JVNTA#99041988
標的型攻撃に使用されるリスクの高い脆弱性 Top 30

重要インフラ事業者に対する標的型攻撃において、既知の脆弱性の対策を行っていないソフトウェアを狙う事例が継続的に観測されています。Top 4 Mitigation Strategies to Protect Your ICT System によると、標的型攻撃の 85% は、適切に修正対応を行っていれば防ぐことができるとのことです。
本アドバイザリでは予防と対策の促進を目的として、これらの攻撃で多く使われている 30 の脆弱性について紹介します。
これは Canadian Cyber Incident Response Centre (CCIRC) による検証をもとに、カナダ、ニュージーランド、UK およびオーストラリアの Cyber Security Centre が協力して作成したものです。

• Microsoft、Oracle、Adobe 製品や OpenSSL を組み込んだソフトウェア

既知の脆弱性を対策せずに放置していると、攻撃に悪用される可能性があります。攻撃事例の分析から、狙われやすい脆弱性がいくつかあることが判明しています。

• 機微な情報や重要な情報の、一時的または恒久的な喪失
• 通常業務の停止
• システムやファイルの復旧にかかる金銭的な損失
• 組織の評判に関する潜在的な被害

最新版の環境を維持する
メールの添付ファイルや水飲み場型攻撃、またその他のツールなどによる攻撃は、多くの場合、広く使用されているソフトウェアの既知の脆弱性に対してパッチを適用していない環境を対象としています。ベンダが提供するパッチをきちんと適用することにより、これら既知の脆弱性を修正することができます。

脆弱性に対して適切な対策が取られるよう、パッチ管理プロセスを確立する必要があります。パッチを適用していない期間が長くなればなるほど、未修正の脆弱性を攻撃されうる期間が長くなります。パッチが公開されると、リバースエンジニアリングによって脆弱性を特定され、攻撃コードが作成される可能性があります。攻撃コード作成まで 24時間から 4日程度で完了するという報告もあります。パッチを即時適用することは、脆弱性を悪用する攻撃に対する最も効果的かつ低コストな対策の一つです。

攻撃が観測されている脆弱性に対するパッチの適用
次に挙げるソフトウェア製品の脆弱性に対してパッチが適用されていることを確認してください。