編集部注：Taniumの製品管理担当シニアディレクター、ジュリア・グルーネヴァルト氏によるこの寄稿記事は、もともと「 」として、SC Mediaのウェブサイト（ ）に掲載されたものです。
エクスポージャー管理が、従来の脆弱性管理に代わる有力な選択肢として台頭してきたのには、それなりの理由があります。 組織の脆弱性を継続的に特定し、リスクに基づいて優先順位を付ける、先を見据えた常時稼働型のセキュリティ体制は、限られたリソースをどこに最も効果的に集中させるべきかを把握するのに役立ちます。
しかし、私たちはすでに、タイムリーかつ自動化された是正措置によって推進される、 のエクスポージャー管理 の次の成熟段階の瀬戸際に立っています。 「修復を優先した曝露管理」の導入です。
「修復を最優先」とは、実際にはどのような意味なのでしょうか？
多くのリスク管理プログラムは、可視化から始まります。 これらは、脆弱性や設定ミス、その他のリスクを特定します。 その後、それらのリスクに優先順位をつけ、是正措置を担当するチームに共有します。 しかし、このプロセスには欠点もあります。運用チームは、各リスクをどのように是正すべきか分からない場合があり、また、一部の発見事項についてはすでに是正措置が予定されている場合もあり、それが是正プロセスに時間と手間を要することになります。
このプロセスを逆にしてみたらどうでしょうか？ パッチの適用やアプリケーションの更新といった是正措置を、それらが対処する調査結果ごとに分類して検討することで、セキュリティチームと運用チームの間で共有できる手順のチェックリストを迅速に作成し、シンプルかつ統一されたリスク低減を実現することができます。 既存のパッチ適用スケジュールやパッチの安全性といった背景情報を組み込むことで、どの対策を優先すべきかについて、リスクに基づいた確かな判断を下すことができ、調査結果が記載されたスプレッドシートを1行ずつ確認する必要がなくなります。
可視性を用いたリスク低減の定量化
「是正措置を最優先とするビジョン」を実現するためには、いくつかの基盤となる要素が必要ですが、その第一歩は、リスクに関する統一的な見解を確立することです。 複数のツールを用いてリスクエクスポージャーの全体像を把握しようとしたり、異なるツールやスプレッドシートからのデータを関連付けようとしたりすると、フラストレーションがたまり、不完全なデータに基づいた意思決定につながってしまいます。 このアプローチにおける課題としては、次のようなものがあります：
- ツールがバラバラだと、ツールを切り替える際に文脈が失われてしまいますし、それぞれに独自の優先順位付けの方法があります。
- 是正措置によるリスク低減効果について、明確な定量化は行われていません。
- さまざまなツールにまたがるレポート作成は、手作業であり、時間がかかり、ミスが起きやすいものです。
- ツールが異なると、複数の「真実の源」が生じ、情報に不整合が生じる可能性があります。
- パッチが全体的なリスク態勢に与える影響を測定することが困難です。
- ツールの乱立、統合の負債、そしてアラート疲労。
昨年は50,000 件のCVEが報告されました こうした課題をさらに深刻化させるだけです。 また、チームが注意を払うべきリスクはCVEだけではありません。 脆弱性データを把握することに加え、リスクの全体像を把握するためには、継続的に更新される外部の攻撃対象領域に関する情報、セキュリティ上の問題があるTLS/SSL証明書、設定ミス、不正なコンテナ、さらには横方向の移動リスクや資産の重要度といった追加のコンテキストを網羅した情報パイプラインが必要となります。 特定されたリスクと是正措置との間に明確な関連性が示され、信頼できる唯一の情報源として、これらすべてを一元的に管理できる場所が必要です。
信頼性の高いリスクスコアリングによるアクションの推進
次に、正確なリスクスコアリングについて検討する必要があります。 Common Vulnerability Scoring System（CVSS）のような業界標準の評価体系は出発点ではありますが、実務における優先順位付けにはそれ以上の要素が求められます。 CVSSと、資産の重要度、エクスプロイトの成熟度およびインテリジェンス、ならびに横方向の移動リスクを組み合わせることで、現時点で最も重要なリスクに焦点を当てることができます。 統一スコア制度により、以下のことが可能になります：
- 影響の大きいエクスポージャーを即座に特定します。
- パッチ適用、設定の強制適用、アプリケーションの更新などを含む修正ワークフローへの直接的な連携。
- 単なる理論上の深刻度だけでなく、文脈に基づいた正確な優先順位付け。
多くのリスク管理ツールは、範囲の特定、調査、優先順位付けに重点を置いています。 「修正優先の脆弱性管理」では、優先順位付けされたリスクが、パッチ適用、アプリケーションの更新、証明書の修正、設定変更など、製品に組み込まれた修正ツールに直接連携されます。 スコアリングとアクションのこの密接な連携により、リスク低減が加速され、特定されたエクスポージャーが確実に解消されるようになります。
AIがどのように役立つか
AIを活用したレコメンデーションや自動化された是正ワークフローといった新たな機能は、脆弱性管理における長年の課題の多くを解消するものと期待されています。 同社は、さまざまな環境やコンプライアンス要件、運用上の制約に合わせて柔軟に対応できるよう、是正計画をカスタマイズできるようにしてくださっています。 資産や脆弱性の種類に応じて、パッチの適用、アプリケーションの更新、予防的なポリシーの適用、その他の管理措置を自動化することができます。
リスク管理においては、オペレーショナル・テクノロジー（OT）、モノのインターネット（IoT）、クラウド・ワークロードなど、増え続ける外部資産も対象に含める必要があります。 ここでも、資産の重要度、横方向の移動リスク、および脅威インテリジェンスに関する評価は同様です。 これほど膨大な数のエンドポイントがある中で、AIを活用した自動化は、当社の技術環境を適切に管理するのに役立ちます。 オペレーティングシステムやアプリケーションの更新、是正措置の検証に先立ってポリシーの適用や更新、インフラストラクチャの再スキャン、およびレポートの実行を行うことができます。
修復ワークフローでは、AIを活用して、以下の5つの方法でライフサイクル全体を支援することができます：
- システムが外部に公開された際、 のアセットの重要度を自動的に調整します。
- に基づき、エクスポージャーのコンテキストに応じた、よりスマートなパッチ適用計画を生成します。
- のオペレーティングシステム、アプリケーション、およびポリシーを、自動修復の一環として更新します。
- および の是正措置、再スキャン、およびレポート作成を、継続的な閉ループプロセスとして検証します。
- 多様な最新環境において、 のリスクを、求められるスピードで低減します
「是正を最優先とするエクスポージャー管理」では、評価や報告にとどまるのではなく、セキュリティ上の脆弱性が特定された直後に、その是正を最優先に行います。 自動化された是正措置を中核とする包括的なエクスポージャー管理プラットフォームは、継続的な脆弱性の発見とリスクスコアリングを、統合された自動化された是正ワークフローと組み合わせています。
このアプローチにより、攻撃対象領域を継続的に縮小することが可能となります。つまり、多大な損害をもたらすサイバー攻撃のリスクや、攻撃者が攻撃を仕掛ける機会を低減し、レジリエンスを向上させることができるのです。 こうした理由から、サイバーリスク管理やコンプライアンス目標の改善、および組織全体のセキュリティ態勢の強化を目指す方は、リスク管理のあり方を転換し、是正措置を最優先にすべきです。
