脆弱性評価：セキュリティ態勢を強化するツールと手順

追跡すべき脆弱性が数多くあるうえ、Log4Shellのような新たな脆弱性も次々と登場するなか、組織は問題が深刻化する前に対処できる適切な手順とプロセスを整えておく必要があります。その重要な要素の一つが脆弱性評価です。

脆弱性評価はいくつかのステップに沿って実施します。最初に準備を行い、続いてシステムをスキャンします。発見された脆弱性には優先順位を付け、適切な対応策を判断します。最後に、修正に関する推奨事項を提示します。

脆弱性評価が重要な理由

脆弱性を継続的に追跡し、早期に発見できる脆弱性評価は、組織内でセキュリティ対策や制御を実施するうえで非常に有効です。定期的な脆弱性評価により、セキュリティ全体の状況を把握できるほか、規制要件への準拠に役立ちます。また、新たな脅威が発生した場合も、優先順位を柔軟に見直し、迅速に軽減できます。

この取り組みは、セキュリティを後付けにせず、開発のあらゆる段階で考慮するセキュアなソフトウェア開発ライフサイクル（SSDLC）にぴったり適合します。

現在、ほぼすべての企業が何らかの形でオープンソースコードに依存しています。開発者の世界で新しいオープンソースコンポーネントが次々と増えるなか、オープンソースの脆弱性も増加しています。そのため、脆弱性評価ではオープンソースコンポーネントも必ず対象に含めることが重要です。脆弱性評価に欠かせないツールとして、オープンソース脆弱性スキャナーを用意しましょう。

ここまで脆弱性評価とその重要性を説明してきました。では、どのように進めればよいのでしょうか。

脆弱性評価の実施方法

脆弱性評価を実施するための統一的なフレームワークはなく、ポリシーや手順も組織ごとに異なります。システムの準備やスキャンから、発見された脆弱性の分析と修正、今後に向けた結論の導出まで、いくつかの段階に分けて進めることができます。継続的なセキュリティ脆弱性評価をセキュリティ戦略の不可欠な一部とし、新たに発見された脆弱性に確実に対処しましょう。

脆弱性評価の5つの段階

企業の戦略によって呼び方は異なりますが、脆弱性評価では次の5つのステップが重要です。

1. 準備

この段階では、評価対象とするシステムを決定し、それぞれの基準を定めます。また、どのシステムが重要で、どのデータが機密情報に当たるかを明確にする必要があります。

2. 脆弱性スキャン

ソフトウェア構成分析（SCA）などのツールを使ってリソースをスキャンすると、システムやネットワークに存在する脆弱性を迅速に特定できます。誤検知を最小限に抑え、ニーズに合ったスキャン結果を得るには、脆弱性スキャナーを最新の状態に保ち、適切に設定することが重要です。誤検知が多いと、分析に時間がかかるおそれがあります。

3. 脆弱性分析

脆弱性分析では、検出された脆弱性がシステムに脅威をもたらすかどうかを評価するため、脆弱性評価プロセスのなかでも特に重要な段階といえます。根本原因分析（RCA）を実施し、潜在的な影響と深刻度を見積もります。この段階で脆弱性を正確に特定できるかどうかが、必要な対応に直結します。オープンソースの依存関係やコンテナ内の脆弱性を効率的に優先順位付けできるツールを活用し、重要な問題に集中しましょう。

4. 脆弱性の修正

脆弱性を評価し、攻撃経路とシステムへの潜在的な影響を特定したら、次はセキュリティ上の欠陥を軽減する方法を検討します。コンポーネントの設定変更で十分でしょうか。軽減するにはコンポーネントの更新が必要でしょうか。また、そもそも更新は可能でしょうか。

5. 振り返り

脆弱性評価を終えたら、計画どおりに進んだ点と問題が起きた点を振り返り、何よりも今後に向けた準備ができているかを評価しましょう。システムとネットワークを完全に保護できるでしょうか。どこにリソースを集中させるべきでしょうか。

脆弱性評価の4つの種類

脆弱性評価は主に次の4つのカテゴリーに分けられます。

1. ネットワーク：ネットワークへの不正アクセスを防ぐ仕組みを分析します。

2. インフラストラクチャ：システム運用の観点から、重要なサーバーを評価します。

3. データリポジトリ：データストアに潜む欠陥を確認し、特に機密データのセキュリティに注意を払います。

4. アプリケーションセキュリティ：動的アプリケーションセキュリティテスト（DAST）や静的アプリケーションセキュリティテスト（SAST）のツールを使い、アプリケーションのソースコードに潜む脆弱性を検出します。詳しくはアプリケーションセキュリティのベストプラクティスをご覧ください。

おすすめの脆弱性評価ツール

脆弱性評価ツールは、評価プロセスに欠かせません。ツールがなければ、すべての作業を手作業で行う必要があり、ほぼ不可能なうえ、脆弱性の見落としにもつながります。脆弱性評価ツールには、Webアプリケーションスキャナー、プロトコルスキャナー、ネットワークスキャナーなど、さまざまなスキャナーがあります。こうした高度な最新ツールは、最新のオープンソース脆弱性データベースを参照し、人手では見落としかねない依存関係も検出できます。

こうしたツールが必要な理由と重要性を確認し、適切なツールの選び方を見ていきましょう。

DASTとSASTの比較

経験豊富なプログラマーの採用やトレーニング、セキュアコーディングのガイドラインの遵守など、コードの品質を最大限に高める取り組みを行っても、人為的ミスによりコードやアプリケーション全体に問題が起きることは避けられません。DASTとSASTのツールは、こうした問題の軽減に役立ちます。それぞれ異なる利点があります。

• SAST：一般的なホワイトボックス型のアプローチで、実行環境がなくても早い段階で潜在的なセキュリティ上の欠陥を検出できます。脆弱性を見つけ、原因となっているコードの行を特定します。

• DAST：SASTとは逆のアプローチを採るテスト手法です。アプリケーションを外部から動的にテストするブラックボックス型の手法で、入力データを利用するため、テストには実行中のアプリケーションが必要です。

どちらのテスト手法でも、OWASP Top 10を含むさまざまな脆弱性を特定できます。最適な方法は、ソフトウェア開発ライフサイクルの異なる段階で、これらのツールを組み合わせて使うことです。

脆弱性評価におけるソフトウェア構成分析（SCA）

ソフトウェア構成分析（SCA）も重要なツールカテゴリーです。SCAツールがなければ、ソフトウェアコンポーネント、特にオープンソースのコンポーネントを管理するのは困難です。ソフトウェアをスキャンし、すべてのコンポーネントの一覧と、それぞれに潜む可能性のある脆弱性をまとめたレポートを作成します。

このソフトウェア部品表（SBOM）は、セキュリティプロセスの管理に非常に役立ちます。製品で実際に使われているコンポーネントや、ポリシーやソフトウェアライセンスに適合するコンポーネントを把握できます。最新のSCAツールの多くは、承認や監査などの自動化機能も備えています。

一歩先を行く

セキュリティに見落としや抜け漏れは許されません。より安全な製品を作るには、脆弱性を継続的に評価することが重要です。脆弱性評価ツールは、脆弱性評価と脆弱性管理のプロセスを効率化します。適切なツールを選べば、誤検知を減らし、評価に信頼できるデータを活用できます。これにより、攻撃者の一歩先を行くことができます。Snykを使えば、開発ライフサイクル全体を通じて、コードとオープンソースの依存関係に潜む脆弱性を自動的に検出し、優先順位を付けて修正できます。