新たに発見された脆弱性への対応方法

システムやアプリケーションに脆弱性が見つかった場合は、できるだけ早く対処することが重要です。また、あらゆる問題に対応できるよう、事前に脆弱性への対応計画を立てておくこともおすすめします。

脆弱性管理サイクル

脆弱性管理サイクルとは、システム内の脆弱性を特定、評価、対処するためのフレームワークです。このプロセスは、認識、分析、緩和、検証、報告の5つの段階で構成されます。

認識の段階では、テストやスキャン、外部ソースからの報告など、さまざまな方法で脆弱性を特定します。分析の段階では、各脆弱性が悪用される可能性と、悪用された場合に起こり得る影響に基づいて潜在的な影響を評価し、優先順位を付けます。

緩和では、パッチの適用や回避策の実装、その他の防御策など、脆弱性に対処するための措置を講じます。検証の段階では、脆弱性に効果的に対処できたことを確認します。最後の段階では、脆弱性管理サイクルの結果を記録し、経営陣や規制当局などの関係者に報告します。

このプロセスは継続的に行い、システムのセキュリティを維持するために定期的に繰り返す必要があります。

脆弱性がもたらす潜在的な影響を判断する

システムに脆弱性が見つかった場合、適切な対応策を決定し、取り組みの優先順位を付けるために、潜在的な影響を評価することが重要です。

脆弱性の悪用のしやすさや必要な条件、悪用された場合の影響、脆弱性にさらされるシステムやユーザーの数、さらに大規模な攻撃の一部として脆弱性が利用される可能性など、複数の要素を評価する必要があります。

リスクを軽減するための対策を講じる

脆弱性が重大なリスクをもたらすと考えられる場合、迅速に対応することで悪用される可能性を低減できます。

脆弱性への対処には、攻撃者がアクセスできないよう影響を受けたシステムを切断する、修正パッチやアップデートが公開され次第適用する、アクセスの遮断や特定の種類のトラフィックの制限などの回避策を実施する、悪用の試みを検知して適切に対応するための監視システムや侵入検知システムを導入するといった方法があります。

リスクの軽減は、事業を成功させるうえで欠かせません。まず、サイバーセキュリティ、データプライバシー、財務の安定性など、事業が直面する可能性のあるリスクを特定します。次に、その影響を評価します。これにより、優先して対処すべきリスクを判断できます。それぞれのリスクを軽減するために実施する手順をまとめた計画を作成しましょう。セキュリティ対策、バックアップや災害復旧計画、従業員向けのトレーニングプログラムなどが含まれます。

リスクは常に変化するため、リスク管理計画の有効性を維持できるよう、定期的に見直して更新しましょう。事業のニーズに応じて、予期せぬ事態による潜在的な経済損失を軽減するために、保険への加入も検討するとよいでしょう。

関係者に脆弱性を開示する

脆弱性を開示する際は、影響を受けたシステムの製造元やソフトウェアの保守を担当する組織など、適切な開示先を特定することが重要です。協調的な開示プロセスやサードパーティのプラットフォームなど、最適な開示方法を検討しましょう。また、脆弱性の詳細、影響を受けるシステム、利用可能な修正策など、重要な情報を開示内容に含めてください。

脆弱性の開示が重要である理由をいくつかご紹介します。

• 被害の軽減:脆弱性を開示することで、影響を受ける関係者が、脆弱性によって生じる被害を軽減するための適切な措置を講じられます。たとえば、ソフトウェア開発者は脆弱性を修正するパッチを公開でき、ユーザーはそのパッチを適用してシステムを保護できます。

• 信頼の構築:脆弱性を開示することは、透明性を重視し、顧客やユーザーとの信頼関係を築く姿勢を示します。脆弱性に対する責任を受け入れ、適切な修正措置を講じることで、企業の評判が高まり、ステークホルダーとの信頼関係が深まります。

• 法的・倫理的義務:多くの場合、企業には脆弱性を開示する法的または倫理的な義務があります。たとえば、データ侵害の通知に関する法律では、個人情報が侵害された場合に企業が開示することを義務付けています。

• 協力:脆弱性の開示は、セキュリティ研究者とソフトウェア開発者の連携を促し、ソフトウェアやシステムのセキュリティ向上にもつながります。協力して取り組むことで、より安全なソフトウェアを開発し、将来の脆弱性のリスクを低減できます。

企業や個人は、責任ある脆弱性管理を優先し、関係者に脆弱性を速やかに開示する必要があります。

脆弱性を記録する

発見した脆弱性と、それに対処するために講じた措置をすべて記録しておきましょう。記録には、脆弱性の種類や影響を受けるシステムなど、脆弱性の詳細な説明に加え、悪用された場合の影響評価を含める必要があります。

パッチやアップデートの適用、回避策の実施、その他の対策など、脆弱性に対処するために行った措置を記録してください。また、テストプロセスの改善やセキュリティ意識の向上など、同様の脆弱性を将来防ぐために実施した追加の対策も記録しましょう。記録は常に最新の状態に保ち、後から参照できるよう保存してください。

将来の同様の脆弱性を防ぐ

将来、同様の脆弱性が発生しないようにするには、侵入テストやより徹底したテストを取り入れてテストプロセスを改善し、チームのセキュリティ意識を高め、システムを保護するセキュリティ制御（ファイアウォール、侵入検知システム、アクセス制御）を導入する必要があります。また、システムを定期的に更新してパッチを適用し、安全な開発手法を取り入れるとともに、プロセスやシステムを見直して潜在的な脆弱性を特定する必要があります。

脆弱性の修正

脆弱性の修正では、システムで特定されたセキュリティ上の問題を解消または軽減するための措置を講じます。ソフトウェアベンダーが脆弱性を修正するパッチを公開した場合は、できるだけ早く適用してください。不可欠ではないサービスやアプリケーションに脆弱性がある場合は、パッチが公開されるか修正策が実施されるまで、無効化することを検討してください。

システムの構成や設定を変更することで、脆弱性を軽減できる場合もあります。たとえば、使用していないサービスを無効化したり、デフォルトのパスワードを変更したりする方法があります。古くなったソフトウェアやサポートが終了したソフトウェアが原因で脆弱性が発生している場合は、新しいバージョンにアップグレードするか、より安全な代替ソフトウェアへの置き換えを検討してください。

脆弱性の修正は継続的なプロセスであることに注意してください。脆弱性はいつでも発見される可能性があるため、システムのセキュリティを維持するには、継続的な監視と更新が必要です。そのため、定期的な評価、修正手順、継続的な監視を含む包括的な脆弱性管理プログラムを確立することが重要です。

Snykができること

Snykのツールは、ソフトウェア開発ライフサイクル全体にわたる脆弱性を一元管理し、優先順位を付けて修正できるように設計されています。Snykのソリューションをワークフローに組み込むことで、脆弱性の特定と対処のプロセスを効率化し、悪用のリスクを低減するとともに、システムのセキュリティを強化できます。

• Snyk Open Source:オープンソースの依存関係をスキャンして監視し、既知の脆弱性やライセンス上の問題を特定します。安全なバージョンへのアップグレードやカスタムパッチの適用など、実行可能な修正案を提示します。

• Snyk Code:独自コードのセキュリティに重点を置き、インジェクションの欠陥や安全でない設定などの脆弱性をリアルタイムで特定します。IDEと直接連携するため、開発者はコーディング中に問題へ対処できます。

• Snyk Container:コンテナ化されたアプリケーションを保護するため、イメージ内のベースイメージ、パッケージ、設定に含まれる脆弱性をスキャンします。修正策として、より安全な代替ベースイメージも提案します。

• Snyk Infrastructure as Code (IaC):Terraform、Kubernetes、その他のIaCファイルにおける設定ミスやコンプライアンス違反を特定し、クラウドやインフラストラクチャの設定を安全に保ちます。