脆弱性管理は「資産管理」で決まる時代へ～フロンティアAI時代の脆弱性管理（2）

フロンティアAI時代には、「侵入され得ることを前提とした多層防御」「早期検知」「脆弱性管理の徹底」を、AI時代のスピードに合わせて高度化することが不可欠です。本連載では、その中でも特に重要な「脆弱性管理」に焦点を当て、組織のセキュリティ推進部門や担当者が押さえるべき5つのポイントを解説します。

連載第1回では、フロンティアAIの進展により脆弱性管理を取り巻く環境が変化していること、そして今後重要となる「5つのポイント」の全体像を整理しました。今回は、その第一歩となる「資産の把握・管理」を取り上げ、なぜAI時代の脆弱性対策の出発点となるのかを解説します。

資産管理における現状と新たな課題

従来の資産管理は、サーバやネットワーク機器などのインフラ資産を中心に、組織内に存在する資産を把握し、適切な運用やリスク管理につなげるために実施されてきました。しかし近年は、クラウドサービスやSaaSの普及により管理対象が増加・多様化しており、台帳管理だけでは実態との乖離が生じやすくなっています。

また、フロンティアAIの活用によって脆弱性調査や分析の効率化が進み、従来よりも短期間で脆弱性が発見される可能性があります。資産台帳の情報が古い状況、また、そもそも管理している資産に漏れがある状態では、適切な判断が難しくなると考えられます。そのため、いつでも脆弱性の影響範囲を確認できるよう、資産情報やソフトウェア構成を継続的に把握し、最新状態を維持できるフローや体制が求められます。

課題① 資産情報の不足により影響範囲の特定が困難

近年はクラウドサービスやSaaSの利用拡大に加え、コンテナ技術等の普及により、組織が管理すべきIT資産は多様化しています。また、ライブラリにおいて脆弱性が見つかるケースもあり、ソフトウェアについても、利用製品だけでなくOSS（オープンソースソフトウェア）やライブラリなどの構成要素、さらには依存関係まで把握する必要性が高まっています。

しかし実際には、そもそも資産管理自体ができていないケースや、利用ソフトウェアやそのバージョン、依存関係、管理責任者まで十分に管理できていないケースは少なくありません。特にソフトウェアに内包されたOSSやライブラリは資産台帳の管理対象から漏れやすく、脆弱性が公表された際に影響有無の判断に時間を要することがあります。さらに、クラウド環境ではサービスアカウントやAPIキーなどの認証情報も増加しています。これらは人に直接紐付かないケースも多く、管理責任者や利用実態が不明確になりやすい傾向があります。

特権IDについても、共有利用や管理情報の分散により、どの資産やシステムで利用されているのか、誰が管理責任を持つのかといった関係性を十分に把握できていないケースがあります。NIST SP 1800-18では、特権アクセス管理（PAM）はアイデンティティ・アクセス管理（IdAM）の一領域として位置付けられており、特権アカウントについてもライフサイクル管理、認証、認可、監査を含めて管理することの重要性が示されています。このことは、特権IDを単独で管理するのではなく、利用者や資産、ソフトウェアとの関連性を含めて継続的に管理する必要があることを示しています。

また、これからはShadow AIと呼ばれる、組織の管理外で利用されるAIツールがないかも確認が必要です。Cobalt社のレポートによると、AI関連インシデントの原因・要因として「Shadow AI（未承認のAI利用）」が44%で一番多いと調査結果が掲載されており、AIの利用が広がるにつれてリスクが高まることが想定されます。

資産情報が不足していると新たな脆弱性が公表された際に、どの資産やソフトウェアが影響を受けるのか、誰が対応すべきなのかを迅速に特定できず、影響調査や対応判断に時間を要する可能性があります。

課題② 最新の資産情報を維持できず影響判断が遅延

資産情報を管理していても、その情報が最新の状態に保たれていなければ、脆弱性対応に十分活用することはできません。多くの組織では、半年や1年単位の棚卸しによって資産情報を更新していますが、その間にも新たなシステムの公開やクラウド環境の変更、ソフトウェアやライブラリのバージョン更新などが継続的に発生しています。

また、資産情報には資産そのものだけでなく、ソフトウェアの構成情報や管理責任者、権限情報なども含まれます。これらの情報は、システム変更やソフトウェア更新、人事異動や運用変更などに伴って変化するため、脆弱性対応に必要な情報を常に最新の状態で維持することは容易ではありません。

最新の資産情報を把握していないと、資産台帳と実際の環境に乖離が生じ、脆弱性情報が公開された際に古い情報をもとに調査を行うことになります。影響を受ける資産の見落としや影響範囲の確認に時間を要し、対応判断の遅れにつながる可能性があります。

解決に向けたアプローチ

こうした課題に対しては、資産管理の考え方と運用を見直す必要があります。

解決策① 資産情報を継続的かつ詳細に把握する

資産情報の不足に対しては、資産の種類ごとに適した仕組みを用いて情報を収集し、それらを関連付けて管理することが重要です。

代表的な資産と、把握に利用するツールを以下に記載します。

1. 外部公開資産の検出

外部公開されている自社のIT資産（ドメインやIPアドレスなど）を自動的に検出・可視化するAttack Surface Management（ASM）ツールを利用することで、インターネットから到達可能な資産を継続的に検出できます。組織で管理ができていない資産（Shadow IT）も把握できるメリットがあります。

2. サーバ、PC、ネットワーク機器等

IT資産管理ツールを導入している機器はその情報を活用すると効率的に取得が行えます。IT資産管理ツールを導入できない機器が存在している場合や、そもそもIT資産管理ツールを組織で利用していない場合は、脆弱性スキャナを用いてネットワークレンジにスキャンを行うことも有効です。これにより、把握できていない資産の検出や、それらにおけるOS・ソフトウェアといった構成情報をスキャン結果として取得できます。なお、スキャン方法によってはOSやソフトウェア情報がスキャナの推測情報となる場合や、詳細な情報までは取得が行えない場合があるため、正確な情報を確認する際はログイン等による調査が必要です。

3. ソフトウェア構成情報

ソフトウェアに含まれるOSSやライブラリを分析し、脆弱性や構成を把握するSCAや、ソフトウェアの構成要素や依存関係を一覧化するSBOMは、アプリケーションに含まれるライブラリやコンポーネント、その依存関係まで可視化することに役立ちます。開発や運用サイクルの中で実施するルールを立て付けることで、構成変更があった場合も変更内容を把握しやすくなります。

4. APIキーやサービスアカウント、特権ID等

Microsoftが提供するクラウドベースのアイデンティティおよびアクセス管理基盤である「Entra ID」や、ユーザーやサービスアカウントのアイデンティティ情報、認証、アクセス権限を管理するIAM、特権IDの利用状況や権限、認証情報を管理・監査するPAM製品などに分散する情報を関連付けて可視化します。これらの認証情報は人に直接紐付かないことも多く、管理責任者や利用用途が不明確になりやすい傾向があります。そのため、利用者や資産、システムとの関係性を含めて継続的に管理することが重要です。

5. クラウド資産

クラウド環境の設定やリスクを可視化・管理するCSPMや、AWSのリソース構成や変更履歴を記録・可視化するAWS Config等のベンダーツールを用いることで、EC2やS3などのクラウドリソースを網羅的に把握します。クラウド環境ではリソースの追加や削除、設定変更が頻繁に行われるため、手作業で最新状態を把握し続けることは容易ではありません。これらのツールを活用することで、クラウド上に存在する資産を継続的に収集し、管理対象から漏れているリソースの発見にも役立てることができます。

解決策② 最新情報を素早く参照できる仕組みづくり

収集した資産情報を迅速に活用するためには、必要な情報を必要なときに素早く参照できる状態を維持することが重要です。資産情報や構成情報、管理責任者情報、権限情報などは日々変化するため、解決策①で記載した各種ツールを活用した継続的な情報収集・更新に加え、それらの情報を効率的に参照・活用できる仕組みが求められます。

そのためには、ASMやIT資産管理ツール、CSPM、SBOM、IAM、PAMなどから取得した情報をCMDB等へ集約し、資産・ソフトウェア・管理責任者・権限情報の関係性を関連付けて一元的に把握できる状態を整備することが望ましいです。情報が各ツールに分散したままでは、脆弱性情報が公開された際に複数のツールを個別に確認する必要がありますが、一元管理により、新たな脆弱性が公表された際にも、影響を受ける資産やソフトウェア、対応すべき担当者を迅速に特定できるようになります。

一方で、こうした仕組みを組織内のすべての資産に対して一度に整備することは、多くの人的・技術的コストが必要となります。そのため、まずは重要システムや外部公開システムなど影響度の高い領域から優先的に整備することも1つの手段です。なお、攻撃者は侵害した端末を足掛かりとして権限昇格や横展開を行うことが多く、重要システム以外が侵入口になるケースも考えられます。そのため、対象範囲は段階的に拡大し、最終的には組織全体の資産情報を把握・管理できる状態を目指すことが求められます。

さいごに

フロンティアAI時代の脆弱性管理では、脆弱性の発見や分析のスピードが向上すると推察される一方で、その影響を迅速に判断し対応することがこれまで以上に重要になります。そのためには、組織内の資産情報を継続的に把握するだけでなく、必要な情報へすぐにアクセスし、判断や対策に生かせる状態を整えておくことが重要です。

まずは重要システムや外部公開システムから着手し、段階的に対象範囲を広げながら、組織全体の資産を一元的に管理できる体制を構築していくことが重要です。今後、防御側のAI活用が進むほど、正確な資産情報の重要性はさらに高まります。まずは資産管理という基本を着実に実践し、継続的に維持していくことが、組織のセキュリティの向上につながるでしょう。

次回の第3回では、把握した資産や脆弱性情報を踏まえて何を優先的に対応すべきかという「優先順位付けの高度化」について整理をしていきます。「今回取り上げられたツールや運用方法について詳細を知りたい！」といったご相談がありましたら、ぜひお気軽にお問い合わせください。

プロフィール