サイバーセキュリティ入門シリーズ: エンドポイントへの攻撃対象が拡大、脆弱性への対処が追いつかず

このシリーズは、サイバーセキュリティの現状に関する重要な指標を企業に提供することを目的としています。6億台以上のデバイスのファームウェアに組み込まれている唯一のセキュリティプロバイダである Absolute は、その独自の立場から、より完全な全体像を把握し、IT / セキュリティチームが潜在的な盲点を排除してリスクを最小限に抑えるための単一ソースのインテリジェンスを提供することができます。

このシリーズでは、世界中のお客様から収集した数百万件の匿名化データを活用して、デバイスとアプリケーションの健全性、デバイスのモビリティ、機密データの漏洩などに関する洞察を、業種、地域、組織の規模別に詳細に説明します。

エンドポイントへの攻撃対象が拡大する一方で脆弱性への対処は困難を極める2022年になってから今日までに新たに確認・報告されたソフトウェアの脆弱性は20,265件。2021年通年の20,171件、2019年の18,325件をすでに上回っています。IT / セキュリティチームがこれらの脆弱性の一つひとつを確認し、組織が所有または維持するすべてのエンドポイントにアップデートをプッシュするために必要な手順を考えると、これは決して小さな量ではありません。

Windows 10 デバイスに関しては、Microsoft の Patch Tuesday (毎月第 2 火曜日にパッチが定期配信されること) で毎月新しいアップデートが登場します。Windows デバイスを最新のパッチに更新することは、組織にとって手間がかかることです。しかし、その更新を怠ると、セキュリティ侵害の危険にさらされる可能性があります。

Absolute の分析によると、Windows 10 Enterprise デバイスのパッチ適用は平均 59日遅れており、特に政府機関と小売業で最も長く遅れていると報告されています (それぞれ83日と77日)。教育機関を含めると、パッチの遅れはさらに深刻になり、これらのデバイスは平均で 115日遅れていることが判明しています。

7月と 8月の Patch Tuesday で対処された脆弱性の総数を見ると、これらのデバイスは、修正プログラムが提供されている 200以上の脆弱性の影響を受けていることがわかります (うち21件は重大とみなされ、1件はすでに悪用されています)。

致命的な脆弱性とは、その脆弱性を悪用するためのメカニズムが公開されている CVE であると定義されています。つまり、Web 上のハッカーは、その脆弱性にパッチが適用されていない場合、組織のデバイスを悪用するために公開されているコードを利用することになります。つまり、この脆弱性は極めて少ない労力で自由に攻撃することができるのです。

脆弱性パッチの適用が急務であることは明らかです。しかし、単調な作業や単純なリソースと時間の不足により、組織のデバイスに長期間にわたってパッチが適用されないままになってしまう可能性があります。

Absolute のデータからは、デバイスの数が少ない小規模な組織ほど、遅延が長いという、興味深い傾向が明らかになっています。

まとめ

Absolute の分析では、相当数のエンドポイントが現在、パッチを適用しておらず、そのため悪用や攻撃に対して脆弱であることがわかります。政府機関、プロフェッショナルサービス、教育機関など、高度に規制された業界全体に言えることです。これらの組織は、データとエンドポイントの安全性を確保する責任を負っています。

このような問題を解決するためには、常に「見える化」が必要です。どれだけのデバイスが古くなり、それがどのようなリスクをもたらすかを知ることで、IT 管理者はパッチが確実に適用されるよう、そして、パッチが適用されていないデバイスは動作しないように、措置を講じることができます。

Absolute レジリエンスは、シンプルな解決策を提供します。パッチ適用を必要とするエンドポイントをリアルタイムで表示するだけでなく、エンドユーザの操作を必要とせずにデバイスにアップデートをプッシュすることが可能です。IT チームが手作業でパッチのアップデートの対応する必要がないので、デバイス上のすべてのソフトウェアが最新の状態に保たれるため、脆弱性が軽減されます。

アブソリュートでは、インテリジェントな自己修復機能により、すべてのアプリケーションの健全性が常に監視され、必要に応じて修正されます。詳細についてはお気軽にお問合せください。[email protected]

分析方法

この分析を行うにあたり、2022年 8月の 2週間にわたり、約 21,000社におよぶグローバルのお客様で稼動している 1,400万台以上のアブソリュート対応デバイスの様々なサブセットから匿名化データを分析しました。その他、データおよび情報は、信頼できるサードパーティーの情報源から引用しています。