脅威/脆弱性情報と資産情報の連携による情報共有基盤のこれから2023年3月3日
寺田 真敏(ICT-ISAC情報共有WG主査／株式会社日立製作所)

Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

はじめにサイバー攻撃への迅速な対応を可能にする環境を実現するため、脅威/脆弱性情報とソフトウェア資産情報との紐づけにより、影響のある脅威や脆弱性の早期判断を実現する情報共有基盤のこれからについて紹介します。
本日の「情報共有基盤のこれから」のトピックは、特に、製品識別という課題と、その解決アプローチについてです。

2
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性脆弱性という言葉をよく耳にしませんか?
⚫

振り返り 2014年
4月 OpenSSLの情報漏えいを許してしまう脆弱性 ～Heartbleed問題
Apache Strutsの任意のコード実行を許してしまう脆弱性
9月 GNU bashの脆弱性 ～shellshock問題～
10月 SSL通信の暗号文の解読を許してしまう脆弱性 ～POODLE問題～⚫

振り返り 2017年
3月 Apache Struts 2の任意のコード実行を許してしまう脆弱性
5月 ランサムウェアWanna Cryptorの流布
2017年3月にセキュリティ更新プログラムがリリースされた「MS17-010：
Windows SMBv1の任意のコード実行を許してしまう脆弱性」を悪用⚫

振り返り 2021年
12月 Apache Log4jの任意のコード実行の脆弱性 ～Log4Shell問題～
3
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性
ランサムウェアによる被害⚫

企業・団体等におけるランサムウェア被害の報告件数の推移
150

114

100
50

6185

210
2020年下半期2⚫

[出典]

2021年上半期

2021年下半期

2022年上半期

2022年上半期のランサムウェア被害の特徴⚫ 二重恐喝(ダブルエクストーション)による被害が多くを占める⚫ 暗号資産による金銭の要求が多くを占める⚫ 企業・団体等の規模を問わず被害が発生⚫ 感染経路は、テレワークにも利用される機器等の脆弱性や強度の弱い認証
情報等を利用して侵入したと考えられるものが大半を占めている
令和４年上半期におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_kami_cyber_jousei.pdf

4Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性
ランサムウェアによる被害⚫

2021年のランサムウェア被害の状況

VPN機器からの侵入

その他
15,20%

団体等
18,12%

大企業

不審メールや
5, 6%
その添付ファイル

49,34%

146件

中小企業

リモートデスクトップからの侵入

15,15%

ランサムウェア被害件数

41,54%

15,20%

二重恐喝以外79,54%

有効回答
76件

感染経路

97件

米ドル
4,9%

二重恐喝

82,85%

手口を確認できた被害

45件

暗号資産

41,91%

直接的な金銭要求あり

5Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性
ランサムウェアによる被害⚫

2022年上半期のランサムウェア被害の状況
不審メールやその添付ファイル団体等
19,
17%

大企業

VPN機器からの侵入

その他
4, 9%
4, 8%

リモートデスク7, 15% 有効回答
47件
トップからの侵入

36,
31%

32,
68%

114件
二重恐喝以外

中小企業

59,
52%

感染経路

28,
35%

ランサムウェア被害件数

81件

米ドル
53,65%

二重恐喝

手口を確認できた被害

1,
4%

28件

暗号資産

27,96%

直接的な金銭要求あり

6Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性
脆弱性対策を進める3つの視点
脆弱性の分類事例

チェック方法仕様の脆弱性認証の仕組みがない

机上レビュー
手動検査(ぺネトレーション検査)

コードの脆弱性

パスワードの値をチェックしていない
パスワードがハードコー
ディングされている

ホワイトボックス型
ソースコード検査

攻撃者視点でのセキュリティ検査(≒オフェンシブセキュリティ)ブラックボックス型
未知の脆弱性⇒ファジング検査
ブラックボックス型
既知の脆弱性⇒脆弱性検査設定の脆弱性アカウントとパスワードが同じセキュリティ設定検査(ハードニング検査)
7Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性【 課題1 】 日々公表される膨大な数の脆弱性⚫

システム構成要素の複雑化に伴い、個社が対応すべき脆弱性も増加⚫ 米国脆弱性対策データベース(NVD:National Vulnerablity
Database)によれば、2017年頃より増加しており、全ての脆弱性情報を都度時間をかけて吟味することは現実的ではなくなった。

CVE登録件数
25,000

CNA組織数CVE登録件数

300

CNA(CVE Numbering Authority、CVE採番機関)組織数
250

20,0002005年
脆弱性対策データベース
NVD開始▼15,000
10,000200
1501005,000←脆弱性情報を流通する仕組みは、→非営利組織主導により運用されていた。

500198819891990
1991
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
2004
2005
2006
2007
2008
2009
2010
2011
2012
2013
2014
2015
2016
2017
2018
2019
2020
2021
2022

0

[出典]

Search Vulnerability Database
https://nvd.nist.gov/vuln/search8
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

サイバー攻撃と脆弱性【 課題2 】 インストール状況と脆弱性との紐付けは人手で実施⚫

重要なセキュリティ情報が発信されるたびに、手作業でIT資産一覧表を検索して、影響範囲の調査をしていませんか?
⚫ 多くの場合、インストール状況と脆弱性との紐付けを人手で実施している(資産管理と脆弱性対策とが連携できているわけではない)。

重要なセキュリティ情報(MyJVN)

IT資産一覧表(IT資産管理ツール)

ソフト
ウェア
x
ソフト
ウェア
y

9
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.サイバー攻撃と脆弱性【 課題3 】 カスタムアプリ管理は整備途上⚫

重要なセキュリティ情報が発信されたときに、カスタムアプリ(SIで開発した業務アプリケーションなど)の影響範囲を調査していますか?
⚫ 多くの場合、カスタムアプリ(SIで開発したアプリケーションなど)は、資産管理や脆弱性管理の対象に含まれていない。

重要なセキュリティ情報(MyJVN)
カスタムアプリEx. 在庫管理アプリ?
10Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)
情報共有・自動処理の必要性⚫

複雑化するシステムと、増加する脆弱性に対応するには、各業界・業種に合わせた情報をオープンデータとして共有することと、セキュリティ対策に必要な情報の処理を自動化することが求められている。
課題

課題への対策システムにおけるサプライチェーンとアーキテクチャの複雑化

情報共有
関心の高い情報のオープンデータ化、脅威情報や各業界・業種にて業界固有の情報を、効率的な対策に役立てる

個社単位での対応の限界

脆弱性の報告数の増加

自動処理
セキュリティ対策を実施するために行っている判断や対策を、一定の基準で自動的に実施できるようにする
11
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)
脆弱性とインストール状況との紐付け⚫

重要なセキュリティ情報が発信されるたびに、手作業でIT資産一覧表を検索して、影響範囲の調査をしていませんか?
⚫ 多くの場合、脆弱性とインストールされているソフトウェアの状況との紐付けを人手で実施(脆弱性情報と資産情報とが連携できているわけではない)。

重要なセキュリティ情報(MyJVN)

IT資産一覧表(IT資産管理ツール)

ソフト
ウェア
x
ソフト
ウェア
y

12
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)
実証実験の目的⚫

情報連携により、人が介在しなくても良い脆弱性対策環境(脆弱性の影響有無の判定など)の実現性を確認する。
⚫ 重要なセキュリティ情報で使用するソフトウェア名と、IT資産一覧表で使用するソフトウェア名の統一を図る。

重要なセキュリティ情報(MyJVN)

IT資産一覧表(IT資産管理ツール)

ソフト
ウェア
x
ソフト
ウェア
y13
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)
ソフトウェア名の統一を図るとは⚫

情報連携により、人が介在しなくても良い脆弱性対策環境(脆弱性の影響有無の判定など)の実現性を確認する。
⚫ 重要なセキュリティ情報で使用するソフトウェア名と、IT資産一覧表で使用するソフトウェア名が同じものであるという前提で運用できる情報共有基盤を整備する。
IT資産一覧表

重要なセキュリティ情報(MyJVN)(IT資産管理ツール)

重要なセキュリティ情報に記載されているソフトウェア名⚫ 製品ABC同じ?
同じ

IT資産一覧表に登録されているソフトウェア名⚫ 製品ABC
製品abc

ソフト
ウェア
x
ソフト
ウェア
y14
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)
ソフトウェア名の統一を図るために⚫

情報連携により、人が介在しなくても良い脆弱性対策環境(脆弱性の影響有無の判定など)の実現性を確認する。
⚫ ソフトウェア名の統一のためのリファレンス(製品辞書)を利用した重要なセキ
ュリティ情報とIT資産一覧表との連携

重要なセキュリティ情報(MyJVN)

製品辞書

IT資産一覧表(IT資産管理ツール)

ソフトウェアx
ソフト
ウェア
yICT-ISAC
情報共有基盤15
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

実証実験の振り返り (2019年～2021年)【短期的】 脆弱性情報と資産情報の連携⚫
⚫

ソフトウェア名統一のためのリファレンス(製品辞書)を利用した連携
ソフトウェア部品表(SBOM:Software Bill of Materials)を利用した連携

MyJVN

ICT-ISAC
情報共有基盤

製品辞書 SBOM

脆弱性情報
(製品名)

脆弱性情報
格納
テーブル

突合結果

リファレンス
(製品名)

突合

IT資産

ソフトウェア部品表(製品名)

製品辞書格納テーブル

脆弱性アラート

突合

インストール状況(製品名)

ソフトウェアインベントリ
格納テーブル突合結果

IT資産管理ツール

16

Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)実運用に向けて⚫

短期的アプローチであるリファレンス(製品辞書)を利用した連携を実運用という形に持っていくためには、
1. リファレンス(製品辞書)に登録されていない製品について、リファレンス(製品辞書)に登録する仕組みを持つこと
2. サイバー攻撃への迅速な対応を可能にするには、脆弱性が発見される前にリファレンス(製品辞書)に登録されていること

17
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)
NVDも、同じ悩みを抱えている⚫

製品識別子(CPE)付与の95%は、脆弱性が発見されてから、、、≒ リファレンス(製品辞書)に登録されるのは、ほぼ脆弱性が発見されてから、、、

CPE Myth: CPEs are produced by software
suppliers• ~5% of CPE Names are provided bysoftware providers around thepoint of software “release”• ~95% of CPE Names are created by
NVD analysts during the “manage”
phase• Produced during the vulnerability
analysis process• Software is identified after a known
vulnerability is found• Identifying software after avulnerability is discovered is way
too late!

Develop• SecDevOps: Dependencies are managed• Vulnerabilities in dependencies need to be known

Build• Software artifacts are compiled• Distribution packages are createdRelease• Software packages are published

Install• Software is installed on endpoints along withdependencies

Manage• Vulnerabilities are identified• Software is patched and upgraded

Retire• Software is uninstalled

CPE(Common Platform Enumeration；共通製品識別子)
9[出典]

SCAPv2 April Developer Days Face to Face
https://csrc.nist.gov/Projects/security-content-automation-protocol-v2/Material-Archives

18
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)【短期的】 製品識別という課題：現状⚫

リファレンス(製品辞書)に登録されているソフトウェア名は、脆弱性が報告された製品のみのソフトウェア名から構成

重要なセキュリティ情報(MyJVN)

製品辞書

IT資産一覧表(IT資産管理ツール)≒国内で流通しているソフトウェアや装置の一覧

登録されていない製品製品リスト
製品辞書
格納テーブル＝インストールされている製品群=脆弱性が報告された製品のみ

19
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)【短期的】 製品識別という課題：課題が解決された望ましい姿⚫

リファレンス(製品辞書)に登録されているソフトウェア名は、国内で流通している製品のソフトウェア名から構成

重要なセキュリティ情報(MyJVN)

製品辞書

製品辞書
格納テーブル＝インストールされている製品群

IT資産一覧表(IT資産管理ツール)≒国内で流通しているソフトウェアや装置の一覧

製品リスト＝インストールされている製品群

20
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)【短期的】 製品識別という課題：解決のためのアプローチ⚫

多様な製品識別子を関連付けるための製品辞書の整備を通して、グローバルな連携を可能としつつ、製品識別子の付与されていない製品(≒製品辞書に登録されていないソフトウェア)に識別子を付与し、その識別子の流通を支援する。

{"vendors": [{"vendor_id": "JVNベンダ識別子","vname": "ベンダ名","cpe": "CPEベンダ名","products": [{"product_id": "JVN製品識別子","pname": "製品名","product_ids": [{"cpe": "CPE2.3製品識別子"},{"nvdpid": "SWID(UUID)識別子"},{“swid": "製品識別子"},{"spdxid": "SPDX識別子"},{"purl": "purl識別子"},{“sha256": "ハッシュ値"}]},{製品2},{・・・}] }]ベンダ

JVNベンダ識別子
ベンダ名
CPEベンダ名MyJVN製品辞書
製品辞書
格納テーブル＝インストール
されている製品群

製品 JVN製品識別子
製品 JVN製品識別子
製品名(日本語|英語)製品JVN製品識別子
製品名(日本語|英語)
cpe(CPE2.3製品識別子)
製品名(日本語|英語)
cpe(CPE2.3製品識別子)
nvdpid(SWID(UUID)識別子)
cpe(CPE2.3製品識別子)
nvdpid(SWID(UUID)識別子)
vendorpid(製品識別子)
nvdpid(SWID(UUID)識別子)
vendorpid(製品識別子)
spdxid(SPDX識別子)
swid(製品識別子)
spdxid(SPDX識別子)
purl(purl識別子)
spdxid(SPDX識別子)
purl(purl識別子)
ハッシュ(ハッシュ値)
purl(purl識別子)
ハッシュ(ハッシュ値)
ハッシュ(ハッシュ値)

多様な製品識別子の関連付けが可能な
MyJVN製品辞書の整備}

21
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (1)【短期的】 製品識別という課題：解決のためのアプローチ⚫

国内で流通している製品のソフトウェア名については、MyJVNが製品識別子を付与してMyJVN製品辞書に登録MyJVN製品辞書が生成

重要なセキュリティ情報(MyJVN)

製品辞書

MyJVN製品辞書
製品辞書
格納テーブル＝インストール
されている製品群[*1] CPEについてはjvnpidをベースに変換生成する。

ソフトウェア名：
システムボム XYZ
JVN製品識別子：
jvnpid:1.0:systembom:xyz

ベンダ名：システムボム
製品名：XYZ
JVN製品識別子
jvnpid:1.0:systembom:xyz
製品識別子
cpe: [*1]nvdpid: nullswid: null
spdxid: null
purl: nullsha256: null

≒国内で流通しているソフトウェアや装置の一覧

製品リスト＝インストール
されている製品群

22
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (2)【長期的】 脆弱性情報と資産情報の連携のあるべき姿は?
⚫

ISO/IEC 19770の仕組みを参考に考えてみよう。
⚫ 各種情報を集約し、自動チェックするなどの基盤整備に利用可能⚫ ソフトウェア構成情報(SWID)は19770-2、ライセンス情報(Ent)は19770-3、リソース利用情報(RUM)は19770-4で情報構造が標準化
ライセンス情報
オーダ№:5678,名称:サーバアプリ,
数量:1000,ライセンス形態:同時
使用最大ﾕｰｻﾞ数・・・

ライセンス情報
19770-3（Ent）

tagId: AソフトZ

ソフトウェア構成情報
19770-2(SWID)

オーダ№:1234,名称:Ａソフト,
数量:1000,ライセンス形態:PC・・・

tagId: Bソフト
tagId: Aソフト
tagId: Cソフト

19770-3(Ent)
ソフトウェア利用情報
19770-4(RUM)

tagId: Aソフト

tagId: スマホアプリ
SWID: SoftWare Identification
Ent: Software Entitlement
RUM: Resource Utilization Measurement

tagId: サーバアプリ

23
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (2)【長期的】 脆弱性情報と資産情報の連携のあるべき姿は?
⚫

ISO/IEC 19770-2 製品識別子(SWID)の仕組みの考え方を用いれば、インストール状況(製品名)とSWID登録サイト(製品名)のデータは一致する。すなわ
ち、インストール状況(製品名)と脆弱性情報(製品名)のデータも一致し、名寄せなどの変換が不要となる。
製品ベンダ
SWID登録サイト
(製品名)

MyJVN

脆弱性情報
(製品名)

SWID

インストール状況
(製品名)

製品辞書
格納テーブル
脆弱性情報
格納テーブル

SWID

ソフトウェアMyJVN製品辞書

ソフトウェアインベントリ
格納テーブル＝インストール
されている製品群

SWID

SWID

MyJVNがSWID登録サイトとしても機能

SWID
SWID

PC

突合
24
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

連携による情報共有基盤のこれから (2)【長期的】 製品識別という課題：解決のためのアプローチ⚫

国内で流通している製品のソフトウェア名については、ベンダが製品識別子を付与してMyJVN製品辞書に登録・・・ MyJVN製品辞書は登録サイトとして機能する。
製品ベンダが生成

重要なセキュリティ情報(MyJVN)

製品辞書

MyJVN製品辞書
製品辞書
格納テーブル＝インストール
されている製品群

製品ベンダ

ソフトウェア名：
システムボム ZZZ
製品識別子(SWID)：
65699569-EA51-・・・

ベンダ名：システムボム
製品名：ZZZ
JVN製品識別子
jvnpid:1.0:systembom:zzz
製品識別子
cpe: cpe:2.3:a:systembom:zzz
nvdpid: nullswid: 65699569-EA51-・・・
spdxid: null
purl: nullsha256: null

ソフトウェアSWIDPC25
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

多層防御としての情報活用基盤と想定する将来像
脅威情報／脆弱性対策情報と資産管理との連携
MyJVN
製品辞書

JVN iPedia

脆弱性対策情報
データベース

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)
製品ベンダ

脆弱性

MyJVN
脆弱性

資産と紐付けられる
脅威情報/脆弱性
対策情報の配信
資産管理ツール

ソフトウェア部品表と紐付けられる脅威情報/
脆弱性対策情報の配信
資産管理ツール

脅威taxii.ict-isac.jp(STIX/TAXIIベース)

脆弱性

NISC、IPA、JPCERT/CC
他ISACなど

ICT-ISAC
情報共有基盤

脅威情報/脆弱性
対策情報の統合配信

資産管理ツール

ソフトウェア
部品表
辞書

自身で資産管理している組織
資産管理ソリューション提供サービス事業者

26

Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

おわりに

ICT-ISACでは、 STIX/TAXIIベースとした情報共有基盤を試行運用しており、脅
威/脆弱性情報とソフトウェア資産情報との紐づけにより、影響のある脅威や脆弱性の早期判断を実現する情報共有基盤の整備に向け取り組んでいます。
影響のある脅威や脆弱性の早期判断の実現には、脅威/脆弱性情報とソフトウェア資産情報との紐づけがしやすい環境を作ることが「これから」の第一歩であると考えます。
情報共有基盤の活用や機能改善など、検討を進めておりますので、いろいろご意見などを頂ければ幸いです。

27
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.

Collaborate
togetherto make ourInternetsecure.
Copyright©2023 ICT-ISAC Japan. All Rights Reserved.