脆弱性とは

詳細な図解

脆弱性を読むときの前提

脆弱性は、攻撃や障害につながり得るソフトウェア、設定、運用上の弱点です。診断、パッチ適用、リスク評価、例外承認で扱います。

実務では、CVE、CVSS、対象バージョン、影響範囲、悪用可能性、公開悪用有無、パッチ、暫定対策、期限、例外承認を確認します。

証跡には、脆弱性ID、対象資産、バージョン、影響、優先度、対応方針、期限、担当者、暫定対策、残リスク、再確認結果を残します。

対象資産と悪用可能性を見る

脆弱性情報が出ても、自組織の資産に該当しなければ対応優先度は変わります。対象製品、バージョン、公開範囲、到達可能性を確認します。

CVSSが高くても、外部から到達できない構成では緊急度が下がる場合があります。一方で、実際に悪用が確認されている場合は優先度を上げます。

• 対象バージョンを確認する。
• 到達可能性を確認する。
• 公開悪用有無を確認する。

パッチと暫定対策を分ける

恒久対策はパッチ適用や設定修正ですが、すぐに適用できない場合は、WAF、通信制限、機能停止、監視強化などの暫定対策を使います。

暫定対策は期限付きで管理します。入れたまま忘れると、残リスクが見えにくくなります。パッチ後は本当に解消したかを確認します。

• 恒久対策と暫定対策を分ける。
• 例外期限を設定する。
• 対応後に再確認する。

例外承認と残リスクを記録する

業務都合でパッチを延期する場合、例外承認、期限、補完策、残リスクを残します。単に後回しにすると、監査や侵害時に説明できません。

影響が大きい脆弱性では、システム所有者、セキュリティ担当、運用担当が同じ状況認識を持つ必要があります。

• 延期理由を記録する。
• 補完策を明記する。
• 承認者と期限を残す。

変更証跡と引き継ぎ

脆弱性管理では、発見、評価、対応、再確認、例外の流れを追跡できることが重要です。資産台帳やパッチ管理と紐付けます。

引き継ぎでは、システム所有者、セキュリティ担当、運用担当、関連語としてCVE、CVSS、パッチ管理、WAFを残すと確認しやすくなります。

• 対応状況を台帳化する。
• 再確認結果を残す。
• 期限超過を通知する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能