EDRやXDRによる検知・対応の仕組みを整備していても、脆弱性対策は必要なのか。トレンドマイクロは、EDRやXDRと脆弱性対策は、それぞれ異なる観点からリスクに対応するものだと説明する。

　EDRはPCやサーバなどのエンドポイントを監視し、不審な挙動の検知や調査、端末の隔離といった対応を支援する。XDRはエンドポイントだけでなく、メールやネットワーク、クラウドなど複数の領域から情報を集め、攻撃の全体像を把握しやすくする。製品によっては攻撃の防止機能も備えるが、主眼の一つは侵入や不審な挙動を早期に捉え、被害の拡大を抑えることにある。

　一方、脆弱性管理は、攻撃に利用される可能性がある弱点を事前に把握し、修正や緩和策によって侵入の可能性を下げる。攻撃を完全に防ぐことを保証するものではないが、攻撃者が利用できる入口を減らせれば、侵入後に発生する調査や復旧の負担も抑えやすくなる。

　トレンドマイクロが2019年1月～2023年6月にかけて対応した国内組織のランサムウェア関連事例を分析したところ、2021年1月から2023年6月までの事例では、VPNやRDPなどの脆弱性を悪用した侵入が66.7％を占めた。同社の対応事例を対象とした分析であり、国内企業全体の侵入経路を示す数値ではない。それでも、エンドポイントを監視するだけでなく、外部に公開されたネットワーク機器などの弱点を侵入前に減らす必要性を示す結果と言える。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

脆弱性管理とEDR／XDRは、侵入前と侵入後を補完する（トレンドマイクロの回答を基に編集部で作成）

CVSSより先に見るべき「攻撃経路」

　全ての脆弱性をすぐに修正できない以上、優先順位付けが必要になる。ただし、脆弱性の深刻度を示すCVSS（Common Vulnerability Scoring System）のスコアが高い順に対応するだけでは、自社にとって本当に危険な対象を選べるとは限らないと、トレンドマイクロは指摘する。

　トレンドマイクロが重視するのは、脆弱性が存在するシステムだけでなく、そのシステムを誰が利用し、どのようなデータを保存し、侵害された場合に事業へどの程度の影響が及ぶかを合わせて判断することだ。停止すれば受発注が止まるシステムと、外部から接続できない検証用端末では、同じ脆弱性が存在していても対応の緊急度は異なる。

　さらに、重要な資産へ至る「攻撃経路」を考える必要があるという。攻撃者は必ずしも重要システムを直接狙うとは限らない。外部公開されたネットワーク機器や、更新されていない検証環境、管理が不十分なアカウントなどから侵入し、複数のシステムを経由して重要なデータへ到達する可能性がある。

　そのため、重要資産そのものの脆弱性だけでなく、そこへ至る経路上の資産や認証情報も確認する。攻撃者が通過しなければならない箇所を特定し、そこで悪用される可能性が高い弱点を優先して修正すれば、限られた人員でも大きな被害につながる経路を効率的に断ちやすくなる。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

脆弱性単体ではなく、重要資産へ至る攻撃経路から優先順位を決める（トレンドマイクロの回答を基に編集部で作成）

一時的な検証環境が「見えない侵入口」になる

　攻撃経路を確認するには、まず経路上にある資産を把握しなければならない。トレンドマイクロは「見えないものは守れない」という考え方を示す。

　新しいサービスを早期に立ち上げる際、動作確認を優先するあまり、脆弱性や設定ミス、認証・認可の不備を十分に確認できないことがある。特定部門が設置した検証環境や一時利用のサーバが、利用終了後も撤去されずに残る場合もある。こうした資産がIT部門の管理外にあれば、パッチの適用や設定の見直しも行われにくい。

　PCやサーバの一覧が資産台帳に記載されていても、それだけで十分とは限らない。外部に公開されたWebサイトやネットワーク機器、クラウドで一時的に作成された環境などを含め、実際に存在している資産を継続的に確認する必要がある。

　脆弱性対策サービスを選ぶ際も、登録済みの資産だけを検査するのか、台帳にない資産や外部公開された環境まで把握できるのかを確認したい。管理対象の範囲が狭ければ、その外側にある攻撃経路を見落とす可能性がある。

パッチをすぐに適用できない機器をどう守るか

　修正すべき脆弱性を特定しても、すぐにパッチを適用できるとは限らない。業務システムでは、パッチ適用による動作への影響を事前に検証する必要がある。再起動やサービス停止が難しい場合や、古いシステムを使い続けているため正規のパッチが提供されない場合もある。

　こうした環境で暫定的な選択肢の一つとなるのが「仮想パッチ」だ。仮想パッチは、脆弱性を悪用する通信をルールに基づいて検知し、ブロックすることで、正規のパッチを適用するまでの間、攻撃を受ける可能性を下げる仕組みだ。

　仮想パッチは、OSやアプリケーションに存在する脆弱性そのものを修正するわけではない。正規パッチの適用を不要にする機能でもなく、対象とする製品や脆弱性、配置方法によって保護できる範囲も異なる。正規パッチの検証と適用を進める時間を確保するための暫定措置として位置付ける必要がある。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

仮想パッチは脆弱性そのものを修正するのではなく、正規パッチを適用するまで暫定的に保護する（トレンドマイクロの回答を基に編集部で作成）

サービス選定では「発見後に何ができるか」を見る

　脆弱性対策サービスを比較するときは、収録している脆弱性情報の数や検出件数に目が向きやすい。しかし、検出結果を現場の対応につなげられなければ、未処理の項目が積み上がる。

　トレンドマイクロは、選定時に確認すべき点として「発見にとどまらず、優先順位付けから対応まで実施できること」と「対応できるデジタル資産の幅」を挙げる。

　同社が挙げるのは、次のような発見後の流れだ。自社にとって影響の大きい脆弱性を優先して提示できるか。脆弱性を見つけた後に、OSの更新や設定変更、セキュリティパッチの適用といった推奨策を確認できるか。社内の端末だけでなく、外部公開資産やクラウド環境を横断して管理できるか。さらに、正規パッチをすぐに適用できない場合に、仮想パッチなどの緩和策を検討できるか。こうした観点まで含めて比較する必要がある。

　導入費用だけでなく、検出結果の確認や担当部門への連絡、対応状況の集計にどれだけ人手がかかるかも見ておきたい。担当者が大量の結果を表計算ソフトへ転記し、個別にメールで依頼する運用では、対象が増えるほど管理が難しくなる。

脆弱性対応を表計算ソフトの一覧で終わらせない

　脆弱性管理を継続的に回すには、「何が見つかったか」だけでなく、「誰が、いつまでに、どう対処するか」を管理する必要がある。

　トレンドマイクロは、脆弱性が確認された際に、サービス上で担当者や担当部門を設定し、対応状況をケースとして管理する方法を挙げる。既に社内で使っているチケット管理システムと連携できれば、情報システム部門やセキュリティ部門だけでなく、対象システムを管理する部門も普段の業務フローの中で対応しやすくなる。

　重要なのは、脆弱性ごとに担当者を割り当てる前に、何を優先するかについて組織内で共通認識をつくることだ。セキュリティ部門は危険性を重視し、システム部門は停止による業務影響を重視するなど、立場によって判断は異なる。重要資産と許容できるリスクを共有せず、CVSSの高い項目を手当たり次第に依頼すれば、対応部門の疲弊を招く。

　発見、優先順位付け、担当設定、進捗管理を一つの流れとして設計し、環境や脅威の変化に応じて繰り返す。サービスを導入するだけでなく、この循環を日常の運用に組み込めるかが、脆弱性対応を止めないための分かれ目になる。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

発見から担当設定、進捗管理までを一つの流れとして回す（トレンドマイクロの回答を基に編集部で作成）

脆弱性管理は「攻撃される前」に動くための仕組み

　EDRやXDR、メールセキュリティを導入しても、外部公開されたネットワーク機器や管理外のシステムに弱点が残っていれば、そこが侵入口になる可能性がある。一方、脆弱性を全て修正してから他の対策へ進むという考え方も現実的ではない。

　まず守るべき重要資産を定め、そこへ至る攻撃経路を確認する。経路上の資産やアカウントに存在する弱点から、事業への影響が大きいものを優先して修正する。すぐに正規パッチを適用できない場合は、仮想パッチなどの緩和策を検討し、その間も恒久対応の進捗を管理する。侵入された場合に備えて、EDRやXDRによる検知・対応も組み合わせる。

　脆弱性管理は、将来起こるかもしれない問題に費用をかけるだけの仕事ではない。攻撃による業務停止や復旧作業を減らし、事業を安定して続けるための取り組みだ。経営層には、脆弱性の件数ではなく、放置した攻撃経路がどの業務を止める可能性があるかを説明する必要がある。

　自社の重要システムへ至る攻撃経路と、その経路上でパッチをすぐに適用できない機器を挙げられるだろうか。答えに詰まるなら、EDRが検知するのを待つ前に、侵入前の経路を確認するところから始めたい。