専門家が教える「脆弱性情報」の見方：セキュリティのアレ（26）

セキュリティ専門家が時事ネタを語る本連載。第26回のテーマは「脆弱性情報への対処の仕方」です。名前や危険度などの情報に振り回されないための考え方を解説します。

» 2016年05月27日 05時00分公開

[根岸征史（インターネットイニシアティブ）, 辻伸弘（ソフトバンク・テクノロジー株式会社）, 宮田健，＠IT]

この連載に関するご意見・ご感想・ご質問などはこちらまで！
Twitterハッシュタグ：#セキュリティのアレ

本当に危険な脆弱性とは

　セキュリティ専門家が時事ネタなどを語る連載「セキュリティのアレ」。第26回は「脆弱（ぜいじゃく）性情報への対処の仕方」を取り上げます。解説するのは前回に引き続き、根岸征史氏と辻伸弘氏。本連載に関するご意見、ご感想はTwitterハッシュタグ「#セキュリティのアレ」にて受け付けています。皆さまの声をお聞かせください。

＠IT 編集部宮田健、ソフトバンク・テクノロジー辻伸弘氏、インターネットイニシアティブ根岸征史氏

宮田　2016年4月末に「Apache Struts 2」に存在する脆弱性の情報が公開されました。注意喚起があったのは4月27日でしたが、その後すぐにこの脆弱性を狙った攻撃が観測されています。この脆弱性は、危険なものだったのでしょうか？

辻氏　危険ではありましたが、Apache Strutsの場合、危険度は配置されているWebアプリケーションサーバの実行権限にも依存します。root権限が使われていて、Apache Strutsのバージョンや設定状況が脆弱性の影響を受けるものだった場合に、外部から管理者権限を取られてしまうという最悪の事態が起こり得ます。

根岸氏　最近は「リモートからコードが実行できるかできないか」という点が、危険性の判断材料にされることが多いようです。今回はそれが「できる」ものだったために、「危険だ」と判断した人が多かったみたいですね。それから、以前に比べて脆弱性の詳細な情報が出てから実際の攻撃が観測されるまでの間隔が、非常に短くなっている印象があります。昔はある程度の猶予があったのですが。

辻氏　逆に、「危険だ、危険だ」とニュースなどで取り上げられたにもかかわらず、攻撃は全然来ないというケースもあります。

根岸氏　実際の危険度と報道などとの乖離（かいり）はありますね。2016年3月に予告されていたWindowsとSambaの脆弱性「Badlock」も、名前が付けられて専用サイトまで立ち上げられたのに、ふたを開けてみればそれほど影響は大きくありませんでした。このあたりの危険度の見極めは、専門家でも難しいところです。

辻氏　注目の度合いと危険度は必ずしも比例しませんからね。

　脆弱性の危険度を見極め、対処の優先順位を決めるのは専門家でも一筋縄でもいかないとする両氏。企業のセキュリティ担当者が脆弱性情報を見るときには、どんな点に注意すればよいのでしょうか？動画では、本当に注意しなければならない脆弱性を見極めるためのポイントを、長年セキュリティ診断業務などに携わってきた根岸氏、辻氏が自身の経験を踏まえながら解説します。