CISAの既知悪用脆弱性（KEV）カタログ更新：攻撃利用状況に基づくリスク評価と優先度付けの確認

解説

これまで、セキュリティ脆弱性は単なる情報として扱われがちですが、「実際に攻撃に使われているか」という視点を持つことが重要になっています。米国サイバーセキュリティ機関（CISA）が更新する「既知悪用脆弱性（KEV）」カタログは、この実態を可視化する仕組みの一つです。これは特定の政府部門への指示から始まった動きですが、私たちが取り組むべきセキュリティ対策の指針として、全ての組織にとって参考になる内容となっています。

特に、単にパッチが存在するかどうかだけでなく、「現在、実際に攻撃者に利用されているか」という観点からのリスク評価が求められています。この視点が加わることで、どの脆弱性から手を付けるべきかの優先順位付けが非常に重要になってきます。これは運用フローの改善につながる課題です。

自社の環境では、外部に公開しているシステムや資産について、潜在的な脆弱性を洗い出す作業を継続していく必要があります。また、CISAのような権威機関からのアラートがあった際に、どのシステムのどこが影響を受けるのかを迅速に特定し、対応検討のプロセスを確立しておくことをお勧めしたいところです。

ポイント

• CISAが実際に攻撃に利用されている脆弱性（KEV）を公開し続けることで、全企業に対するリスクベースの対応を促している。
• 特に高リスクで総支配権につながる悪用脆弱性は最優先での修正が強く推奨されている。
• この動きは連邦政府主導だが、セキュリティレベル向上の観点から全ての組織が参考にすべき重要な指針となっている。

情シスへの影響

・パッチ適用とリスク評価の継続的な要求： 既知悪用の脆弱性情報が常に公開されるため、情シスは単なるパッチ管理以上の「攻撃利用状況に基づく優先順位付け」を求められる。

・リスクベースのアセット管理強化： すべてのシステムやサービスについて、「もしこの脆弱性が悪用された場合のリスク度合い」を継続的に評価し続ける必要がある。特に外部に公開されている資産は重点的にチェック対象となる。

・情報収集と対応プロセスの確立： CISAが新たな脆弱性情報を発信した際、どのシステムが影響を受けるのか、そして自社で既に悪用されていないかを確認するプロセスを迅速に回せる体制構築が必要。これは運用フローの課題となる。

影響範囲

【対象範囲】

• 適用対象： 外部に公開されている資産を持つ全てのネットワーク機器、サーバーOS、Webアプリケーション。

• 影響領域： 脆弱性の存在するソフトウェア製品全体（バージョンによる）。

• 管理行為： 脆弱性診断、パッチ管理、システム設計レビューの優先順位付け。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者

優先度

早めに対応

優先度の理由

悪用が確認された脆弱性情報は最も緊急度が高いため、新たな情報が出た際には即座の対応検討が必要となる。全社的なリスク評価とパッチ適用計画を見直し、優先順位を明確にすることが必要であるため、「早めに対応」を選択した。ベンダーからの公式アナウンスやCISAのアラートを常に監視し続ける体制構築が最も重要。

確認手順

• 1. CISAのKEVカタログページをブックマークし、新たな脆弱性情報を確認する手順を確立する。
• 1. インベントリ資産（ネットワーク機器、サーバーOSなど）について、外部に公開されているエンドポイントを確認し、CVSSなどのリスク評価を実施する。
• 1. 組織のリスクベースのパッチ管理プロセスを見直し、「悪用が確認された脆弱性」を最上位の対応課題として組み込む。
• 1. 過去に発生した重大なインシデントやアラートログから、類似の攻撃パターンがないか逆引き検証を行う。