脆弱性対策の記事一覧
脆弱性対策におけるIT製品の最新動向や比較・選定のポイント、導入事例をお届けします。
「脆弱性対策」とは
脆弱（ぜいじゃく）性とは、OSやアプリケーションなどに存在するセキュリティ上の欠陥のことだ。企業は、悪意のある攻撃や不正なアクセスからシステムやデータを保護するために、脆弱性を特定し対策を講じなければならない。
自社が利用するOSやソフトウェアの脆弱性が発見、公開された場合、CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）などの脆弱性評価指標を参考に、必要な対策を練る必要がある。
以下はキーマンズネットで掲載している、脆弱性対策の関連記事だ。サービスの導入、運用にぜひ役立ててほしい。
新着記事
「脆弱性対策」とは
脆弱性対策を実行するには複数の段階を踏む必要がある。まず、自社が利用しているOSやアプリケーションソフトウェアについて名称やバージョン、どこで利用されているのかを調べて表にまとめる必要がある。
次に脆弱性情報を公開している組織の情報を定期的に取得する。国内ではIPA（独立行政法人情報処理推進機構）が「脆弱性対策情報（JVN）」を公開している他、JPCERT/CCも「脆弱性対策情報」を提供している。海外ではサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）のKnown Exploited Vulnerabilities Catalogや、米国国立標準技術研究所（NIST）が運営するNational Vulnerability Database（NVD）から脆弱性情報を入手できる。MITREが管理する識別子を一意に割り当てるシステムCommon Vulnerabilities and Exposures（CVE）は脆弱性情報の管理に役立つ。
この他、各セキュリティベンダーやセキュリティ研究者が脆弱性情報を公開している。OSやアプリケーションソフトのベンダーは自社製品の重大な脆弱性について発表する場合が少なくない。
脆弱性対策の手法とは
自社が利用するソフトウェアの一覧と脆弱性情報を公開する情報源が固まった後、脆弱性管理計画を策定する。人員配置や予算の獲得、脆弱性の特定（脆弱性スキャンなどのモニタリング）と評価、優先順位付け、修正計画などが含まれる。管理プログラムの策定時や実行時には次のような対策を含める。
（1）パッチの適用 OSやアプリケーションソフトウェアのベンダーから提供されるセキュリティパッチを定期的に適用することで、既知の脆弱性を修正する。その都度、ソフトウェアの一覧表を更新しなければならない。
（2）アップデートとアップグレード OSやアプリケーションソフトウェアが更新された場合、脆弱性について改善を公開していない場合でも実際には改善されていることがある。システムやソフトウェアを最新のバージョンに更新し、セキュリティに関する改善を取り入れる必要がある。
（3）セキュリティ設定 脆弱性対策と併せて、システムやアプリケーションのセキュリティ設定を適切に構成し、不要な機能やサービスを無効化するとよい。利用していないサービスやソフトウェアが攻撃対象から外れるため、防御しなければならない範囲を限定できる。
（4）アクセス制御 脆弱性が残っていて権限昇格を狙った攻撃が成功してしまった場合でも、ユーザーアクセスの制限や適切なアクセス権の付与によって、それ以上の不正アクセスを防止できる場合がある。
（5）ネットワークセキュリティ対策 ファイアウォールや侵入検知システム（IDS）、侵入防御システム（IPS）などのネットワークセキュリティ対策を導入してネットワークトラフィックを監視することで、脆弱性を狙う不正なアクセスを検知・防止できる。
（6）ペネトレーションテスト 脆弱性スキャンと併せてペネトレーションテストを実施し、システムやネットワークに残っている脆弱性を特定する。管理下にないソフトウェアをあぶり出すことが可能で、対策の優先順位を付ける際にも役立つ。
（7）ゼロトラストソリューションの導入 全ての通信を信用できないものとして扱い、誰（デバイス）がどのリソースにアクセス可能なのかをその都度、認証、認可するため、アクセス制御を強化できる。脆弱性対策だけを狙ったソリューションではないものの、脆弱性対策を補完できる。特に脆弱性情報が公開される前に起こるゼロデイ攻撃に対してはゼロトラストソリューションが役立つ。
アクセスランキング
-
1
“積ん読”をAIが読み解く オライリーなど英語書籍10万冊以上にGeminiが対応
-
2
iPhoneが「再起動後だけ」落ちる怪……犯人は40年前のUNIXコード なぜ今も？：897th Lap
-
3
AWS、SalesforceがAI連携を強化 データ分断をどう解消するか
-
4
神戸市、Copilotの弱点を「Dify」でどう解決？ あえて自前でAI環境を構築した理由
-
5
AIを導入した企業ほど困る「データ基盤問題」 パーソルが3サービスで支援へ
-
6
「Copilot案件」が急増、1年半で13倍に フリーランスに求められるニーズの変化
-
7
Windows更新後、ローカルサインインも不能に Microsoftが定例外更新で修正
-
8
Teams会議をAIエージェントの「教材」に 埋もれた経験則を資産に変える新たな手法とは
-
9
Microsoftが進めるCopilot再編 「Microsoft Copilot」への移行で、企業への影響は？
-
10
手作業で消耗する人とそうでない人の差 全員がAIを「当たり前に使う職場」の作り方
キーマンズネット SNS
@Keymansをフォロー
インフォメーション
注目情報をチェック
キーマンズネットをフォロー