脆弱性ハンドリングと
資産管理

前章のようにリスクを正しく把握し、脆弱性に立ち向かうためのフローを「脆弱性ハンドリング」と呼んでいます。脆弱性ハンドリングでは脆弱性に関する情報収集から対応までを行いますが、特に次の3つのポイントを押さえることが肝要です。

それではまず、どのようにシステム中の脆弱性を把握すればよいのでしょうか。もっともシンプルな方法は「実際に攻撃を試してみる」ことです（このような手法を「ペネトレーションテスト」と呼びます）。しかし、日々発見される新しい脆弱性を調べるには攻撃を繰り返さなければなりませんし、そもそもシステムを落としてしまう恐れがあるなど、リスクを伴います。日常的な脆弱性ハンドリングには少しハード過ぎるといえるでしょう。

そこで、資産管理の情報を活用した、もっと低いリスクで脆弱性の有無を確認できる方法をおすすめしています。資産管理の情報は、どのコンピューターにどのソフトウェアがインストールされているかで管理されています。ですから、どのソフトウェアに脆弱性が見つかったのかという情報さえ入手できれば、資産リストを検索することで脆弱性を含んだコンピューターをリストアップすることができるのです。図２

リスク評価から対応

管理している資産の中に脆弱性のあるコンピューターが存在することが判明すれば、次はリスク評価をしなければなりません。脆弱性がどのような影響を与えるのか（例：「機密情報が流出する」「コンピューターがハングアップする」など）を正しく捉えて、どのレベルの脅威であるのかを把握します。また、発見された脆弱性の中からより重要な問題に素早く対応するためにも、対応の順位付け（トリアージ）をすることも重要です。

脆弱性のリスク評価では、脆弱性情報の「CVSSによる深刻度」の情報が役に立ちます。CVSSは脆弱性に関する基本的なリスク評価（図４）で、脆弱性情報データベースに掲載されているCVSSは専門家が検討の上で付加した値です。この指標を参考にすることで基本的なリスクをスコア化して比較することができますし、その脆弱性がどのような特徴を持った脅威であるのかも確認することができます。

図４CVSSによる深刻度の見方

このCVSS基本スコアだけで脆弱性の深刻度をシンプルに比較してしまうのも悪くありません。しかし、加えて自分のシステムの特徴を加味してやることで、よりシャープなリスク評価になります。例えば、「攻撃元区分」が「ネットワーク」の脆弱性の場合、ネットワークに接続されていないコンピューターではこの脆弱性による影響は小さいことがわかります。また、例えば重要な社内システムのような"落ちるととても困るシステム"であれば、「可用性への影響」がある脆弱性には急いで対応したほうがよいかもしれません。このようにシステムの特徴を加味した検討を行えば、より適切な判断を行える可能性を高めることができるでしょう。

最後に、リスク評価で対応が必要だと判断した脆弱性に対して、実際の対策を施していきます。具体的な方法はシステムによってさまざまですが、脆弱性情報の「対策」や「参考情報」などを参照すれば、対策パッチやアップデート、脅威の緩和策といった必要な情報を知ることができます。