CISAが既知の悪用脆弱性（KEV）カタログに追加した情報と、自社資産のリスクベースでの対応検討

解説

近年、攻撃の高度化に伴い、サイバーセキュリティのリスク管理がますます重要になっています。特に「すでに攻撃に使われている」ことが公的に確認された脆弱性に関する情報は、情シス部門にとって無視できないテーマです。

CISAは、実際に悪用されている証拠に基づき、既知の悪用脆弱性（KEV）カタログに新たな情報を追加しています。これは単なる技術的な情報提供にとどまらず、企業全体に対して高リスクな脅威への迅速な対応を強く促すメッセージとなっています。

自社環境においては、「潜在的なリスク」として扱うのではなく、「現在攻撃を受けている可能性が高いリスク」として扱い、対策の優先順位を見直すきっかけになります。

ポイント

• CISAが新たな悪用事例に基づき、既知の悪用脆弱性（KEV）カタログに複数の脆弱性を追加しました。
• この動向は、連邦政府機関に対して高リスクな脆弱性の迅速な修正を義務付けるなど、セキュリティ要件の高度化を示しています。
• 企業全般に対し、実際に攻撃に使われているかどうかという観点から優先度の高いリスクベースでの脆弱性管理が強く推奨されています。手動による調査と緊急対応の体制構築が重要です。

情シスへの影響

【vulnerability管理】【セキュリティ対策】

CISAなどの情報源によって公に「悪用されている」ことが確認された脆弱性（KEV）は、単なるCVE番号を持つ潜在的なリスク以上の意味を持ちます。

これらのカタログ化された脆弱性は、特定の攻撃者がすでにエクスプロイトを開発し、実際に標的にしたシステムに対して実行している可能性が極めて高いことを示します。そのため、管理者は通常の手順によるパッチ適用計画とは別に、「悪用されている」というステータスに基づく緊急度の判断基準を持つ必要があります。

影響範囲の確認としては、自社資産や利用しているクラウド環境などが、過去にこの脆弱性の対象となり得るかどうか、特にリモートからのアクセスが可能な公開アセットが含まれているかどうかの洗い出しが必要です。

影響範囲

ネットワーク全体（インターネットに面するアセット）、サーバーOSおよびミドルウェア、Webアプリケーション、パッチ管理システム（資産検出・脆弱性スキャン）。影響を受ける具体的な製品やバージョンは要確認。広範囲かつ緊急性の高い対応領域。,

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• システム管理者

優先度

早めに対応

優先度の理由

KEVカタログへの追加は、その脆弱性がすでに実環境で攻撃されている証拠があることを示唆しており、放置した場合のリスクが極めて高いからです。緊急のパッチ適用や設定変更が必要な場合は「今すぐ対応」に近づきますが、情報収集・リスクアセスメントの時間が必要なため「早めに対応」とします。

確認手順

• CISAなどの公的機関から最新のKEVカタログの内容を定期的にモニタリングする仕組みを構築する。
• 保有資産や利用している製品リストに基づき、現在公開されている脆弱性情報（CVE）のうち、KEVに記載されているものを特定し洗い出す。
• 特定の脆弱性が発見された際、影響を受ける具体的なシステム構成（OS、ミドルウェアのバージョンなど）と接続性を確認する。
• パッチ適用や設定変更を行う前に、当該対応が業務運用に与える影響を評価し、緩和策を検討する。