脆弱性の 2％に対処すれば資産の 90%を保護できる：XM Cyber／Cyentia Institute の共同調査

Eliminating 2% of Exposures Could Protect 90% of Critical Assets

2023/04/11 InfoSecurity — 攻撃者が悪用できるセキュリティ脆弱性は数多く存在するが、重要な資産にシームレスにアクセスできるものは全体の 2%に過ぎず、さらに、75% は重要な資産を危険にさらすものではないことが判明した。この調査結果は、XM Cyber がオンプレミス／クラウド上の 1,000 万以上のエンティティに影響をおよぼす、6,000 万以上の脆弱性を分析した、最新レポートによるものだ。

同レポートは Cyentia Institute との共同研究によるもので、71％の組織がオンプレミスのネットワークに脆弱性を持ち、それがクラウド上の重要な資産を危険にさらしていることを示唆している。また、クラウド上に存在する重要な資産の 92％ が、脆弱な状態にあることも判明している。

XM Cyber の Vice President of Research である Zur Ulianitzky は、「クラウド環境への侵入を果たした攻撃者であれば、資産を侵害することは容易だ。現状のクラウド・セキュリティは成熟しておらず、多くのセキュリティ・チームは、探し出すべきセキュリティ脆弱性を、十分に理解していない」と説明している。

さらに、このレポートによると、一般的な組織では、毎月 11,000 件の悪用可能なセキュリティ脆弱性が確認されている。また、資格情報と権限をターゲットにしたエクスプロイトが 82%の組織に影響を与え、悪用が特定されたセキュリティ脆弱性全体の 70%以上を占めるという。

Ulianitzky は、「また、クラウドの ID やアクセス権の管理方法が課題となっている。今後において組織は、全ての ID／システムおよび、それらの相互依存関係などを総合的に保護するために、セキュリティへのアプローチを再考する必要がある」と述べている。

とは言え、XM Cyber のレポートでは、セキュリティ・アラートの大半は良性であり、重要な資産に影響を与えるものではないことも示されている。

Tanium の Security Director of Endpoint Security Research である Melissa Bischoping は、「20,000 件の脆弱性リストに焦点を当てるのではなく、まずは、外部に面したインフラにおいて、最も迅速に対応すべき問題を特定することに焦点を当てることだ。続いて、ユーザーとサービス・アカウントが持つ、権限の範囲を縮小することに集中すべきだ。ユーザーがアクセスできるシステムの範囲を絞ることで、それらの資格情報が攻撃の後半で悪用されるリスクを減らせる。多要素認証とデバイスの健全性認証を重ねると、この実践の有効性を高めることができる」とコメントしている。

先日には Microsoft が、すべてのクラウド権限の僅か１％のみが使用されていると示唆している。この数週間後に、今回の XM Cyber レポートが発表された。

この記事を訳していて思い出したのは、2022/03/11 の「CISA の脆弱性カタログ：22/03/11 悪用という現実に基づく素晴らしい出発点」です。CISA は連邦政府組織からの報告ベースですが、今回の Cyber／Cyentia のレポートは、同社の顧客に対する調査がベースになっています。特筆すべき脆弱性として、15件ほどがリストアップされていますが、PrintNightmare と Log4Shell／Text4Shell が、重要資産へのアクセスという点で、高スコアとなっていました。