CISAが追加した悪用脆弱性カタログ（KEV）を活用し、組織のパッチ管理とリスクアセスメントを見直すポイント

解説

サイバー攻撃の脅威は高度化し、脆弱性を突く攻撃の手法が増えています。近年、米国サイバーセキュリティ・インフラストラクチャ庁（CISA）は、「Known Exploited Vulnerabilities (KEV) Catalog」というリストを公開しています。これは、現在実際に悪用されていることが確認された脆弱性情報をまとめたものです。

この情報は、単に技術的な情報として留まらず、組織のセキュリティ対策の見直しに直結します。特に連邦政府に対しては、カタログの情報に基づき高リスクな脆弱性の迅速な対応が義務化されています。民間企業もこれを参考にし、より実践的かつリスクベースでの対策を構築することが推奨されています。

この記事では、KEV Catalogという情報から読み取れる最新の脅威動向と、自社環境における具体的な対策上の留意点について解説します。

ポイント

• CISAは、現在実際に悪用されていることが判明した脆弱性について、KEV Catalogに情報を追加し続けています。
• 連邦政府に対してリスクベースの脆弱性管理を義務付けるBOD 26-04が出され、高リスクな脆弱性の迅速な修正が強く求められています。
• 民間企業もこの流れを受け、KEVカタログの情報を活用した、実践的なリスクに基づいた脆弱性対策と体制構築が推奨されます。不審な脆弱性はCISAに報告することが可能です。

情シスへの影響

1. KEV Catalogへの対応の優先度向上

• KEV Catalogに掲載された脆弱性を持つシステムや資産は、最も高いレベルのリスクを抱えていると見なすべきです。

• これらの脆弱性が公開されている資産で「完全なコントロール権」を許容するものは最重要監視対象となります。

• 定期的なパッチ適用に加え、修復作業前後の侵害の有無に関する調査（Compromise Check）が重要になります。

2. リスクベースのアプローチへの移行

• 単に脆弱性スコアの高い順に対応するだけでなく、「実際に悪用されているか」「システムにとって致命的か」という観点から優先度を決定する必要があります。

• 全ての資産・システムの棚卸しを行い、どのレベルのリスクをどこまで許容できるかを組織全体で定義することが求められます。

影響範囲

【適用対象】全ての情報システム資産（サーバ、ネットワーク機器、アプリケーションなど）および関連するクラウドサービス。特にインターネットに公開されているアセットが優先されます。

【影響範囲】脆弱性管理プロセス、パッチ管理サイクル、インシデント対応手順、セキュリティ監査体制全体。

【確認項目】KEV Catalogに含まれるCVE IDに関連する製品・バージョンの棚卸しと、適用される修正プログラムの有無。本記事のみでは判断できず、具体的な資産やログからの継続的な監視が必要です。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者
• Entra管理者

優先度

早めに対応

優先度の理由

KEVカタログの情報は、すでに攻撃者が悪用している痕跡があることを意味するため、他の脆弱性よりも極めて高い緊急度を持つ「即時対応」に近い状況です。全社的なリスク評価とパッチ適用を急ぐ必要がありますが、すべての脆弱性を一度に修正することは現実的ではないため、「早めに対応」として計画を進めるのが適切です。

確認手順

• CISAの公式KEV Catalogを確認し、自社利用資産に関連するCVE IDがないか検索する。
• 既知の脆弱性（特にKEV）を持つシステムについて、現在のパッチ適用状況とベンダーからの回避策情報を確認する。
• 過去にセキュリティインシデントがあったシステム、または公開されているアセット群からログを抽出し、攻撃痕跡（コンプロマイズ）がないか検証を行うための手順書を作成・準備する。
• 高リスクな脆弱性が存在する資産の洗い出しと、一時的なアクセス制限や防御策を検討する。