脆弱性スキャンは、アプリケーション内の悪用される可能性のある脆弱性を特定するために設計された自動化されたプロセスです。 新しい脆弱性が発見され、一般に公開されると、これらの脆弱性に対して新しいシグネチャが作成されます。 脆弱性スキャナーは、シグネチャのリストを使用してアプリケーションをテストし、アプリケーションに含まれる可能性のある脆弱性を特定します。
脆弱性評価プロセス
脆弱性は、通常、本番環境にリリースされたアプリケーションで発見され、組織はこれらの脆弱性を管理して悪用から身を守る必要があります。
これを効果的に行うには、組織が次の手順を実行する必要があります。
- スキャン： 脆弱性スキャンにより、組織は修正が必要なアプリケーション内の脆弱性を特定できます。
- 分析する： 分析段階では、 セキュリティ オペレーション センター (SOC) アナリストが調査とトリアージを実行して、特定の脆弱性の重要性、修正に必要なもの、パッチが利用可能かどうか (必要な場合) を判断します。
- 修復/パッチ: 脆弱性が異なれば、必要な修復手順も異なります。 場合によっては、デフォルトまたは脆弱なユーザ名またはパスワードの使用など、設定の問題によって脆弱性が発生する可能性があります。 また、この脆弱性により、コードの設計エラーまたは実装エラーを修正するように設計されたパッチまたは更新プログラムのインストールが必要になる場合もあります。
- 確かめる： 修正またはパッチは、脆弱性を実際に修正した場合にのみ有効です。 修復を試みた後、アプリケーションを再度スキャンして、問題が修正され、他の問題が発生していないことを確認する必要があります。
このプロセスは継続的に適用する必要があります。 新しい脆弱性は毎日発見されるため、脆弱性スキャンプロセスを自動化して、セキュリティチームに通知され、重大な脆弱性をできるだけ早く修正するための措置を講じることをお勧めします。
脆弱性スキャンの種類
脆弱性スキャンは、結果と有効性に影響を与えるいくつかの方法で実行できます。
- 外部と内部: 外部および内部の脆弱性スキャンは、さまざまな攻撃シナリオに対処するように設計されています。 外部スキャンは、外部の攻撃者によって悪用される可能性のある脆弱性を検出するのに役立ち、内部スキャンは内部脅威のシナリオをモデル化します。
- 認証済み vs 非認証: 多くのサイバー攻撃では、ユーザーの資格情報にアクセスすることが攻撃者の主な目的です。 認証スキャンは、ユーザー アカウントにアクセスできる攻撃者がアクセスできる可能性のある脆弱性をテストしますが、非認証スキャンは、このレベルのアクセス権を取得していない攻撃者を模倣します。
考えられる 4 つの組み合わせのそれぞれでさまざまなスキャンを実行することは、すべての潜在的な脆弱性を確実に検出するために良い考えです。 また、脆弱性スキャンによってこれらの脆弱性を特定することで、組織はこれらのセキュリティホールを塞ぎ、サイバーリスクを軽減することができます。
脆弱性スキャンとペネトレーションテスト
脆弱性スキャンとペネトレーションテストはどちらも、組織のセキュリティチームが サイバーセキュリティの弱点を見つけるための方法です。 ただし、これら 2 つの方法は大きく異なります。
脆弱性 スキャン は、既知の脆弱性を自動的に検索するものです。 脆弱性スキャナーにはさまざまな種類があり、既知の脆弱性や一般的なセキュリティエラー(脆弱なパスワードの使用など)のシグネチャを検索することで動作します。 これらのスキャンは、通常、組織のアプリケーションやITインフラストラクチャ内の高レベルの弱点を見つけるように設計されています。
ペネトレーションテストとは、人間のオペレーターまたはチームによる組織のサイバーセキュリティの評価です。これにより、ペネトレーションテスターは特定された脆弱性を実際に悪用し、ターゲットネットワークへの追加アクセスを取得し、ネットワーク内の内部の問題を特定できるため、より詳細な評価が可能になります。 さらに、ペネトレーション テスターは、ソーシャル エンジニアリングやフィッシング攻撃など、脆弱性評価の範囲外の潜在的な 攻撃ベクトルをテストできます。
脅威管理における脆弱性スキャンの役割
サイバー犯罪者 はボットネット を使用して、インターネットに接続されたアプリケーションを継続的にスキャンし、悪用可能な脆弱性を検出します。 また、そのような脆弱性が見つかった場合、自動的に悪用され、機密データが漏洩したり、組織のネットワークへのアクセスを提供したりする可能性があります。
脆弱性スキャンは、あらゆる組織 の脅威管理プログラムに不可欠な要素であり、サイバー犯罪者がスキャンに使用するのと同じツールを多数使用し、攻撃者に悪用される前に脆弱性を特定して修復することができます。 脆弱性管理の詳細と、チェック・ポイントが脅威管理プログラムをどのようにサポートできるかについては、 デモをリクエストしてください。
Feedback