サマリ
新しいCVEがほぼ毎時間発生しており、29,000年に世界中で2023件以上が記録されている中、ゼロにたどり着けると考えるのは非現実的です。 しかし、それで構いません。なぜなら、実際にサイバー犯罪集団に悪用されるのはごく一部に過ぎないからです。 しかし、どれが？ ここでは、優先順位付けの最善策と、テクノロジーおよび人材を最大限に活用する方法について説明します。
ホスト：Melissa Bischoping、 エンドポイントセキュリティリサーチディレクター、Tanium
ゲスト：Nick Brown、 シニアエンジニア、True Zero Technologies
ショーノート
脆弱性管理およびAIツールをサイバーセキュリティプログラムに統合するための最善かつ安全な方法の詳細については、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointの記事と、以下のその他の有用なリソースをご覧ください。
- デバイスの脆弱性管理とは何でしょうか？ | Tanium
- GenAIの脆弱なコードを、本当に「無視」してよいのでしょうか？ このセキュリティプロはYesと言う（ある意味で）| Tanium
- AIサイバーセキュリティ完全ガイド：メリット、リスク、そして報酬 | Tanium
- Tanium Guardian：サイバーセキュリティのための早期インサイトアドバンテージ | Tanium
- デモ：ServiceNow向けTanium脆弱性リスクとコンプライアンス（youtube.com）
トランスクリプト
以下のインタビューは、明確さのために編集されています。
"人間がものを見てパターンを認識し、パターンの乱れを見つけ、その乱れを動的に取り除いて実際の関連パターンを理解する能力は、いまだに機械を上回っています。 機械がそれを代わりにやってくれるなら、人間ほど速くはできませんが、まだそのレベルには達していないと思います。"Nick Brown、シニアエンジニア、True Zero Technologies
Melissa Bischoping: ソフトウェアと脆弱性管理に関して言えば、その統計は驚異的です。 29,000 件を超える共通脆弱性識別子（CVE）が、2023 年に世界中で記録されました。 これは1日あたり約 80 件に相当し、前年比 15% の増加となっています。 実際には、これらのうち実際にサイバー犯罪集団に悪用され、企業に真の問題をもたらすのはごく一部に過ぎません。 しかし同時に、今日の複雑な環境においては、何に注力すべきか、なぜそれが重要なのか、そして実際にどのような影響を受けるのかを明確にできるテクノロジーとチームメンバーの両方が必要であることも意味しています。
私はMelissa Bischoping、Taniumのエンドポイントセキュリティリサーチディレクターです。 本日の「Let's Converge」では、脆弱性管理について、リスクへの積極的な対応における課題とメリットの両面からお話しします。
本日のゲストは、退役軍人が経営する包括的なサイバーセキュリティおよびコンサルティングサービスを提供する企業、True Zero TechnologiesのシニアエンジニアであるNick Brownです。 Nickは毎日、さまざまな組織と協力して、リスクに関する批判的思考、分析、および効果的なコミュニケーション戦略を提供しています。 私たちは、重大性、リスク受容、そして昔ながらのビジネス運営といった問題を理解することが、脆弱性管理プロセスにとってなぜ重要なのかについてお話しするためにここに集まりました。 ポッドキャストへようこそ、ニック。
ニック・ブラウン: メリッサ、お招きいただきありがとうございます。 本当に感謝しています。
ビショッピング: 始める前に、脆弱性管理がどのように進化してきたかを振り返ってみましょう。なぜなら、テクノロジーがビジネスの現場に本格的に普及し始めた頃、脆弱性管理という分野は存在していなかったからです。 20数十30年前には、サイバー攻撃が脆弱性を悪用するケースが広く蔓延しているわけではありませんでした。 より多くのテクノロジーがエコシステムに参入するにつれて、それは急速に拡大してきました。 私たちは今、それに合わせてスケールアップしなければなりません。 これほど急速に成長しているという事実にどのように対処するか、あなたのお考えをお聞かせください。
Brown: そうですね、あなたの導入部と非常に似ていますが、そのような状況に対処する最善の方法は、テクノロジーと人材の組み合わせだと思います。 私たちは、企業がより多くのテクノロジーを使用するにつれて、一般的な環境と企業の範囲、そして脆弱性に対する理解が高まるのを見てきました。 そのため、それが最前線になりつつある今、その理解と対処の必要性がますます広まっています。 そして、それを本当に実現できる唯一の方法は、両者の組み合わせだと思います。
Bischoping: 私がよく考えることの一つは、任意のレポートに何千もの脆弱性という膨大なデータが存在する時点に達しつつあり、その上に自動化のレイヤーを追加しなければならないということです。 私たちは、自動化によってついに追いつき、先手を打てるようになる転換点に近づいていると思いますか？それとも、私の大きな懸念である、膨大なデータ、多くのツールのレイヤー、そして複雑さが増すことで、永遠に追いかけ続けることになると思いますか？
Brown: それについては二つの考えがあります。 [彼は笑う。] 一つ目は、はい、近づいていると思います。 近づいていてさらに近づいていると思いますが、それは数学においてゼロに近づくことに非常に似ています。 ゼロに近づけるかどうかはわかりませんが、その数値を小数点以下の桁数まで下げて、本当に、本当に近づけるつもりです。 自動化やAIの統合によってすでに存在しているものの中には、特定のことを見つける非常に具体的なツールがたくさんあります。AVツールや脆弱性管理ツールは、特定のCVEを見つけ、エンドポイント上の悪意のあるアプリケーションを探します。それらが何であるかを知っているからです。
しかし、それでも難しいのは、私たちがコンピューターに人間がその分野でやることをより速くやらせようとしているのと同様に、敵も同じことをしており、彼らも速くなっているからです。 だから、これは戦いであり、闘争であり、私たちはまだ戦っています。テクノロジーが進化する中で、それが消えてなくなることはないと思います。 私たちはただやり続け、揺るぎなくあり続けなければなりません。
Bischoping: ええ、同意します。 AIと自動化について人々が話し始めるとき、私が伝えようとするポイントの一つは、それを「人工知能」とは見ていないということです。 私はそれを「拡張された人間の知性」として見ています。
Brown: ええ。
Bischoping: キーボードの前に座って、その自動化を効果的に使う方法を知っている、創造的な批判的思考者がまだ必要です。 そうでなければ、自動化はただ間違ったことをより速く行うことを可能にするだけです。 [彼らは笑います。] それも同じ問題になり得ます。 そして、それはあなたの見解を聞いてみたいことの一つです：大規模な脆弱性管理に関する誤解についてです。 私がいつも気になるのは、優先順位付けと、人々が環境内で対処すべき脆弱性をどのように分類しトリアージするかということです。 その経験について少し話していただけますか？また、自動化とスケールの問題がそれにどのように影響しているとお考えですか？
ブラウン： もちろんです。 おそらく最大の誤解は、ゼロに到達できるというものだと思います。 「では、これが私たちの数字ですか？…」というような会話が何度あったか、数え切れません。 「なんと、それはかなり大きいですね！」
「ご心配なく。 大丈夫です。 今はそのように見えます。 計画を立てることができます。 これらの対策を講じることができ、それを分解し始めることができ、その数をかなり近づけることができます。 低くなるでしょう。」
そして彼らは言います、「では、ゼロになるまでどのくらいかかりますか？」
「そ、それは… 私には、できません――いいえ、すみません。 法的な理由から、その質問にはお答えできないと思います。」 [メリッサが笑う。]
なぜなら、自分で自分を追い詰めることになるからです。 それは単純に不可能だからです。 なぜなら、常に変化し続けるからです。 毎月、常に変わり続けます。
Bischoping: 毎時間、新しいものが出てきます。
Brown: 毎時間ですよ！ その通りです。 新しい脆弱性が公開されています。
Bischoping: それが私が多くの人に話していることです。毎分、毎時間、新しいエンドポイントがオンラインになっています。 あるいは、古いシステムが再イメージ化され、以前にパッチを当てていたCVEが再び持ち込まれることもあります。 または、ネットワークに接続された新しい請負業者がいるかもしれません。 リスクと脆弱性の露出は動的に変化します。 週次の脆弱性スキャンのようなものが十分であるという段階は、とっくに過ぎていると思います。
ブラウン： まさにその通りです。 そのため、私たちはそのデータの違いとデータの関連性を人々が理解できるよう支援しようとしています。 そして、再び具体的な内容を取り除き始めると、物事はより文脈化されていきます。 私はこの特定のしきい値の範囲内にいるのか？ これは、どれだけ許容できるか、またはできないかという、私たちの許容リスクマトリックスの範囲内にあるのか？ そして、これらを追跡し、その状況を理解している、勤勉で優秀なエンジニアをチームに持つことが重要です。 この新しい脆弱性のセットは、新たにイメージングされたマシンによるものであり、私たちのイメージを調整する必要があるのか？ それとも、不正に環境に侵入した不正デバイスなのか？ これらのことを考慮に入れなければなりません。 その数字だけを見ていると、長い間頭を壁にぶつけ続けることになり、それは痛みを伴うことになります。
Bischoping: 私もそのような場面をよく目にします。組織がすぐに脆弱性レポートに入り込み、最も高いCVSSスコアは何かを掘り下げようとするのです。 まずそれらから始めようとします。 [つまり、Common Vulnerability Scoring System（共通脆弱性評価システム）とは、情報セキュリティチームが脆弱性をランク付けするために使用する0-10評価のことです。] それが正しいアプローチかどうかについて個人的な意見はありますが、組織が最初に腰を落ち着けて「脆弱性スキャンを実施し、10万件の脆弱性が見つかりました。 これからこのように取り組んでいきます」と言う場面について、あなたのお考えを聞かせてください。 どのような状況をよく見かけますか？
Brown: 私たちは人々にこう提案したいと思います。高い脆弱性は重要であり、重大な脆弱性も重要ですが、悪用された脆弱性はおそらく今この瞬間においてより重要です。 そのタイミングは重要です。もしそれがすでに悪用されていた場合、あるいは私のお気に入りのケースとして、スコアが非常に低く、リストの下まで手が回らなかったために気にしていなかった脆弱性が長い間存在し続け、突然悪用されるという場合があります。 それによって、その脆弱性に対する見方が全く変わってきます。 そのような理解が少し広まってきた今、私たちはまずこれを見てもらうよう人々に勧め、そこから順を追って残りの数値を把握していく方向に進んでもらうようにしています。
Bischoping: これは少し話が脱線しますが、私にとって非常に個人的に重要なことに触れているので、取り上げたいと思います。
自動化やスケール、そして将来のビジネスのあり方について話すとき、よく出てくるのが「AIが私たちの仕事をすべて奪う」とか「AIがエントリーレベルのポジションを減らす」といった話です。 私はそれをあまり信じていません。AIは単により多くのデータをより速く処理できるようにしてくれるだけだと思っており、これは調査においても脆弱性管理においても同様です。 AIはより多くの情報を提供してくれますが、それを実際に理解するために座って考えられる教育を受けた人材は依然として必要です。 ですから、組織がこれをチャンスとして捉え、チームや従業員、パートナーに対してそれらのツールを最大限に活用する方法を教育することに投資し始め、個人がキャリアの脅威として恐れるのではなく、力の乗数として活用することを本当に願っています。
Brown: 同感です、同感です。 人々が言うほど多くの仕事がなくなるとは思いません。 技術業界のこの特定の分野においては、今のところそのような自動化、つまり言語モデルを使用するのが最善の方法だと言えます。 つまり、そのシステムの中では、温度ゲージによって関係的にどれだけ考慮するかをコントロールする能力があります。 つまり、そのような状況が存在すること自体が、機械が人間からその能力を奪えるような段階にはまだ達していないという確かな証拠です。 なぜなら、その温度が高すぎると、文脈を実際の特定のデータに無理やり合わせようとするため、実際には適用されない回答が出てくる可能性があり、逆に低すぎると、意味のない誤ったデータが大量に生成され、それをどう扱えばいいかわからなくなるからです。 そして、それを見極めるのは常に人間の役割です。
何かを見てパターンを認識し、パターンの乱れを見つけ、その乱れを動的に取り除いて実際の関連パターンを理解するという人間としての能力は、依然として機械を上回っています。 機械にそれをやらせることができれば、人間ほど速くはできませんが、まだそのレベルには達していないと思います。
Bischoping: 少し話題を変えたいと思います。 技術的な1と0、つまりビットと呼ばれるものについての話を少し置いておいて、人間的な課題について話しましょう。 データを分析し、ツールや技術に支えられながら、ノイズの中からシグナルを識別できる人間が必要だという話をしてきました。 しかし、その後、廊下を歩いて誰かのドアをノックし、「あなたに1日100万ドルをもたらす重要なビジネスアプリケーションをオフラインにしなければなりません。なぜなら、それが今や脆弱性となり、環境におけるリスクになっているからです」と言わなければなりません。 それは、ご存知のように、私のキャリアの初期に、これらすべてのシステムにパッチを当てる素晴らしいマスタープランを持っていたにもかかわらず、経営幹部に「絶対にダメだ」と言われた経験があります。
Brown: 脆弱性を見つけることが終わりのない戦いであるならば、その状況は、.... それに勝てるかどうか、私にはわかりません。 皆さんに言えることは、やはり、できる限り揺るぎない姿勢を保つことです。 それが何であるか、その影響が何であるかはわかっています。 私たちにできる最善のことは、関係者を教育し、合理的な計画を立てることです。 「あなたのアプリケーションは非常に脆弱で、重大な問題を引き起こす可能性があるため、シャットダウンします」と言って、それで会話を終わらせることは意味がありません。 決してそうではありません。 それは正しいはずがありません。
それはあなたの生活費を支え、私の生活費も支えています。 では、一緒に解決しましょう。 その差異を把握する間、どのようにしてそれらのマシンを隔離するのか？ その差異を更新するために何をする必要があるのか？ 完全に方向転換する必要があるのか？ コードベースの調整が必要なのか？ いずれの場合も、それを把握し、計画を立て、最後まで取り組んでいくこと。 これらの状況を軽減し、良いリスクと見なすものを調整する方法はたくさんある。 では、そのアプリケーションが最終的に脆弱であることが判明したとしよう。 何かが発生し、そのアプリケーションのコードベースに新たな脆弱性が見つかり、新しいパッチがリリースされますが、それによってコードの動作方法の一部が変わります。 そのため、開発チームはかなり大規模なレビューを行い、コードにいくつかの変更を加える必要があります。 どうすればよいでしょうか？
それらのエンドポイントを残りの環境から切り離し、必要に応じて環境外のお客様が引き続き利用できるようにします。 内部的に隔離することで、そこから生じる被害やリスクを拡大させないようにします。
そして、何らかの理由でそれを維持しなければならない場合は、再度、計画を立て、リスクを把握します。 その脆弱性とは何でしょうか？ その脆弱性によって任意のコード実行が可能になるのか、それとも必ずしも読まれたくないデータを読み取られる可能性はあるものの、何も変更はできないというものなのでしょうか？ これらすべての要素が、そのリスクが何であるかを理解し、それをどのように把握するかに関わってきます。 ですから、そのような話し合いを持つ必要があります。 そして、それに抵抗する方法は実際にはありません。 一部の組織では、それが組織が生き残る方法です。 そのため、創造的に考え、それに対処する方法を見つけ、調整できるまで期待値を調整する必要があります。
Bischoping: そして、あなたはニュアンスが失われる非常に重要な点に触れたと思います。 CVSSスコアを理解したり、「既知の悪用」かどうかを理解するだけでなく、実際に悪用された場合の影響を理解することが重要です。 リモートコード実行ですか？ 単なる任意のファイル読み取りですか？ 実際の影響は何ですか？ そして、それが存在するエンドポイントの重要性も確認します。 これは公開されているオンプレミスのExchangeサーバーですか、それともユーザーが週に一度持ち帰るラップトップですか？ なぜなら、それらはリスク軽減戦略と、修復に投資したい金額を確実に変えるからです。 そうではないでしょうか？
ブラウン： ええ、まったくその通りです。 私たちはそのような会話を顧客と定期的に行っています。なぜなら、そうしなければならないからです。 顧客はビジネスを継続する必要があり、完全にセキュアになれない場合でも、その状況を理解し、受け入れる必要があります。 そして、その状況を受け入れられないのであれば、ビジネスを変える必要があるということになります。
ビショッピング： それは、私が仕事の中で最も情熱を持っていることの一つです。 組織が信頼できる信頼性の高いガイダンスを常に提供できることは、私にとって非常に重要な職業的哲学です。 私が何かを怖いと感じると伝えるとき、あるいはこれを優先すべきだと伝えるとき、どうか信頼してください。 私はあなたを恐怖に陥れようとしているわけではありません。 私は文字通り、あなたをより安全に保とうとしているだけです。
組織は、投げかけられるデータの量や、LinkedInやBleeping Computerなどに掲載される衝撃的な見出しの量に、しばしば圧倒されてしまうと思います。 （Bleeping Computerへの悪意はありません。私も読んでいます。） しかし、「これが難しいことはわかっています。 一緒に進めていくお手伝いをします。 この脆弱性について私が理解していることをお伝えします。 わかりやすく説明しましょう。」と言える人がいることが重要だと思います。 この分野に参入しようとしている方や、この分野でのキャリアを加速させたい方は、「この脆弱性について私が知っていること、それがなぜ重要なのか、そしてなぜ私の話を聞くべきなのか」を伝えるレベルの翻訳ができるようになれば、それはまさにサイバーセキュリティの超能力です。
Brown: そうですね。 対人スキルは、技術的な理解と同じくらい重要です。
Bischoping: リスク受容について少し話しましょう。 私はオタクです。 高校時代、大人になってからも、D&D［ダンジョンズ＆ドラゴンズ］やMagic: The Gatheringなどをよくプレイしていました。リスク受容はマナプール［Magic: The Gatheringのプレイヤーが呪文や能力のコストを支払うためのリソースを銀行口座のように蓄える場所］のように扱わなければならないとよく言っています。 補充される前に使えるリソースには限りがあります。 ダウンタイムのコストを避けたい、障害のコストを避けたいという理由だけで、リスク受容の小切手を書き続けることはできません。 ［プログラムやアプリケーションが］パッチを当てるためにシステムを停止できないほど重要であるなら、それはパッチを当てる計画を立てなければならないほど重要だということです。矛盾しているように聞こえますが、それが現実です。
Brown: ええ、まったくその通りです。 Magic［ゲーム］の話を続けるなら、それはしばらくの間ゲームから取り除くメカニズムを持つモンスターを使うようなものですね。 ゲームにはいくつかの機能があり、マナを消費してそのモンスターをしばらくボードから取り除くことができます。そうすると敵はそれを攻撃できず、自分も使えなくなりますが、ゲームから外れている間に何らかの恩恵を得るというのがポイントでした。 それは“+1/+1カウンター"［ゲームにおいて、クリーチャーのパワーとタフネスを強化する方法］を獲得し、戻ってきたときにより強くなって帰還します。 それはまさにその通りで、あなたはそれを理解できなければなりません。
Bischoping: 夫からフレーズを借りましょう。 彼はその日の問題を何であれ「ボートに最も近いワニ」と呼ぶことがよくあります。 それが最も心配なもの、あなたに最も近いところを泳いでいるもの、それが対処しなければならないものです。 今日のCVEのヘッドラインであれ、Bleeping Computerで読んでいるものであれ、それらが「ボートに最も近いワニ」になってしまうことがとても多いと思います。一方で、水面下には他にも多くのワニが潜んでおり、それらは百もの脅威アクターによって既知の悪用対象となっていて、実際にはそれほど遠くになく、もしかしたらボートのすぐ真下にいるかもしれません。
Brown: その通りです。 あなたはバイユーにいて、至る所にワニがいます。 ワニから逃げる方法はありません。
Bischoping: 脆弱性ガイド、素晴らしいですね。
Brown: ボートに近づいてきたときに対処するための、本当に良い計画を持つ必要があるだけです。
Bischoping: ホバーボートが必要です、ホバーボートの一つが必要です。 修正しやすいものから対処し、より複雑なものに取り組むために、さまざまなレベルの専門知識と技術を積み重ねていく必要があります。 自動化を活用してできるだけ多くの扉を閉め、できるだけ多くのワニを取り除きますが、それでも手動で格闘しなければならないものが残るでしょう。 私はワニの例えをたくさん使っています。 これは素晴らしい。 これは笑えます。
Brown: いや、それは良いですよ。
Bischoping: では、もう少し話題を変えましょう。 外部からの通知の機会による動きも増えています。例えば、CISA（サイバーセキュリティ・インフラセキュリティ庁）は、「あなたは脆弱な状態です」や「ランサムウェア被害の事前通知があります」といった通知や情報提供をより積極的に行っています。 その点についての話題が非常に増えています。 つまり、組織は内部スキャンから学ぶだけでなく、第三者が「あなたの組織は侵害されているか、もしくは近いうちに侵害される可能性があります」と伝えてくるケースもあるかもしれません。 これは非常に役立つ一方で、さらなるノイズを増やすことにもなります。 これによって状況が大きく変わる、あるいは組織がより早くその穴を塞ぐ助けになると思いますか？
ブラウン：それは、その情報へのアクセスしやすさと普及度の問題です。 アクセスしやすくなるにつれて――実際には「アクセスしやすい」という言葉は適切ではないかもしれません。 「消化しやすい」というのが正しい言葉だと思います。 なぜなら、状況を把握している熟練したエンジニアだけを対象にしているのではなく、より上位レベルの人々も対象にしているからです。 管理職や、こうした事柄についてある程度の概念と理解を持つ必要があるCレベルの人々のことも指しています。 これらの事柄を理解し、対応を求めるためのカバレッジが広ければ広いほど、より良い結果につながるからです。 何度も言ってきたことですが、私たちは皆、人間です。 すべての人が常にすべてのフィードを見て、すべてのウェブサイトを確認し、あらゆるデータソースを監視しているわけではありません。 そのため、情報が集約され、アクセスしやすく、理解しやすくなればなるほど、それが標準的な組織に真に響くようになります。
Bischoping: そろそろ一緒に過ごす時間も終わりに近づいていますが、率直なご意見をお聞かせいただく機会を設けたいと思います。 何か言い残したこと、持ち帰るべき教訓、あるいは宣伝したいことはありますか？ 最後に何を伝えたいですか？
Brown: 聴いている方々に申し上げたいのですが、私たちが話してきたことの一部は、まるで終わりのない暗い話のように聞こえるかもしれません。 嘘はつきません。実際そうなのです。 ただ、理解していただきたいのは、その戦いの中で強くあり続けることが、物事を成し遂げ、成功を収める唯一の方法だということです。
諦めることも、立ち止まることもできません。 これらの環境を安全に保つために、戦い続け、コミュニケーションを取り続け、協力し続けなければなりません。
もしそれを手伝ってくれる人を探しているなら [彼は昔のラジオアナウンサーが商品を宣伝する声を真似て]、True Zeroはサイバーおよびサイバー隣接の多くのサービスを提供しており、それらの状況の多くをカバーします。最新サービスである実用的なインテリジェンス・オペレーションも含まれており、お客様の環境や攻撃閾値をシミュレートし、攻撃者が何者であるかを見極め、環境全体で彼らを発見するお手伝いをします。
Bischoping: それは素晴らしいラジオボイスでした。 アリゲーター除去サービスがあるか聞こうと思っていたのですが [彼らは笑い]、それはロードマップに入っていますか？
Brown: 何人かに話してみます。 何とかできると思います。
Bischoping: OK、素晴らしい。
True Zero TechnologiesのシニアエンジニアであるNick Brownとお話ししました。
脆弱性管理と自動化についてさらに詳しく知りたい方は、TaniumのオンラインサイバーニュースマガジンFocal Pointをご覧ください。 関連記事やレポートへのリンクはショーノートに掲載しています。 tanium.com/p（パブリケーション）をご覧ください。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このエピソードが気に入ったら、ぜひ5つ星評価をお願いします。
ご清聴ありがとうございました。 次回のLet's Convergeでも、さらなるサイバーインサイト、そしてもしかしたらワニの話もお届けできることを楽しみにしています。
