脆弱性管理のススメ（1）

突然ですが問題です。
脆弱性って、1年間でいくつぐらい見つかるものでしょうか？
下にグラフを載せていますが、数年前までは年間数千件程度で増減しながら緩やかに増えていましたが、2017年に1万件を突破、以後どんどん増えて昨年2020年は18,352件も見つかっています。

脆弱性を管理する組織や機関は世界各国に存在しますが、ここではアメリカのNIST（National Institute of Standards and Technology／国立標準技術研究所）が管理している「NVD」（National Vulnerability Database／脆弱性データベース、https://nvd.nist.gov）から、脆弱性情報としてリリースされた件数をグラフにしています。

NVDの場合、脆弱性情報が発見されると「CVE」（Common Vulnerabilities and Exposures、共通脆弱性識別子）という一意の番号が振られ、併せて「CVSS」（Common Vulnerability Scoring System、共通脆弱性評価システム）という、脆弱性の「重大度」が数値化されたものが公開されます。

さて、上記のグラフ、何だか凸凹していて分かりづらいですが、縦軸を対数にすると、波打ちながらも直線的に右肩上がりになっているように見えます（下図グラフの点線）。

この点線の式を求めると、こんな数式になりました。

Y＝2044.4e^0.1077x
※X…2001年からの経過年数
　Y…その年の1年間に見つかる脆弱性件数
　e…自然対数の底(2.718281828…)

この式が正しければ、1年間に見つかる脆弱性の数が2026年には3万件を突破し、2038年には10万件を超える、なんていう暗黒の未来が待っている…のかもしれません。

一般的に、脆弱性管理が業務として行われている場合、「CVSS7.0以上の脆弱性が発見されたら対処する」のような社内ルールで運用される場合もあるかもしれません。しかし、発見された脆弱性の中でCVSS7.0以上のものの割合は、実は約50～60%ほどもあるのです。
年間数千件…という数字は、人手で対処するには多すぎますよね。

なぜ、CVSS値の高い脆弱性だけが、攻撃に利用されているわけではないのでしょうか。
攻撃者にとって重要なのは、その脆弱性が「重大かどうか」ではなく「利用しやすいかどうか」だからです。攻撃者は、1つの脆弱性を攻撃すればそれで完了というわけではありません。ターゲットのPCをマルウェアに感染させ操ったり、社内LANに侵入したり、ドメインのAdministrator権限を奪ったり…。脆弱性の攻撃は、単にサイバー攻撃の始まりであり、「足がかり」ができさえすればそれで良いからなのですね。

では、CVSS値は意味のない数字なのでしょうか？脆弱性管理には役に立たないのでしょうか？

いえ、決してそんなことはありません。例えば最近見つかった以下の脆弱性、個別にどんな脆弱性かを調べ、重大度を判断して…ということをするのはもちろん有意義なことで、CVSS値は多いに参考になる指標です。

ただし…、これらの脆弱性がこの先どんな攻撃に悪用されるのか、あるいはされないのか？については、残念ながら、攻撃者でないと、知りようがないことなのです。