west-sec 情シスを悩ます「脆弱性管理」のあるべき姿を考える：脆弱性管理の勘所- 実際に運用を回すための考え方 -

前半：脆弱性管理の勘所 - 実際に運用を回すための考え方 - フューチャー株式会社 Copyright © 2025 by Future Corporation -1-

自己紹介 神戸康多（かんべこうた） フューチャー株式会社 OSS脆弱性スキャナ「Vuls」作者 脆弱性管理クラウド「FutureVuls」の運営 実績 ■ ■ ■ 情報処理学会ソフトウェアジャパン2020 アワード BlackHat Asia Arsenal, HITCONなど海外カンファレンス講演 Google OSS Peer Bonus Winners of 2022 Copyright © 2025 by Future Corporation -2-

前半アジェンダ 1. ランサムウェアと脆弱性管理 2. リスクの考え方 3. CVSSの課題を解決するSSVC Copyright © 2025 by Future Corporation -3-

ランサムウェア発生件数 ランサムウェアの被害件数はグローバル・国内ともに年々増加傾向である。 技術の進展に伴い脆弱な機器がネットワーク接続されるケースの増加といった理由で、 最近はサーバ環境が狙われている 。 出所：株式会社マクニカ セキュリティ研究センター 公開情報から読み解く日系企業のランサム被害傾向 Copyright © 2025 by Future Corporation -4-

• https://security.macnica.co.jp/blog/2024/02/post-4.html

2025年１月ー５月のランサムウェア被害組織の一部（日本） ランサムウェアは、企業規模に関わらず全ての企業が対象となる（中小企業を青） 売上規模 従業員規模 業界 中規模(100-500億) 小規模(<1千人) 製造/建設 小規模(<100億) 中規模(1千-1万人) サービス 中規模(100-500億) 中規模(1千-1万人) 製造 中規模(100-500億) 中規模(1千-1万人) 製造 小規模(<100億) 中規模(1千-1万人) 物流 小規模(<100億) 小規模(<1千人) 不動産 中規模(100-500億) 中規模(1千-1万人) 製造 大規模(>500億) 大規模(>1万人) 製造 大規模(>500億) 大規模(>1万人) 製造 小規模(<100億) 小規模(<1千人) 製造 大規模(>500億) 大規模(>1万人) 製造 中規模(100-500億) 大規模(>1万人) 製造 小規模(<100億) 中規模(1千-1万人) 製造 小規模(<100億) 小規模(<1千人) サービス 小規模(<100億) 中規模(1千-1万人) IT・通信 出所：2025/1/1-2025/5/13時点の日本のランサムウェア被害 Stealthmoleより Copyright © 2025 by Future Corporation -5-

ランサムウェア被害額のリアル — 数億円規模の“見えざるコスト” 支払う／支払わないに関わらず、身代金はコスト全体のほんの一角。復旧・減収・信頼失墜など水面 下の損失が数倍〜数十倍に膨らむ 場合がある。 事例／業種・規模 公表された直接費 推定・報道されるその他損失 ダウンタイム（日数） 身代金支払 出典 徳島県 つるぎ町立半田病院（医 電子カルテ再構築・調 減収額非公表 療・120床） 査費 計7,000万円 （診療停止2か月） 診療65日制限／全面復旧2か月 病院側は不 有識者会議調査報告書 払い 大阪急性期・総合医療センター （医療・2,200端末） 調査・復旧費 「数億円以上」 主要43日／全面73日 不払い 調査報告書概要 名古屋港 NUTS （港湾インフラ） 公表なし（直接費不明） 港湾搬入出停止による経済損失未 約3日 公表 不払い 国交省インシデント資料 奈良県 宇陀市立病院 （医療・176床） 監査法人1,200万円＋ 減収・内部工数等は未公表 調査分析2,600万円＝ 計3,800万円 実質2日で診療再開（完全復元5か 不払い 月） 令和元年度 ICT監査結 果報告書 KADOKAWA 特別損失24〜36億円 主要サービス停止： 約 3.5〜4.5 か月 朝日新聞記事 逸失利益「十数億円以上」 売上減・ブランド毀損等は非公表 非公表 対策を先送りすると安く済むように見えて、事業中断で実は後でより大きな損失になる。 しかも被害はIT部門だけでなく会社全体に Copyright © 2025 by Future Corporation -6-

• https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf
• https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf
• https://www.nisc.go.jp/pdf/policy/infra/shiryo2.pdf
• https://www.city.uda.nara.jp/uploaded/attachment/2188.pdf
• https://www.asahi.com/articles/ASSC73Q13SC7ULFA01HM.html

ランサムウェアの侵入経路（国外・国内） 侵入経路は、脆弱性の悪用が一番多い - グローバルでは、脆弱性の悪用が「36%」 国内は「63%」がVPN機器からの侵入（脆弱性の悪用＋弱い認証） <グローバル> 出所：SOPHOS ランサムウェアの現状2023 年版 <国内> 出所：警察庁令和５年における サイバー空間をめぐる脅威の情勢等について Copyright © 2025 by Future Corporation -7-

• https://www.npa.go.jp/publications/statistics/cybersecurity/data/R5/R05_cyber_jousei.pdf
• https://www.sophos.com/ja-jp/content/state-of-ransomware

ランサムウェア攻撃の各段階と脆弱性の悪用 フィッシング、パスワード推測、脆弱性の悪用、Eメール等で侵入する。 その後、C2への接続、管理者権限への昇格や横方向への移動を行う。 最後に機密データの抽出、バックアップの破壊、暗号化し身代金を要求する。 <初期侵入> <内部活動> 29% 有効な 認証情報 パスワード推測 データ 抽出 インターネット露 出サービス 36% 横移動 コマンド& コントロール 脆弱性の悪用 権限昇格 18% Ｅメール 添付ファイル 侵入の 割合 <ターゲットの暗号化> 13% フィッシング 凡例 マルウェア バックアップの 破壊 データ 暗号化 初期侵入だけでなく、横移動・権限昇格などでも脆弱性は悪用される Copyright © 2025 by Future Corporation -8-

ランサムウェアグループが悪用する既知の脆弱性とは ゼロデイ攻撃をド派手にしかけてくる印象があるが、既知の古い脆弱性が狙われるケースも多い。ラン サムウェアで悪用されている脆弱性の「48.5 ％」 が2022年以前 のCVEとなっている（2024/11/11時点 全66件) ランサムウェアで利用 古い脆弱性の攻撃が多い 2023年には、ゼロデイ攻撃が大幅に減少し、攻 撃者はより古い脆弱性や既存の認証情報を 悪用する傾向 が強まっている。 出所: IBM X-Force脅威インテリジェンス・インデックス2024 ShadowServer: Top100をRansomeware=knownでフィルタ リスクには有効期限が無く、古い脆弱性をそのままにしている場合は餌食となる。 Copyright © 2025 by Future Corporation -9-

• https://www.ibm.com/jp-ja/reports/threat-intelligence
• https://dashboard.shadowserver.org/statistics/honeypot/vulnerability/monitoring/?category=monitoring&amp;statistic=unique_ips&amp;limit=100&amp;known_ransomware_campaign_use=Known

ランサムグループが利用する既知の脆弱性 CISAのサイトを「#stopransomware」で検索し、ランサムグループの詳細情報を見ると 古くてインパクトが大きい脆弱性が継続的に使われていることがわかる。 古い脆弱性も使われている グループ名 LockBit Black Basta 段階 初期侵入 CVE-ID 概要 CVE-2021-44228 Log4Shell CVE-2021-26855 ProxyLogon 初期侵入 CVE-2024-1709 Citrix 横移動・権限昇格 CVE-2020-1472 ZeroLogon CVE-2021-34527 PrintNightmare 出所：CISAのサイトを 「#stopransomware」で検索 CISA-KEVの「1,207件中239件 （19.8 %)」がランサムウェアキャンペーンで悪用(2024/11時点) Copyright © 2025 by Future Corporation - 10 -

• https://www.cisa.gov/search?g=stopransomeware#gsc.tab=0&amp;gsc.q=#stopransomware&amp;gsc.sort=

ランサムウェア対策において脆弱性管理は必須である ランサムウェア対策の要は「脆弱性管理」と「迅速なパッチ適用」 - CISA #StopRansomware の各ランサムグループ解説ページは、まず「脆弱性管理とパッチ適用の 徹底」とどのページにも記載している。 CISA 2023 Top Routinely Exploited Vulnerabilities は、「攻撃者は 公開から 2 年以内 の脆弱性 を最も頻繁に悪用している」と警告。脆弱性を放置することが最大のリスクとなる。 出所：CISAのサイトを 「#stopransomware」で検索 CISA 2023 Top Routinely Exploited Vulnerabilities Copyright © 2025 by Future Corporation - 11 -

• https://www.cisa.gov/search?g=stopransomeware#gsc.tab=0&amp;gsc.q=#stopransomware&amp;gsc.sort=
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-317a

組織の脆弱性対応力は10% 攻撃者が最初に使用する攻撃経路の32%は既知の脆弱性の悪用であるが、米国の平均的な 組織は脆弱性の10%しかパッチを当てられない 。脆弱性は時間とともに溜まり増え続ける。 <月ごとのOpen/Closeできた脆弱性数の分布（100組織を調査）> 場合 た き 応で e) 対 os 数に n=Cl 性 e p 脆弱 (O の て 数 性 すべ 弱 た脆 き で 応 に対 際 実 出所：Cyentia Institute The Hidden Complexity of Vulnerability Remediation: Bridging the Gap between Data and Common Advice Copyright © 2025 by Future Corporation - 12 -

基本：CVSSスコアと課題 CVSS基本値は脆弱性の深刻度を「0-10」で計算した値でありよく利用されている。 ただし、スコアの半数が「HIGH」 であり、現実的に対応可能な数まで絞り込めない。 半分以上がHIGH 課 題 半分以上が重要度「 HIGH」 Copyright © 2025 by Future Corporation - 13 -

CVSSスコアと武器化の関係 CVSSスコアが低いものにも攻撃コードがある。 CVSSスコアが高くても武器化されていないものは多数ある。 出所: The Risk Remediation Taxonomy and Decision Tree are part of a conference presentation by Yahoo Chris Madden: https://www.bsidesdub.ie/ May 27 2023. Copyright © 2025 by Future Corporation - 14 -

リスクとは リスクの3要素は「脆弱性」「脅威」「影響」である。 脆弱性 脅威 影響 Copyright © 2025 by Future Corporation - 15 -

脆弱性と脅威に注目 脆弱性の中でも実際に悪用されているものはリスクが高い。 脆弱性 脅威 影響 どれくらいの脆弱性が悪用されている？ Copyright © 2025 by Future Corporation - 16 -

実際に悪用されている脆弱性 「5%」未満 ＜攻撃に利用される脆弱性＞ ＜BOD 22-01: 既知の脆弱性の重大なリスクの軽減＞ 2.24% 約4,615件 公開されている CVE の総数のうち 4% 未満しか悪用されていません。 出所: Qualys Part 1: An In-Depth Look at the Latest Vulnerability Threat Landscape 実際に悪用されている 5%の脆弱性に注目して絞り込むのが良さそう Copyright © 2025 by Future Corporation - 17 -

リスクを考慮した脆弱性管理とは リスクの3要素は「脆弱性」「脅威」「影響」である。重大な脆弱性、かつ実際に悪用されている、かつ自 社ビジネスに影響の大きいものから優先的に対応していくのが理想。 脆弱性 脅威 影響 リスクが高い、赤い部分を特定する良い方法（フレームワーク）はある？ Copyright © 2025 by Future Corporation - 18 -

SSVC - Stakeholder-Specific Vulnerability Categorization CVSS だけでは見極められない“実際に攻撃を受ける可能性” と“自社業務への影響” を 掛け合わせてリスク基準で4段階に優先度を分類するフレームワーク。 米国 CISA と CERT/CC が共同策定した。 〈 SSVC 〉 最新の脆弱性・脅威の情報、システム固有の情報 SSVC 決定木 対応レベルを導出 immediate 脅威 攻撃コードの公開有無と悪用レベル × 可能な限り迅速に対応 自 動 自動化可能性 攻撃者にとっての有用性（自動化） out-of-cycle 通常よりも迅速に対応 × 業務影響度 攻撃された際の業務影響度 × 環境 手 動 scheduled 定期メンテナンス時に対応 システムのインターネット露出度 defer 現時点では対応しない Copyright © 2025 by Future Corporation - 19 -

SSVC の詳細 リスクの3要素をカバーしており、リスクを総合的に判断可能。 対応する リスク要素 FutureVuls での判断 Exploitation 攻撃に使われてい る？ 脅威 自動 no poc active poc未公開 Exploit-DB やMetasploit 等にpocが公開されている CISA-KEV, Vulncheck-KEV , Vulnrichment , ベンダ情報 Exposure インターネットに露出 している？ - 手動 small controlled open インターネットから隔離された環境 インターネット非公開の社内システムなど インターネットから到達できる Automatable 自動化可能な脆弱 性？ 脆弱性 自動 no yes キルチェーンの1-4が自動化可能かどうか（RCEはyes)。 Vulnrichment にも情報あり。 影響 手動 low medium high very high ビジネス活動に特に影響低 影響は限定的な場合 ある一つ・少数の基幹業務に影響あり 会社全体のビジネス活動に影響あり Decision Point Human Impac t ビジネスへの影響 は？ 値 判断基準・情報ソース Copyright © 2025 by Future Corporation - 20 -

• https://certcc.github.io/SSVC/reference/decision_points/exploitation/
• https://www.exploit-db.com/
• https://github.com/rapid7/metasploit-framework
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://vulncheck.com/kev
• https://github.com/cisagov/vulnrichment
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36563
• https://certcc.github.io/SSVC/reference/decision_points/system_exposure/
• https://certcc.github.io/SSVC/reference/decision_points/automatable/
• https://certcc.github.io/SSVC/reference/decision_points/human_impact/

デモ SSVCの決定木のデモサイト上で人気の脆弱性の優先順位付けを試してみる。 https://certcc.github.io/SSVC/ssvc-calc/ CVE 資産 製品 サーバ OpenSSH Vulnrichment: Exploitation: poc, Automatable: no CVE-2023-27997 NW機器 Fortigate CISA-KEV: 掲載されているのでExploitationはActive Automatable: - yesだろう（AV:N, AC:L, PR:N) - IP, Portでチェックできるtool CVE-2021-44228 (Log4Shell) ライブラリ Log4j CISA-KEV: 掲載されているのでExploitationはActive Automatable: yes CVE-2024-6387 (regreSSHion) 判断基準・情報ソース Copyright © 2025 by Future Corporation - 21 -

• https://certcc.github.io/SSVC/ssvc-calc/
• https://nvd.nist.gov/vuln/detail/CVE-2024-6387
• https://github.com/cisagov/vulnrichment/blob/6de78ce73bbb0a6b9b033ac95a0fa38353fc61ef/2024/6xxx/CVE-2024-6387.json#L16
• https://nvd.nist.gov/vuln/detail/CVE-2023-27997
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2023-27997&amp;field_date_added_wrapper=all&amp;sort_by=field_date_added&amp;items_per_page=20&amp;url=
• https://github.com/BishopFox/CVE-2023-27997-check
• https://nvd.nist.gov/vuln/detail/CVE-2021-44228
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2021-44228

SSVC の実験結果 ５つの環境を想定して「4,716件」の脆弱性SSVCで優先順位付けした。 immediate と out-of-cycle を見ると、現実的に対応できる数に絞り込めている。 immediate out-of-cycle immediate/out-of -cycleの割合 インターネット公開の「超」重要システム 16 2100 44.8% 2600 0 インターネット公開の重要システム 16 50 1.4% 4650 0 社内NWの基幹システム（販売管理など） 0 16 0.33% 4700 0 業務影響が小さい社内システム (勤怠管理など ) 0 0 0% 4716 0 閉域網の「超」重要な基幹系システム 0 16 0.33% 4700 0 scheduled defer 同じ脆弱性でも「インターネット露出度」「業務影響」に応じて異なる優先度に分類される Copyright © 2025 by Future Corporation - 22 -

前半まとめ 1. 脆弱性悪用が最大の侵入口 ランサムウェア侵入経路の一位は脆弱性悪用によるもの。組織規模を問わず標的になる 2. CVSS スコアだけでは危険度を絞り込めない 公開 CVE の半数以上が “HIGH” だが、実際に攻撃に使われるのは 2–5 % のみ 3. “リスク = 脆弱性 × 脅威 × 影響” の視点で SSVC を活用 SSVC なら PoC／攻撃活性度・インターネット公開度・業務影響を基に immediate / out-of-cycle など 4 段階で現実的な件数に優先度付けが可能 Copyright © 2025 by Future Corporation - 23 -