脆弱性管理クラウド「yamory」、2023年脆弱性セキュリティレポートを公開
〜ネットワーク機器の悪用された脆弱性は倍増、総合的なリスク判断による脆弱性対応が必須〜
脆弱性は年々増加傾向にあり、これらの脆弱性の全てに対処するには、膨大な工数がかかります。またソフトウェアのみならず、VPN等のネットワーク機器において深刻な脆弱性が増加、さらに攻撃が観測されている脆弱性の数も倍増しており、深刻度だけの優先順位付けではなく、攻撃の可能性を含めた総合的なリスク判断による脆弱性対策が必要不可欠です。
脆弱性件数は年々増加傾向、効率的な脆弱性対策が必要不可欠に
出典：NVD（National Vulnerability Database) （2023年は11月末までの数値、点線は予測値）
米国国立標準技術研究所（NIST）が運営する脆弱性データベース（NVD）で公開されている脆弱性数（CVSS v3）は年々増加傾向にあり、「High」「Critical」などのCVSS深刻度スコアだけで脆弱性の優先順位を付けても、増え続ける脆弱性の対応には、膨大な工数がかかります。
そこでyamoryでは、独自で構築した脆弱性のデータベースを使い、危険度のレベルを算出し、対応の優先度を自動で判断するオートトリアージ機能（特許番号：6678798号）を提供しています。オートトリアージ機能により即日対応が必要とされる「Immediate」に分類された脆弱性は、NVDで公開されている「High」「Critical」の脆弱性14,127件から、73％減の3,774件に絞られました。2022年はTensorFlow等の特定ライブラリで脆弱性が大量に公開され、Python系の深刻度の高い脆弱性が増加したため、昨年からは減少の見込みですが、今後攻撃コードや悪用の観測で増加する可能性もあります。
すべての脆弱性に対応することは不可能であり、優先順位を付けた効率的な脆弱性対応が必要不可欠です。
オートトリアージ機能
（2023年は11月末までの数値、点線は予測値）
ネットワーク機器（VPN等）におけるリスクの高い脆弱性は増加
昨今、VPN機器等のネットワーク機器の脆弱性を狙ったサイバー攻撃が増加しており、ソフトウェアのみならずネットワーク機器の脆弱性管理の重要性は高まっています。ランサムウェアの感染経路に関して、VPN機器からの侵入が最も多いと報告されており（※1）、ランサムウェア被害を防ぐために脆弱性対策が必要不可欠です。
yamoryのオートトリアージ機能により即日対応が必要とされる「Immediate」に分類されたネットワーク機器の脆弱性は昨年から26％増加しています。そのうちすでに攻撃が観測された脆弱性のリスト「KEVカタログ」（※2）に掲載されている脆弱性は2倍以上に増加しています。
KEVカタログのデータから、CVSS深刻度スコアが「Critical」「High」のものだけでなく「Medium」「Low」の脆弱性も悪用に利用されることがあり、深刻度だけでは分からない「攻撃のリスク」が増加しています。危険性（深刻度）・影響度・攻撃手段の有無・攻撃事例などを総合的に判断し、リスクが高い脆弱性を優先して対応していくことが重要です。
yamoryのオートトリアージ機能では、危険性（深刻度）・影響度・攻撃手段の有無のみならず、「KEVカタログ」と照合した絞り込みも可能で、即時対処が必要な脆弱性を検知し対応することができます。
※1 参照 警察庁：令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について
※2 KEVカタログ：CISA（アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁）が2021年に公開した、「実際に攻撃者が積極的に悪用していることが確認されており、対応が急がれる脆弱性」の一覧。
詳細：https://yamory.io/blog/cisa-kev/
オートトリアージ機能とKEVカタログの照合
＜2023年脆弱性セキュリティレポートダウンロード＞
上記に加えて、レイヤー別の詳細等に関して、昨年からの比較や今年の傾向を解説しています。詳細のレポートに関しては、下記よりダウンロードください。
https://seminar.yamory.io/dl_security_report_2023
yamory事業部 セキュリティエンジニア 芳澤 正敏 コメント
脆弱性件数は年々増加傾向にあり、増え続ける脆弱性の対応には、膨大な工数がかかります。サイバー攻撃の被害にあわないためにも、効率的な脆弱性対策が必要不可欠になっています。また、レイヤーによっても脆弱性の傾向が異なっており、特にネットワーク機器の脆弱性は、数や深刻度だけで見ると大きな変化ではありませんが、悪用が観測されリスクが高い脆弱性の数は2倍以上に増加しています。そのため、深刻度のみでの優先順位付けではなく、自社の環境で実際に悪用され、影響の大きいものから脆弱性対策を行う、「リスクベース」の優先順位付けが求められています。
2024年は、網羅的な脆弱性管理はもちろんですが、サプライチェーンのセキュリティ対策にも力を入れ、SBOMなどを活用した資産情報の管理・共有を行っていくことが重要になると考えられます。
＜レポート概要＞ 以下の情報をもとに作成 （対象期間：2017年1月1日～2023年11月30日） ‐ National Vulnerability Database（NVD） ‐ yamory 脆弱性データベース ‐ yamory の脆弱性スキャンによって検知された脆弱性の統計情報 ※本調査を引用される際には、「yamory調べ」と必ずご記載ください。 |
【脆弱性管理クラウド「yamory（ヤモリー）」について】
「yamory」は、ITシステムの脆弱性を自動で検知し、管理・対策ができるクラウドサービスです。ソフトウェアの脆弱性管理に加え、セキュリティ診断やクラウド設定管理（CSPM）を提供することで、ITシステムに必要な脆弱性対策をオールインワンで実現します。複雑化するITシステムの網羅的な脆弱性対策を効率化し、安心してテクノロジーを活用できる世界を目指し、社会のDX加速を支えます。
X（旧Twitter）：https://twitter.com/yamory_sec
【Visionalについて】
「新しい可能性を、次々と。」をグループミッションとし、HR Tech領域を中心に、産業のデジタルトランスフォーメーション（DX）を推進するさまざまな事業を展開。「ビズリーチ」をはじめとした採用プラットフォームや、人財活用プラットフォーム「HRMOS」シリーズを中心に、企業の人材活用・人材戦略（HCM）エコシステムの構築を目指す。また、M&A、物流Tech、サイバーセキュリティの領域においても、新規事業を次々に立ち上げている。
このプレスリリースには、メディア関係者向けの情報があります
メディアユーザー登録を行うと、企業担当者の連絡先や、イベント・記者会見の情報など様々な特記情報を閲覧できます。※内容はプレスリリースにより異なります。
すべての画像
