企業と IT 資産：エンドポイントの 10%以上で保護の欠如が判明

Over 10% of Enterprise IT Assets Found Missing Endpoint Protection

2022/09/08 infosecurity — 企業における IT 資産の 10％以上がエンドポイント保護を欠いており、約５％が企業のパッチ管理ソリューションの非対象であることが判明した。これらの数字は Sevco Security の最新の調査によるもので、同社は State of the Cybersecurity Attack Surface レポートとしてまとめている。

Sevco の Vice President of Customer Success である James Darby は、Infosecurity Magazineの 取材に対し、「攻撃者たちは、企業の脆弱性を悪用することに非常に長けている。セキュリティ／IT のチームは、すでに把握している脆弱性の緩和で手一杯だが、我々のデータは、これが氷山の一角に過ぎないことを裏付けている」と述べている。

このドキュメントでは、50万件以上の IT 資産を可視化したデータを分析しており、企業の資産の保護に関するサイバー・セキュリティ上の問題が存在し、それらが十分に報告されていないことを強調している。

Sevco Security の CEO である J.J. Guy は、「企業のサイバー・セキュリティ攻撃対象領域を構成する要素であるインベントリの不確実性は、あらゆる主要なセキュリティ・フレームワークの基礎を覆し、セキュリティチームに課題を突きつけている」と述べている。

たとえば、分析結果のデータは、エンドポイント保護の観点では、全 IT 資産の約３%が古くなっている。その一方で、パッチ・マネジメントの適用範囲という観点では、１%が古くなっていることを示している。

Guy は、「時代遅れなデバイスの場合、エージェントはインストールされているが、チェックインはされていない状態にある。その結果、アップデートの欠落／エージェントの誤動作が発生する可能性がある。エージェントがインストールされ、動作もしているために、資産が保護されていると考える人がいるかもしれないが、そうではないため、特に厄介なものになる」と述べている。

Sevco Security は サーバ資産の保護に関して、Windows サーバーの約 20%がエンドポイント保護に欠けていることを示唆している (Windows クライアントと MacOS 資産の約10%に比べれば、その差は歴然だ) 。また、MacOS の資産は Windows クライアント／サーバに比べて、2～3倍の確率でパッチ・マネジメントが欠落していることが報告されている。

Guy は、「攻撃者が隠れた IT 資産の悪用に成功していることを考えると、組織が動的な攻撃対象領域を正確に反映し、包括的な IT 資産インベントリの作成を可能にするまで、悪意のある行為者が IT 資産を狙い続ける可能性は高い」と結論付けている。

最近では、7月に Marriott International がデータ侵害に見舞われ、また、英国軍の Web サイトが同様の事件で１か月以上オフラインになったという事例もある。

エンドポイントの 10%以上で保護が欠如しているという話ですが、前提として IT 資産の把握ができていなければ分からないことです。さらに、脆弱性についても同じことが言えます。一言でいうと、見えないものは修正できないという話です。Log4j 脆弱性のときに、何が問題だったのかと言えば、パッチ適用の難しさではなく、何処に Log4j がいるのか分からないという現実だったと思います。まずは、IT 資産のインベントリから、考えていくのが本筋なのでしょう。