クラウド関連の脆弱性 (CVE) は 632件：前年比で 194％ 増 – IBM 調査

Cloud Vulnerabilities Surge 200% in a Year

2023/09/14 InfoSecurity — 2022年6月〜2023年6月に、IBM が新たに追跡したクラウド関連の脆弱性 (CVE) は 632件であり、前年比で 194％ 増となった。IBM X-Force Cloud Threat Landscape Report 2023 を構成する要素は、同社における脅威インテリジェンス／インシデント対応業務／ペンテストからの情報に加えて、ダークウェブ分析／Cybersixgill／Red Hat Insights などのからの情報に基づいている。IBM が追跡している CVE の総数は 3900件に達し、その数は 2019年との比較で２倍増となっている。

この１年で発見された CVEの 40％強について、それらの悪用の結果を推定すると、攻撃者による情報取得は 21％ に達し、アクセス権取得は 20％ に達する可能性があるとのことだ。

その一方で、クラウド侵害におけるイニシャル・アクセス・ベクターのトップは、脅威アクターによる有効な認証情報の悪用だった。それは、実際のクラウド・インシデントの 36% で発生していると、このレポートは指摘している。なお、それらの認証情報には、攻撃中に発見されたものと、特定の被害者を標的にする前に盗まれたものがある。

この数字は、認証情報の悪用に起因するインシデントの、2022年の比率である 9％ から大幅に増加している。IBM のアナリストである Chris Caridi は、「この数字が浮き彫りにするのは、組織における技術的なガードレールの必然性である。人手に頼った認証から脱却し、ユーザー ID とアクセス管理の安全性を確保する必要がある」と述べている。

不適切なセキュリティ対策は、攻撃者による侵害を容易にしている。X-Force チームは、クラウド環境を含むエンゲージメントの 33％ で、ユーザーのエンド・ポイントに平文の認証情報が置かれていることを発見した。

このレポートには、「エンドポイントに保存されている、サービス・アカウントの認証情報が高い確率で散見され、その多くが過剰に特権化されていた。過剰に特権化されたユーザーとは、ジョブやタスクの遂行では必要とされない、高権限を持っているユーザーだと定義できる」と記されている。

それに続く、イニシャル・アクセス・ベクターとして挙げられるのは、パブリックなアプリケーションの悪用／フィッシング／スピアフィッシングであり、それぞれが 14％ を占めている。

クラウドベースの攻撃は全世界で発生しているが、その大半はヨーロッパの 64％ であり、北米の 29％ が続いている。Red Hat Insights のマルウェア・スキャンに関するデータも、この調査結果を裏付けており、欧州の組織が 87％ を占め、それに続くのが北米の 12％ であるとしている。

この１年で IBM が新たに追跡した、クラウド関連の脆弱性がレポートにまとめられています。この記事の冒頭で、 “CVE” と記載されている理由は、CVE が採番されることなく、ひっそりと FIX され、人々の記憶からも消えていく脆弱性が、あまりにも多いことにあるのだろうと思います。もし、それらの脆弱性にも CVE が割り振られていたなら、「632件で、前年比 194％ 増」などという数字では収まらないはずです。クラウドに限定した話ではありませんが、それだけ脆弱性が増えているという状況なのでしょう。