無料セキュリティ対策に不安がある企業必見！「セキュリティ対策無料相談窓口」

セキュリティ業界の人がよく言う「脆弱性」という言葉。

何となく意味はわかるけど、ちゃんと答えられる人は少ないのではないでしょうか。
今回は脆弱性という言葉を取り上げて、脆弱性を悪用した情報漏洩事例と、「脅威」や「セキュリティホール」との違い、そして脆弱性対策の方法について紹介します。

脆弱性とは

「脆弱性」と聞いても、「何となく悪いイメージ。。。」くらいにしかわからない方も多いので、まずはじめにしっかりと理解しておきましょう。

外部からの不正アクセスに対してシステムの安全性が損なわれている状態、セキュリティ上の欠陥のこと。ソフトウェアやハードウェアのバグによってできるセキュリティホールが代表的なものだが、機密情報・重要情報に対する管理体制の甘さも一種の脆弱性と考えられる。

ASCII.jpデジタル用語辞典「脆弱性」

と定義されています。

一般に脆弱性というと情報システム上の問題点と思われがちですが、サーバーの設置されている部屋のドアや窓に施錠がされていないなどの物理的な保護の欠如や、バックアップ媒体の保管や管理が適切に行われていないなどの運用上の問題点も脆弱性の一つとして該当します。

もし脆弱性が見つかってしまったら、しっかりと対策を取る必要があります。脆弱性を放置してしまうと、悪意のある第三者が脆弱性を悪用して、本来できないはずの操作を行ったり、見られてはいけない情報が漏洩するなどの不具合が発生し、さらにマルウェアに感染したり、不正アクセスを許してしまう状態になることもあります。

脆弱性ができる原因

脆弱性が発生する原因として以下の要因が考えられます。

• システムを設計するときの予測不足
• プログラムのコーディングミスや設定のミス
• 故意にしかけられた弱点

などです。

脆弱性の一つとして想定外の入力に対する対策の不備があります。例えばソフトウェアの開発において、外部から入力されるデータのチェックは必ず行われるテスト手法です。そして、ソフトウェアに脆弱性があることを想定して、チェックを完璧にすれば脆弱性はなくなるという考え方もありますが、それだけでは不十分です。

なぜなら脆弱性を悪用する攻撃者はソフトウェアに対する新しい攻撃手法を生み出しており、システムの運用中に想定外の脆弱性が発覚することも考えられるからです。

またシステムに脆弱性が発生する原因は局所なものばかりではありません。設計・実装・運用といったシステム開発における上流工程から下流工程にかけて発生することもあり、特に上流工程で発生した脆弱性に関しては下流工程でフォローすることは困難です。そのため、システム開発においては上流工程から十分に脆弱性対策に考慮して開発することが求められています。

脆弱性による情報漏洩事例

脆弱性を悪用した情報流出の事故は毎日のように報じられています。実際に発生した情報流出事例を3つ紹介します。

これら3つの情報漏洩事例に共通している点は、サービスを提供しているサーバーで使われているプログラムの脆弱性を悪用されたことで発生した事例だということです。特にApache Struts2の脆弱性を悪用した事例は世界的にも話題になりました。情報処理推進機構では「Apache Struts2 の脆弱性対策情報一覧」のページを公開し、脆弱性対策情報一覧のリンク集を掲載し注意を喚起しています。

参考Apache Struts2 の脆弱性対策情報一覧

脅威と脆弱性の違い

脅威とは情報システムや組織に対するセキュリティ事故の潜在的な要因です。

脆弱性とは脅威によって利用される弱点の事を指し、脅威と脆弱性は上記のように区別されます。脅威には「人為的な脅威」と「環境的な脅威」
の2つに分類されます。さらに「人為的な脅威」は「意図的な脅威」と「偶発的な脅威」に分かれます。

脅威と脆弱性が結びつく事で「リスク」が発生します。リスクとは、ある脅威が脆弱性を利用して損害を与える可能性の事を指します。さらに損害の大きさは「情報資産の価値」で決まります。これらを数式で表現すると、以下のようになります。

情報セキュリティリスクの大きさ ＝ 情報資産の価値 × 脅威の大きさ × 脆弱性の度合い

このようにリスクの大きさを定量的に評価することで、リスクの大きさに応じた情報セキュリティ対策を立てる必要があります。

セキュリティホール（バグ）と脆弱性の違い

セキュリティホールとはソフトウェアが持つバグ（不具合）のことです。

本来できないはずの操作ができてしまったり、閲覧できてはならない情報が閲覧できてしまったりと、ソフトウェアにて発生している欠陥のことをセキュリティホール（バグ）と言います。これはプログラムのコーディングミスや設定ミスなどによって発生します。

一方、脆弱性はセキュリティホールとよく似た意味で使われることが多い言葉です。しかし脆弱性はセキュリティホールとは異なり、ソフトウェア上での単純な欠陥ではなく、仕様通りに作られたものであっても、外部からの攻撃に対して弱点となる点があれば、それは脆弱性と呼ばれます。正常な機能として開発された機能でも、意図せずに外部から悪用される事があれば、それは脆弱性ということになります。

脆弱性の対策

これまで紹介してきたように、情報システムやソフトウェアに存在する脆弱性を悪用した事故は後を絶ちません。それでは情報システムの開発者やユーザーはどのように脆弱性に向き合えばよいのでしょうか。ここでは脆弱性に対する2つの対策について紹介します。

使用しているソフトウェアやそのバージョンを把握しておく

パソコンで使われているOSやインストールされているソフトウェアのバージョンを把握しておくことが重要です。また使用しているソフトウェアの最新バージョンがリリースされたら、すぐにアップデートするようにしましょう。

MS OfficeやWindowsではWindows Updateという機能を利用することでソフトウェアを最新のバージョンに保つことができます。またAdobeのソフトウェアでも同じようなアップデート機能が用意されています。またFlash Playerの脆弱性はいまだに多く、あまり使われなくなった現在でも頻繁にアップデートが行われています。

脆弱性情報は複数の報道を見た上で、必ず一次情報を確認する

ソフトウェアの脆弱性が明らかになると、各種のニュースサイトで取り上げられることがあります。脆弱性の報道に関しては複数の報道を確認した上で、必ず一次情報にあたることが重要です。日本語で読むことができる一次情報として利用できる脆弱性ニュースサイトをいくつか紹介します。

脆弱性に関する情報は上記のようにかず多く存在しています。
ご利用中のOS、ソフトウェアなどに関して少しでも不安なことがあれば、上記サイトにて最新の情報と入手して安全な環境を心がけましょう。

無料・有料のセキュリティ診断（脆弱性診断）を受けてしっかりと把握しておく

上記の情報と元に、脆弱性のない状況をキープしていてもやはり不安はありますよね。
そのような場合は、一度しっかりとチェックすることをオススメています。
無料・有料など含め色々なツールやサービスで脆弱性をチェックすることが可能ですので、下記の記事を参考に脆弱性診断をしてみると良いでしょう

脆弱性診断ツール（サービス）無料・有料16選！価格・選び方を比較

2018.2.8

プログラムの不具合・欠陥や設計上のミスが原因で発生する脆弱性。 仮に、脆弱性が残った状態でOS・ネットワーク・ソフトウェア・アプリケーションなどを利用し続けた場合、その企業や組織は、不正アクセスを受けたり、マルウェアに感染したりする恐れが

また、上記記事でも「どれを実施したら良いかわからない」という方は、下記の診断を実施してみることをお勧めします。
他社と比較すると価格も抑えられ、しっかりと手動でのセキュリティチェックを行ってくれるサービスですので、一度実施しておけば専門家の意見も聞けて安心です。

アルファネットのセキュリティ診断サービス

2018.5.15

アルファネットのセキュリティ診断が 選ばれる3つの理由 安心

まとめ

情報システムの脆弱性を狙う攻撃者は、常に攻撃対象となる欠陥を探しています。脆弱性が一切存在しない情報システムをリリースすることは、現状ではほぼ不可能です。そのため情報システムを運用するにあたり、脆弱性の発覚と対策の連鎖は終わることはがありません。

セキュリティ対策は確かにコストとなりますが、情報システムにおける付加価値として真摯に取り組むことで、大きな損害を予防するための活動につながります。

脆弱性情報を日々確認し適切なセキュリティ対策を施していくことが、情報システムを運用する上で重要な活動であるといえるでしょう。