サイバー脅威インテリジェンスで脆弱性管理を強化する

脆弱性ポリシーは、セキュリティ脆弱性の特定、評価、優先順位付け、および軽減への構造化されたアプローチを提供するため、組織にとって不可欠です。
明確なポリシーがなければ、脆弱性が見過ごされたり、パッチが適用されなかったりして、システムがランサムウェアやデータ侵害などの脅威にさらされたままになる可能性があります。

多くのサイバーセキュリティフレームワークや規制も、効果的な脆弱性管理を要求しています。これには、ISO 27001、PCI-DSS、EUのNIS2指令、デジタル・オペレーショナル・レジリエンス法(DORA)、および米国のHIPAAなどの業界固有の義務が含まれます。コンプライアンスは、脆弱性管理の取り組みの主要な推進力となることがよくあります。

このタスクを支援するために、脆弱性スキャンツールが登場し、セキュリティチームが情報システム全体に存在する脆弱性を明確に把握できるようになりました。しかし、その有効性にもかかわらず、これらのツールはしばしば圧倒的な(これは控えめな表現です)数の脆弱性を明らかにし、最も高いリスクをもたらし、即座のパッチ適用を必要とする脆弱性の優先順位付けを困難にしています。

その結果、組織はセキュリティ更新と業務運用のバランスを取り、中断を避ける必要があるため、タイムリーなパッチの展開は困難となり、時間、スタッフ、予算などのリソースが限られているため、パッチのバックログが発生し、脅威アクターにとっての潜在的な攻撃面が拡大することがよくあります。

この記事では、OpenCTIを使用した効果的な脅威インテリジェンス管理が脆弱性ポリシーをどのように最適化できるかを探ります。

脆弱性管理の優先順位付けの効率化

優先順位付けは、脆弱性管理における最大の課題の1つです。組織は通常、数千の脆弱性に遭遇しますが、それぞれが異なるレベルのリスクを示します。

無差別にパッチを適用したり、CVSSスコアのみに基づいて適用したりするのではなく、組織は脅威インテリジェンスを活用して、実際の攻撃データに基づいて最も緊急性の高い更新を特定できます。

OpenCTIは、悪用可能性、アクティブな脅威キャンペーン、攻撃者の戦術などの重要なコンテキストを提供し、セキュリティチームが悪用される可能性が最も高い脆弱性を優先順位付けできるようにします。このインテリジェンス駆動型のアプローチにより、チームは最も重要な脅威に最初に対処し、サイバーエクスポージャーを最小限に抑えることができます。

Jenkinsソフトウェアで発見された脆弱性は、12のマルウェア、6つの脅威アクター、2つの攻撃キャンペーンで悪用されています。これは、OpenCTIが緊急パッチの適用に適した候補を特定できることを示す例です。

この脆弱性プロファイリングは、自動化プレイブックエンジンのおかげでOpenCTIで自動的に実行できます。以下の例は、すべての脆弱性がサイバー脅威インテリジェンスデータベース全体と相関付けされる方法を示しています。潜在的な脅威が発見された場合、プロファイルはレポート(グルーピングと呼ばれる)として保存され、管理者に通知されます。

この戦略的アプローチにより、運用の中断を減らしながら、セキュリティチームが真に重要な脆弱性に集中できるようになります。

脅威情報に基づくサイバーセキュリティ防御の採用

場合によっては、修正プログラムが利用できない、システムが旧式である、メンテナンスウィンドウが利用できない(SCADAシステムやWindows XP/2012…注目しています)など、パッチ適用が不可能な場合があります。これらの状況は、特にそれらの脆弱性を悪用するアクティブな脅威が既知である場合、システムを脆弱なままにし、重大なリスクを生み出します。

仮想パッチングはリスクを軽減するのに役立ちますが、このソリューションはすべての人が利用できるわけではありません。ただし、脆弱性を積極的に悪用している既知の脅威を予防的に防ぐのに役立つ指標をプロアクティブにプッシュすることで、このリスクを軽減するための最初の保護層を適用できます。

OpenCTIは、以前に取得したプロファイルを、特定の脆弱性を標的とするすべての脅威を示すIoCで強化できます。次に、すべてのIoCをセキュリティツール(EDR、ファイアウォール、プロキシなど)にプッシュすることで、既存のセキュリティツールが脅威情報に基づくものになります。ファイアウォールはもはやランダムな脅威だけをブロックするのではなく、システムに存在する脆弱性を標的とする脅威をブロックするようになります。

関連する指標を用いた脆弱性の強化ステップは、いくつかのAPI呼び出しで実行できます。次のスクリプトは、そのような実装の例です:https://github.com/marckto-filigran/OCTI-vuln2ioc

以前の記事では、セキュリティツールにCTIをプッシュする方法を説明しました。ぜひご覧ください!

一つの脆弱性も見逃さない

最新のセキュリティ脆弱性を把握するだけでも十分に困難です。脆弱性を標的とするすべての脅威を追跡することは、まったく新しい複雑さの層を追加します。OpenCTIを使用すると、特定の製品に関連する新しいイベントを見逃さないように、通知ルール(「ライブトリガー」)を設定できます。

ライブトリガーの設定は非常に簡単です。受け取りたい通知のタイプを指定し、監視したい製品をサブスクライブするだけです。

以下の例では、Fortinet VPNソリューションに関連する新しい脆弱性が発生すると、OpenCTIインターフェースに直接送信される通知がトリガーされます。

まとめ

当初、脆弱性管理と脅威インテリジェンスを組み合わせることは直感的ではないように思えるかもしれませんが、その相乗効果は否定できません。脆弱性管理のための既存のツールは、内部脅威インテリジェンスの提供には優れていますが、外部脅威インテリジェンスには不足していることがよくあります。

OpenCTIはこのギャップを埋め、脆弱性を標的とする脅威の優先順位付け、トリアージ、および軽減を簡素化することで、大きな価値を提供します。

コメント、質問、フィードバックがある場合は、slackでお気軽にご連絡ください!