セミナー資料 配布版

ICT-ISAC セミナー オープンセミナー 2023

「脆弱性深刻度評価システム(Vuldate)による実用的な脅威影響評価」
KDDI総合研究所
サイバーセキュリティグループ
2023年3月3日(c) 2023 KDDI Research, Inc. All Rights Reserved

本日の内容深刻なサイバー攻撃による被害への対策

脆弱性の深刻度を確認できるシステムをICT-ISAC会員は利用できます！

脆弱性とは
 脆弱性
 コンピューターネットワークにおける安全上の欠陥。ソフトウェア上のバグやハードウェアの欠陥に乗じて、悪意のある第三者により不正アクセスや、マルウェアへの感染などの被害が生じる可能性があること。
情報セキュリティ・サイバーセキュリティの用語で安全上の欠陥を指す。

Log4j

脆弱性件数 20,000件/年以上報告される脆弱性
 CVSSのスコアが高い（710）ものだけでも、2000件以上/年
CVE：Common Vulnerabilities
and Exposures◆共通脆弱性識別子～脆弱性の固有ID
CVSS：Common Vulnerability
Scoring System◆共通脆弱性評価システム～脆弱性の深刻度評価の仕組み
3

脆弱性対策の進め方 ～脆弱性情報の収集～

A 脆弱性や脅威に関する情報を入手
 対策にあたり沢山の情報を収集しなくてはならない 参照すべきサイトも沢山ある

出典
IPA Technical Watch脆弱性対策の効果的な進め方（実践編）第２版
図2-2-2：情報収集のイメージ図

コスト大（人的コスト、etc.）4

脆弱性対策の進め方 脆弱性情報の分析
 脆弱性情報の危険度の分析

脆弱性の危険度を分析

 脆弱性の特徴など、各種情報・状況からその脆弱性の危険度を確認
 対象であるか、対処すべき脆弱性であるかの判断

脆弱性A ＞ 脆弱性B ＞ 脆弱性C？

参考
IPA Technical Watch脆弱性対策の効果的な進め方（実践編）第２版
図2-2-1：情報収集から分析までのイメージ図

 セキュリティに関する知識・専門性が必要
 組織によって事情が異なる
5

Vuldateについて

6

Vuldate セキュリティ対策支援のための脆弱性深刻度評価システム

Vuldateの役割
脆弱性情報に関して・・・・・
脆弱性の関連情報を確認：「VuldateがWebから収集した情報や類似事例」を確認
脆弱性対応の優先度付けの支援：「Vuldateが分析評価した深刻度の指標」を利用

7

Vuldateによる情報収集支援

脆弱性の関連情報を確認：「VuldateがWebから収集した情報や類似事例」を確認
 報告された脆弱性に関して、Web上を検索し、ニュース記事の要約を表示
 関連する情報のニュースサイト、SNSサイトのリンクを提示

情報収集の労力を削減
8

脆弱性の関連情報を確認： 画面例「VuldateがWebから収集した情報や類似事例」

脆弱性に関して、ニュースサイト記事の要約やSNSの情報へのリンクを表示

当該の脆弱性の類似の脆弱性とその危険度を提示

Vuldateによる脆弱性情報分析

脆弱性対応の優先度付けの支援：「Vuldateが分析評価した深刻度の指標」を利用
 報告された脆弱性に関して、機械学習を用いて、その深刻度を評価
 攻撃危険度評価（攻撃コードが生成される危険性）と注意喚起予測（注意喚起に相当するような脆弱性かどうか）を判断

優先度付けの指標を参考に
11

実際に攻撃コードが観測された脆弱性の割合
 攻撃コードの生成 攻撃コードが利用されると実際に被害が生じ、インシデントにつながる すなわち、攻撃コードが生成されそうな脆弱性の対処の優先度が高い 但し、脆弱性のすべてに攻撃コードが生成されるわけではない。

攻撃コードが生成される脆弱性を見極める

約23%の脆弱性に対して攻撃コードが生成される。
12

注意喚起の活用
 注意喚起とは？

 セキュリティに関わる団体やベンダーが，発覚した脆弱性や脅威，攻撃による被害状況等を把握し，危険性の高い脆弱性やサイバー攻撃に対して注意を促すもの
 システム管理者は、注意喚起をきっかけにセキュリティ対策を見直すきっかけにもなり、対応すべき脆弱性の優先度付けに必要な情報の一つ

注意喚起になるような脆弱性は深刻度が高い
出典：JPCERT/CC 注意喚起
https://www.jpcert.or.jp/at/2022/at220006.html

13

AIによる脆弱性情報分析

 機械学習の活用

 “攻撃コードが生成されるか”、“注意喚起に相当するか”を分析 機械学習を用いることで、人的コストの削減を実現①過去の脆弱性情報で学習

過去の脆弱性の情報③脆弱性情報評価情報
を提供

脆弱性情報
新たに報告された
脆弱性情報

情報解析エンジン
必要な情報を補完(AI)

攻撃危険度評価
注意喚起予測！
！
！

②新たに報告された
脆弱性を評価14

Vuldateの使い方（参考）A

Vuldateニュースサイト

NEWS
公表値

CVSS値

脆弱性情報
（評価値）

SNS

自社の資産多様の情報により判断・社内への連絡
15

Vuldateのサービス提供

ICT-ISAC会員向けサービスとして提供中
希望する会員に無償提供
20＋の組織に提供中2022年度にアップデートを実施

16

システム画面17

一覧表示画面18

送信メール

19

Vuldateシステム・ユーザ利用

20ユーザアンケート
利用に関する満足度とニーズ調査のためユーザアンケートを実施
アンケートでの回答を基に機能更新を実施◆アンケート回答者の属性

業務内容

セキュリティに関係する

セキュリティに関係しない

対象者

CSIRT

3

内部統制

1

セキュリティ監査1

セキュリティエンジニア

4

セキュリティ研究者

6

セキュリティに関する企画立案

3

セキュリティ開発者

2

システム運用者

1

セキュリティに関する普及啓発

1

アプリケーション開発者

1

セキュリティに関する技術コンサルタント

1

ISAC

1
21

ユーザアンケート
Vuldateのインプレッション（抜粋）
新しい試みで期待している。
ニュースサイトやtwitterに情報があるかなどが表示され、ExploitDBやGitHubのページへのリンクがあるのは便利と感じた。
一覧表示において、CVSSに加え「攻撃危険度評価」「攻撃展開予測」が表示されるため、危険性が高い場合、危険な印象を利用者に強く与えることができる。
一覧表示において、表示内容によって色が変わるので、直感的に分かり易い。
ソート機能が早くて快適。
極論ではありますが脆弱性も悪用されなければよいという考え方からすると悪用可能性の評価は非常に重要な取り組みと考えられる。取組につきましては今度も情報をご連携いただけると助かります。
公開された脆弱性情報のうち、悪用可能性について評価された情報は非常に貴重な情報となる。

22

ユーザアンケート
脆弱性評価システムへの要望（抜粋）
最新の分析結果が入手できるように分析希望の対象をインプットできるようにして欲しい
数値や指標で危険というのはなんとなくわかる。加えて、この数値はこんだけ危険であるとわかるような補足が欲しい。
詳細情報（概要等）はデフォルトで表示されているか、または前回の状態を引き継いでいる方がよい。類似事
例に記載されているページへのリンクが貼られていると使い勝手がよい。
脆弱性対応には、優先度の根拠（悪用可能性が高いとされる理由）についても情報が求められる。そのため悪用可能性の評価結果に加えその理由が分かる情報も提供されるとよい。
システム所管部の脆弱性管理担当者が使用製品を登録し、登録した製品のみの脆弱性情報を配信する機能があると、対応の正確性、実効性が高まると思われる。
情報の取捨選択が難しい。個人の情報に紐づき、自分自身の業務に関連するものが、もう少し楽にピックアップされるとよい。
脆弱性情報詳細表示で、「各サイトの掲載情報」はソースが固定されている。もっと広いソースから情報を見られるとよい。

232022年度のアップデート

24アップデート内容
内容

No.

リリース

スライド－AIAI

機械学習の再学習機能済

Web表示

1

トップページに検索機能（検索ウィンドウ）を追加

済

2「攻撃コードの生成」「注意喚起」の状況を別表示

済

〇

3

CVE-IDを詳細画面に追加

済

〇

4

JVN iPedia (JVN-ID) と NVD(CVE-ID)へのリンクを追加

未5

分析結果と「攻撃コード」「注意喚起」の発行状況を個別に表示

済

〇

6

詳細画面で表示する項目を指定可能

済

〇

7

関連情報の有無を一覧表示に追加

済

8

詳細画面の表示（開閉状況）を保持

済

9

ネットワークの観測情報をメールに追加済

10

攻撃コードが生成済み、注意喚起が発行済みである場合はメールサブジェクトに表示

未11

メールでの通知のレベルを指定可能

済

〇

12

脆弱性情報に対してブックマークを指定可能

未〇

ユーザカス
タマイズ

〇

25

一覧ページ

攻撃危険度評価

4つのレベル (Critical, High, Medium, Low)

注意喚起予測Item No. 5
攻撃コードの公開状況
Item No. 5
注意喚起の発行状況26

詳細ページ

Item No. 3
CVE-IDを追加

攻撃コードの公開状況

注意喚起の発行状況
Item No. 227

ユーザ設定ページ

Item No. 628

ユーザ設定ページ

Item No. 11

通知のレベルを設定
29

Item No. 8
詳細情報の各項目の開閉状態を保持

Open

Close30

気になる脆弱性をマーキング

Item No. 12★

★

それぞれのページへ遷移するリンクを追加

Item No. 431

運用レポート 2022/06～2023/01

32

運用に関するレポート
メールの通知頻度は、日に3～4回程度 (サイトビューは、3～4回/週）
よく確認された脆弱性情報は下記
現在の利用者は、OS、アプリの脆弱性に興味がある？
よく参照された脆弱性トップ3
JVNDB-ID

CVEI-ID

Overview
Vulnerability in macOSCVSSv3

Attack code
generation score

Security Alert
Score

AccessTerm

7.8

HighLow

2022/09～2023/01

1 JVNDB-2021-013667

CVE-2021-30787

2 JVNDB-2021-009903

CVE-2021-32012

Resource Exhaustion Vulnerability in
SheetJS and SheetJS Pro

5.5

HighLow

2022/08～2023/01

3 JVNDB-2021-010495

CVE-2021-20032

Vulnerability in SonicWall Analytics OnPrem

9.8

CriticalLow

2022/07

3 JVNDB-2021-017088

CVE-2021-45623

Command injection vulnerability inseveral NETGEAR devices

9.8

High

Low

2023/0133

よく参照された脆弱性
JVNDB-IDJVNDB-20211
013667

CVEI-ID

Overview

Vulnerabilit
CVE-2021- y in macOS30787

JVNDB-20212
009903ResourceExhaustionCVE-2021- Vulnerabilit
32012 y in SheetJS
and SheetJSPro

JVNDB-20213
010495

Vulnerabilit
y in
CVE-2021SonicWall
20032
Analytics
On-Prem

JVNDB-20213
017088Commandinjection
CVE-2021- vulnerability
45623 in several
NETGEARdevices

説明

対策

macOS における脆弱性

想定される攻撃：
情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。

SheetJS および SheetJS Pro におけるリソースの枯渇に関する脆弱性想定される攻撃：
サービス運用妨害 (DoS) 状態にされる可能性があります。

SonicWall Analytics On-Prem における脆弱性

想定される攻撃：
情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。

複数の NETGEAR デバイスにおけるコマンドインジェクションの脆弱性想定される攻撃：
情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。

参照元：JVN iPedia (https://jvndb.jvn.jp/)

ベンダにより対策が公開済み

ベンダにより対策が公開済み

ベンダにより対策が公開済み

ベンダにより対策が公開済み

34

まとめ35

脆弱性対策の課題：構成管理・構成情報との連携

公開情報
脆弱性情報
(Vuldate)
脆弱性情報

攻撃危険度評価
注意喚起予測

A

社内情報

資産管理
(構成管理)
部品情報(SBOM等)

これが難しい・・・

管理する資産との紐づけ
36

まとめ

脆弱性深刻度評価システム(Vuldate)の実践的な利用について
企業の脆弱性対策を支援するシステム• 実践的な脆弱性対策の実現を支援• 脆弱性・脅威に関する情報に加え、資産管理との両輪

ICT-ISAC会員向けサービスとして提供中• ご希望する会員は事務局へご連絡下さい

ご清聴ありがとうございました！

37