2023年の脆弱性は 26,447件：悪用に至ったものは１％に過ぎない – Qualys

More Flaws, Fewer Frightmares: 2023 Cybersecurity – A Tale of Exploitable Echoes

2023/12/20 SecurityOnline — 2023年の終わりを迎えるにあたり、私たちのデジタル世界を形成してきたサイバー脅威を振り返ることは極めて重要である。今年のサイバー・セキュリティ領域はジェットコースターのような１年であり、デジタル脅威に対する理解と挑戦があり、また、前進させてきたという進展があった。Qualys Threat Research Unit の包括的な分析から、今年のサイバー脅威の状況について、重要な洞察を得ることが可能となっている。

2023年に公開された脆弱性は 26,447件であり、2022年を 1,500件以上も上回る CVE が発生したことになる。この増加は、脆弱性の開示がエスカレートするという、この数年の傾向を引き継ぐものである。しかし、最大のリスクは量ではなく、これらの脆弱性の質である。一連の脆弱性のうち、高いリスクをもたらし、実際に悪用された脆弱性はわずか１％に過ぎない。

2023年の最も憂慮すべき事実の１つは、悪用された危険性の高い 97件の脆弱性が、CISA の KEV (Known Exploited Vulnerabilities) カタログに含まれていないことが判明したことだ。この見落としは、サイバー脅威の日進月歩の性質と、絶え間ない警戒の必要性を浮き彫りにしている。

2023年のサイバー戦場では、対応のための時間が大幅に短縮された。攻撃者は脆弱性を即座に利用するようになり、脆弱性が公開された当日にエクスプロイトが公開されるケースもあった。この傾向が強調するのは、組織におけるパッチ管理と脅威インテリジェンスに対して、積極的な姿勢を採用することの必要性である。

2023年も、ランサムウェアは引き続き優勢であり、LockBit や Cerber などのグループが 20件の脆弱性を悪用した。また、15件の脆弱性がマルウェアやボットネットの標的となった。このような巧妙な脅威を前にして、強固なサイバー・セキュリティ対策が緊急に必要であることが強調される。

2023年の脅威情勢は、包括的な脆弱性管理戦略の必要性を浮き彫りにした。特定された高リスクの脆弱性の 3分の1以上は、リモートから悪用される可能性があるものだ。ユーザー組織にとって重要なことは、エージェントベース／エージェントレス／ネットワークベースなどの、さまざまな脆弱性管理手法の採用である。

高リスク脆弱性の 32.5% は、ネットワーク・インフラと Web アプリで発見され、従来のセキュリティ対策では対応が困難なものであった。そのため、さまざまな検出／修復の技術を包含する、サイバー・セキュリティへの多様なアプローチが求められている。

2023年に最も悪用された脆弱性としては、CVE-2023-0669 や CVE-2023-20887 などがある。これらの脆弱性は、さまざまなシステムやアプリにまたがっており、どのプラットフォームもサイバー攻撃を免れないことを示している。

2023年の攻撃者が採用したテクニックは、リモート・サービスの悪用／公開アプリケーションの悪用／特権の昇格などの、多様で洗練されたものだった。このような多彩な攻撃手法が浮き彫りにするのは、多面的で洗練された脅威の状況である。

2023年の脅威の状況は、サイバー脅威のダイナミックな性質を如実に示している。脆弱性の公開から悪用への急速な展開が強調するのは、ユーザー組織における脆弱性公開への注意深い監視と、迅速な対応メカニズム実装の重要性である。2023年の教訓から学び、今後も絶えず変化するサイバー脅威に対して、私たちは防御を強化する必要がある。

Qualys の 2023 Threat Landscape によると、2022年に発行された CVE は 25,050 件であり、2023年は 26,447 件とのことです。まだ、数日が残されているので、もう少し増える可能性がありますが、ほぼ、これで確定だと思います。それほど増えていないので、少し安心しましたが、月ごとにならすと 2,000件強という数字であり、大変な数になります。このレポート、いくつかの視点での分類が行われていて、とても興味深い内容となっています。ご参照ください。