脆弱性の評価と対処

検出された脆弱性に、どの順序で対応するかを判断します。全てに同時に対応することはできないため、優先順位を付ける基準が必要です。

CVSSスコアだけで判断しない

深刻度を示すCVSSスコアは重要な指標ですが、これだけで優先順位を決めると判断を誤ります。

スコアは「その脆弱性が悪用された場合の深刻さ」を示すもので、「自社にとってのリスク」ではありません。

状況	CVSSスコア	実際のリスク
サーバー向け機能の脆弱性だが、その機能を無効にしている	高い	低い
インターネットに公開しているサーバーの脆弱性	中程度	高い
既に攻撃が確認されている脆弱性	中程度	非常に高い
検証環境の端末のみに存在	高い	低い

優先順位を決める4つの軸

実務では次の順で判断します。

1. 既に悪用が確認されているか
2. 影響を受けるデバイスの重要度
3. 外部から到達できるか
4. CVSSスコア

1番目が最も重要です。実際に攻撃に使われている脆弱性は、スコアにかかわらず最優先で対応してください。

2番目では、基幹サーバーと検証端末を同じ扱いにしないでください。同じ脆弱性でも、影響の大きさが違います。

個別の脆弱性を調べる

検出された脆弱性を開くと、判断に必要な情報がまとまって表示されます。

確認できる情報は次の通りです。

区分	内容
Risk information	CVSSのスコアと評価ベクトル
Description	脆弱性の内容
Impacted sources	影響を受ける製品とバージョン
References	提供元が公開している情報へのリンク
Patching statuses	対処に必要な更新プログラムと、その承認状況
Total devices impacted	影響を受けるデバイスの一覧

Patching statusesが実務で最も役に立ちます。その脆弱性を解消する更新プログラムの番号が示され、Pending、Approved、Rejected、Failedの件数が並びます。

つまり、その脆弱性が対処済みか、承認待ちで止まっているか、失敗しているかがこの1画面で分かります。「脆弱性は検出しているが、対処する更新が承認されていない」という状態を見つけられます。承認の設定は承認・却下・リング展開・Staggerを参照してください。

Total devices impactedはManagedとUnmanagedに分かれます。Agentが入っていないデバイスは影響の有無を判定できないため、別枠で表示されます。

対処の手段

脆弱性を解消する方法は主に3つです。

手段	内容	適用場面
パッチ適用	更新プログラムを適用する	最も基本。大半はこれで解消
バージョンアップ	該当ソフトウェアを新しい版に置き換える	パッチが提供されない場合
緩和策	該当機能の無効化、アクセス制限	適用できない事情がある場合

パッチ適用が基本です。Patch Managementの運用が確立していれば、多くの脆弱性は定期の適用サイクルで自動的に解消されます。

緩和策の記録

すぐにパッチを適用できない場合、緩和策で一時的にリスクを下げます。

緩和策を実施した場合は、必ず次を記録してください。

1. どの脆弱性に対する措置か
2. どんな緩和策を実施したか
3. いつまでの暫定措置か
4. 恒久対応の予定

【注意】 暫定措置が恒久化するのが、最もよくある失敗です。「あとでパッチを当てる」としたまま忘れられ、緩和策だけが残ります。期限を決めて記録に残し、期限が来たら見直してください。

対応状況の追跡

対応の進捗を追跡します。追跡できる状態にしておかないと、何が残っているか分からなくなります。

状態	意味
未対応	まだ何もしていない
対応中	パッチ適用を計画または実施中
緩和済み	暫定措置を実施した
解消済み	パッチ適用などで根本的に解消した
除外	対応しないと判断した

Custom Fieldsを使えば、デバイス単位で対応状況を保持できます。管理方法はCustom Fieldsの基礎と活用を参照してください。

対応の目標を設定する

「見つけたら対応する」だけでは運用になりません。深刻度ごとに対応期限を決めてください。

深刻度	対応期限の目安
緊急（悪用が確認されている）	24〜72時間以内
高	2週間以内
中	定期の適用サイクル内
低	定期の適用サイクル内

この期限は組織の実情に応じて決めてください。重要なのは、期限を決めて、達成状況を測ることです。

報告への活用

脆弱性の状況は、経営層や顧客への報告材料になります。

報告で伝えるべきなのは件数ではなく、傾向と対応状況です。

悪い報告	いい報告
「脆弱性が1,200件あります」	「先月比で300件減少。緊急対応が必要なものは0件」
「対応中です」	「高深刻度の12件は今週中に解消予定」

数字だけを示しても、状況がいいのか悪いのか伝わりません。推移と、残っているものの性質を説明してください。

レポートの作成方法はレポートの種類と作成を参照してください。