CISAが既知のエクスプロイト脆弱性カタログ（KEV）に追加した4つの情報と、自社の脆弱性管理におけるリスクベースの対応検討

解説

サイバーセキュリティを管轄するCISAが、実際に攻撃に利用されていることが確認された脆弱性情報について、カタログ（KEV）に追加しました。この動きは、連邦政府など公共機関における高リスクな脆弱性への対応のあり方を変えるきっかけとなっています。

これを受けて、企業全体においても、単なる深刻度スコアに基づいて対策を計画するのではなく、「今、実際に狙われているか」という視点によるリスクベースの管理が重要になっています。特にインターネットに公開している資産を持つ環境は影響範囲が広いため、早めの確認が必要です。

自社では、脆弱性の対応フローを見直す絶好の機会です。パッチ適用だけではなく、「過去に攻撃を受けなかったか」という侵害有無の検証プロセスを組み込むなど、より多角的な観点からのチェック体制を検討しておきたいところです。

ポイント

• CISAが、実際に攻撃に使われたことが確認された新たな脆弱性をKEVカタログに追加した。
• これは、連邦政府レベルで高リスクな脆弱性への迅速な修正を義務化・推奨する動きの一環である。
• 民間企業もこの動向を踏まえ、単なるCVSSスコア頼みではなく、悪用されているかどうかに基づく対策優先順位付けが求められている。

情シスへの影響

【脆弱性管理の優先度】

高リスクな脆弱性を発見した場合、CVSSなどの点数だけでなく、実際に攻撃者に利用されているか（KEVカタログに載るレベル）を最優先の判断基準とすべきです。特に公開されているアセット上の深刻な脆弱性は、即座に対応計画を立てることが重要になります。

【インシデント対応と検証】

単なるパッチ適用で終わらせず、システムが過去に攻撃を受けていないか（侵害の有無）を確認するプロセスを組み込むことが求められます。これは、広範囲なログ調査やシステムの健全性チェックの強化が必要になることを意味します。

【管理体制の見直し】

脆弱性の検出からパッチ適用に至るまでの一連のワークフローを見直し、「リスクベース」の視点を組み込む必要があります。経営層や事業部門のリスク評価と連携した、具体的な対応計画（資源配分、工数見積もりなど）が不可欠になります。

影響範囲

影響を受けるのは全てのシステム資産およびソフトウェアです。

特に、インターネットに公開されているアセットを所有・運用する環境全般。管理対象のOS、ミドルウェア、アプリケーションのバージョン管理全体。【対応領域】脆弱性診断、パッチ管理（Vulnerability Management）、インシデントレスポンスプロセス全般。

重要度

★★★★☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• システム管理者

優先度

早めに対応

優先度の理由

KEVカタログの追加は、悪用が確認されている脆弱性に関する情報であり、リスクが高いと判断できます。したがって、最優先でチェックすべきリストとして位置づけ、「今すぐ対応」には至らないものの、他の計画的な更新よりも優先度が高く、「早めに対応」して対策を検討するのが適切です。

確認手順

• 自社の資産の中で、インターネットに公開されているアセット（IPアドレス/FQDN）のリストを洗い出す。
• CVE IDを確認し、最新バージョンの脆弱性情報をCISA KEV Catalogおよびベンダーから取得する。
• 既知のエクスプロイト脆弱性のパターンに基づいて、関連ログや設定ファイルについて異常なアクセスがないかを緊急チェックする。
• 対象システムに対し、セキュリティパッチの適用可能性と影響範囲を特定し、テスト環境での検証計画を立てる。
• 管理している全てのシステム資産（OS、ミドルウェアなど）の最終更新日およびパッチ適用履歴をレビューする。