脆弱性の影響を受ける可能性のあるすべての製品（その数は 80に及ぶこともあります）を列挙するのではなく、新しい「検出された製品」フィールドでは、脆弱性の検出を引き起こしたエンドポイント上で実際に検出された特定のアプリケーションのみを表示します。これにより、チームは正確で実行可能な修正対象を特定できるようになります。
「私たちは、お客様がより迅速に問題を見つけられるよう支援し、優先順位付けに必要なすべてのデータを提供するとともに、非常に明確な手順と、可能な限り是正措置への直接リンクをご提供することで、是正までの所要時間を短縮し、脆弱性の管理をより容易にすることを目指しています。」Taniumの製品ポートフォリオ責任者、ジュリア・グルーネヴァルト氏
- エクスプロイト可能性ダッシュボード： Complyのエクスプロイト可能性データと同時にリリースされた新しい管理型ダッシュボードでは、CVSSスコアとEPSSスコアの重ね合わせ表示、お客様の環境内で検出されたエクスプロイト可能性が最も高いCVEトップ 10 、CISAの「既知の悪用済み脆弱性」フィードデータ、およびCWEを通じたMITRE ATT&CKテクニックのマッピングが表示されます。これらはすべてクリック可能で、チームごとのレポート作成ニーズに合わせて複製することも可能です。
その他の参考資料
- Tanium Complyによる脆弱性およびコンプライアンススキャン：Tanium Complyがエンドポイント環境全体でどのように脆弱性およびコンプライアンススキャンを実行するかについて学び、本エピソードで取り上げられているエクスプロイトインテリジェンスや優先順位付け機能について詳しくご覧ください。
- 脆弱性評価プロセスを改善する方法：現代の脆弱性優先順位付けにおいて、CVSSだけでは不十分である理由を深く掘り下げ、エクスプロイトインテリジェンスデータが、セキュリティチームが最も重要な課題に注力するのにどのように役立つかを解説します。
- Tanium Comply（クラウド）での脆弱性評価の実行および検出結果の確認：クラウド管理環境におけるTanium Comply内の脆弱性評価の設定、検出結果の詳細、およびエクスプロイト情報パネルについて解説した技術ドキュメントです。
